SL Uradni list Evropske unije C 463/10

Povzetek mnenja Evropskega nadzornika za varstvo podatkov o sistemih upravljanja osebnih podatkov

(Celotno besedilo tega mnenja je na voljo v angleščini, francoščini in nemščini na spletišču Evropskega nadzornika za varstvo podatkov (ENVP) www.edps.europa.eu)

(2016/C 463/10)

V tem mnenju se proučuje pojem tehnologij in ekosistemov, katerih namen je okrepiti moč posameznikov za nadzor nad izmenjavo njihovih osebnih podatkov (v nadaljnjem besedilu: sistemov upravljanja osebnih podatkov).

Naša želja je, da bi ustvarili nove razmere, v katerih posamezniki upravljajo in nadzorujejo svojo spletno identiteto. Naš cilj je preoblikovati sedanji sistem, naravnan na ponudnike storitev, v sistem, ki je naravnan na ljudi in v katerem so posamezniki zaščiteni pred nezakonito obdelavo njihovih podatkov ter vsiljivimi tehnikami sledenja in oblikovanja profilov, s katerimi je mogoče zaobiti ključna načela varstva podatkov.

Oblikovanje teh novih razmer bodo olajšali posodobljen regulativni okvir EU in možnosti, ki jih bodo s strogim skupnim izvrševanjem zagotovili vsi zadevni nadzorni in regulativni organi.

Z nedavno sprejeto splošno uredbo o varstvu podatkov se okrepi in posodobi regulativni okvir, da ta ostane učinkovit v dobi masovnih podatkov, in sicer s krepitvijo zaupanja posameznikov na svetovnem spletu in enotnem digitalnem trgu. Nova pravila, vključno s pravili o večji preglednosti ter obsežnih pravicah do dostopa in prenosljivosti podatkov, uporabnikom zagotavljajo večji nadzor nad lastnimi podatki in bi lahko prispevala tudi k učinkovitejšim trgom za osebne podatke, kar koristi potrošnikom in podjetjem.

Nedavno smo izdali mnenje o učinkovitem izvrševanju temeljnih pravic v dobi masovnih podatkov. V njem so poudarjene sedanje tržne razmere in poslovne prakse, ki ustvarjajo ovire za učinkovito uresničevanje pravic posameznikov do varstva njihovih osebnih podatkov in drugih temeljnih pravic, vsebuje pa tudi poziv k okrepitvi usklajenega in doslednega izvrševanja zakonov o konkurenci, varstvu potrošnikov in varstvu podatkov. Upamo, da bo to okrepljeno izvrševanje omogočilo oblikovanje tržnih razmer, v katerih lahko uspevajo storitve, ki spodbujajo spoštovanje zasebnosti. Pristop v tem mnenju je usmerjen v krepitev temeljnih pravic v našem digitalnem svetu ob zagotavljanju novih priložnosti podjetjem, da na osnovi medsebojnega zaupanja razvijejo inovativne storitve, ki temeljijo na osebnih podatkih. Sistemi upravljanja osebnih podatkov naj bi poleg nove tehnične arhitekture in organizacije upravljanja podatkov zagotovili še okvire zaupanja, s tem pa tudi alternativne poslovne modele za zbiranje in obdelavo osebnih podatkov v dobi masovnih podatkov na način, ki bolj upošteva evropsko zakonodajo o varstvu podatkov.

V tem mnenju smo na kratko opisali, kaj so sistemi upravljanja osebnih podatkov ter katere težave naj bi se z njimi odpravile in kako. Za tem smo analizirali, kako lahko prispevajo k izboljšanju varstva osebnih podatkov in s katerimi izzivi se bo treba spopasti. Nazadnje smo opredelili nadaljnje ukrepe za nadgraditev priložnosti, ki jih zagotavljajo. Za uspeh novih poslovnih modelov za varstvo podatkov bodo morda potrebne dodatne spodbude za ponudnike storitev, ki te modele zagotavljajo. Zlasti bi bilo treba proučiti, katere politične spodbude bi lahko upravljavce podatkov spodbudile k temu, da sprejmejo ta način zagotavljanja podatkov. Poleg tega bi lahko pobuda v okviru javnih storitev za sprejetje sistema upravljanja osebnih podatkov kot vira podatkov namesto neposrednega zbiranja podatkov zagotovila kritično maso pri sprejemanju sistemov upravljanja osebnih podatkov.

