GDPR on ollut lähes kahdeksan vuotta maailman siteeratuin tietosuojalaki, mutta EU-neuvoston sisällä nopeasti etenevä neuvottelu voi hiljaisesti kirjoittaa uudelleen sen, mitä laki itse asiassa suojelee. Käynnissä olevista neuvotteluista kertovan uutisoinnin mukaan EU-neuvoston diplomaatit ovat lähestymässä Digital Omnibus -sopimusta, joka antaisi mainonnan seurantatunnisteiden jäädä tietosuojalain ulkopuolelle tietyille käsittelijöille, tarjoaisi tekoälyn kehittäjille suostumuksettoman pikareitin koulutusdataan ja poistaisi automaattisen selainsignaalin, joka oli suunniteltu helpottamaan tavallisten käyttäjien seurannasta kieltäytymistä. Niille 450 miljoonalle EU-asukkaalle, jotka luottavat GDPR:ään oikeudellisena suojanaan datankeruuta vastaan, tämän viikon neuvottelut ovat tärkeämpiä kuin useimmat ymmärtävätkään.

Mitä Digital Omnibus -sopimus muuttaa GDPR:ssä

Digital Omnibus esiteltiin yksinkertaistamispakettina, tapana vähentää sääntelykitkaa yrityksille, jotka navigoivat päällekkäisten EU:n digitaalisten sääntöjen viidakossa. Mutta versio, joka nyt etenee neuvoston läpi, menee pidemmälle kuin hallinnollinen siivous. Nykyisen uutisoinnin perusteella sopimus loisi poikkeuksia, joiden avulla tietyt tietojenkäsittelijät voivat pitää mainonnan seurantatunnisteita kokonaan GDPR:n soveltamisalan ulkopuolella. Tämä on merkittävä muutos: seurantatunnisteet ovat käyttäytymiseen perustuvan mainonnan selkäranka, ja niiden käsitteleminen tietosuojalain ulkopuolelle jäävinä poistaa valvontakerroksen, joka on ollut voimassa GDPR:n voimaantulosta lähtien. Samojen neuvottelujen kerrotaan myös antavan tekoälyn koulutustoiminnalle oikeudellisen pikareitin, joka ei vaadi käyttäjän suostumusta – toinen GDPR:n ydinperiaate, jota kavennetaan sen sijaan, että sitä vahvistettaisiin.

Täytäntöönpanoluvut osoittavat, miksi tämä ero on merkityksellinen. GDPR:n kumulatiiviset sakot ovat jo ylittäneet 4 miljardia euroa, kun sääntelyviranomaiset maailmanlaajuisesti ovat omaksuneet vastaavia tietosuojakehyksiä. Tämä täytäntöönpanohistoria on olemassa siksi, että GDPR:n suostumus- ja käsittelysäännöt antoivat sääntelyviranomaisille selkeitä rikkomuksia, joihin puuttua. Näiden määritelmien löyhentäminen ei vaikuta vain tuleviin tapauksiin – se muuttaa sitä, mikä ylipäätään lasketaan rikkomukseksi.

Ketkä hyötyvät: Ad-tech- ja tekoälykoulutuksen poikkeukset

Raportoidun sopimuksen kaksi suurinta poikkeusta osoittavat molemmat samaan suuntaan: vähentynyt kitka yrityksille, jotka hyödyntävät henkilötietoja laajassa mittakaavassa. Mainosteknologiayritykset ovat vuosien ajan vastustaneet suostumusvaatimuksia, jotka hidastavat reaaliaikaista huutokauppaa ja sivustojen välistä seurantaa. Jos seurantatunnisteet luokitellaan uudelleen poikkeuksiksi tietyille käsittelijöille, ad-tech-yritykset saavat selkeämmän oikeudellisen polun kerätä ja jakaa tunnisteita ilman samoja suostumusvelvoitteita, jotka tällä hetkellä pätevät.

Tekoälyn kehittäjät hyötyvät samalla tavalla. Suostumukseton pikareitti koulutusdataan vastaa yhteen tekoälysääntelyn kiistanalaisimmista ratkaisemattomista kysymyksistä: vaatiiko henkilötietojen kerääminen tai lisensointi mallien koulutusta varten samaa suostumusstandardia kuin muu käsittely. Tämän vaatimuksen poistaminen antaisi tekoälyyritysten kouluttaa EU-asukkaiden datalla pienemmällä oikeudellisella riskillä, vaikka keskustelut tekoälyn läpinäkyvyydestä ja datan alkuperästä jatkuvat muualla Brysselissä.

Kumpikaan näistä poikkeuksista ei poista GDPR:ää kokonaan. Mutta ne kaventavat sen ulottuvuutta täsmälleen niillä kahdella alueella, joilla henkilötietojen keruu on laajentunut nopeimmin viime vuosien aikana.

