Stebimų duomenų spragos pabaiga: ESTT lemtingo sprendimo supratimas

Daugelį metų teisinių skyrių ir privatumo technologijų startuolių užkulisiuose virė subtili, bet reikšminga diskusija: jei įmonė seka jūsų pelės judesius, registruoja jūsų IP adresą arba stebi jūsų širdies ritmą per dėvimąjį įrenginį, ar jūs pateikėte jiems tuos duomenis, ar jie tiesiog juos rado?

2025 m. gruodį Europos Sąjungos Teisingumo Teismas (ESTT) pateikė galutinį atsakymą, kuris sukėlė atgarsį visoje pasaulinėje technologijų pramonėje. Teismas nusprendė, kad stebimi asmens duomenys — informacija, sugeneruota vartotojui sąveikaujant su paslauga — turi būti laikomi duomenimis, surinktais tiesiogiai iš duomenų subjekto. Šis sprendimas veiksmingai užpildo ilgalaikę spragą, kuria kai kurios organizacijos naudojosi siekdamos atidėti arba sušvelninti savo skaidrumo įsipareigojimus.

Esmė: 13 straipsnis prieš 14 straipsnį

Norėdami suprasti, kodėl šis sprendimas yra svarbus, turime pažvelgti į Bendrojo duomenų apsaugos reglamento (BDAR) mechanizmą. Reglamentas skaidrumą skirsto į dvi kategorijas: 13 straipsnis (duomenys, surinkti tiesiogiai iš asmens) ir 14 straipsnis (duomenys, gauti iš kitur, pavyzdžiui, iš trečiųjų šalių tarpininkų).

Šis skirtumas yra daugiau nei akademinis. Pagal 13 straipsnį įmonė privalo pateikti informaciją apie privatumą būtent tuo momentu, kai duomenys yra renkami. Pagal 14 straipsnį jos dažnai turi iki vieno mėnesio lengvatinį laikotarpį. Teigdamos, kad stebimi duomenys — pavyzdžiui, naršymo istorija ar vietos nustatymo signalai — nebuvo „pateikti“ vartotojo, o veikiau „sukurti“ pačios įmonės jutiklių, kai kurios firmos siekė išvengti 13 straipsnyje numatytų neatidėliotino atskleidimo reikalavimų.

ESTT dabar sugriovė šį argumentą. Teismas konstatavo, kad jei duomenys kyla iš asmens veiksmų ar savybių, fiksavimo būdas — ar tai būtų forma, ar tylus sekimo pikselis — yra nesvarbus. Jie yra renkami tiesiogiai iš asmens.

Kodėl stebimi duomenys nebe laikomi „antriniais“

Ankstyvaisiais interneto laikais „surinkti duomenys“ paprastai reiškė tai, ką įrašydavote į laukelius: jūsų vardą, el. pašto adresą ir pristatymo adresą. Tačiau šiuolaikinėje ekonomikoje vertingiausi duomenys dažnai yra tie, kuriais net nesuvokiate dalijantys. Tai apima:

• Elgsenos metaduomenys: kiek laiko palaikote pelės žymeklį virš vaizdo įrašo, jūsų slinkimo greitis ir paspaudimų modeliai.
• IoT ir jutiklių duomenys: širdies ritmo rodikliai iš išmaniojo laikrodžio arba aplinkos temperatūra iš išmaniojo termostato.
• Techniniai identifikatoriai: MAC adresai, naršyklės „pirštų atspaudai“ ir tiksli geografinė vieta.

Klasifikuodamas tai kaip „tiesiogiai surinktus“ duomenis, ESTT duoda ženklą, kad era „pirmiausia sek, o paaiškink vėliau“ baigėsi. Jei išmanusis automobilis stebi jūsų vairavimo stilių, kad apskaičiuotų draudimo riziką, jis renka tuos duomenis iš jūsų realiuoju laiku. Vadinasi, skaidrumo reikalavimai turi būti įvykdyti būtent tuo momentu.

