Vodič kroz Digitalni omnibus: Što bi se trebalo promijeniti u AI actu, GDPR-u…

Digitalni omnibus je posljednji prijedlog Europske komisije koji je objavljen krajem studenog, a cilj mu je sveobuhvatno izmijeniti digitalni regulatorni okvir EU, prije svega srezati administrativne troškove usklađivanja s nizom propisa u području digitalnog tržišta te potaknuti inovacije i pospješiti konkurentnost EU.

Paket Digitalni omnibus sadrži dva propisa, jedan pokriva područje osobnih podataka, kibernetičke sigurnosti te pravila o privatnosti, a drugi se odnosi na izmjene Uredbe o umjetnoj inteligenciji.

Njime je obuhvaćen niz propisa koji trenutno reguliraju digitalno tržište kao što su GDPR, već spomenuta Uredba o umjetnoj inteligenciji (AI Act), Direktiva o privatnosti i elektroničkim komunikacijama (ePrivacy Directive), NIS2 Direktiva, Akt o podacima i slično.

Prava doza regulacije

Već se godinama nižu kritike na račun EU kao superregulatora koji sputava razvoj tehnologije i inovativnih rješenja svojim robusnim regulatornim okvirom te tako nameće brojne obveze i ograničenja europskim poduzetnicima i startupovima.

Za razliku od EU, primjerice SAD i Kina imaju gotovo laissez faire pristup, dopuštajući tako tehnologiji nesputan razvoj. Gdje je granica između superregulacije i zdrave doze regulacije, to je pitanje na koje nitko nema odgovor koji će zadovoljiti obje strane (i regulatore i inovatore).

Međutim kako se čini, EU komisija je ipak shvatila da trenutna regulatorna ograničenja narušavaju EU konkurentnost, i to zahvaljujući izvješću Marija Draghija o budućnosti EU konkurentnosti, kojeg je Europska komisija postavila kao posebnog izvjestitelja za tu temu.

Draghi je u svom izvješću u rujnu 2024. upozorio kako EU zaostaje u ključnim tehnologijama, kako nema dovoljno brzog rasta mladih tech kompanija, a da fragmentiranost i složenost postojećeg pravnog okvira ima značajan (negativan) utjecaj na EU konkurentnost.

Rješenje za taj nimalo banalan problem EU komisija je izložila u prijedlogu Digitalnog omnibusa. Drugim riječima, klin se klinom izbija, a superregulacija novom uredbom koja najavljuje zaista značajne promjene u svijetu digitalnog tržišta o kojima će uskoro svi pričati.

Što predlaže Digitalni omnibus?

Digitalni omnibus predlaže sveobuhvatne promjene u nizu zakona koji se tiču digitalnog tržišta. Izdvojili smo prijedloga najvećih promjena:

Promjena definicije osobnih podataka iz GDPR-a

Jedan od najkomentiranijih prijedloga promjene odnosi se bez sumnje na promjene u Općoj uredbi o zaštiti osobnih podataka (GDPR).

Naime, Digitalni omnibus predlaže redefiniranje pojma „osobnih podataka”. Prema tom prijedlogu, osobnim podatkom više se ne bi smatrale informacije za koje subjekt koji njima raspolaže nema „sredstva koja se razumno mogu upotrijebiti” za identifikaciju pojedinca.

U skladu s presudom Suda Europske unije (SEU) u predmetu EDPS vs. SRB (C-413/23), informacija se ne bi smatrala osobnim podatkom za taj subjekt – te bi time bila izuzeta iz područja primjene GDPR-a – ako je identifikacija zakonski zabranjena ili bi zahtijevala nerazmjeran napor da se pomoću nje otkrije identitet osobe.

Prijedlog također predlaže Europsku komisiju kao nadležno tijelo za donošenje provedbenih akata kojima bi se pojašnjavalo u kojim se slučajevima pseudonimizirani podaci ipak ne smatraju osobnim podacima, za određene subjekte.

