| IFK | IRB | INFORLEX | GAZETA PRAWNA | INFORORGANIZER | APLIKACJE | KARIERA | SKLEP
reklama
Jesteś tutaj: STRONA GŁÓWNA > Moja firma > Biznes > Firma > e-Firma > Technologia > Projektowane rozporządzenie e-privacy, lex specialis RODO

Projektowane rozporządzenie e-privacy, lex specialis RODO

Komisja Europejska chce zaostrzyć przepisy dotyczące gromadzenia i przetwarzania danych osobowych użytkowników Sieci. 10 stycznia 2017 r. opublikowała projekt rozporządzenia ePrivacy. Jego przepisy mają skuteczniej zapewniać prywatność w łączności elektronicznej.

Przyjęte przez Parlament Europejski i Radę rozporządzenie z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych 2016/679 (RODO), które wejdzie w życie w dniu 25 maja 2018 r. wprowadza znaczne zmiany w zakresie oraz sposobie ochrony danych osobowych. Postanowiono w związku z tym, że w motywie 173, a także artykule 98 tego rozporządzenia należy dokonać przeglądu oraz zmiany innych aktów prawnych Unii dotyczących danych, w tym dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (Dz.Urz. WE L 201 z 31 lipca 2002 r. s. 54 i n.) w sprawie przetwarzania danych osobowych oraz ochrony prywatności w sektorze komunikacji elektronicznej (dalej dyrektywa).

W związku z powyższym Parlament Europejski oraz Komisja podjęły prace nad zmianą regulacji dotyczącej powyższego zakresu czyli e-privacy, tak aby był on spójny z innymi wprowadzanymi zmianami w unijnym prawie. Efektem prac było opublikowanie 10 stycznia 2017 r. projektu rozporządzenia e-privacy (dalej EPR), które ma zastąpić dotychczas obowiązującą dyrektywę 2002/58/WE. Ma też wejść w życie w tym samym czasie co RODO, czyli 25 maja 2018 r.).

Niewystarczające regulacje

Rozporządzenie EPR stanowi lex specialis w stosunku do RODO. Unowocześnia przestarzałe i niewystarczające już w związku z rozwojem technologicznym rozwiązania. Zaznacza się bowiem, że zarówno konsumenci, jak i przedsiębiorcy w co raz większym stopniu przenoszą swoją działalność do Internetu, który zastępuje dotychczasowe, tradycyjne środki komunikacji. W ostatnich latach tymczasem powstają nowe rodzaje usług, m.in. tak zwane Over-the-Top communcation services (OTT), które polegają na świadczeniu usług komunikacji elektronicznej poprzez działające w Internecie aplikacje zapewniane przez usługodawców, np. komunikatory WhatsApp czy Messenger. Tego typu usługi nie są jednak objęte regulacjami dyrektywy e-privacy, co stanowi lukę w ochronie użytkowników.

Ponadto, zapewnienie ochrony użytkowników na poziomie dyrektywy, jest w ocenie Komisji i Parlamentu UE, niewystarczające. Prowadzi bowiem do fragmentaryzacji prawa, a także do nierównego poziomu ochrony w poszczególnych krajach UE. Wobec powyższego, uznano, że najbardziej odpowiednim środkiem prawnym będzie rozporządzenie, które na nowo, w bardziej przystający do rzeczywistości sposób oraz w zgodzie z kolejnymi aktami prawnymi przyjmowanymi przez unijnego prawodawcę, w tym przede wszystkim RODO, ureguluje powyższe kwestie.

Sprawdź: INFORLEX SUPERPREMIUM

Bezpieczeństwo przede wszystkim

W rozporządzeniu znajduje odzwierciedlenie zasada rozliczalności. Wskazuje ona, że dostawcy sieci i dostawcy usług muszą podjąć wszelkie starania i środki w celu zagwarantowania bezpieczeństwa świadczonych usług. Będą oni mieć również obowiązek informowania abonentów o szczególnym ryzyku naruszenia bezpieczeństwa sieci, a także o środkach, które abonenci mogą podejmować w celu ochrony bezpieczeństwa łączności, np. przez zastosowanie szczególnych rodzajów oprogramowania lub technologii kodowania. Rozporządzenie pozwala w jednolity sposób uregulować we wszystkich państwach członkowskich podejście, które zapewniałoby, że nowe technologie, nowe możliwości i sposoby świadczenia usług i komunikowania się nie będą zagrażały prywatności. Nie będą również uniemożliwiały korzystania z zagwarantowanych praw dotyczących ochrony komunikowania się i ochrony danych oraz ze nie będą uderzać w bezpieczeństwo i porządek państwa. Rozporządzenie nie ogranicza równego i swobodnego dostępu do prowadzenia działalności w zakresie telekomunikacji.