Nastajajoče področje sistemov upravljanja osebnih podatkov, katerih namen je posameznikom in potrošnikom vrniti nadzor nad njihovimi osebnimi podatki, je treba obravnavati, podpreti in dodatno raziskovati za spodbujanje trajnostne in etične uporabe masovnih podatkov ter učinkovitega izvajanja načel pred kratkim sprejete splošne uredbe o varstvu podatkov.

I. SISTEMI ZA UPRAVLJANJE OSEBNIH PODATKOV: IZMENJAVA PODATKOV, DELITEV KORISTI?

1. Sedanje razmere za obdelavo osebnih podatkov so pogosto nepravične do posameznikov, katerih podatki se obdelujejo. Pravni pogoji in tehnična orodja posameznikom otežujejo uresničevanje svojih pravic, upravljavcem podatkov pa omogočajo, da omejijo svojo odgovornost. Posredniki podatkov, oglaševalska omrežja, ponudniki družabnih omrežij in drugi podjetniški akterji imajo vse bolj celovite datoteke o posameznikih, ki sodelujejo v današnji digitalni družbi, ti pa vse manjši nadzor nad digitalnimi odtisi, ki jih puščajo za sabo. Akterji izvajajo ciljne ukrepe, usmerjene v posameznike, oblikujejo profile o njih in jih proučujejo, pri čemer posamezniki pogosto nad tem nimajo nadzora ali s tem niso seznanjeni, kar lahko povzroča občutek nemoči, zato je treba okrepiti njihovo moč za prevzem nadzora nad svojo identiteto. Tudi kadar posamezniki prejmejo neko obliko uradnega „obvestila“ in imajo možnost, da „privolijo“ v splošne pogoje, se pogosto znajdejo v sistemu, oblikovanem za to, da se zagotovi kar najučinkovitejša monetizacija osebnih podatkov, pri čemer dejansko nimajo nobene izbire ali nadzora.

2. V sporočilu Evropske komisije o masovnih podatkih (1) je opredeljen načrt ukrepov za varstvo osebnih podatkov in potrošnikov. V okviru tega se izrecno spodbuja uporaba „prostorov za osebne podatke“ kot uporabniško naravnanih, varnih in zanesljivih mest za shranjevanje osebnih podatkov in po možnosti za omogočanje dostopa do njih drugim. Strinjamo se z mnenjem, da je treba spodbujati inovativna digitalna orodja in poslovne modele, ki temeljijo na krepitvi moči posameznikov. Ti lahko omogočijo, da bo takšna izmenjava podatkov koristila posameznikom, kar pomeni, da bodo lahko sodelovali pri uporabi in širjenju svojih osebnih podatkov.

3. V našem mnenju z naslovom Soočanje z izzivi masovnih podatkov (2) smo trdili, da bi bilo treba pravno obveznost dejanske privolitve dopolniti z dejanskim in praktičnim nadzorom nad osebnimi podatki. Trdili smo, da lahko „zagotavljanje pravic do dostopa […] postane značilnost storitve, ki se zagotavlja strankam, namesto upravnega bremena,“ ter da bi morale biti organizacije, ki temeljijo na izkoriščanju „masovnih podatkov“„pripravljene deliti premoženje, ustvarjeno z obdelavo osebnih podatkov, s tistimi posamezniki, katerih podatke obdelujejo“. V zvezi s tem smo navedli, da bi lahko „shrambe osebnih podatkov […] pripomogle k obravnavi nekaterih zadržkov zaradi izgube posameznikovega nadzora nad osebnimi podatki“. S splošno uredbo o varstvu podatkov (3), ki je bila sprejeta pred kratkim, so se okrepile pravne zahteve za privolitev (4), uvedena pa so bila tudi učinkovita, sodobna načela vgrajenega in privzetega varstva podatkov (5) ter nova pravica do prenosljivosti podatkov (6). Potrebna so praktična orodja, s katerimi bodo lahko posamezniki na priročen in uporabniku prijazen način uresničevali svoje pravice, da lahko novi okvir za varstvo podatkov izpolni svoj potencial.

