C 149/3

Shrnutí stanoviska evropského inspektora ochrany údajů k návrhu aktu o digitálních službách

(Úplné znění tohoto stanoviska je k dispozici v angličtině, francouzštině a němčině na internetových stránkách evropského inspektora ochrany údajů na adrese www.edps.europa.eu)

(2021/C 149/03)

Dne 15. prosince 2020 přijala Komise návrh nařízení Evropského parlamentu a Rady o jednotném trhu digitálních služeb (akt o digitálních službách) a o změně směrnice 2000/31/ES (dále jen „akt o digitálních službách“).

Evropský inspektor ochrany údajů podporuje cíl Komise prosazovat transparentní a bezpečné on-line prostředí vymezením povinností a odpovědnosti u zprostředkovatelských služeb, zejména on-line platforem, jako jsou sociální média a tržiště.

Evropský inspektor ochrany údajů vítá, že návrh usiluje spíše o doplnění stávajících opatření k zajištění ochrany podle nařízení (EU) 2016/679 a směrnice 2002/58/ES, nikoli o jejich nahrazení. Přesto však bude mít návrh zjevně dopad na zpracování osobních údajů. Evropský inspektor ochrany údajů považuje za nezbytné zajistit doplňkovost při dohledu nad on-line platformami a jinými poskytovateli hostingových služeb.

Některé činnosti v oblasti on-line platforem představují zvyšující se riziko nejen pro práva jednotlivců, ale i pro společnost jako celek. Přestože návrh obsahuje soubor opatření ke zmírnění rizik, jsou nezbytné další záruky, zejména ve vztahu k moderování obsahu, reklamě na internetu a doporučovacím systémům.

K moderování obsahu by mělo docházet v souladu se zásadou právního státu. Vzhledem k již endemickému sledování chování jednotlivců, zejména v souvislosti s on-line platformami, by měl akt o digitálních službách vymezit, za jakých okolností úsilí v boji proti „nezákonnému obsahu“ legitimizuje použití automatizovaných postupů ke zjištění, identifikaci a řešení nezákonného obsahu. Profilování pro účely moderování obsahu by mělo být zakázáno, pokud poskytovatel neprokáže, že taková opatření jsou nezbytně nutná k řešení systémových rizik výslovně určených aktem o digitálních službách.

Vzhledem ke značnému množství rizik spojených s cílenou reklamou na internetu evropský inspektor ochrany údajů naléhavě žádá spolunormotvůrce, aby zvážili další pravidla překračující rámec požadavků na transparentnost. Součástí těchto opatření by mělo být postupné ukončování cílené reklamy na základě všudypřítomného sledování s konečným cílem jejího zákazu a omezení ve vztahu ke kategoriím údajů, které lze zpracovávat pro účely zacílení, a kategoriím údajů, které lze sdělovat zadavatelům reklamy nebo třetím stranám za účelem umožnění nebo usnadnění cílené reklamy.

V souladu s požadavky na záměrnou a standardní ochranu osobních údajů by doporučovací systémy neměly být standardně založeny na profilování. Vzhledem k jejich významnému dopadu evropský inspektor ochrany údajů rovněž doporučuje dodatečná opatření s cílem dále podpořit transparentnost a kontrolu uživatelů ve vztahu k doporučovacím systémům.

V obecnější rovině evropský inspektor ochrany údajů doporučuje zavést minimální požadavky na interoperabilitu v případě velmi velkých on-line platforem a prosazovat vypracovávání technických norem na evropské úrovni v souladu s platnými právními předpisy Unie o evropské normalizaci.

S ohledem na zkušenosti a vývoj týkající se digitálního informačního střediska Digital Clearinghouse evropský inspektor ochrany údajů důrazně doporučuje stanovit výslovný a ucelený právní základ pro spolupráci a výměnu příslušných informací mezi orgány dohledu, z nichž každý jedná v rámci svých příslušných pravomocí. Akt o digitálních službách by měl zajistit institucionalizovanou a strukturovanou spolupráci mezi příslušnými orgány dohledu, včetně orgánů pro ochranu osobních údajů, orgánů pro ochranu spotřebitele a orgánů pro hospodářskou soutěž.

