La Comisión Europea (CE) está considerando un paquete «Digital Omnibus» que reescribiría significativamente la ley de privacidad de la UE, específicamente el Reglamento General de Protección de Datos (GDPR).). No es un trato y no debería serlo.
GDPR es el modelo de legislación de privacidad más completo del mundo. Aunque dista mucho de ser perfecto y adolece de una implementación desigual, complejidades y cargas administrativas, el paquete general está lleno de ideas malas y confusas que generalmente socavarán significativamente la protección de la privacidad de los usuarios en aras de reducir la burocracia.
Al menos tiene una buena idea: mejorar las reglas de consentimiento para que los usuarios puedan establecer automáticamente preferencias de consentimiento que se aplicarán a todos los sitios. Pero por mucho que nos guste limitar la fatiga de las cookies, no vale la pena el precio que pagarán los usuarios si se acepta el resto de la propuesta. La UE necesita volver a la mesa de dibujo si quiere lograr su objetivo de simplificar las regulaciones de la UE sin comprometer la privacidad de los usuarios.
Analicémoslo.
Modificar lo que constituyen datos personales
Es parte de un paquete digital más grande. Agenda de simplificación para reducir los costos de cumplimiento y las cargas administrativas para las empresas, haciéndose eco de Draghi los informes convocatoria para promover la productividad y apoyar la innovación. Las empresas se han quejado de la burocracia del RGPD desde su inicio, y se supone que las nuevas reglas facilitarán el cumplimiento y acelerarán el desarrollo de la IA en la UE. La simplificación se presenta como un requisito previo para que las empresas se expandan en la UE, irónicamente apuntando a leyes que también se argumentaba que promovían la innovación en Europa. Estados Unidos podría incluso eliminar los aranceles que ha amenazado con imponer, gracias en parte a un intenso lobby. Grupos de presión meta y tecnológicos.
Busca las propuestas más llamativas reducir la definición de datos personales, La base misma del RGPD. Actualmente, la información se considera datos personales si alguien puede identificar razonablemente a un individuo a partir de ella, ya sea directamente o en combinación con otra información.
La propuesta abandona esta prueba relativamente simple en favor de una variable: si los datos son «personales» depende de si una entidad específica puede o afirma poder hacerlo razonablemente. Esto revisa selectivamente parte de uno reciente. el veredicto El Tribunal de Justicia de la UE, pero ignora varios otros casos que han examinado la cuestión.
Este movimiento estructural reglas específicas de la entidad creará una enorme confusión jurídica y práctica, al igual que los mismos datos puede ser considerado personal para algunos los actores pero no para otros. También crea una manera para que las empresas eviten las obligaciones del RGPD mediante una reestructuración operativa para separar los identificadores de otra información, un cambio en el papeleo en lugar de la identificabilidad real. Además, corresponderá a la Comisión, órgano político ejecutivo, definir qué se consideran datos seudonimizados que no pueden identificarse para determinadas entidades.
Privilegio de IA
En aras de facilitar la innovación en IA, que a menudo se basa en grandes conjuntos de datos en los que pueden aparecer datos confidenciales, el paquete digital trata el desarrollo de la IA como un «interés legítimo», lo que otorga a las empresas de IA una amplia base jurídica para procesar datos personales, a menos que los individuos se opongan activamente. Las propuestas hacen un guiño a las salvaguardias organizativas y técnicas, pero dejan amplia discreción a las empresas.
Otra correccion Crearía una nueva excepción que incluso lo permitiría. datos personales sensibles Para ser utilizado para sistemas de IA en algunos casos. Este no es un consentimiento general: se deben tomar «medidas organizativas y técnicas» para impedir la recopilación o el procesamiento de dichos datos, y se deben hacer esfuerzos razonables para eliminarlos de los modelos de IA o conjuntos de entrenamiento en los que aparecen. Sin embargo, no está claro qué medidas apropiadas o proporcionadas se tomarán.
Junto con la nueva prueba de datos personales, estos privilegios de la IA significan que los derechos básicos de protección de datos, que deberían aplicarse de manera uniforme, pueden cambiar en la práctica dependiendo de los objetivos tecnológicos y comerciales de una empresa.
Y significa que se puede autorizar a los sistemas de inteligencia artificial a procesar datos confidenciales, incluso si no han sido manejados por sistemas que no son de inteligencia artificial y que pueden presentar riesgos iguales o menores. a él.
