SK Úradný vestník Európskej únie C 463/10

Zhrnutie stanoviska európskeho dozorného úradníka pre ochranu údajov o systémoch riadenia osobných údajov

(Úplné znenie tohto stanoviska sa nachádza v anglickom, vo francúzskom a v nemeckom jazyku na webovej lokalite európskeho dozorného úradníka pre ochranu údajov www.edps.europa.eu)

(2016/C 463/10)

V tomto stanovisku sa skúma koncepcia technológií a ekosystémov zameraných na posilnenie postavenia fyzických osôb s cieľom kontrolovať výmenu ich osobných údajov („systémy riadenia osobných údajov“ alebo skrátene „PIMS“).

Našou víziou je vytvoriť novú realitu, v ktorej fyzické osoby riadia a kontrolujú svoju identitu online. Naším cieľom je transformovať súčasný systém s ťažiskom na poskytovateľovi na systém s ťažiskom na ľuďoch, v rámci ktorého sú fyzické osoby chránené pred nezákonným spracovaním ich údajov a pred rušivými technikami sledovania a profilovania, ktorých cieľom je obchádzať kľúčové zásady ochrany údajov.

Túto novú realitu umožní modernizovaný regulačný rámec EÚ a možnosti, ktoré ponúkajú všetky relevantné orgány dohľadu a regulačné orgány prostredníctvom intenzívneho spoločného presadzovania.

Všeobecným nariadením o ochrane údajov, ktoré bolo nedávno prijaté, sa posilňuje a modernizuje regulačný rámec tak, aby zostal účinný v ére veľkých dát prostredníctvom posilnenia dôvery a istoty fyzických osôb online a na jednotnom digitálnom trhu. Nové pravidlá vrátane pravidiel týkajúcich sa zvýšenej transparentnosti a účinných práv na prístup k údajom a ich prenosnosť umožňujú používateľom väčšiu kontrolu nad svojimi údajmi a takisto môžu prispieť k rozvoju efektívnejších trhov s osobnými údajmi v prospech spotrebiteľov a podnikov.

Nedávno sme vydali stanovisko o účinnom presadzovaní základných práv vo veku veľkých dát. Poukazuje sa v ňom na súčasné trhové podmienky a obchodné praktiky, ktoré vytvárajú prekážky pre účinné uplatňovanie práv fyzických osôb na ochranu ich osobných údajov a ostatných základných práv, a vyzýva sa v ňom na posilnenie koordinovaného a konzistentného presadzovania právnych predpisov týkajúcich sa hospodárskej súťaže, ochrany spotrebiteľa a ochrany údajov. Dúfame, že toto zvýšené presadzovanie bude slúžiť na vytvorenie takých trhových podmienok, v ktorých budú prekvitať služby zohľadňujúce súkromie. Prístup v tomto stanovisku je zameraný na posilnenie základných práv v našom digitálnom svete a zároveň na otvorenie nových príležitostí pre podniky v záujme rozvoja inovačných služieb založených na osobných údajoch, ktoré sú postavené na vzájomnej dôvere. PIMS sú prísľubom, že budú ponúkať nielen novú technickú štruktúru a organizáciu pre riadenie údajov, ale aj rámce dôvery, a v dôsledku toho alternatívne obchodné modely pre zber a spracovanie osobných údajov v ére veľkých dát spôsobom, ktorý bude väčšmi rešpektovať európske právo o ochrane údajov.

V tomto stanovisku stručne opisujeme, čo sú PIMS, aké problémy majú riešiť a akým spôsobom. Následne analyzujeme, ako môžu prispieť k lepšej ochrane osobných údajov a akým problémom čelia. Nakoniec uvádzame možnosti, ako stavať na príležitostiach, ktoré ponúkajú. V záujme prekvitania nových obchodných modelov ochrany údajov môžu byť potrebné ďalšie stimuly pre poskytovateľov služieb, ktorí ich ponúkajú. Malo by sa preskúmať najmä to, ktoré politické iniciatívy by mohli motivovať prevádzkovateľov, aby akceptovali tento spôsob poskytovania údajov. Okrem toho, iniciatíva zo strany verejných služieb akceptovať PIMS ako zdroj údajov namiesto priameho zberu údajov by mohla kritickou mierou prispieť k akceptovaniu PIMS.

Vznikajúci priestor PIMS, ktorého cieľom je zabezpečiť pre fyzické osoby a spotrebiteľov opätovnú kontrolu nad svojimi osobnými údajmi, si zaslúži pozornosť, podporu a ďalší výskum s cieľom prispieť k udržateľnému a etickému využívaniu veľkých dát a k účinnému uplatňovaniu zásad nedávno prijatého všeobecného nariadenia o ochrane údajov.

