Οι εμπειρογνώμονες του ΟΗΕ για τα ανθρώπινα δικαιώματα έστειλαν ένα σαφές μήνυμα: οι νόμοι για την προστασία της ιδιωτικής ζωής στα χαρτιά δεν αρκούν. Σε δήλωση που δημοσιεύθηκε από τη Γενεύη, οι εμπειρογνώμονες ανέφεραν ότι η ανεξαρτησία των αρχών προστασίας δεδομένων και η αποτελεσματική πρόσβαση στα δικαστήρια είναι ουσιώδεις για τη διασφάλιση του δικαιώματος στην ιδιωτικότητα, ιδίως όταν εμπλέκονται ισχυρές εταιρείες τεχνολογίας. Για οποιονδήποτε τα προσωπικά δεδομένα του βρίσκονται σε εταιρικές βάσεις δεδομένων, το ζήτημα είναι πρακτικό. Οι ανεξάρτητες αρχές προστασίας δεδομένων και τα δικαιώματα ιδιωτικότητας συμβαδίζουν, και όταν το ένα είναι αδύναμο, το άλλο υποφέρει.

Τι είπαν οι εμπειρογνώμονες του ΟΗΕ για την εποπτεία και τη δικαιοσύνη

Η δήλωση, που δημοσιεύθηκε από το Γραφείο της Ύπατης Αρμοστείας του ΟΗΕ για τα Ανθρώπινα Δικαιώματα (OHCHR), επικεντρώνεται σε μια απλή αρχή. Σύμφωνα με τα λόγια των εμπειρογνωμόνων, «Τα δικαιώματα ιδιωτικότητας δεν μπορούν να προστατευθούν μόνο από νόμους.» Το δημοσιευμένο απόσπασμα της ανακοίνωσης είναι σύντομο, επομένως περιορίζουμε αυτό το ρεπορτάζ σε όσα δήλωσαν άμεσα οι εμπειρογνώμονες: ότι τα εποπτικά όργανα πρέπει να είναι ανεξάρτητα, και ότι οι άνθρωποι πρέπει να μπορούν να προσφεύγουν στα δικαστήρια όταν παραβιάζονται τα δικαιώματά τους.

Πρόκειται για δύο ξεχωριστές εγγυήσεις που λειτουργούν μαζί. Μια αρχή προστασίας δεδομένων διερευνά καταγγελίες, ελέγχει οργανισμούς και μπορεί να επιβάλλει κυρώσεις. Τα δικαστήρια προσφέρουν μια οδό για τα άτομα να αναζητήσουν έννομη προστασία και να αμφισβητήσουν αποφάσεις εταιρειών ή ακόμη και των ίδιων των ρυθμιστικών αρχών. Αν λείπει ή είναι συμβιβασμένο οποιοδήποτε από τα δύο επίπεδα, ένα άτομο του οποίου τα δεδομένα έχουν γίνει κακή χρήση μπορεί να μην έχει πού ουσιαστικά να στραφεί.

Γιατί οι νόμοι μόνοι τους αποτυγχάνουν απέναντι σε ισχυρές εταιρείες τεχνολογίας

Οι περισσότερες χώρες διαθέτουν πλέον κάποια μορφή νομοθεσίας για την προστασία δεδομένων. Αλλά ένας νόμος είναι τόσο ισχυρός όσο οι θεσμοί που τον εφαρμόζουν. Οι μεγάλες εταιρείες τεχνολογίας κατέχουν τεράστιες ποσότητες προσωπικών πληροφοριών και διαθέτουν σημαντικούς νομικούς και οικονομικούς πόρους. Ένας μεμονωμένος χρήστης που βρίσκεται αντιμέτωπος με μία από αυτές βρίσκεται σε άνιση θέση.