Poveikis kitiems ES reglamentams

Nors sprendimas grindžiamas BDAR, jo šešėlis driekiasi kur kas toliau. ES skaitmeninė strategija remiasi tarpusavyje susijusių įstatymų tinklu, įskaitant Duomenų aktą, Dirbtinio intelekto aktą ir Skaitmeninių rinkų aktą (SRA). Daugelis šių reglamentų naudoja „vartotojo pateiktų duomenų“ sąvoką, kad apibrėžtų tokias teises kaip duomenų perkeliamumas ar prieiga.

Išplėsdamas tiesioginio rinkimo apibrėžimą, ESTT netiesiogiai išplėtė ir šių kitų įstatymų taikymo sritį. Pavyzdžiui, pagal Duomenų aktą vartotojai turi teisę susipažinti su duomenimis, prie kurių jie „prisidėjo“ naudodamiesi paslauga. Jei „prisidėjimas“ dabar teisiškai apima pasyvų stebėjimą, prijungtų įrenginių gamintojai turės sukurti daug tvirtesnes dalijimosi duomenimis sąsajas, nei planavo iš pradžių.

Praktinės pasekmės technologijų komandoms

Technologijų vadovams (CTO) ir duomenų apsaugos pareigūnams (DAP) šis sprendimas reikalauja pakeisti duomenų srautų audito būdą. Nebepakanka turėti bendrinę privatumo politiką, paslėptą svetainės porštėje.

Apsvarstykite „laiku pateikiamą“ (Just-in-Time) pranešimą. Jei jūsų mobilioji programėlė pradeda sekti tikslią vietos informaciją tą akimirką, kai vartotojas atidaro tam tikrą žemėlapio funkciją, ESTT logika sako, kad pranešimas apie skaidrumą turi būti pateiktas būtent tada. Negalite pasikliauti tuo, kad vartotojas prieš tris mėnesius registruodamasis sutiko su 40 puslapių dokumentu.

Atitikties kontrolinis sąrašas

Jei jūsų organizacija tvarko elgsenos ar jutiklių duomenis, štai ką turėtumėte daryti toliau:

1. Map Your 'Silent' Collection: nustatykite kiekvieną tašką, kuriame jūsų sistema stebi vartotojo elgseną be tiesioginio įvesties laukelio. Tai apima telemetriją, analitiką ir foninį sinchronizavimą.
2. Audit Your Transparency Timing: užtikrinkite, kad kiekviename aukščiau nurodytame taške vartotojui būtų pateikta reikiama 13 straipsnio informacija prieš pradedant stebėjimą arba jo pradžios metu.
3. Update Consent Management Platforms (CMPs): įsitikinkite, kad jūsų sutikimų valdymo platformos ne tik prašo leidimo, bet ir faktiškai pateikia konkrečią informaciją, kurios reikalauja griežtesnė teismo tiesioginio rinkimo interpretacija.
4. Review Third-Party SDKs: daugelis programėlių analitikai naudoja trečiųjų šalių įrankius. Kadangi jūs esate valdytojas, esate atsakingas už tai, kad šie „stebėjimai“ atitiktų neatidėliotino atskleidimo taisyklę.

Žmogiškasis elementas: pasitikėjimo atkūrimas

Iš esmės ESTT sprendimas yra skirtas informacijos asimetrijai tarp milžiniškų technologijų platformų ir pavienių vartotojų mažinti. Kai sistema mus stebi, ji dažnai žino apie mūsų pomėgius ir sveikatą daugiau, nei mes sąmoningai suvokiame. Versdamas įmones pripažinti šį stebėjimą kaip tiesioginį mūsų asmenybės duomenų rinkimą, teismas skatina sąžiningesnę skaitmeninę sutartį.

Technologijų pramonei tai gali atrodyti kaip dar viena reguliavimo kliūtis. Tačiau įmonės, kurios priims šį skaidrumą — pasitraukdamos iš „stebimų duomenų“ šešėlio į aiškios komunikacijos realiuoju laiku šviesą — ilgainiui tikriausiai sukurs gilesnį ir atsparesnį vartotojų pasitikėjimą.