Nov osnutek ePrivacy uredbe

Svet Evropske unije je objavil nov osnutek različice Uredbe o e-zasebnosti, ki naj bi nadomestila Direktivo o e-zasebnosti. Evropska komisija je prvi osnutek uredbe o e-zasebnosti odobrila januarja 2017. Od takrat poteka razprava na Svetu.

1. januarja 2021 je Portugalska za šest mesecev prevzela predsedovanje Svetu. Pred naslednjim zasedanjem delovne skupine Sveta, odgovorne za osnutek Uredbe o e-zasebnosti (ePrivacy uredba), je portugalsko predsedstvo izdalo revidirano različico osnutka uredbe. To je že 14. osnutek različice (vključno s prvim osnutkom Evropske komisije).

Po sprejetju bo ePrivacy uredba določila zahteve in omejitve za javno dostopne ponudnike elektronskih komunikacijskih storitev („ponudniki storitev“), ki obdelujejo podatke ali dostopajo do naprav, ki pripadajo fizičnim in pravnim osebam, „ ki so v [Evropski] uniji “ ( “končni uporabnik”). Cilj uredbe je zaščititi zasebnost končnih uporabnikov, zaupnost njihovih komunikacij in celovitost njihovih naprav. Te zahteve in omejitve bodo veljale enotno v vseh državah članicah EU. Imajo pa države članice EU pooblastilo, da omejijo obseg teh zahtev in omejitev, kadar je to „ nujen, ustrezen in sorazmeren ukrep v demokratični družbi za zaščito enega ali več splošnih javnih interesov. “

Kakšne rešitve tokrat predstavljajo Portugalci?

Portugalski osnutek v veliki meri sledi strukturi, ki jo je sprejelo prejšnje nemško predsedstvo. Osnutek je razdeljen na naslednjih pet poglavij:

• poglavje I določa materialni, subjektivni in teritorialni obseg veljavnosti (vključno z zahtevo po imenovanju predstavnika za ponudnike storitev, ki niso iz EGP), opredeljuje izraze, uporabljene v uredbi, in določa standard privolitve;
• poglavje II določa zahteve in omejitve za dostop do podatkov o napravah končnih uporabnikov ( na primer s pomočjo piškotkov in pik), ter dodatne zahteve in omejitve za obdelavo (1) vsebine e-komunikacij, (2) metapodatkov elektronskih komunikacij in (3) podatkov v zvezi z napravami končnih uporabnikov (vključno s programsko in strojno opremo); poglavje II prav tako omejuje procesiranje in shranjevanje na napravah končnih uporabnikov;
• poglavje III določa zahteve in omejitve za (1) komunikacijske storitve, ki temeljijo na (telefonski) številki (na primer javne telefonske storitve in Skype), vključno s ponujanjem javno dostopnih imenikov, in (2) neposredno e-trženje (e-pošta, druga e-sporočila);
• poglavje IV opredeljuje organe, odgovorne za izvrševanje uredbe, in njihova pooblastila; in
• poglavje V opisuje pravna sredstva, odgovornost in kazni.

Vsebinske spremembe osnutka uredbe portugalskega predsedstva predlagajo “poenostavitev besedila in njegovo nadaljnjo uskladitev z GDPR ” ter nadaljnje “odsevanje povezave lex specialis e-zasebnosti z GDPR “. V zvezi s tem portugalsko predsedstvo sledi enakemu pristopu kot prejšnja predsedstva Sveta. Najpomembnejše spremembe portugalskega predsedstva pa vključujejo:

• razširitev ozemeljskega področja uporabe uredbe, tako da se bi ta uporabljala tudi za obdelavo osebnih podatkov s strani upravljavca, ki nima sedeža v EGP, vendar ima sedež v kraju, kjer se zakonodaja držav članic uporablja na podlagi mednarodnega prava; po mnenju predsedstva je bil cilj v celoti uskladiti ozemeljsko področje uporabe uredbe o e-zasebnosti s členom 3(3) GDPR.
• dodajanje opredelitve „lokacijski podatki“.
• ponovna vključitev določb, ki dovoljujejo obdelavo e-komunikacijskih podatkov (vključno z metapodatki) za namene, združljive s prvotnimi nameni, za katere so bili podatki zbrani; to določbo je hrvaško predsedstvo (januar – junij 2020) letos črtalo.
• vpeljava standarda obdelave GDPR za „izvajanje pogodbe“; prejšnja različica osnutka uredbe je pooblastila ponudnike storitev za obdelavo elektronskih komunikacijskih podatkov brez privolitve z namenom prenosa komunikacije. Portugalski osnutek pooblašča ponudnike storitev za obdelavo elektronskih komunikacijskih podatkov (in metapodatkov) z namenom” zagotavljanja elektronske komunikacijske storitve. “Po navedbah portugalskega predsedstva je prejšnja različica vključevala”preveč restriktivno podlago“, ki ni bila v celoti usklajena s pravno podlago GDPR, ki dovoljuje obdelavo osebnih podatkov za izvajanje pogodbe (člen 6 (1) (b)).
• zahteva, da ponudniki storitev izmenjujejo anonimizirane statistične e-komunikacijske podatke s tretjimi osebami, da izvedejo oceno učinka na varstvo podatkov in končne uporabnike obvestijo o predvidenih postopkih obdelave; prejšnja različica osnutka uredbe o e-zasebnosti ni vključevala omejitev pri izmenjavi anonimiziranih statističnih podatkov o elektronskih komunikacijah.
• poblastilo ponudnikom storitev za dostop do podatkov na napravah končnih uporabnikov, kadar je to potrebno za izvedbo pogodbe; prejšnja različica osnutka je ponudnikom storitev dovoljevala dostop do podatkov na napravah končnih uporabnikov le, če je to tehnično potrebno za izvedbo pogodbe. Beseda „tehnično“ je bila črtana.

Podobno kot ePrivacy direktiva bo tudi uredba vključevala določbe, ki poleg določb GDPR veljajo tudi za obdelavo osebnih podatkov, ki jih zbirajo ponudniki elektronskih komunikacijskih storitev. Vendar so pravila ePrivacy širša od GDPR, ker se uporabljajo ne le za obdelavo osebnih podatkov, pač pa tudi za obdelavo drugih podatkov, zbranih iz naprav končnega uporabnika. To je močno otežilo delo Sveta, saj mora na eni strani zagotovi skladnost ePrivacy uredbe z GDPR, po drugi strani pa zagotaviti, da se lahko nekatere določbe uporabljajo samostojno in neodvisno od GDPR.

Zaenkrat je seveda prezgodaj ugibati, ali si bo osnutek portugalskega predsedstva zagotovil podporo drugih držav članic, medtem pa si besedilo novega predloga lahko preberete na tej povezavi.