Hylätty selainsignaali ja mitä se merkitsi kieltäytymisille

Kenties merkittävin yksityiskohta raportoidussa sopimuksessa on pienin: automaattisen selainsignaalin poistaminen, jonka oli tarkoitus antaa käyttäjien rekisteröidä seurannasta kieltäytymiset ilman, että heidän täytyy klikata suostumusbannereiden läpi jokaisella vierailemallaan sivustolla. Tällaisten signaalien tarkoitus on siirtää yksityisyydenhallinnan taakka pois yksittäisiltä käyttäjiltä kohti selaintason oletusasetuksia, jotta yksi asetus voi viestiä henkilön toiveen koko verkossa. Tämän mekanismin poistaminen Digital Omnibus -paketista tarkoittaa, että käyttäjät menettävät standardoidun, vähän vaivaa vaativan tavan sanoa ei seurannalle, ja heidät työnnetään takaisin hallinnoimaan suostumusponnahdusikkunoita manuaalisesti sivusto kerrallaan – prosessi, jonka useimmat klikkaavat läpi lukematta.

Mitä tämä tarkoittaa sinulle

Jos tämä sopimus etenee raportoidusti, EU-asukkaat eivät menetä GDPR:ää yhdessä yössä, mutta he menettävät osan sen käytännön tehosta juuri niillä alueilla, joilla seuranta on kaikkein yleisintä: mainonnassa ja tekoälyssä. Ilman selaintason kieltäytymissignaalia vastuu seurannan rajoittamisesta siirtyy entisestään yksilöille automaattisten työkalujen sijaan. Tämä tekee henkilökohtaisista yksityisyystottumuksista tärkeämpiä, ei vähemmän tärkeitä. Selaimen tietosuoja-asetusten säätäminen, kolmannen osapuolen evästeiden rajoittaminen ja VPN:n käyttäminen IP-osoitteesi ja sijaintisi peittämiseksi mainosverkoilta eivät korvaa sitä, mitä vahva sääntelykehys tarjoaa, mutta ne lisäävät hallintakerroksen, joka ei riipu siitä, miten Brysselin neuvottelu tällä viikolla päättyy.

Keskeiset huomiot

Seuraa, miten tämä neuvoston neuvottelu ratkeaa, sillä lopullinen sanamuoto seurantatunnisteiden poikkeuksista ja tekoälyn suostumuspikareiteistä voi vielä muuttua ennen hyväksymistä. Sillä välin älä odota sääntelyn kirivän kiinni: tarkista selaimesi seurantasuojausasetukset, rajoita sivustoja, jotka voivat asettaa mainontatunnisteita, ja harkitse VPN:ää käytännöllisenä tapana vähentää altistumista sivustojen väliselle seurannalle riippumatta siitä, miten GDPR:n soveltamisala kehittyy. Koska GDPR:n täytäntöönpano on jo tuottanut miljardien sakot, lain ydin arvo on todistettu – juuri siksi tämän viikon neuvoston päätökset Digital Omnibuksesta ansaitsevat julkista huomiota.

FAQ: Q1: Mikä on Digital Omnibus -sopimus? A1: Se esiteltiin yksinkertaistamispakettina sääntelykitkan vähentämiseksi yrityksille, jotka navigoivat päällekkäisten EU:n digitaalisten sääntöjen viidakossa. Neuvoston läpi nyt etenevä versio menee raportoidusti pidemmälle kuin hallinnollinen siivous. Q2: Miten mainonnan seurantatunnisteisiin vaikutettaisiin? A2: Sopimus loisi poikkeuksia, joiden avulla tietyt tietojenkäsittelijät voivat pitää mainonnan seurantatunnisteita kokonaan GDPR:n soveltamisalan ulkopuolella. Q3: Mitä muutosta ehdotetaan tekoälyn koulutusdataan? A3: Neuvottelujen kerrotaan antavan tekoälyn koulutustoiminnalle oikeudellisen pikareitin, joka ei vaadi käyttäjän suostumusta – toinen GDPR:n ydinperiaate, jota kavennetaan sen sijaan, että sitä vahvistettaisiin. Q4: Kuinka paljon GDPR-sakkoja on kertynyt yhteensä? A4: GDPR:n kumulatiiviset sakot ovat jo ylittäneet 4 miljardia euroa, kun sääntelyviranomaiset maailmanlaajuisesti ovat omaksuneet vastaavia tietosuojakehyksiä. Q5: Ketkä hyötyvät näistä poikkeuksista? A5: Mainosteknologiayritykset ja tekoälyn kehittäjät hyötyvät, sillä molemmat poikkeukset osoittavat kohti vähentynyttä kitkaa yrityksille, jotka hyödyntävät henkilötietoja laajassa mittakaavassa. ---END---