Lakše treniranje AI sustava

Predlažu se dvije ključne izmjene GDPR-a radi pojašnjenja pravila o obradi osobnih podataka u svrhu razvoja i primjene sustava umjetne inteligencije. Digitalni omnibus predlaže izričito priznati takvu obradu kao „legitiman interes” prema GDPR-u. No, voditelji obrade bi i dalje morali dokazati nužnost i proporcionalnost obrade te primijeniti odgovarajuće zaštitne mjere, uključujući minimiziranje korištenih podataka za treniranje AI modela i osiguranje bezuvjetnog prava ispitanika na prigovor obradi osobnih podataka.

Nadalje, predlaže se i uvođenje iznimke od zabrane obrade „posebnih kategorija osobnih podataka” u slučajevima kada skup podataka sadržava preostale osjetljive podatke, pod uvjetom da su primijenjene tehničke mjere za njihovo minimiziranje i uklanjanje.

Drugim riječima, samo podaci koji direktno otkrivaju podatke o zdravlju, političkom i/ili religijskom uvjerenju, seksualnom opredjeljenju kvalificirali bi se kao posebno osjetljivi osobni podaci, dok svi izvedeni podaci ne bi uživali takvu zaštitu.

U praksi to znači slijedeće – algoritmi na temelju određenih parametara mogu „pogoditi“ da je osoba bolesna, trudna ili da je određenog političkog uvjerenja. Inputi koji su doveli AI do tog zaključka više se neće smatrati posebno osjetljivom kategorijom osobnih podataka, što je u suprotnosti s nedavnom presudom EU suda u predmetu C-21/2023 Lindenapotheke.

Jasnije odredbe o „znanstvenim istraživanjima”

 Pojam „znanstveno istraživanje” bio bi široko definiran kao „svako istraživanje koje može poduprijeti inovacije, kao što su tehnološki razvoj i prikazivanje”.

Takvo istraživanje može „ciljati na komercijalni interes”, ali mora doprinositi postojećem znanstvenom znanju, širiti opću društvenu dobrobit te poštovati etičke standarde u dotičnom području.

Nadalje, dodatna obrada u znanstvene svrhe smatrala bi se kompatibilnom s prvotnom svrhom obrade, a znanstveno istraživanje priznalo bi se kao legitiman interes.

Time su trenutne postavke za GDPR usklađeno provođenje znanstvenih istraživanja značajno promijenjene, olakšavajući obradu osobnih podataka u znanstvene svrhe, ali i slabeći jedno od temeljnih načela GDPR-a, a to je načelo ograničenja svrhe.

Nova, pojednostavljena pravila o kolačićima

Digitalni omnibus predlaže riješiti tzv. consent fatigue, odnosno problem napornih ishođenja privola i čestih pop-up prozora o kolačićima uvodeći fleksibilniji i usklađeniji pristup pravilima praćenja na internetu.

Između ostalog, prijedlog bi dopustio pohranu osobnih podataka ili pristup njima bez privole korisnika u određenim slučajevima, primjerice kada je nužno mjerenje publike ili osiguravanje sigurnosti sustava. U budućnosti se predviđa uvođenje mehanizama za univerzalne postavke privatnosti koji bi korisnicima omogućili da jednom izraze privolu ili isključe praćenje za sve internetske stranice i aplikacije.

Za tehničke specifikacije bili bi zaduženi relevantni standardizacijski subjekti, a pružatelji preglednika, operacijskih sustava i trgovina aplikacija morali bi podržavati te postavke. Operatori internetskih stranica i aplikacija morali bi ih provesti u roku od šest mjeseci od stupanja na snagu.

Jedinstveni EU portal za prijavu povreda podataka

Trenutno je, u slučaju incidenta, kibernetičkog napada ili povrede osobnih podataka, potrebno ispuniti čitav niz obveza prijavljivanja takvog nepoželjnog događaja i to na niz različitih adresa. Komisija planira uspostaviti centralni EU portal za prijavu povreda podataka.

Taj bi portal bio pod ingernecijom ENISA-e, a funkcionirao bi prema modelu „jednom prijavi – široko dijeli” radi pojednostavljenja obveza prema GDPR-u, Direktivi NIS2, Uredbi o digitalnoj operativnoj otpornosti (DORA), Direktivi o otpornosti kritičnih entiteta i nadolazećem Aktu o kibernetičkoj otpornosti.

