Povzetek mnenja evropskega nadzornika za varstvo podatkov o predlogu akta o digitalnih storitvah

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču ENVP www.edps.europa.eu)

(2021/C 149/03)

Komisija je 15. decembra 2020 sprejela predlog uredbe Evropskega parlamenta in Sveta o enotnem trgu digitalnih storitev (akt o digitalnih storitvah) in spremembi Direktive 2000/31/ES (v nadaljnjem besedilu: akt o digitalnih storitvah).

ENVP podpira prizadevanje Komisije za spodbujanje preglednega in varnega spletnega okolja z opredelitvijo odgovornosti ponudnikov posredniških storitev, zlasti spletnih platform, kot so družbeni mediji in spletne tržnice.

ENVP odobrava dejstvo, da je namen predloga dopolniti, ne pa nadomestiti obstoječe varstvo iz Uredbe (EU) 2016/679 in Direktive 2002/58/ES.Predlog bo na podlagi navedenega vsekakor vplival na obdelavo osebnih podatkov. Po mnenju ENVP je nujno zagotoviti dopolnjevanje pri nadzorovanju in nadzoru spletnih platform in drugih ponudnikov storitev gostovanja.

Določene dejavnosti v okviru spletnih platform pomenijo vse večje tveganje ne le za pravice posameznikov, temveč za celotno družbo. Čeprav so v predlog vključeni ukrepi za zmanjšanje tveganja, so upravičena dodatna jamstva, zlasti glede moderiranja vsebine, spletnega oglaševanja in priporočilnih sistemov.

Moderiranje vsebine bi se moralo izvajati v skladu s pravno državo. V aktu o digitalnih storitvah bi bilo treba glede na že tako endemično spremljanje vedenja posameznikov, zlasti v okviru spletnih platform, opredeliti, kdaj prizadevanja za boj proti „nezakoniti vsebini“ upravičujejo uporabo avtomatiziranih sredstev za zaznavanje, identifikacijo in obravnavanje nezakonite vsebine. Prepovedati bi bilo treba oblikovanje profilov z namenom moderiranja vsebine, razen če lahko ponudnik dokaže, da so taki ukrepi nujno potrebni za obravnavanje sistemskih tveganj, izrecno opredeljenih v aktu o digitalnih storitvah.

ENVP ob upoštevanju številnih tveganj, povezanih s ciljnim spletnim oglaševanjem, sozakonodajalca poziva, naj razmislita o dodatnih pravilih, ki presegajo preglednost. Tovrstni ukrepi bi morali vključevati postopno opuščanje, ki vodi do prepovedi ciljnega oglaševanja na podlagi vsesplošne razširjenosti sledenja, ter omejitve, povezane s kategorijami podatkov, ki se lahko obdelujejo za ciljne namene, in kategorijami podatkov, ki se lahko razkrijejo oglaševalcem ali tretjim osebam zaradi omogočanja ali olajševanja ciljnega oglaševanja.

Priporočilni sistemi v skladu z zahtevami vgrajenega in privzetega varstva podatkov ne bi smeli privzeto temeljiti na oblikovanju profilov. ENVP glede na velik pomen priporočilnih sistemov tudi priporoča dodatne ukrepe za nadaljnje spodbujanje preglednosti in nadzor uporabnikov v zvezi s temi sistemi.

ENVP na splošno priporoča, da se uvedejo minimalne zahteve glede interoperabilnosti za zelo velike spletne platforme, in spodbuja razvoj tehničnih standardov na evropski ravni v skladu z veljavno zakonodajo Unije o evropski standardizaciji.

Ob upoštevanju izkušenj in razvoja v zvezi z digitalnimi klirinškimi hišami priporoča tudi, da se opredeli izrecna in celovita pravna podlaga za sodelovanje in izmenjavo ustreznih informacij med nadzornimi organi, od katerih vsak deluje v okviru svojih pristojnosti. Akt o digitalnih storitvah bi moral zagotoviti institucionalizirano in strukturirano sodelovanje med pristojnimi nadzornimi organi, vključno z organi za varstvo podatkov, organi za varstvo potrošnikov in organi, pristojnimi za konkurenco.

