GDPR je gotovo osam godina najcitiraniji zakon o privatnosti na svijetu, no brza pregovaračka dinamika unutar Vijeća EU mogla bi tiho prepisati ono što taj zakon zapravo štiti. Prema izvješćima o aktualnim pregovorima, diplomati Vijeća EU približavaju se dogovoru o Digitalnom omnibusu koji bi omogućio da oglašivački identifikatori za praćenje izbjegnu zakon o zaštiti podataka za određene obrađivače, dao AI developerima prečac bez privole za podatke za treniranje te uklonio automatizirani signal preglednika koji je bio osmišljen kako bi običnim korisnicima olakšao odustajanje od praćenja. Za 450 milijuna stanovnika EU koji se na GDPR oslanjaju kao na svoju pravnu zaštitu od prikupljanja podataka, ovotjedni pregovori važniji su nego što većina ljudi shvaća.

Što dogovor o Digitalnom omnibusu mijenja u GDPR-u

Digitalni omnibus predstavljen je kao paket za pojednostavljenje, način da se smanji regulatorno trenje za tvrtke koje se snalaze u preklapajućim digitalnim pravilima EU-a. No verzija koja sada napreduje kroz Vijeće ide dalje od administrativnog čišćenja. Na temelju aktualnih izvješća, dogovor bi stvorio iznimke koje određenim obrađivačima podataka omogućuju da oglašivačke identifikatore za praćenje tretiraju kao izvan djelokruga GDPR-a. To je značajan pomak: identifikatori za praćenje okosnica su bihevioralnog oglašavanja, a njihovo izuzimanje od zakona o zaštiti podataka uklanja sloj nadzora koji se primjenjuje od stupanja GDPR-a na snagu. Isti pregovori također bi, prema izvješćima, trebali dati aktivnosti treniranja AI-a pravni prečac koji ne zahtijeva privolu korisnika, još jedno temeljno načelo GDPR-a koje se sužava umjesto da se učvršćuje.

Brojke o provedbi pokazuju zašto je ta razlika važna. Kumulativne kazne prema GDPR-u već su premašile 4 milijarde eura dok su regulatori diljem svijeta usvajali slične okvire za privatnost. Taj rekord provedbe postoji jer su GDPR-ova pravila o privoli i obradi regulatorima davala jasne povrede na temelju kojih su mogli djelovati. Ublažavanje tih definicija ne utječe samo na buduće slučajeve, ono mijenja što se uopće smatra povredom.

Kome to koristi: izuzeća za ad-tech i treniranje AI-a

Dva najveća izuzeća u najavljenom dogovoru pokazuju u istom smjeru: smanjeno trenje za tvrtke koje unovčuju osobne podatke u velikom opsegu. Tvrtke za oglašivačku tehnologiju godinama se opiru zahtjevima za privolu koji usporavaju real-time bidding i praćenje među stranicama. Ako se identifikatori za praćenje reklasificiraju kao izuzeti za neke obrađivače, ad-tech tvrtke dobivaju čišći pravni put za prikupljanje i dijeljenje identifikatora bez istih obveza privole koje se trenutačno primjenjuju.

AI developeri dobivaju slično. Prečac bez privole za podatke za treniranje rješava jedno od najspornijih neriješenih pitanja u regulaciji AI-a: zahtijevaju li osobni podaci prikupljeni scrapanjem ili licencirani za treniranje modela isti standard privole kao i druga obrada. Uklanjanje tog zahtjeva omogućilo bi AI tvrtkama treniranje na podacima stanovnika EU-a s manjom pravnom izloženošću, čak i dok se rasprave o transparentnosti AI-a i podrijetlu podataka nastavljaju drugdje u Bruxellesu.

Nijedno od tih izuzeća ne ukida GDPR u cijelosti. No ona sužavaju njegov doseg upravo u dva područja u kojima se prikupljanje osobnih podataka najbrže širilo tijekom posljednjih nekoliko godina.

Ukinuti signal preglednika i što je značio za odustajanje

Možda najvažniji detalj u najavljenom dogovoru ujedno je i najmanji: brisanje automatiziranog signala preglednika koji je trebao omogućiti korisnicima da registriraju odustajanje od praćenja bez klikanja kroz bannere za privolu na svakoj stranici koju posjete. Ovakvi signali trebali su prebaciti teret upravljanja privatnošću s pojedinačnih korisnika na zadane postavke preglednika, tako da jedna postavka može prenijeti nečiju preferenciju kroz cijeli web. Uklanjanje tog mehanizma iz paketa Digitalnog omnibusa znači da korisnici gube standardiziran, niskotarni način da kažu ne praćenju te se vraćaju ručnom upravljanju skočnim prozorima za privolu stranicu po stranicu, proces kroz koji većina ljudi klika bez čitanja.

Što to znači za vas

Ako ovaj dogovor napreduje kako je najavljeno, stanovnici EU-a neće izgubiti GDPR preko noći, ali će izgubiti dio njegovih praktičnih zuba upravo u područjima gdje je praćenje najprisutnije: oglašavanju i AI-u. Bez signala za odustajanje na razini preglednika, odgovornost za ograničavanje praćenja dodatno se prebacuje na pojedince umjesto na automatizirane alate. To čini osobne navike privatnosti važnijima, a ne manje važnima. Prilagodba postavki privatnosti preglednika, ograničavanje kolačića trećih strana i korištenje VPN-a za maskiranje vaše IP adrese i lokacije od oglašivačkih mreža neće zamijeniti ono što pruža snažan regulatorni okvir, ali dodaju sloj kontrole koji ne ovisi o tome kako će se ovotjedni pregovori u Bruxellesu završiti.

Ključni zaključci

Pratite kako će se ovaj pregovor u Vijeću razriješiti, jer konačni tekst o izuzećima za identifikatore za praćenje i prečacima za privolu kod AI-a još se može promijeniti prije usvajanja. U međuvremenu, ne čekajte da regulativa sustigne situaciju: pregledajte postavke zaštite od praćenja u svom pregledniku, ograničite koje stranice mogu postavljati oglašivačke identifikatore i razmotrite VPN kao praktičan način da smanjite izloženost praćenju među stranicama neovisno o tome kako se razvija doseg GDPR-a. S obzirom na to da je provedba GDPR-a već proizvela milijarde u kaznama, temeljna vrijednost zakona dokazana je, što je upravo razlog zašto ovotjedne odluke Vijeća o Digitalnom omnibusu zaslužuju javnu pozornost.