4. V tem mnenju se preučujejo nove tehnologije in ekosistemi, katerih namen je okrepiti moč posameznikov za nadzor nad zbiranjem in izmenjavo njihovih osebnih podatkov. Za ta pojem smo uporabili izraz „sistem upravljanja osebnih podatkov“ (7). Pojem sistema upravljanja osebnih podatkov zagotavlja nov pristop, v skladu s katerim so posamezniki imetniki svojih osebnih podatkov. Povzroči lahko spremembo paradigme za upravljanje in obdelavo osebnih podatkov, ki bi lahko imela družbene in gospodarske posledice. V nasprotju s tem je za trenutno področje spletnih storitev značilno malo število ponudnikov storitev, ki prevladujejo na trgu z monetizacijo osebnih podatkov uporabnikov v zameno za „brezplačne“ storitve. To pogosto vključuje neravnovesje moči, pri čemer ima stranka na voljo zgolj pristop pa načelu „vzemi ali pusti“, ter nesorazmerje med ponudniki storitev in uporabniki v smislu informacij, pri čemer je posameznikom zagotovljena omejena preglednost v zvezi s tem, kaj se z njihovimi osebnimi podatki dogaja, ali pa te preglednosti sploh ni.

5. Osrednji namen pojma sistemov upravljanja osebnih podatkov, je preoblikovati sedanji sistem, naravnan na ponudnike storitev, v sistem, naravnan na posameznike, ki imajo možnost upravljanja in nadzorovanja svoje spletne identitete (8). Načeloma bi morali imeti posamezniki možnost, da se odločijo, ali bodo izmenjevali svoje osebne podatke ter s kom, zakaj in kako dolgo, pa tudi možnost, da spremljajo svoje osebne podatke in jih po možnosti zahtevajo nazaj. Smotrno bi bilo preučiti, kako bi lahko sistemi upravljanja osebnih podatkov pripomogli k obravnavi nekaterih zadržkov v zvezi z izgubo posameznikovega nadzora nad osebnimi podatki, ki so bili opredeljeni kot ena od ključnih problematik v zvezi z masovnimi podatki (9).

6. Ta pristop je usmerjen v krepitev temeljnih pravic v našem digitalnem svetu ob zagotavljanju novih priložnosti podjetjem, da na osnovi medsebojnega zaupanja razvijejo inovativne storitve, ki temeljijo na osebnih podatkih. Sistemi upravljanja osebnih podatkov naj bi zagotovili novo tehnično arhitekturo in organizacijo za upravljanje podatkov, s katerima naj bi se oblikovali okviri zaupanja. Z njimi naj bi se omogočili alternativni poslovni modeli za zbiranje in obdelavo osebnih podatkov v dobi masovnih podatkov na način, ki bolj upošteva evropsko zakonodajo o varstvu podatkov.

7. V tem mnenju smo na kratko opisali, kaj so sistemi za upravljanje osebnih podatkov ter katere težave naj bi se z njimi odpravile in kako (10). Analizirali smo, kako lahko prispevajo k izboljšanju varstva osebnih podatkov in s katerimi izzivi se bo treba spopasti. Nazadnje smo opredelili nadaljnje ukrepe za nadgraditev priložnosti, ki jih zagotavljajo.