Αυτή η ανισορροπία είναι ο λόγος που οι εμπειρογνώμονες τόνισαν την ανεξαρτησία και την πρόσβαση στη δικαιοσύνη. Μια ρυθμιστική αρχή που υφίσταται πολιτική ή εμπορική πίεση μπορεί να διστάζει να στραφεί κατά μεγάλων εταιρειών. Μια ρυθμιστική αρχή χωρίς επαρκείς εξουσίες ή πόρους μπορεί να μην είναι σε θέση να το πράξει. Και αν τα δικαστήρια είναι πολύ δαπανηρά, αργά ή μη προσβάσιμα, τα άτομα μπορεί απλώς να εγκαταλείψουν την επιδίωξη των δικαιωμάτων τους, ακόμη και όταν ο νόμος είναι με το μέρος τους.

Στην πράξη, αυτό σημαίνει ότι το κείμενο ενός νόμου για την ιδιωτικότητα σας λέει μόνο μέρος της ιστορίας. Ποιος διορίζει τη ρυθμιστική αρχή, πώς χρηματοδοτείται, αν μπορεί να δράσει κατά κυβερνήσεων καθώς και κατά εταιρειών, και αν οι άνθρωποι μπορούν να προσφύγουν κατά των αποφάσεών της, όλα αυτά διαμορφώνουν πόση προστασία υπάρχει στην πραγματικότητα.

Όταν οι ρυθμιστικές αρχές στερούνται ανεξαρτησίας: το παράδειγμα του DPDP Act της Ινδίας

Ο νόμος της Ινδίας για την ψηφιακή προστασία προσωπικών δεδομένων (Digital Personal Data Protection Act) προσφέρει μια χρήσιμη μελέτη περίπτωσης για το γιατί αυτές οι ανησυχίες έχουν σημασία. Όταν ο νόμος ψηφίστηκε το 2023, μεγάλο μέρος της δημόσιας συζήτησης επικεντρώθηκε στις κοινοποιήσεις παραβιάσεων, στις κυρώσεις και στις απαιτήσεις συγκατάθεσης για τις εταιρείες. Λιγότερη προσοχή δόθηκε στο πώς ο νόμος αλληλεπιδρά με τους κανόνες διαφάνειας. Η εξήγησή μας για το πώς το Άρθρο 44(3) του DPDP Act της Ινδίας επηρεάζει την πρόσβαση βάσει του νόμου RTI εξετάζει πώς μια διάταξη μπορεί να περιορίσει την ικανότητα του κοινού να λαμβάνει πληροφορίες, κάτι που με τη σειρά του περιορίζει τον έλεγχο του τρόπου διαχείρισης των δεδομένων.

Το δίδαγμα ταιριάζει με την προειδοποίηση των εμπειρογνωμόνων του ΟΗΕ. Ένα πλαίσιο προστασίας δεδομένων μπορεί να περιλαμβάνει κανόνες συγκατάθεσης και κυρώσεις και παρ' όλα αυτά να αφήνει κενά, αν οι εξαιρέσεις αποδυναμώνουν τη λογοδοσία ή αν η εποπτεία στερείται ανεξαρτησίας. Οι αναγνώστες που παρακολουθούν τη συζήτηση σε οποιαδήποτε χώρα μπορούν να θέσουν τα ίδια ερωτήματα: Είναι η ρυθμιστική αρχή ξεχωριστή από τους φορείς που εποπτεύει; Μπορούν οι πολίτες να αμφισβητήσουν αποφάσεις; Υπάρχουν εξαιρέσεις που μειώνουν τη διαφάνεια;

Τι σημαίνει αυτό για εσάς

Μπορεί να μην ελέγχετε πώς η χώρα σας δομεί τις ρυθμιστικές της αρχές, αλλά μπορείτε να λάβετε μέτρα που κάνουν τις υπάρχουσες προστασίες να μετράνε.