1. UVOD IN OZADJE

1. Komisija je 15. decembra 2020 sprejela predlog uredbe Evropskega parlamenta in Sveta o enotnem trgu digitalnih storitev (akt o digitalnih storitvah) in spremembi Direktive 2000/31/ES ( 1 )

2. o oblikovanju digitalne prihodnosti Evrope , v katerem je Komisija potrdila namero glede razvoja novih in revidiranih pravil za poglobitev notranjega trga za digitalne storitve s povečanjem in uskladitvijo odgovornosti spletnih platform in ponudnikov informacijskih storitev ter okrepitvijo nadzora nad politikami glede vsebine platform v EU Predlog je sledil sporočilu, v katerem je Komisija potrdila namero glede razvoja novih in revidiranih pravil za poglobitev notranjega trga za digitalne storitve s povečanjem in uskladitvijo odgovornosti spletnih platform in ponudnikov informacijskih storitev ter okrepitvijo nadzora nad politikami glede vsebine platform v EU ( 2 )

3. V obrazložitvenem memorandumu je navedeno, da so nove in inovativne digitalne storitve pomembno prispevale k družbenim in gospodarskim preobrazbam v Uniji in po svetu. Hkrati pa je uporaba navedenih storitev postala tudi vir novih tveganj in izzivov, in sicer za družbo kot celoto ter za posameznike, ki take storitve uporabljajo ( 3 )

4. Namen predloga je zagotoviti najboljše pogoje za zagotavljanje inovativnih digitalnih storitev na notranjem trgu, prispevati k spletni varnosti in zaščiti temeljnih pravic ter vzpostaviti trdno in trajno strukturo upravljanja za učinkovit nadzor nad ponudniki posredniških storitev ( 4 ) . Predlog zato: — vsebuje določbe o izjemi od odgovornosti ponudnikov posredniških storitev (poglavje II); — določa „obveznosti glede zagotavljanja potrebne skrbnosti“, ki so prilagojene vrsti in naravi zadevne posredniške storitve (poglavje III), ter — vsebuje določbe o izvajanju in izvrševanju predloga uredbe (poglavje IV).

5. Neuradno posvetovanje o osnutku predloga akta o digitalnih storitvah z ENVP je bilo opravljeno 27. novembra 2020. ENVP izraža odobravanje, da je bilo posvetovanje z njim opravljeno na tej zgodnji stopnji postopka.

6. Komisija je poleg predloga akta o digitalnih storitvah sprejela tudi predlog uredbe Evropskega parlamenta in Sveta o tekmovalnih in pravičnih trgih v digitalnem sektorju (akt o digitalnih trgih) ( 5 ) . Posvetovanje z ENVP je bilo v skladu s členom 42(1) Uredbe (EU) 2018/1725 opravljeno tudi v zvezi s predlogom akta o digitalnih trgih, kar pa je predmet ločenega mnenja.

3. SKLEPNE UGOTOVITVE

93. Glede na navedeno ENVP podaja naslednja priporočila:

v zvezi z razmerjem do Uredbe (EU) 2016/679 in Direktive 2002/58/ES:

— besedilo člena 1(5)i predloga je treba uskladiti s sedanjim besedilom člena 1(5)(b) Direktive 2000/31/ES ter

— pojasniti je treba, da se predlog ne uporablja za vprašanja v zvezi z odgovornostjo upravljavcev in obdelovalcev podatkov;

v zvezi z moderiranjem vsebin in uradnim obveščanjem o sumih kaznivih dejanj:

— pojasniti je treba, da pri vseh oblikah moderiranja vsebine ni potrebna povezava s posebnim posameznikom, na katerega se nanašajo osebni podatki, ter da moderiranje vsebine v skladu z zahtevami po zmanjšanju količine podatkov in vgrajenem in privzetem varstvu podatkov po možnosti ne bi smelo vključevati obdelave osebnih podatkov;

— zagotoviti je treba, da se moderiranje vsebine izvaja v skladu s pravno državo, tako da se opredeli, kdaj prizadevanja za boj proti „nezakoniti vsebini“ upravičujejo uporabo avtomatiziranih sredstev in obdelavo osebnih podatkov za zaznavanje, identifikacijo in obravnavanje take vsebine;

— določiti je treba, da bi moralo biti oblikovanje profilov z namenom moderiranja vsebine prepovedano, razen če lahko ponudnik dokaže, da so taki ukrepi nujno potrebni za obravnavanje sistemskih tveganj, opredeljenih v predlogu;

— pojasniti je treba, ali in, če je temu tako, v kolikšnem obsegu so ponudniki posredniških storitev pooblaščeni, da organe kazenskega pregona ali pravosodne organe prostovoljno uradno obveščajo o sumih kaznivih dejanj zunaj primera iz člena 21 predloga;

— določiti je treba, da bi moral vsak ponudnik storitev gostovanja, ki za moderiranje vsebine uporablja avtomatizirana sredstva, zagotoviti, da taka sredstva ne ustvarjajo diskriminatornih ali neutemeljenih rezultatov;

— zahtevo iz člena 12(2) predloga je treba razširiti na vse oblike moderiranja vsebine, ne glede na to, ali se tako moderiranje izvaja v skladu s pogoji poslovanja ponudnika ali na drugi podlagi, ter opredeliti, da morajo biti ukrepi ne le „sorazmerni“, temveč tudi „nujni“ za zastavljene cilje;