Amplia reforma más allá del RGPD
Hay adaptaciones adicionales, muchas de ellas preocupantes, como cambios en las reglas para la toma de decisiones automatizada (facilitando a las empresas presentar una reclamación según sea necesario para un servicio o contrato), reduciendo los requisitos de transparencia (explicando cómo se utilizan los datos de los usuarios) y revisando los derechos de acceso a los datos (supuestamente para combatir solicitudes abusivas). Puede encontrar un amplio estudio de la ONG Noyb aquí aquí.
Además, el paquete digital va mucho más allá del RGPD y tiene como objetivo racionalizar el marco regulatorio digital de Europa, incluida la Directiva de privacidad electrónica, las normas de ciberseguridad, la Ley de IA y la Ley de datos. La comisión «realidad cheques”de otra legislación fundamental, lo que sugiere que está considerando otros mandatos.
Señales del navegador y fatiga de las cookies
Hay una propuesta en Digital Omnibus que podría simplificar algo importante para los usuarios: exigir que las interfaces en línea respeten las señales de consentimiento automatizadas, permitiendo a los usuarios optar automáticamente por no dar el consentimiento en todos los sitios web, en lugar de hacer clic en las ventanas emergentes de cookies en cada uno. Las ventanas emergentes de cookies a menudo están diseñadas con «patrones oscuros» que hacen que compartir datos sea más difícil que rechazarlas. Las señales automatizadas pueden combatir la fatiga de los anuncios de cookies y facilitar que las personas ejerzan sus derechos de privacidad.
Aunque esta propuesta es un paso adelante, el diablo está en los detalles: En primer lugar, el formato exacto de la señal de consentimiento automatizada será determinado por las organizaciones de estándares técnicos, donde las grandes empresas tecnológicas históricamente han presionado para obtener estándares que funcionen para ellas. Por lo tanto, los cambios deben definir protecciones mínimas que no puedan debilitarse más adelante.
En segundo lugar, la disposición da el paso importante de exigir que los navegadores web faciliten el envío de esta señal de consentimiento automatizada a los usuarios, para que puedan optar por no participar sin instalar un complemento del navegador.
Sin embargo, los sistemas operativos móviles están exentos de este último requisito, lo que supone un descuido importante. Las personas merecen los mismos derechos de privacidad en sitios web y aplicaciones móviles.
Finalmente, eximir por completo a los proveedores de servicios de medios crea un vacío legal que les permite continuar usando pancartas aburridas o engañosas para obtener el consentimiento para compartir datos. La recopilación de información de usuario por parte de un servicio de medios en su sitio web para rastrear a sus clientes es distinta de la recopilación de noticias, que debe protegerse.
Un panorama jurídico confuso
del comité El uso del proceso «ómnibus» tiene como objetivo racionalizar la legislación agrupando una serie de enmiendas. uno anterior la propuesta Mantuvo intacto el RGPD, centrándose en aliviar la obligación de mantenimiento de registros para las pequeñas empresas, una medida menos polémica. El nuevo paquete digital avanza con evidencia más débil de la que requeriría una reforma estructural fundamental, violando los fundamentos. Mejor regulación principios como coherencia y proporcionalidad.
El resultado es el contrario «simple». Retrasar los requisitos de alto riesgo bajo la Ley de IA hasta finales de 2027 (parte del paquete general) muestra que las empresas enfrentarán un panorama legal desordenado, ya que deberán cumplir con regulaciones que pronto podrían suspenderse y luego reactivarse. Esto suena más a «complicación» que a simplificación.
El paquete digital no es un trato cerrado
Evaluar la legislación existente es parte de un ciclo legislativo sensato y aclarar y simplificar procesos y prácticas complejos no es una mala idea. Desafortunadamente, el paquete digital falla al hacer que los procesos sean aún más complejos, a expensas de la protección de los datos personales.
La simplificación no debería excluir los derechos digitales. La UE debería tener esto en cuenta al lanzar controles de la realidad sobre legislación básica como la Ley de Servicios Digitales y la Ley de Mercados Digitales, donde modificar puede resultar demasiado fácil. hacerlo peorel tipo de solución bien pensada que termina pareciendo el malo restauración del ecce homo.
