Czy pamiętacie o Wielkiej Reformie Prywatności? Dziennik Internautów pisze o niej od 2012 roku. Chodzi o naprawdę wielką reformę unijnych przepisów dotyczących ochrony danych osobowych. Ma ona wprowadzić m.in. jeden zestaw przepisów dotyczących ochrony danych osobowych obowiązujący w całej UE. Ma wzmocnić "prawo do bycia zapomnianym". Ma wprowadzić ograniczenia dotyczące profilowania i miała zaostrzyć kary za naruszenia prawa ochrony danych.

Co z tą reformą?

Co się dzieje z tą reformą? Rok temu Parlament Europejski przegłosował projekt przepisów. Reformą zajęła się Rada UE i już w marcu tego roku pojawiły się przecieki sugerujące, że reforma zostanie poważnie osłabiona. Jeśli macie teraz déjà vu to nic dziwnego, bo podobnie było z neutralnością internetu. Najpierw efektowne głosowanie w Parlamencie Europejskim i mówienie o bronieniu praw obywateli, potem do gry wchodzi Rada UE i wszystkie ważne interesy obywateli jakby tracą na znaczeniu.

Przejdźmy do najnowszych wydarzeń. Wczoraj w Luksemburgu ministrowie sprawiedliwości osiągnęli porozumienie w sprawie podejścia do reformy. Teraz przewiduje się, że w czerwcu rozpoczną się rozmowy trójstronne z Parlamentem i Radą, a ostateczne porozumienie trzech instytucji może być osiągnięte do końca 2015 r. 

- Zrobiliśmy dzisiaj duży krok naprzód w staraniach o przystosowanie Europy do ery cyfrowej. Obywatele i przedsiębiorstwa zasługują na nowoczesne zasady ochrony danych, uwzględniające ostatnie zmiany technologiczne (...) Dzięki wysokim standardom ochrony danych wzrośnie zaufanie konsumentów do usług cyfrowych, a przedsiębiorstwa będą mogły korzystać z jednego zbioru przepisów obowiązujących w 28 krajach - mówiła Vĕra Jourová, komisarz do spraw sprawiedliwości, konsumentów i równouprawnienia płci.

Kary nie takie dotkliwe 

Rzeczywiście nastąpił pewien postęp w pracach nad reformą, ale pojawiają się wątpliwości, czy standardy ochrony danych będą tak mocne jak oczekiwano. Przykładowo rok temu Parlament Europejski ustalił, że grzywny za naruszenia prawa ochrony danych mają wynosić albo 5% rocznych obrotów, albo 100 milionów euro - w zależności od tego, która kwota będzie dla nich bardziej dotkliwa. Wczoraj ministrowie sprawiedliwości ustalili, że kary mogą sięgnąć 1 mln euro lub 2% łącznych rocznych obrotów przedsiębiorstwa. Wyraźnie złagodzono podejście do firm. 

Również wczoraj, w związku z porozumieniem ministrów, swoje oświadczenie wydała organizacja European Digital Rights (EDRi). Nie jest ona zadowolona z przebiegu prac nad reformą. 

- Kluczowe elementy modernizacji zostały osłabione do takiego poziomu, że są bez znaczenia (...) Obecnie dyrektywa (w sprawie ochrony danych - red.) zawiera 34 artykuły, a stanowisko Rady ma 48 wyjątków, w ramach których Państwa Członkowie mogą zrobić co chcą - czytamy w stanowisku EDRi. Zdaniem organizacji jeśli obecnie liczba wyjątków jest większa niż całkowita liczba artykułów w funkcjonującej dyrektywie to raczej trudno mówić o wzmocnieniu ochrony dla obywateli. 

Problemowe definicje

EDRi zwraca uwagę na to, że obecnie proponowany tekst pozwala na przetwarzanie danych osobowych w celach naukowych i statystycznych, ale nie wiadomo jakie to dokładnie cele. Wiele firm może dziś przetwarzać dane dla zysku jednocześnie twierdząc, że stoi za tym cel badawczy. 

EDRi wskazuje również na zamiar usunięcia z przepisów obowiązku przetwarzania minimalnej ilości danych oraz obowiązku przetwarzania danych tylko wówczas, gdy założony cel nie może być osiągnięty bez przetwarzania danych osobowych. Te zmiany mogą prowadzić do tego, że administratorzy danych będą przetwarzać nasze dane w większym stopniu niż to konieczne. 

Pojawiają się również zastrzeżenia do pojęcia "uzasadnionego interesu", który może pozwalać na przetwarzanie danych bez zgody. W praktyce może się okazać, że powodem przetwarzania nie będzie uzasadniony interes, ale coś, co firmy potrafią nazwać uzasadnionym interesem.

Zgodę na przetwarzanie danych osobowych też można rozumieć różnie. Jeśli definicja nie będzie ona odpowiednio skonstruowana, osłabi to mechanizmy ochrony danych. 

Co dla firm?

EDRi to oczywiście organizacja zainteresowana obroną prywatności. Inne spojrzenie na tę reformę miałyby firmy np. z branży internetowej. Im zależy na tym, aby prawa ochrony danych nie były nadmiernym obciążeniem.

Reforma tak czy owak wprowadza pewne ułatwienia dla firm np. jeden punkt kontaktowy. Chodzi o to, że firmy będą kontaktować się z jednym organem nadzoru, a nie z 28. Generalnie dzięki reformie przedsiębiorstwa będą musiały przestrzegać jednego prawa, a nie 28.

Firmy oczywiście nie chcą poprzestać na tych korzyściach. Dla podmiotów takich jak Google czy Facebook, dane osobowe stanowią istotną wartość. Te firmy chcą mieć swobodę pozyskiwania i przetwarzania danych. Teraz Rada UE najwyraźniej chce zapewnić tym firmom wygodne przetwarzanie danych, przy zmniejszonym ryzyku reakcji ze strony regulatorów. Pytanie tylko, czy reforma dotycząca ochrony danych powinna temu właśnie służyć? Czy reforma powinna służyć ustaleniu wygodnych zasad rynkowych czy też faktycznej ochronie podstawowych praw ludzi? 

Problem z prawami podstawowymi

Z prawami podstawowymi jest ten problem, że nie stoją za nimi żadne komercyjne interesy. Politycy powinni to uwzględniać i powinni rozumieć, że od czasu do czasu trzeba powiedzieć "stop" w imię pewnej wyższej racji. Realizacja tej wyższej racji może wydawać się nieopłacalna dla tej lub innej firmy, ale w dłuższej perspektywie prowadzi do ustalenia zdrowszych zasad dla wszystkich. Pytanie brzmi, czy przy tej reformie tej zdrowe zasady gdzieś się nie zgubią?