— zahteve glede preglednosti iz člena 14(6) in člena 15(2)(c) predloga je treba poostriti z nadaljnjo podrobno opredelitvijo informacij, ki se morajo zagotoviti zadevnim posameznikom, zlasti v primeru avtomatiziranih sredstev za navedeno moderiranje vsebine, brez poseganja v dolžnost obveščanja in pravice posameznika, na katerega se nanašajo osebni podatki, v skladu z Uredbo (EU) 2016/679;

— člen 15(2) predloga je treba spremeniti tako, da bo jasno navajal, da je treba vsekakor zagotoviti informacije o avtomatiziranih sredstvih za zaznavanje in identifikacijo nezakonite vsebine, ne glede na to, ali je v naknadno odločitev vključena uporaba takih sredstev ali ne;

— od vseh ponudnikov storitev gostovanja, ne le spletnih platform je treba zahtevati, da zagotovijo preprosto dostopen mehanizem za vložitev pritožbe, kot je določeno v členu 17 predloga;

— v člen 17 predloga je treba vključiti rok za odločitev platforme o pritožbi ter navedbo, da mehanizem za vložitev pritožbe, ki bo vzpostavljen, ne posega v pravice in pravna sredstva, ki jih imajo na voljo posamezniki, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2016/679 in Direktivo 2002/58/ES;

— z navedbo v Prilogi je treba nadalje opredeliti vsa druga kazniva dejanja (poleg spolne zlorabe otrok), ki izpolnjujejo prag iz člena 21 predloga in za katera bi lahko veljala obveznost uradnega obveščanja;

— razmisliti je treba o uvedbi dodatnih ukrepov za zagotavljanje preglednosti in uveljavljanje pravic posameznika, na katerega se nanašajo osebni podatki, pri čemer se, kadar je nujno potrebno, upoštevajo ozko opredeljene omejitve (npr. po potrebi zaradi varovanja zaupnosti preiskave, ki poteka) v skladu z zahtevami iz člena 23(1) in (2) Uredbe (EU) 2016/679, ter

— jasno je treba opredeliti pojem „ustrezne informacije“ iz člena 21 predloga z izčrpnim seznamom kategorij podatkov, ki jih je treba sporočiti, in vseh kategorij podatkov, ki jih je treba ohraniti, da bi se po potrebi podprle nadaljnje preiskave, ki jih izvajajo ustrezni organi kazenskega pregona;

v zvezi s spletnim oglaševanjem:

— razmisliti je treba o dodatnih pravilih, ki presegajo preglednost, vključno s postopnim opuščanjem, ki vodi do prepovedi ciljnega oglaševanja na podlagi vsesplošne razširjenosti sledenja;

— proučiti je treba omejitve glede (a) kategorij podatkov, ki se lahko obdelujejo za ciljne namene, (b) kategorij podatkov ali meril, na podlagi katerih se lahko oglasi ciljno usmerjajo ali ponujajo, in (c) kategorij podatkov, ki se lahko razkrijejo oglaševalcem ali tretjim osebam zaradi omogočanja ali olajševanja ciljnega oglaševanja;

— v členih 24 in 30 predloga je treba nadalje pojasniti sklicevanje na fizično ali pravno osebo, v imenu katere je oglas prikazan;

— k zahtevam iz člena 24 je treba dodati novo točko z zahtevo, da morajo ponudniki platform posameznike, na katere se nanašajo osebni podatki, obvestiti, ali je bil oglas izbran z avtomatiziranim sistemom (npr. izmenjavo oglasov ali platformo) in v tem primeru navesti identiteto pravne ali fizične osebe, odgovorne za sistem;

— v člen 30(2)(d) je treba vključiti opredelitev, da mora register vključevati tudi informacije o tem, ali je bila ena ali več posebnih skupin prejemnikov storitve izključenih iz ciljne skupine oglasa;

— sklicevanje na „glavne parametre“ je treba nadomestiti s „parametri“ in dodatno pojasniti, najmanj kateri parametri bi se morali razkriti, da bi pomenili „smiselne informacije“ v smislu členov 24 in 30 predloga, ter

— proučiti je treba podobne zahteve, ki se uporabljajo za zagotovitev sledljivosti trgovcev (člen 22 predloga) v zvezi z uporabniki storitev spletnega oglaševanja (člena 24 in 30 predloga);

v zvezi s priporočilnimi sistemi:

— pojasniti je treba, da priporočilni sistemi v skladu z zahtevami vgrajenega in privzetega varstva podatkov ne bi smeli privzeto temeljiti na „oblikovanju profilov“ v smislu člena 4(4) Uredbe (EU) 2016/679;

— določiti je treba, da se morajo informacije o vlogi in delovanju priporočilnih sistemov predstaviti ločeno, tj. na preprosto dostopen, za nestrokovnjake jasen in jedrnat način;

