GDPR odpove pri sistemskih težavah

Ko vložite pritožbo zaradi ravnanja Facebooka, Instagrama, WhatsAppa ali TikToka z osebnimi podatki, ta praviloma ne konča pri domačem regulatorju. Konča v Dublinu. Irska komisija za varstvo podatkov vodi skoraj vse večje postopke izvrševanja Splošne uredbe o varstvu podatkov (GDPR) proti globalnim tehnološkim podjetjem, njena nekdanja vodja Helen Dixon pa je zdaj priznala, da sistem pri najpomembnejših vprašanjih ne deluje dovolj dobro. Na dogodku irske odvetniške zbornice je dejala, da GDPR »ni vedno uporaben za sistemska vprašanja« (Law Society of Ireland).

To priznanje je pomembno prav zato, ker prihaja od osebe, ki je vodila irsko izvrševanje v njegovih najbolj dejavnih letih. Povzema napetost, ki se je v evropskem sistemu varstva podatkov kopičila osem let.

Kako je eno mesto postalo evropska prestolnica zasebnosti

GDPR je v 56. členu uvedel mehanizem »vse na enem mestu« (EUR-Lex). Namen je bil praktičen: podjetje naj se pri čezmejnih primerih ne ukvarja s 27 nacionalnimi regulatorji, temveč z organom v državi, kjer ima glavni sedež v EU. Apple, Google, Meta, TikTok, LinkedIn in Microsoft so evropske sedeže postavili na Irskem. Irska komisija za varstvo podatkov je tako dejansko postala evropski regulator zasebnosti za velik del tehnološke industrije (anonym.community).

Postopek izvrševanja temelji na sodelovanju iz 60. člena. Irski organ kot vodilni nadzorni organ preišče pritožbo in pripravi osnutek odločitve. Nato ga pošlje vsem drugim nacionalnim organom za varstvo podatkov, ki jih primer zadeva. Če ti ugovarjajo, kar se dogaja pogosto, se spor preseli na Evropski odbor za varstvo podatkov, ki sprejme zavezujočo odločitev (EUR-Lex). Sistem deluje približno tako, kot da Dublin napiše sodbo, drugih 26 sodnikov pa ima možnost veta na kazen.

Mehanizem naj bi preprečil izbiro najmilejšega regulatorja. V praksi je ustvaril drugo težavo: ena srednje velika nacionalna institucija je postala ozko grlo za izvrševanje pravil na ravni celotne celine.

Visoke globe, počasna izterjava

Irska komisija za varstvo podatkov je izrekla približno 80 odstotkov vseh večjih evropskih tehnoloških glob po GDPR (anonym.community). Največje so bile 1,2 mrd. evrov proti Meti zaradi nezakonitega prenosa podatkov evropskih uporabnikov v ZDA, 530 mio. evrov proti TikToku zaradi dostopa kitajskih inženirjev do evropskih podatkov ter 310 mio. evrov proti LinkedInu zaradi nezakonitega vedenjskega profiliranja (anonym.legal).

Izreči globo in jo izterjati sta različni stvari. Podjetja se pritožijo zoper skoraj vsako večjo odločitev, irska sodišča pa lahko plačilo zamrznejo, dokler postopek teče. Razlika med napovedanimi kaznimi in dejansko prejetim denarjem zato ostaja velika. Drugi nacionalni regulatorji imajo svoje omejitve: zaradi sodelovanja po 60. členu lahko manjši organi vlagajo ugovore, ne morejo pa samostojno ukrepati v čezmejnih primerih proti tem podjetjem. Opazujejo, medtem ko odloča Dublin.

Popravek z rokom

Nova postopkovna uredba o GDPR, ki začne veljati aprila 2027, uvaja 15-mesečni rok, v katerem morajo vodilni organi v čezmejnih primerih izdati osnutek odločitve (Netguardia). V sedanjem sistemu so se preiskave vlekle več let. Globa proti Meti v višini 1,2 mrd. evrov je od prve pritožbe do končne odločitve potrebovala pet let. Reforma določa tudi jasnejše roke za ugovore zadevnih nadzornih organov in za prenos sporov na Evropski odbor za varstvo podatkov (Netguardia).

Postopkovni popravek rešuje hitrost. Ne rešuje pa osnovnega neravnotežja: en nacionalni organ, odgovoren irskim sodiščem in vezan na irsko upravno pravo, nosi regulativno breme za tehnološka podjetja, ki služijo 450 milijonom Evropejcev. Dixonino priznanje, da okvir težko obravnava sistemska vprašanja (Law Society of Ireland), kaže na problem, ki ga reforma iz leta 2027 pušča nedotaknjenega. Odločitve bodo lahko hitrejše, a bodo še vedno tekle skozi isti ozek kanal. Dolgoročno vprašanje je, ali bo Evropa nekoč odprla tudi razpravo o samem kanalu, ne samo o hitrosti prometa skozi njega.