  • Χρησιμοποιήστε τα νομικά σας δικαιώματα. Ανάλογα με το πού ζείτε, μπορεί να έχετε τη δυνατότητα να ζητήσετε πρόσβαση στα δεδομένα που κατέχει για εσάς μια εταιρεία, να ζητήσετε διόρθωση ή διαγραφή και να αντιταχθείτε σε ορισμένες χρήσεις. Αυτά τα αιτήματα δημιουργούν επίσης αρχείο αν αργότερα χρειαστεί να υποβάλετε καταγγελία.
  • Γνωρίστε τη ρυθμιστική σας αρχή. Μάθετε ποια αρχή προστασίας δεδομένων σας καλύπτει και πώς να υποβάλετε καταγγελία. Οι καταγγελίες είναι ένας από τους κύριους τρόπους με τους οποίους οι ρυθμιστικές αρχές μαθαίνουν για προβλήματα.
  • Κρατήστε αρχεία. Αποθηκεύστε ειδοποιήσεις απορρήτου, αλληλογραφία και στιγμιότυπα οθόνης όταν πιστεύετε ότι τα δεδομένα σας έχουν υποστεί κακή διαχείριση. Είναι χρήσιμα αν μια διαφορά φτάσει σε ρυθμιστική αρχή ή δικαστήριο.
  • Προσέξτε τις εξαιρέσεις. Όταν προτείνεται ή ψηφίζεται ένας νέος νόμος για την ιδιωτικότητα, κοιτάξτε πέρα από τις προστασίες που προβάλλονται. Οι εξαιρέσεις και οι αδύναμες διατάξεις εφαρμογής συχνά καθορίζουν πόσο καλά λειτουργεί.
  • Ενισχύστε την άμυνά σας σε επίπεδα. Τα νομικά δικαιώματα λειτουργούν αφού συλλεχθούν τα δεδομένα. Τα τεχνικά εργαλεία λειτουργούν πριν. Η κρυπτογράφηση, οι ισχυροί μοναδικοί κωδικοί πρόσβασης, η επαλήθευση δύο παραγόντων και ένα VPN για τον περιορισμό του τι αποκαλύπτει η κίνηση του δικτύου σας μπορούν να μειώσουν πόσα δεδομένα εκτίθενται εξαρχής. Ένα VPN δεν αντικαθιστά τις νομικές προστασίες, και οι νομικές προστασίες δεν αντικαθιστούν τις καλές συνήθειες ασφαλείας.

Βασικά συμπεράσματα

Η δήλωση των εμπειρογνωμόνων του ΟΗΕ είναι μια υπενθύμιση ότι η ιδιωτικότητα είναι τόσο τεχνικό όσο και θεσμικό ζήτημα. Οι ανεξάρτητες αρχές προστασίας δεδομένων και τα δικαιώματα ιδιωτικότητας εξαρτώνται το ένα από το άλλο: οι ισχυροί νόμοι χρειάζονται ρυθμιστικές αρχές που μπορούν να δρουν χωρίς πίεση, και τα άτομα χρειάζονται δικαστήρια στα οποία μπορούν ρεαλιστικά να προσφύγουν.

Για τους αναγνώστες, η πιο χρήσιμη απάντηση είναι να συνδυάσουν προσεγγίσεις. Ασκήστε τα δικαιώματά σας πρόσβασης, διαγραφής και καταγγελίας, χρησιμοποιήστε κρυπτογράφηση και εργαλεία ιδιωτικότητας για να μειώσετε την έκθεση δεδομένων, και μείνετε σε εγρήγορση για το πώς γράφονται και εφαρμόζονται οι νόμοι. Για να δείτε πώς η αδύναμη εποπτεία και οι εξαιρέσεις μπορούν να διαβρώσουν τόσο την ιδιωτικότητα όσο και τη διαφάνεια στην πράξη, διαβάστε τη μελέτη περίπτωσής μας για τον DPDP Act της Ινδίας και την επίδρασή του στην πρόσβαση βάσει RTI.