GDPR je již téměř osm let nejcitovanějším zákonem o ochraně soukromí na světě, ale rychle probíhající jednání uvnitř Rady EU by mohla v tichosti přepsat to, co vlastně chrání. Podle zpráv o probíhajících rozhovorech se diplomaté Rady EU blíží k dohodě o Digitálním omnibusu, která by umožnila sledovacím reklamním identifikátorům uniknout z působnosti zákona o ochraně osobních údajů pro určité zpracovatele, poskytla vývojářům AI zkratku bez souhlasu pro tréninková data a odstranila automatizovaný signál prohlížeče, který měl běžným uživatelům usnadnit odhlášení se ze sledování. Pro 450 milionů obyvatel EU, kteří se na GDPR spoléhají jako na svou právní záruku proti shromažďování dat, jsou letošní vyjednávání důležitější, než si většina lidí uvědomuje.
Co dohoda o Digitálním omnibusu mění v GDPR
Digitální omnibus byl představen jako balíček pro zjednodušení, způsob, jak omezit regulační zátěž pro podniky pohybující se v překrývajících se digitálních pravidlech EU. Ale verze, která nyní postupuje Radou, zachází dále než administrativní úklid. Podle současných zpráv by dohoda vytvořila výjimky, které by určitým zpracovatelům dat umožnily považovat sledovací reklamní identifikátory za zcela mimo působnost GDPR. To je významný posun: sledovací ID jsou páteří behaviorální reklamy a jejich vyjmutí z působnosti zákona o ochraně osobních údajů odstraňuje vrstvu dohledu, která platí od doby, kdy GDPR vstoupilo v platnost. Stejná vyjednávání údajně také poskytnou aktivitě trénování AI právní zkratku, která nevyžaduje souhlas uživatele, což je další klíčový princip GDPR, který je spíše zužován než posilován.
Čísla vymáhání ukazují, proč na tomto rozlišení záleží. Kumulativní pokuty podle GDPR již překročily 4 miliardy eur, když regulační orgány po celém světě přijaly podobné rámce ochrany soukromí. Tento záznam o vymáhání existuje proto, že pravidla GDPR o souhlasu a zpracování dala regulačním orgánům jasná porušení, proti nimž mohly jednat. Změkčení těchto definic neovlivňuje jen budoucí případy, mění to, co se vůbec počítá jako porušení.
Kdo má prospěch: výjimky pro reklamní technologie a trénování AI
Dvě největší výjimky ve zprávě uvedené dohodě ukazují stejným směrem: menší překážky pro společnosti, které zpeněžují osobní údaje ve velkém měřítku. Firmy v oblasti reklamních technologií roky tlačily proti požadavkům na souhlas, které zpomalují aukce v reálném čase a sledování napříč weby. Pokud budou sledovací ID pro některé zpracovatele překlasifikována jako vyňatá, získají reklamní technologické společnosti čistší právní cestu ke shromažďování a sdílení identifikátorů bez stejných povinností souhlasu, které v současnosti platí.
Vývojáři AI mohou získat podobně. Zkratka bez souhlasu pro tréninková data řeší jednu z nejspornějších nevyřešených otázek v regulaci AI: zda osobní údaje získané scrapingem nebo licencované pro trénování modelů vyžadují stejný standard souhlasu jako jiné zpracování. Odstranění tohoto požadavku by umožnilo společnostem zabývajícím se AI trénovat na datech obyvatel EU s menší právní expozicí, i když debaty o transparentnosti AI a původu dat pokračují jinde v Bruselu.
Ani jedna z těchto výjimek neruší GDPR úplně. Zužují však jeho dosah přesně ve dvou oblastech, kde se shromažďování osobních údajů za posledních několik let rozšířilo nejrychleji.
Zrušený signál prohlížeče a co znamenal pro odhlášení
Snad nejzávažnějším detailem ve zprávě uvedené dohodě je ten nejmenší: smazání automatizovaného signálu prohlížeče, který měl uživatelům umožnit zaregistrovat odhlášení ze sledování bez klikání přes souhlasné bannery na každém navštíveném webu. Takové signály mají přesunout břemeno správy soukromí z jednotlivých uživatelů na výchozí nastavení prohlížeče, takže jedno nastavení může sdělit preferenci osoby napříč webem. Odstranění tohoto mechanismu z balíčku Digitálního omnibusu znamená, že uživatelé ztrácejí standardizovaný způsob, jak s nízkou překážkou říci ne sledování, a jsou tlačeni zpět k ruční správě souhlasných pop-upů web po webu, což je proces, který většina lidí prokliká bez čtení.
Co to znamená pro vás
Pokud tato dohoda postoupí tak, jak je uvedeno, obyvatelé EU neztratí GDPR přes noc, ale ztratí některé z jeho praktických zubů přesně v oblastech, kde je sledování nejrozšířenější: reklama a AI. Bez signálu pro odhlášení na úrovni prohlížeče se odpovědnost za omezení sledování přesouvá dále na jednotlivce namísto automatizovaných nástrojů. To činí osobní návyky v oblasti soukromí důležitějšími, nikoli méně. Úprava nastavení soukromí prohlížeče, omezení cookies třetích stran a používání VPN k maskování vaší IP adresy a polohy před reklamními sítěmi nenahradí to, co poskytuje silný regulační rámec, ale přidávají vrstvu kontroly, která nezávisí na tom, jak tento týden skončí bruselské vyjednávání.
Klíčové poznatky
Sledujte, jak se toto vyjednávání v Radě vyřeší, protože konečné znění výjimek pro sledovací ID a zkratek souhlasu pro AI se ještě může před přijetím změnit. Mezitím nečekejte, až regulace dohoní vývoj: zkontrolujte nastavení ochrany proti sledování ve svém prohlížeči, omezte, které weby mohou nastavovat reklamní identifikátory, a zvažte VPN jako praktický způsob, jak snížit expozici sledování napříč weby bez ohledu na to, jak se vyvine rozsah GDPR. Vzhledem k tomu, že vymáhání GDPR již přineslo miliardy na pokutách, základní hodnota zákona byla prokázána, a právě proto si rozhodnutí Rady o Digitálním omnibusu z tohoto týdne zaslouží veřejnou pozornost.