I. PIMS: SPOLOČNÉ VYUŽÍVANIE ÚDAJOV A PRÍNOSOV?

1. Súčasné podmienky pre spracovanie osobných údajov sú často nespravodlivé voči fyzickým osobám, ktorých údaje sa spracúvajú. Zákonné podmienky a technické nástroje sťažujú fyzickým osobám uplatňovanie svojich práv a umožňujú prevádzkovateľom obmedziť svoju zodpovednosť. Sprostredkovatelia údajov, reklamné siete, prevádzkovatelia sociálnych sietí a ostatné korporátne subjekty majú ešte komplexnejšie súbory o fyzických osobách, ktoré sa podieľajú na súčasnej digitálnej spoločnosti, pričom fyzické osoby strácajú kontrolu nad digitálnymi stopami, ktoré zanechávajú. Fyzické osoby, na ktoré sa subjekty často nad rámec ich kontroly či dokonca bez ich vedomia zameriavajú, profilujú ich a hodnotia, sa môžu cítiť bezmocné a musí im byť umožnené prevziať kontrolu nad svojou identitou. Aj v prípade, že fyzickým osobám bola formálne poskytnutá istá forma „oznámenia“ a možnosť udelenia „súhlasu“ so všeobecnými obchodnými podmienkami, často sa ocitajú v rámci systému, ktorý bol navrhnutý tak, aby maximalizoval speňaženie osobných údajov, čo fyzickým osobám neponecháva žiadnu skutočnú voľbu ani kontrolu.

2. V oznámení Európskej komisie o veľkých dátach (1) je stanovený plán opatrení, ktoré sú spoločne zamerané na ochranu osobných údajov a spotrebiteľov. Konkrétne sa v ňom podporuje využívanie „priestorov osobných údajov“ ako bezpečných a spoľahlivých miest s ťažiskom na používateľoch na ukladanie osobných údajov, a prípadne umožnenie prístupu k týmto údajom ostatným. Súhlasíme s názorom, že by sa mali podporovať inovačné digitálne nástroje a obchodné modely založené na posilnení postavenia fyzických osôb. Môžu fyzickým osobám umožniť, aby využívali výhody takéhoto spoločného využívania údajov, akou je účasť na využívaní a šírení ich osobných údajov.

3. V našom stanovisku s názvom Čeliť výzvam tzv. veľkých dát (2) sme tvrdili, že by sme mali doplniť zákonnú povinnosť udelenia účinného súhlasu o skutočnú a praktickú kontrolu nad osobnými údajmi. Tvrdili sme, že „namiesto administratívnej záťaže sa poskytnutie práv na prístup môže stať charakteristickým znakom služby poskytovanej zákazníkom“, a že organizácie založené na využívaní veľkých dát by mali „byť pripravené podeliť sa o bohatstvo, ktoré vzniklo spracovaním osobných údajov, s osobami, ktorých údaje spracúvajú“. V tomto kontexte sme poznamenali, že „úložiská osobných údajov by mohli pomôcť vyriešiť niektoré obavy týkajúce sa straty individuálnej kontroly nad osobnými údajmi“. Nedávno prijaté všeobecné nariadenie o ochrane údajov (3) posilnilo zákonné požiadavky pre udelenie súhlasu (4) a zaviedli sa ním účinné, moderné zásady špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov (5), ako aj nové právo na prenosnosť údajov (6). Aby nový rámec na ochranu údajov splnil svoj sľub, potrebujeme praktické nástroje, ktoré fyzickým osobám umožnia uplatňovať svoje práva pohodlným, používateľsky priaznivým spôsobom.

4. V tomto stanovisku sa skúmajú nové technológie a ekosystémy, ktoré sú zamerané na posilnenie postavenia fyzických osôb s cieľom kontrolovať zber a výmenu ich osobných údajov. Na túto koncepciu budeme odkazovať ako na „systém riadenia osobných údajov“ („PIMS“) (7). Koncepcia PIMS ponúka nový prístup, podľa ktorého sú fyzické osoby držiteľmi svojich vlastných osobných údajov. Môže spôsobiť zmenu paradigmy v oblasti riadenia a spracovania osobných údajov so sociálnymi a ekonomickými dôsledkami. Naproti tomu je súčasné prostredie služieb online charakterizované malým počtom poskytovateľov služieb, ktorí dominujú na trhu tým, že speňažujú osobné údaje používateľov výmenou za „bezplatné“ služby. Často je to sprevádzané nerovnováhou moci, keď je zákazník ponechaný na prístup „ber alebo nechaj tak“, a nerovnomernosťou informácií medzi poskytovateľmi služieb a používateľmi s malou alebo žiadnou transparentnosťou pre fyzické osoby, pokiaľ ide o to, čo sa deje s ich osobnými údajmi.

