RODO przez blisko osiem lat pozostawało najczęściej cytowanym prawem prywatności na świecie, ale szybko postępujące negocjacje wewnątrz Rady UE mogą po cichu przepisać to, co faktycznie chroni. Według doniesień na temat trwających rozmów dyplomaci Rady UE zbliżają się do porozumienia w sprawie Digital Omnibus, które pozwoliłoby identyfikatorom śledzącym reklamowym wymknąć się spod prawa ochrony danych w przypadku niektórych podmiotów przetwarzających, dałoby twórcom AI skrót bez zgody dla danych treningowych oraz wyeliminowałoby automatyczny sygnał przeglądarki, który miał ułatwiać zwykłym użytkownikom rezygnację ze śledzenia. Dla 450 milionów mieszkańców UE, którzy polegają na RODO jako swojej prawnej ochronie przed zbieraniem danych, tegoroczne negocjacje mają większe znaczenie, niż większość ludzi zdaje sobie sprawę.

Co zmienia porozumienie Digital Omnibus w RODO

Digital Omnibus został przedstawiony jako pakiet upraszczający, sposób na ograniczenie obciążeń regulacyjnych dla firm poruszających się po nakładających się unijnych przepisach cyfrowych. Jednak wersja, która obecnie przechodzi przez Radę, idzie dalej niż porządki administracyjne. Na podstawie obecnych doniesień porozumienie miałoby stworzyć wyjątki pozwalające niektórym podmiotom przetwarzającym dane traktować identyfikatory śledzące reklamowe jako całkowicie poza zakresem RODO. To istotna zmiana: identyfikatory śledzące stanowią podstawę reklamy behawioralnej, a uznanie ich za wyłączone spod prawa ochrony danych usuwa warstwę nadzoru, która obowiązywała od czasu wejścia w życie RODO. Te same negocjacje mają również – jak donoszono – dać działalności związanej z trenowaniem AI prawny skrót, który nie wymaga zgody użytkownika, kolejną podstawową zasadę RODO, która jest zawężana, a nie wzmacniana.

Liczby dotyczące egzekwowania pokazują, dlaczego to rozróżnienie ma znaczenie. Łączne grzywny nałożone na podstawie RODO już przekroczyły 4 miliardy euro, gdy regulatorzy na całym świecie przyjęli podobne ramy prywatności. Ten dorobek egzekwowania istnieje, ponieważ zasady RODO dotyczące zgody i przetwarzania dawały regulatorom jasne naruszenia, na które mogli reagować. Poluzowanie tych definicji nie tylko wpływa na przyszłe sprawy – zmienia to, co w ogóle uznaje się za naruszenie.

Kto zyskuje: wyłączenia dla ad-tech i trenowania AI

Dwa największe wyłączenia w opisywanym porozumieniu wskazują w tym samym kierunku: zmniejszenia obciążeń dla firm, które monetyzują dane osobowe na dużą skalę. Firmy z branży technologii reklamowych od lat sprzeciwiają się wymogom dotyczącym zgody, które spowalniają licytację w czasie rzeczywistym i śledzenie między witrynami. Jeśli identyfikatory śledzące zostaną przeklasyfikowane jako wyłączone dla niektórych podmiotów przetwarzających, firmy ad-tech zyskają czystszą ścieżkę prawną do zbierania i udostępniania identyfikatorów bez tych samych obowiązków dotyczących zgody, które obecnie obowiązują.

Twórcy AI zyskają podobnie. Skrót bez zgody dla danych treningowych odnosi się do jednego z najbardziej spornych nierozwiązanych pytań w regulacji AI: czy dane osobowe pozyskane przez scraping lub licencjonowane do trenowania modeli wymagają tego samego standardu zgody co inne przetwarzanie. Usunięcie tego wymogu pozwoliłoby firmom AI trenować na danych mieszkańców UE przy mniejszym ryzyku prawnym, nawet gdy debaty o przejrzystości AI i pochodzeniu danych trwają gdzie indziej w Brukseli.

Żadne z tych wyłączeń nie eliminuje RODO całkowicie. Ale zawężają jego zasięg dokładnie w tych dwóch obszarach, w których zbieranie danych osobowych rosło najszybciej przez ostatnie kilka lat.

Porzucony sygnał przeglądarki i co oznaczał dla rezygnacji ze śledzenia

Być może najbardziej doniosłym szczegółem w opisywanym porozumieniu jest ten najmniejszy: usunięcie automatycznego sygnału przeglądarki, który miał pozwalać użytkownikom rejestrować rezygnację ze śledzenia bez klikania przez banery zgody na każdej odwiedzanej stronie. Sygnały takie jak ten mają przenosić ciężar zarządzania prywatnością z pojedynczych użytkowników na ustawienia domyślne na poziomie przeglądarki, tak aby jedno ustawienie mogło komunikować preferencje osoby w całej sieci. Usunięcie tego mechanizmu z pakietu Digital Omnibus oznacza, że użytkownicy tracą standardowy, mało uciążliwy sposób wyrażenia sprzeciwu wobec śledzenia i są popychani z powrotem do ręcznego zarządzania wyskakującymi oknami zgody strona po stronie – procesu, przez który większość ludzi klika bez czytania.

Co to oznacza dla Ciebie

Jeśli to porozumienie przejdzie zgodnie z doniesieniami, mieszkańcy UE nie stracą RODO z dnia na dzień, ale stracą część jego praktycznych zębów dokładnie w tych obszarach, gdzie śledzenie jest najbardziej wszechobecne: reklamie i AI. Bez sygnału rezygnacji na poziomie przeglądarki odpowiedzialność za ograniczanie śledzenia przesuwa się jeszcze bardziej na jednostki, a nie na zautomatyzowane narzędzia. To sprawia, że osobiste nawyki dotyczące prywatności stają się ważniejsze, a nie mniej ważne. Dostosowanie ustawień prywatności przeglądarki, ograniczenie plików cookie stron trzecich i korzystanie z VPN do maskowania adresu IP i lokalizacji przed sieciami reklamowymi nie zastąpią tego, co zapewnia silne ramy regulacyjne, ale dodają warstwę kontroli, która nie zależy od tego, jak zakończą się brukselskie negocjacje w tym tygodniu.

Najważniejsze wnioski

Obserwuj, jak zakończą się te negocjacje w Radzie, ponieważ ostateczne brzmienie przepisów dotyczących wyłączeń identyfikatorów śledzących i skrótów dotyczących zgody w AI może jeszcze się zmienić przed przyjęciem. W międzyczasie nie czekaj, aż regulacje nadrobią zaległości: przejrzyj ustawienia ochrony przed śledzeniem w swojej przeglądarce, ogranicz, które strony mogą ustawiać identyfikatory reklamowe, i rozważ VPN jako praktyczny sposób zmniejszenia ekspozycji na śledzenie między witrynami niezależnie od tego, jak ewoluuje zakres RODO. Biorąc pod uwagę, że egzekwowanie RODO przyniosło już miliardy grzywien, podstawowa wartość tego prawa została udowodniona – i właśnie dlatego tegoroczne decyzje Rady w sprawie Digital Omnibus zasługują na publiczną uwagę.