1. ÚVOD A ZÁKLADNÍ INFORMACE

1. Dne 15. prosince 2020 přijala Komise návrh nařízení Evropského parlamentu a Rady o jednotném trhu digitálních služeb (akt o digitálních službách) a o změně směrnice 2000/31/ES ( 1 )

2. Formování digitální budoucnosti Evropy , ve kterém Komise potvrdila svůj záměr vypracovat nová revidovaná pravidla k prohloubení vnitřního trhu digitálních služeb, zahrnující větší a jednotné povinnosti on-line platforem a poskytovatelů informačních služeb a přísnější dohled nad politikami, které v EU platformy uplatňují na obsah Návrh navazuje na sdělení nazvané, ve kterém Komise potvrdila svůj záměr vypracovat nová revidovaná pravidla k prohloubení vnitřního trhu digitálních služeb, zahrnující větší a jednotné povinnosti on-line platforem a poskytovatelů informačních služeb a přísnější dohled nad politikami, které v EU platformy uplatňují na obsah ( 2 )

3. Podle důvodové zprávy znamenaly nové a inovativní služby významně přispěly ke společenské a hospodářské transformaci v Unii i po celém světě. Využívání těchto služeb zároveň přináší nová rizika a problémy, a to pro společnost jako celek i pro jednotlivce, kteří tyto služby využívají ( 3 )

4. Cílem návrhu je zajistit co nejlepší podmínky pro poskytování inovativních digitálních služeb na vnitřním trhu, přispět k bezpečnosti na internetu a ochraně základních práv a vytvořit silnou a odolnou strukturu správy a řízení pro účinný dohled nad poskytovateli zprostředkovatelských služeb ( 4 ) . Za tímto účelem návrh: — obsahuje ustanovení o vyloučení odpovědnosti poskytovatelů zprostředkovatelských služeb (kapitola II), — stanoví „povinnosti náležité péče“ přizpůsobené druhu a povaze dotyčné zprostředkovatelské služby (kapitola III) a — obsahuje ustanovení o provádění a vymáhání navrhovaného nařízení (kapitola IV).

5. Ohledně návrhu aktu o digitálních službách byl dne 27. listopadu 2020 neformálně konzultován Evropský inspektor ochrany údajů. Evropský inspektor ochrany údajů vítá, že byl konzultován v takto rané fázi postupu.

6. Kromě návrhu aktu o digitálních službách přijala Komise také návrh nařízení Evropského parlamentu a Rady o spravedlivých trzích otevřených hospodářské soutěži v digitálním odvětví (akt o digitálních trzích) ( 5 ) . V souladu s čl. 42 odst. 1 nařízení 2018/1725 byl evropský inspektor ochrany údajů konzultován také ve věci návrhu aktu o digitálních trzích, který je předmětem samostatného stanoviska.

3. ZÁVĚRY

93. Vzhledem k výše uvedenému vydává evropský inspektor ochrany údajů tato doporučení:

Pokud jde o vztah k nařízení (EU) 2016/679 a směrnici 2002/58/ES:

— sladit znění čl. 1 odst. 5 písm. i) návrhu se stávajícím zněním čl. 1 odst. 5 písm. b) směrnice 2000/31/ES a

— objasnit, že se návrh nepoužije na problematiku odpovědnosti správců a zpracovatelů.

Pokud jde o moderování obsahu a oznamování podezření na trestné činy:

— objasnit, že nikoli u všech forem moderování obsahu je nutné přiřazení konkrétnímu subjektu údajů a že v souladu s požadavky na minimalizaci údajů a na záměrnou a standardní ochranu osobních údajů by moderování obsahu nemělo pokud možno zahrnovat žádné zpracování osobních údajů,

— zajistit, aby moderování obsahu probíhalo v souladu se zásadou právního státu, a to vymezením případů, kdy úsilí v boji proti „nezákonnému obsahu“ legitimizuje použití automatizovaných postupů a zpracování osobních údajů ke zjištění, identifikaci a řešení nezákonného obsahu,

— upřesnit, že profilování pro účely moderování obsahu by mělo být zakázáno, pokud poskytovatel neprokáže, že taková opatření jsou nezbytně nutná k řešení systémových rizik výslovně určených návrhem,

— objasnit, zda a případně do jaké míry jsou poskytovatelé zprostředkovatelských služeb oprávněni dobrovolně oznamovat podezření na trestné činy donucovacím nebo justičním orgánům, nad rámec případů podle článku 21 návrhu,

— upřesnit, že jakýkoli poskytovatel hostingových služeb využívající automatizované postupy moderování obsahu by měl zajistit, aby tyto postupy neměly za následek diskriminační nebo neoprávněné výsledky,

— rozšířit požadavek podle čl. 12 odst. 2 návrhu na všechny formy moderování obsahu, bez ohledu na to, zda k takovému moderování dochází v souladu s podmínkami poskytovatele nebo na jakémkoli jiném základě, a upřesnit, že tato opatření musí být „nezbytná“ a „přiměřená“ sledovaným cílům,