5. Základnou myšlienkou koncepcie PIMS je transformovať súčasný systém s ťažiskom na poskytovateľovi na systém s ťažiskom na fyzických osobách, ktoré sú schopné spravovať a kontrolovať svoju online identitu (8). Ľudia by v zásade mali byť schopní rozhodnúť sa, či a s kým si budú vymieňať svoje osobné údaje, na aké účely, na ako dlho, sledovať ich a rozhodnúť sa, že ich vezmú späť, ak si to budú želať. Stojí za to preskúmať, ako by PIMS mohli pomôcť odstrániť niektoré obavy zo straty kontroly fyzickej osoby nad svojimi osobnými údajmi, čo bolo zdôraznené ako jedna z hlavných obáv týkajúcich sa veľkých dát (9).

6. Tento prístup je zameraný na posilnenie základných práv v našom digitálnom svete a zároveň na otvorenie nových príležitostí pre podniky v záujme rozvoja inovačných služieb založených na osobných údajoch, ktoré sú postavené na vzájomnej dôvere. PIMS sú prísľubom, že budú ponúkať novú technickú štruktúru a organizáciu pre riadenie údajov, ktoré budujú rámce dôvery. Dúfajú, že umožnia alternatívne obchodné modely pre zber a spracovanie osobných údajov v ére veľkých dát spôsobom, ktorý bude väčšmi rešpektovať európske právo o ochrane údajov.

7. V tomto stanovisku stručne opisujeme, čo sú PIMS, aké problémy majú riešiť a akým spôsobom (10). Analyzujeme, ako môžu prispieť k lepšej ochrane osobných údajov a akým problémom čelia. Nakoniec uvádzame možnosti, ako stavať na príležitostiach, ktoré ponúkajú.

IV. ZÁVERY A ĎALŠIE KROKY

4.1. Smerom k úplnému uplatňovaniu všeobecného nariadenia o ochrane údajov – príležitosti

54. Ako už bolo uvedené, zákonodarný orgán EÚ nedávno prijal balík reforiem ochrany údajov, ktorým sa posilňuje a modernizuje regulačný rámec tak, aby zostal účinný v ére veľkých dát.

55. Nové všeobecné nariadenie o ochrane údajov vrátane pravidiel týkajúcich sa zvýšenej transparentnosti a účinných práv na prístup a na prenosnosť údajov by malo fyzickým osobám pomôcť získať väčšiu kontrolu nad svojimi údajmi a takisto môže prispieť k rozvoju efektívnejších trhov s osobnými údajmi v prospech spotrebiteľov, ako aj podnikov.

56. Kódexy spávania a certifikačné schémy uvedené vo všeobecnom nariadení o ochrane údajov sú privilegované nástroje, ktoré osobitne zviditeľňujú technológie a produkty, ktoré podobne ako PIMS môžu slúžiť na účinnejšie vykonávanie právnych predpisov o ochrane údajov na praktickej úrovni, a prisudzujú im dôležitú úlohu.

57. PIMS čelia rozsiahlemu problému, ktorým je preniknutie na trh, na ktorom prevládajú online služby založené na obchodných modeloch a technických štruktúrach, v ktorých fyzické osoby nemajú kontrolu nad svojimi údajmi, ako je vysvetlené v oddiele 3.9. Prechod k situácii, v ktorej majú fyzické osoby účinnú možnosť poskytnúť poskytovateľovi služby prístup k niektorým údajom vo svojich PIMS namiesto toho, aby tieto údaje poskytli priamo poskytovateľovi služieb, si bude vyžadovať ďalšie stimuly pre poskytovateľov služieb. Komisia môže využívať iniciatívy, ktoré oznámila o tokoch údajov a vlastníctve údajov (11) na to, aby preskúmala, ktoré ďalšie politické iniciatívy by mohli motivovať prevádzkovateľov, aby akceptovali tento spôsob poskytovania údajov. Okrem toho, iniciatíva zo strany služieb elektronickej verejnej správy akceptovať PIMS ako zdroj údajov namiesto priameho zberu údajov by mohla kritickou mierou prispieť k akceptovaniu PIMS.

58. Táto analýza by mohla byť doplnená o opatrenia zamerané na stanovenie technických, spoločenských a ekonomických základov vrátane úsilia o štandardizáciu, hospodárske stimuly a podporu výskumných a pilotných projektov.

59. Orgány verejnej správy Európskej únie a členských štátov a projekty, ktoré spolufinancujú, sú prvé miesta, na ktorých by táto zmena perspektívy mala byť testovaná, podporovaná a dúfajme, že aj realizovaná.