— določiti je treba, da priporočilni sistemi v skladu z zahtevami vgrajenega in privzetega varstva podatkov ne bi smeli privzeto temeljiti na „oblikovanju profilov“ v smislu člena 4(4) Uredbe (EU) 2016/679, ter

— v člen 29 predloga je treba vključiti dodatne zahteve: — na vidnem mestu platforme je treba z razpoložljivimi možnostmi na uporabniku prijazen način navesti dejstvo, da platforma uporablja priporočilni sistem in nadzor; — uporabnika platforme je treba obvestiti, ali je priporočilni sistem avtomatiziran sistem sprejemanja odločitev, in v tem primeru navesti identiteto fizične ali pravne osebe, odgovorne za odločitev; — posameznikom, na katere se nanašajo osebni podatki, je treba omogočiti, da si na uporabniku prijazen način ogledajo povezani profil ali profile, uporabljene za ustvarjanje vsebine platforme za prejemnika storitve; — prejemnikom storitve je treba omogočiti, da prilagodijo priporočilne sisteme vsaj na podlagi osnovnih naravnih meril (npr. časa, interesne teme itd.), ter — uporabnikom je treba zagotoviti lahko dostopno možnost za izbris profila ali profilov, uporabljenih za ustvarjanje vsebine, ki jo vidijo;

v zvezi z dostopom preverjenih raziskovalcev:

— določiti je treba, da priporočilni sistemi v skladu z zahtevami vgrajenega in privzetega varstva podatkov ne bi smeli privzeto temeljiti na „oblikovanju profilov“ v smislu člena 4(4) Uredbe (EU) 2016/679;

— v členu 26(1)(c) predloga je treba spremeniti odstavek, da bo vseboval sklicevanje na dejanski ali predvidljiv negativen sistemski učinek na varovanje javnega zdravja, mladoletnih otrok, družbenega diskurza ali dejanske ali predvidljive učinke v zvezi z volilnimi procesi in javno varnostjo, zlasti v zvezi s tveganjem namerne manipulacije njihovih storitev, med drugim z neavtentično uporabo ali avtomatiziranim izkoriščanjem storitve;

— člen 31 je treba razširiti, da bo omogočal vsaj preverjanje učinkovitosti in sorazmernosti ukrepov za zmanjšanje tveganja, ter

— proučiti je treba način, ki bo splošneje omogočal raziskave v javnem interesu, tudi zunaj okvira spremljanja skladnosti s predlogom;

v zvezi z interoperabilnostjo platforme:

— proučiti je treba uvedbo minimalnih zahtev glede interoperabilnosti za zelo velike spletne platforme in spodbujati razvoj tehničnih standardov na evropski ravni v skladu z veljavno zakonodajo Unije o evropski standardizaciji;

v zvezi z izvajanjem, sodelovanjem, sankcijami in izvrševanjem:

— zagotoviti je treba dopolnjevanje pri nadzoru nadzorovanja spletnih platform in drugih ponudnikov storitev gostovanja, zlasti z — zagotavljanjem izrecne pravne podlage za sodelovanje med ustreznimi organi, od katerih vsak deluje v okviru svojih pristojnosti, — zahtevanjem institucionaliziranega in strukturiranega sodelovanja med pristojnimi nadzornimi organi, vključno z organi za varstvo podatkov, ter — izrecnim sklicevanjem na pristojne organe, vključene v sodelovanje, in opredelitvijo okoliščin za sodelovanje;

— sklicevanjem na pristojne organe na področju konkurenčnega prava in Evropski odbor za varstvo podatkov v uvodnih izjavah predloga;

— zagotoviti je treba, da bodo imeli koordinatorji digitalnih storitev, pristojni organi in Komisija tudi pooblastila in dolžnost, da se v okviru svojih preiskav in ocen skladnosti s predlogom posvetujejo s pristojnimi organi, vključno z organi za varstvo podatkov;

— pojasniti je treba, da bi morali biti pristojni nadzorni organi iz predloga na zahtevo pristojnih nadzornih organov iz Uredbe (EU) 2016/679 ali na lastno pobudo zmožni zagotoviti vse informacije v okviru revizij in preiskav, ki se nanašajo na obdelavo osebnih podatkov, ter v zvezi s tem vključiti izrecno pravno podlago;

— zagotoviti je treba večjo skladnost med merili iz členov 41(5) in 42(2) in člena 59 predloga ter

— Evropskemu odboru za varstvo podatkov je treba omogočiti izdajanje mnenj na lastno pobudo in mnenj o zadevah, ki niso ukrepi, ki jih sprejme Komisija.

Bruselj, 10. februar 2021. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 825 final.

(2) COM(2020) 67 final, str. 12.

(3) COM(2020) 825 final, str. 1.

(4) COM(2020) 825 final, str. 2.

(5) COM(2020) 842 final.