— posílit požadavky na transparentnost podle čl. 14 odst. 6 a čl. 15 odst. 2 písm. c) návrhu dalším upřesněním informací, které mají být poskytnuty dotčeným jednotlivcům, zejména v případech, kdy jsou pro toto moderování obsahu použity automatizované postupy, aniž jsou dotčeny informační povinnost a práva subjektů údajů podle nařízení (EU) 2016/679,

— změnit čl. 15 odst. 2 návrhu tak, aby jednoznačně stanovil, že informace o automatizovaných postupech používaných ke zjišťování a identifikaci nezákonného obsahu by měly být poskytnuty za všech okolností, bez ohledu na to, zda na následné rozhodnutí mělo vliv použití automatizovaných postupů či nikoli,

— požadovat od všech poskytovatelů hostingových služeb, nikoli jen od on-line platforem, aby zajistili snadno přístupný mechanismus vyřizování stížností podle článku 17 návrhu,

— vložit do článku 17 návrhu lhůtu, do které musí platforma o stížnosti rozhodnout, a údaj o tom, že zavedeným mechanismem vyřizování stížností nejsou dotčena práva a právní ochrana, které mají k dispozici subjekty údajů podle nařízení (EU) 2016/679 a směrnice 2002/58/ES,

— dále upřesnit na základě výčtu v příloze případné další trestné činy (jiné než dětská pornografie), které splňují prahovou hodnotu stanovenou v článku 21 návrhu a mohou mít za následek vznik oznamovací povinnosti,

— zvážit zavedení dodatečných opatření k zajištění transparentnosti a výkonu práv subjektu údajů, v případech, kdy je to nezbytně nutné, s úzce definovanými omezeními (např. v případech, kdy je to nezbytné pro ochranu důvěrnosti probíhajícího vyšetřování) v souladu s požadavky podle čl. 23 odst. 1 a 2 nařízení (EU) 2016/679 a

— jasně vymezit pojem „příslušné informace“ podle článku 21 návrhu uvedením taxativního výčtu kategorií údajů, které by měly být sděleny, a rovněž případných kategorií údajů, které by měly být případně uchovány pro účely dalšího vyšetřování prováděného příslušnými donucovacími orgány.

Pokud jde o reklamu na internetu:

— zvážit další pravidla překračující rámec požadavků na transparentnost, včetně postupného ukončování cílené reklamy na základě všudypřítomného sledování s konečným cílem jejího zákazu,

— zvážit omezení ve vztahu ke a) kategoriím údajů, které lze zpracovávat pro účely zacílení; b) kategoriím údajů nebo kritériím, na jejichž základě lze reklamy zacílit nebo zobrazovat a c) kategoriím údajů, které lze sdělovat zadavatelům reklamy nebo třetím stranám za účelem umožnění nebo usnadnění zacílené reklamy a

— dále objasnit odkaz na fyzickou nebo právnickou osobu, jejímž jménem je reklama zobrazována, v článcích 24 a 30 návrhu,

— doplnit do požadavků podle článku 24 novou položku, která podle které by byl poskytovatel platformy povinen informovat subjekty údajů o tom, zda byla reklama vybrána pomocí automatizovaného systému (např. systém pro výměnu reklamy nebo platforma), a v takovém případě i informace o totožnosti fyzické nebo právnické osoby (fyzických nebo právnických osob) odpovědné (odpovědných) za tento systém (tyto systémy),

— v čl. 30 odst. 2 písm. d) upřesnit, že by rejstřík měl obsahovat také informace o tom, zda byla z cílové skupiny pro reklamu vyloučena jedna nebo více konkrétních skupin příjemců služby,

— nahradit slova „hlavní parametry“ slovem „parametry“ a dále objasnit, jaké minimální parametry by bylo nutné sdělit, aby se jednalo o „smysluplné informace“ ve smyslu článků 24 a 30 návrhu a

— zvážit podobné požadavky, které platí pro zajištění sledovatelnosti obchodníků (článek 22 návrhu) ve vztahu k uživatelům služeb reklamy na internetových stránkách (články 24 a 30 návrhu).