Preklapajuće obveze izvješćivanja prema Direktivi o e-privatnosti za pružatelje komunikacijskih usluga bile bi ukinute. Voditelji obrade morali bi prijavljivati samo povrede koje predstavljaju visok rizik za ispitanike, a rok za prijavu bio bi produljen na 96 sati (u odnosu na sadašnjih 72 sata). Europski odbor za zaštitu podataka (EDPB) izradio bi standardizirani obrazac za prijavu, koji bi Komisija usvojila provedbenim aktom.

Procjena učinka na zaštitu podataka (DPIA)

Prema prijedlogu, Europski odbor za zaštitu podataka (EDPB) bio bi nadležan za izradu EU popisa aktivnosti obrade koje zahtijevaju, odnosno ne zahtijevaju procjenu učinka na zaštitu osobnih podataka (eng. data protection impact assessment – DPIA), čime bi se zamijenili nacionalni popisi.

Također bi razvio standardizirani predložak i metodologiju za provedbu DPIA, koje bi Komisija mogla usvojiti provedbenim aktom. Popisi i metodologija redovito bi se ažurirali, najmanje svake tri godine.

EU digitalni poslovni novčanik

Zajedno s Digitalnim omnibusom, Komisija usporedno radi na prijedlogu Uredbe o europskim poslovnim novčanicima. Ideja iza poslovnih novčanika je pojednostaviti usklađivanje s regulatornim okvirom i smanjiti administrativna opterećenja za poduzeća, na način da djeluju kao jedinstvena platforma za pojednostavljenu interakciju diljem EU.

Implementacijom jedinstvenog i trajnog identifikatora koji će djelovati kao digitalni poslovni novčanik, poduzeća će biti ovlaštena digitalno provjeravati identitete, potpisivati ​​dokumente, dodavati vremenske pečate i besprijekorno razmjenjivati ​​provjerene digitalne informacije preko granica korištenjem jedinstvenog rješenja.

Usvajanjem europskih poslovnih novčanika, poduzeća, posebno mala i srednja poduzeća, moći će se s lakoćom snalaziti u usklađivanju, oslobađajući vitalne resurse koji se mogu preusmjeriti prema rastu i inovacijama.

Kada će promjene stupiti na snagu?

Digital Omnibus tek je prijedlog EU Komisije koji će se razmatrati sukladno redovitom  zakonodavnom postupku u Europskom parlamentu i Vijeću. Konačni tekst ovisit će o njihovoj ocjeni i izmjenama tijekom zakonodavnog procesa, a okvirna procjena EU Komisije je da će promjene efektivno ugledati svjetlo dana krajem 2027. godine.

No, ono što je sigurno jest da će prigovori u samom tijeku zakonodavnog postupka biti brojni, kao i zahtjevi za izmjenu.

Iako je ideja Europske komisije srezati administrativne troškove u digitalnom sektoru, i to za oko 2,4 milijarde eura, mnogi su skeptični prema novom prijedlogu ističući kako će inicijalna adaptacija poduzećima donijeti nove troškove, a bez jasnih praktičnih olakšica koje su zazivali svih ovih godina.

Osim toga, najavljena promjena definicije „osobnih podataka“ u smislu GDPR-a u startu je problematična zbog moguće posljedice višeslojne klasifikacije i neujednačenih interpretacija od strane voditelja obrade osobnih podataka čija će subjektivna ocjena biti od presudne važnosti, kao i činjenica da se podaci na temelju kojih AI sustav donosi zaključak o nečijem zdravstvenom stanju ili političkom uvjerenju ne smatraju posebno osjetljivim osobnim podacima.

Na kraju, bit će zanimljivo pratiti kako će Komisija odgovoriti na kritike da se u prijedlogu Digitalnog omnibusa gubi privatnost u online svijetu koja je trenutno regulirana Direktivom 2002/58/EZ o privatnosti i elektroničkim komunikacijama gubi i de facto izjednačuje s etabliranim pravom na zaštitu osobnih podataka koje je regulirano GDPR-om.

U svakom slučaju, prijedlog Digitalni omnibus ima potencijal donijeti tektonske promjene u digitalnom tržištu mijenjajući regulatorni okvir kakvog poznajemo, nada(j)m(o) se za dobrobit tog tržišta, a ne tek kao nastavak superregulacije bez efektivnih promjena s praktičnom vrijednosti.