Europa-Kommissionen foreslår GDPR-lettelser for AI og cookiesporing

Integritetsgrupper advarer om, at ændringerne kan undergrave grundlæggende beskyttelser, mens Kommissionen siger, at de vil forenkle overholdelsen og støtte innovation.

EU vil modernisere GDPR – men risikerer at svække privatlivsbeskyttelsen

Europa-Kommissionen forbereder en omfattende revision af den generelle forordning om databeskyttelse (GDPR), der kan ændre, hvordan virksomheder håndterer personoplysninger – fra cookiesporing til AI-uddannelse. Forslaget, der forventes at blive præsenteret den 19. november, har allerede udløst stærke reaktioner fra privatlivsforkæmpere, der advarer om, at det kan undergrave EU's rammer for privatlivets fred.

Ifølge et lækket udkast rapporteret af den tyske organisation Netzpolitik.org Kommissionen planlægger at inkludere ændringerne i en ny "Digital Omnibus-pakke". Den vil blandt andet fjerne kravet om, at websteder skal indhente udtrykkeligt samtykke, før de placerer cookies, samt tillade brugen af personoplysninger til AI-træning, når det er berettiget af en virksomheds "legitime interesse".

Cookies flyttes under GDPR – mindre samtykke kræves

Forslaget til en ny artikel, 88a, som dækker "behandling af personoplysninger på og fra terminaludstyr". Det betyder i praksis, at reguleringen af cookies flyttes fra e-databeskyttelsesdirektivet til GDPR.

I øjeblikket kræver artikel 5(3) i e-databeskyttelsesdirektivet udtrykkeligt samtykke for alle ikke-essentielle cookies. Kommissionen mener, at dette har skabt unødvendig kompleksitet og højere overholdelsesomkostninger. Det nye forslag ville virksomheder kan behandle data via cookies baseret på en liste over "lavrisikoformål" eller på juridiske grundlag såsom legitim interesse – hvilket betyder, at sporing kan ske som standard med mulighed for, at brugerne efterfølgende kan gøre indsigelse.

”"Selvom samtykke er påkrævet for at sikre kontrol, er det ikke altid det mest passende grundlag for behandling," står der i udkastet.

Privatlivsorganisationer mener dog, at dette risikerer at være et tilbageslag for europæisk databeskyttelse. Europæiske digitale rettigheder (EDRi) skrev i oktober:

“"GDPR, e-databeskyttelse og AI-loven er ikke hindringer for innovation – de er fundamentet for Europas menneskecentrerede digitale model. Kommissionen synes nu at være klar til at svække e-databeskyttelsen."”

Undtagelser for medie- og AI-træning

Forslaget gør en undtagelse for mediebranchen. Nyhedsorganisationer vil fortsat kunne kræve samtykke til cookies med henvisning til behovet for at beskytte journalistikkens økonomiske grundlag.

Samtidig får du Grønt lys for AI-træning. Udkastet foreslår, at virksomheder skal kunne træne, teste og validere AI-systemer med personoplysninger baseret på legitim interesse – så længe de indfører sikkerhedsforanstaltninger såsom dataminimering, gennemsigtighed og ret til at gøre indsigelse. Kommissionen nævner eksempler såsom at opdage bias eller forbedre modellers nøjagtighed.

Men privatlivsadvokater advarer om, at denne ændring kan åbne døren for udbredt datamining uden samtykke, noget GDPR oprindeligt blev skabt for at forhindre.

Begrænsning af beskyttelsen af følsomme data

Et af de mest kontroversielle elementer er den foreslåede begrænsning af, hvad der tæller som følsomme personoplysninger i henhold til artikel 9. Kun data, der afslører direkte følsomme karakteristika, såsom religion eller helbred, ville være dækket. Oplysninger, der kun er indikerer disse via analyse eller profilering ville ikke længere have det samme beskyttelse.

Kritikere siger, at dette kan give virksomheder mulighed for at drage konklusioner om politiske holdninger eller seksuel orientering uden at disse oplysninger deles. beskyttet.

Det Europæiske Juridiske Institut advarede i sin feedback den 14. oktober:

“"Forbedringer må ikke ske på bekostning af beskyttelsen af grundlæggende rettigheder."”

Hvad sker der nu?

Hvis forslaget går igennem, vil virksomheder i hele EU blive skånet for at skulle stole på omfattende cookie-samtykkesystemer og i stedet skulle dokumentere deres juridiske grundlag under legitim interesse. Privatlivsgrupper har advaret om, at høringen var "ekskluderende" og fokuserede på "branchestemmer".

Revisionen kan således være et vendepunkt for Europas databeskyttelse – enten i retning af mere fleksibel regulering, der favoriserer innovation, eller i retning af en svækket privatlivsbeskyttelse for millioner af brugere.