Pokud jde o doporučovací systémy:

— objasnit, že v souladu s požadavky na záměrnou a standardní ochranu osobních údajů by doporučovací systémy neměly být standardně založeny na „profilování“ ve smyslu čl. 4 bodu 4 nařízení (EU) 2016/679,

— zajistit, aby byly informace týkající se úlohy a fungování doporučovacích systémů předkládány samostatně a způsobem snadno přístupným, srozumitelným laikům a stručným,

— zajistit, aby v souladu s požadavky na záměrnou a standardní ochranu osobních údajů nebyly doporučovací systémy standardně založeny na „profilování“ ve smyslu čl. 4 bodu 4 nařízení (EU) 2016/679 a

— zahrnout do článku 29 návrhu tyto dodatečné požadavky: — aby byla v hlavní části platformy uživatelsky přívětivým způsobem uvedena skutečnost, že platforma používá doporučovací systém a ovládací prvek s dostupnými možnostmi, — aby byly uživatelům platformy podány informace o tom, zda tento doporučovací systém představuje systém automatizovaného rozhodování, a pokud ano, informace o totožnosti fyzické nebo právnické osoby odpovědné za tato rozhodnutí. — umožnit subjektům údajů zobrazit uživatelsky přívětivým způsobem jakýkoli profil nebo profily, které se používají ke správě obsahu platformy pro příjemce služby, — aby měli příjemci služby možnost přizpůsobit si doporučovací systémy alespoň podle základních přirozených kritérií (např. čas, témata, o která mají zájem…) a — aby měli uživatelé možnost snadno odstranit jakýkoli profil nebo profily, které se používají ke správě obsahu, který vidí.

Pokud jde o přístup prověřených výzkumných pracovníků:

— zajistit, aby v souladu s požadavky na záměrnou a standardní ochranu osobních údajů nebyly doporučovací systémy standardně založeny na „profilování“ ve smyslu čl. 4 bodu 4 nařízení (EU) 2016/679,

— přeformulovat čl. 26 odst. 1 písm. c) návrhu tak, aby odkazoval na skutečné nebo předvídatelné systémové negativní dopady na ochranu veřejného zdraví, nezletilých osob a občanského diskurzu nebo skutečné nebo předvídatelné účinky související s volebními procesy a veřejnou bezpečností, zejména ve vztahu k riziku úmyslné manipulace s jejich službou, mimo jiné prostřednictvím neautentického používání nebo automatizovaného využívání služby,

— rozšířit článek 31 tak, aby alespoň umožňoval ověřování účinnosti a proporcionality zmírňujících opatření a

— zvážit způsob, jak na obecnější úrovni usnadnit výzkum ve veřejném zájmu, a to i nad rámec sledování souladu s návrhem.

Pokud jde o interoperabilitu platforem:

— zvážit zavedení minimálních požadavků na interoperabilitu v případě velmi velkých on-line platforem a prosazovat vypracovávání technických norem na evropské úrovni v souladu s platnými právními předpisy Unie o evropské normalizaci.

Pokud jde o provádění, spolupráci, sankce a vymáhání:

— zajistit doplňkovost při dohledu nad on-line platformami a jinými poskytovateli hostingových služeb, zejména prostřednictvím — stanovení výslovného právního základu pro spolupráci mezi příslušnými orgány, z nichž každý jedná v rámci svých příslušných pravomocí, — vyžadování institucionalizované a strukturované spolupráce mezi příslušnými orgány dohledu, včetně orgánů pro ochranu údajů a — zařazení výslovného odkazu na příslušné orgány, které se na spolupráci podílejí, a určení okolností, za kterých by ke spolupráci mělo docházet.

— v bodech odůvodnění návrhu uvést příslušné orgány v oblasti práva hospodářské soutěže a také Evropský sbor pro ochranu osobních údajů,

— zajistit, aby koordinátoři digitálních služeb, příslušné orgány a Komise měli rovněž pravomoc a povinnost konzultovat příslušné orgány, včetně orgánů pro ochranu osobních údajů, v rámci svých vyšetřování a posuzování souladu s návrhem,

— objasnit, že příslušné orgány dohledu podle návrhu by měly být schopny poskytnout na žádost příslušných dozorových úřadů podle nařízení (EU) 2016/679 nebo z vlastního podnětu veškeré informace získané v souvislosti s audity a šetřeními, které se týkají zpracování osobních údajů, a zařadit za tímto účelem do návrhu výslovný právní základ,

— zajistit větší míru souladu mezi kritérii obsaženými v čl. 41 odst. 5, čl. 42 odst. 2 a článku 59 návrhu a

— umožnit Evropskému sboru pro digitální služby vydávat stanoviska z vlastního podnětu a umožnit sboru vydávat stanoviska k jiným záležitostem, než jsou opatření přijatá Komisí.

V Bruselu dne 10. února 2021. Wojciech Rafał WIEWIÓROWSKI

(1) COM (2020) 825 final.

(2) COM(2020) 67 final, s. 12.

(3) COM (2020) 825 final, s. 1.

(4) COM (2020) 825 final, s. 2.

(5) COM(2020) 842 final.