IV. SKLEPNE UGOTOVITVE IN NASLEDNJI KORAKI

4.1 Celoviti uporabi splošne uredbe o varstvu podatkov naproti – priložnosti

54. Kot je navedeno zgoraj, je zakonodajalec EU pred kratkim sprejel sveženj za reformo varstva podatkov, s katerim se okrepi in posodobi regulativni okvir, da ta ostane učinkovit v dobi masovnih podatkov.

55. Nova splošna uredba o varstvu podatkov, vključno s pravili o večji preglednosti ter obsežnih pravicah do dostopa in prenosljivosti podatkov, bi morala prispevati k temu, da se posameznikom zagotovi večji nadzor nad njihovimi podatki, in bi lahko tudi prispevala k učinkovitejšim trgom za osebne podatke, kar koristi potrošnikom in podjetjem.

56. Kodeksi ravnanja in sheme potrjevanja, kakor so določeni v splošni uredbi o varstvu podatkov, so prednostni instrumenti za zagotovitev posebne vidnosti in vloge tehnologije in izdelkov, ki se lahko tako kot sistemi upravljanja osebnih podatkov uporabijo za učinkovitejše izvajanje zakonodaje o varstvu podatkov v praksi.

57. Vendar se sistemi upravljanja osebnih podatkov spopadajo s splošno težavo s prodiranjem na trg, na katerem prevladujejo spletne storitve, ki temeljijo na poslovnih modelih in tehničnih arhitekturah, v okviru katerih posamezniki nimajo nadzora nad svojimi podatki, kot je pojasnjeno v oddelku 3.9. Za premik k razmeram, v katerih imajo posamezniki učinkovito možnost, da ponudniku storitev zagotovijo dostop do nekaterih podatkov v svojem sistemu upravljanja osebnih podatkov, namesto, da mu jih posredujejo neposredno, bodo potrebne dodatne spodbude za ponudnike storitev. Komisija lahko uporabi napovedane pobude na področju pretoka in lastništva podatkov (11) za to, da preuči, katere dodatne politične spodbude bi lahko spodbudile upravljavce podatkov k temu, da sprejmejo ta način zagotavljanja podatkov. Poleg tega bi lahko pobuda v okviru storitev e-uprave za sprejetje sistemov upravljanja osebnih podatkov kot vira podatkov namesto neposrednega zbiranja podatkov zagotovila kritično maso pri sprejemanju sistemov upravljanja osebnih podatkov.

58. Ta analiza bi se lahko dopolnila z ukrepi za vzpostavitev tehničnih, družbenih in gospodarskih temeljev, vključno s prizadevanji za standardizacijo, ekonomskimi spodbudami ter spodbujanjem raziskovalnih in pilotnih projektov.

59. To spremembo perspektive bi bilo treba najprej preskusiti, spodbujati in po možnosti uresničiti na ravni Evropske unije in javnih uprav držav članic, pa tudi projektov, ki jih sofinancirajo.

4.2 Zagotavljanje podpore sistemom upravljanja osebnih podatkov in osnovni tehnologiji za zagotovitev učinkovitega varstva podatkov

60. Čeprav je dobra pravna ureditev ključna, sama po sebi ne zadošča. Kot smo dejali v svojem mnenju z naslovom Soočanje z izzivi masovnih podatkov (12), morajo podjetja in druge organizacije, ki vlagajo veliko truda v iskanje inovativnih načinov za uporabo osebnih podatkov, uporabljati enako inovativen način razmišljanja tudi pri izvajanju načel varstva podatkov.

61. Prispevek tehnologije v modelu sistemov upravljanja osebnih podatkov je bistven. Sistemi upravljanja osebnih podatkov se lahko uporabijo za preskušanje pristopov vgrajenega varstva podatkov in tehnologij za podporo tem pristopom. Pomembne raziskovalne teme, v zvezi s katerimi so potrebne ustrezna podpora in naložbe, vključujejo: interoperabilno upravljanje identitete, ki spodbuja spoštovanje zasebnosti, mehanizmi izdajanja dovoljenj, interoperabilnost podatkov, varnost podatkov ter mehanizmi za samodejno izvajanje določenih „pogodb“ med posamezniki in drugimi stranmi. Vse to spodbujajo kriptografija in enkripcija ter računalniška zmogljivost, ki je na voljo po nizki ceni. V tej začetni fazi morajo oblikovalci politike, kot je Komisija, odločno podpreti temeljne in uporabne raziskave na teh tehnoloških področjih, da se sedanje priložnosti ne izgubijo.