4.2. Podpora PIMS a súvisiacej technológie v záujme účinnej ochrany údajov

60. Aj keď je dobrá právna regulácia kľúčová, ona samotná nestačí. Ako sme uviedli v našom stanovisku s názvom Čeliť výzvam tzv. veľkých dát (12), spoločnosti a iné organizácie, ktoré venujú veľké úsilie hľadaniu inovatívnych spôsobov využívania osobných údajov, by mali používať rovnako inovatívne zmýšľanie pri uplatňovaní zásad ochrany údajov.

61. Prínos technológie v modeli PIMS je zásadný. PIMS môžu slúžiť na testovanie prístupov špecificky navrhnutej ochrany údajov a technológií, ktoré ich podporujú. Medzi relevantné výskumné témy, v ktorých je potrebná adekvátna podpora a investície, patria: interoperabilné spravovanie totožnosti s ochranou súkromia, mechanizmy povoľovania, interoperabilita údajov, bezpečnosť údajov a mechanizmy pre automatické presadzovanie „zmlúv“ uzatvorených medzi fyzickými osobami a ostatnými stranami. To všetko podporuje kryptografia a šifrovanie a posilňuje lacná dostupnosť výpočtovej kapacity. Rozhodujúca podpora základného a aplikovaného výskumu v týchto technologických oblastiach zo strany tvorcov politík, ako je Komisia, je v tejto počiatočnej fáze potrebná, aby nedošlo k strate súčasných možností.

62. S cieľom podporiť výskum a vývoj a jeho zavádzanie na trh v oblasti PIMS odporúčame, aby Komisia naplánovala možné synergie s ostatnými oblasťami stratégie jednotného digitálneho trhu, ako sú cloud computing a internet vecí. Týmto spôsobom by sa mohli realizovať pilotné projekty s cieľom navrhnúť a otestovať interakciu cloudových služieb a internetu vecí s PIMS.

4.3. Ako bude EDPS napredovať v tejto debate

63. Cieľom EDPS je prispieť k podpore súkromného a verejného úsilia v uvedenej oblasti smerovania. Budeme pokračovať v umožňovaní diskusií, a to napríklad aj prostredníctvom organizácie podujatí/seminárov, s cieľom identifikovať, podnietiť a propagovať najlepšiu prax na zvýšenie transparentnosti a kontroly užívateľov a využiť príležitosti, ktoré ponúkajú PIMS. Takisto budeme pokračovať v uľahčovaní práce Siete pre spravovanie súkromia na internete (IPEN) ako medzidisciplinárneho znalostného centra pre inžinierov a expertov na súkromie. V tejto súvislosti budeme naďalej poskytovať platformu pre vývojových pracovníkov a propagátorov PIMS, aby bolo možné ťažiť z výmen s odborníkmi na ostatné technológie a ochranu údajov.

V Marakéši 20. októbra 2016 Giovanni BUTTARELLI európsky dozorný úradník pre ochranu údajov

(1) Oznámenie COM(2014)442 o prosperujúcom hospodárstve založenom na údajoch: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) Stanovisko EDPS 7/2015: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Konkrétne pozri oddiel 3.

(3) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

(4) Pozri, okrem iného, článok 6 ods. 1 písm. a), článok 7 a článok 8 a odôvodnenia 42 – 43 všeobecného nariadenia o ochrane údajov.

(5) článok 25 všeobecného nariadenia o ochrane údajov.

(6) článok 20 všeobecného nariadenia o ochrane údajov.

(7) K súvisiacim pojmom patria „úložiská osobných údajov“, „priestory osobných údajov“ alebo „dátové trezory“. V tomto stanovisku budeme používať termín „PIMS“, keďže sa zdá, že najlepšie opisuje tento pojem všeobecným a ľahko zrozumiteľným spôsobom. Skratka „PIMS“ používaná v tomto stanovisku môže odkazovať buď na jednotné, alebo množné číslo: systém riadenia osobných údajov alebo systémy riadenia osobných údajov.

(8) Pozri odôvodnenie 7 všeobecného nariadenia o ochrane údajov: „Fyzické osoby by mali mať kontrolu nad svojimi vlastnými osobnými údajmi.“ Pozri tiež napríklad Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Pozri napr. Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, zv. 3, č. 2.

(10) Pozri napríklad správu o úložiskách osobných údajov, ktorú pre Európsku komisiu vypracovala Univerzita v Cambridge: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Oznámenie: Digitalizácia európskeho priemyslu – Využiť výhody jednotného digitálneho trhu v plnej miere http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Stanovisko EDPS 7/2015, už citované.