62. Da bi na področju sistemov upravljanja osebnih podatkov spodbujali raziskave in razvoj ter uvajanje na trg, priporočamo, naj Komisija načrtuje morebitne sinergije z drugimi področji strategije za enotni digitalni trg, kot sta računalništvo v oblaku in internet stvari. Tako se lahko izvedejo pilotni projekti za oblikovanje in preskušanje interakcije med storitvami v oblaku in internetom stvari ter sistemi upravljanja osebnih podatkov.

4.3 Kako bo ENVP spodbujal to razpravo?

63. ENVP namerava prispevati k spodbujanju zasebnih in javnih prizadevanj z zgoraj opisano usmeritvijo. Še naprej bomo olajševali razprave, med drugim z organizacijo dogodkov/delavnic, da bi se, na primer, opredelila in spodbujala najboljša praksa za povečanje preglednosti in nadzora uporabnikov ter preučile priložnosti, ki jih zagotavljajo sistemi upravljanja osebnih podatkov. Poleg tega bomo še naprej olajševali delo tehnične mreže za spletno zasebnost (Internet Privacy Engineering Network – IPEN) kot interdisciplinarnega središča znanja za inženirje in strokovnjake za zasebnost. V okviru tega bomo še naprej zagotavljali platformo, kjer si lahko razvijalci in podporniki sistemov upravljanja osebnih podatkov izmenjujejo informacije s strokovnjaki za druge tehnologije in varstvo podatkov.

V Marakešu, 20. oktobra 2016 Giovanni BUTTARELLI Evropski nadzornik za varstvo podatkov

(1) Sporočilo COM(2014) 442 o uspešnem podatkovno vodenem gospodarstvu, na voljo na naslovu. http://eur-lex.europa.eu/legal-content/SL/TXT/?uri=CELEX:52014DC0442&qid=1478088787961.

(2) Mnenje ENVP 7/2015, na voljo na naslovu: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Glej zlasti oddelek 3.

(3) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(4) Glej med drugim člen 6(1)(a), člena 7 in 8 ter uvodni izjavi 42–43 splošne uredbe o varstvu podatkov.

(5) Člen 25 splošne uredbe o varstvu podatkov.

(6) Člen 20 splošne uredbe o varstvu podatkov.

(7) Povezani pojmi so, med drugim, „shrambe osebnih podatkov“, „prostori za osebne podatke“ in „trezorji osebnih podatkov“. V tem mnenju bomo uporabili izraz „sistem upravljanja osebnih podatkov“, saj se zdi, da najbolje opisuje pojem na splošen in preprosto razumljiv način. V angleški različici tega mnenja se lahko kratica PIMS (sistem upravljanja osebnih podatkov) nanaša na množino ali ednino, tj. na sistem upravljanja osebnih podatkov ali sisteme upravljanja osebnih podatkov.

(8) Glej uvodno izjavo 7 splošne uredbe o varstvu podatkov: „Posamezniki bi morali imeti nadzor nad lastnimi osebnimi podatki.“ Glej tudi na primer Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Glej na primer Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Izdaja 3, št. 2.

(10) Glej na primer poročilo o shrambah osebnih podatkov, ki ga je Univerza Cambridge pripravila za Evropsko komisijo in je na voljo na naslovu: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Sporočilo z naslovom Digitising European Industry - Reaping the full benefits of a Digital Single Market (Digitalizacija evropske industrije – Izkoriščanje vseh prednosti enotnega digitalnega trga), na voljo na naslovu: http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) Mnenje ENVP 7/2015, navedeno zgoraj.