Bezpośrednie stosowanie

Przyjęcie przepisów e-privacy w rozporządzeniu, podobnie jak w przypadku RODO, oznacza, że ten akt będzie obowiązywał wprost we wszystkich krajach Unii Europejskiej, bez konieczności, a także możliwości wprowadzania odrębnych przepisów przez poszczególne państwa. Kraje UE będą mogły wprowadzić do swoich porządków prawnych jedynie takie przepisy, które będą niezbędne do należytego egzekwowania rozporządzenia. Powyższe będzie skutkować koniecznością uchylenia lub znaczącej zmiany polskiej ustawy o świadczeniu usług drogą elektroniczną, tak aby usunąć z niej przepisy, które byłyby sprzeczne z EPR lub stanowiłyby powtórzenie jego postanowień.

Projekt rozporządzenia e-privacy wskazuje, że podstawowym aktem prawnym w zakresie ochrony danych osobowych jest RODO. Niemniej jednak, aby zapewnić odpowiednią ochronę w związku z komunikacją elektroniczną, rozporządzenie e-privacy przyjmuje dodatkowe rozwiązania. Podstawowym założeniem przyjętej konstrukcji jest stworzenie kompletnej i spójnej regulacji, która będzie miała zastosowanie niezależnie od zastosowanych technologii komunikowania się na odległość, tak aby ochrona była rzeczywista, także w przyszłości, gdy mogą powstać nowe sposoby komunikacji elektronicznej.

Modyfikacja pojęć

Rozporządzenie EPR ma zastosowanie do przedsiębiorców telekomunikacyjnych, będących dostawcami usług łączności elektronicznej udostępnianych ogółowi. Wymaga od nich zapewnienia przestrzegania zobowiązań dotyczących poufności telekomunikacji i ochrony danych osobowych oraz praw i obowiązków w odniesieniu do sieci i usług łączności elektronicznej. Przypomnijmy, że przedsiębiorca telekomunikacyjny oznacza przedsiębiorcę lub inny podmiot uprawniony do wykonywania działalności gospodarczej na podstawie odrębnych przepisów, polegającej na dostarczaniu sieci telekomunikacyjnych, świadczeniu usług towarzyszących lub usług telekomunikacyjnych. Taki przedsiębiorca, uprawniony do świadczenia usług telekomunikacyjnych zwany jest „dostawcą usług”, a przedsiębiorca uprawniony do dostarczania publicznych sieci telekomunikacyjnych lub świadczenia usług towarzyszących zwany jest „operatorem”.

Rozporządzenie EPR odnosi się nie tylko do komunikatów, które aktywnie i świadomie są przesyłane do innych użytkowników, ale również tych, które przesyłane są pomiędzy sobą przez podłączone do sieci przedmioty, jeżeli zawierają one dane osobowe (Internet rzeczy). Zresztą EPR znacząco modyfikuje i rozszerza dotychczasowe pojęcia zdefiniowane na gruncie dyrektywy, a także odsyła do definicji zawartych w innych unijnych aktach prawnych. W zakresie w jakim EPR dotyczy kwestii ochrony danych osobowych zastosowanie będą miały pojęcia zawarte w RODO, przede wszystkim definicja przetwarzania. Natomiast w zakresie zasad ochrony prywatności i zasad świadczenia usług łączności elektronicznej, zastosowanie będą miały pojęcia zawarte w Europejskim Kodeksie Komunikacji Elektronicznej (EECC). Obecnie jest on również w fazie projektu. Znalazły się w nim definicje wielu pojęć. Jedną z nich jest „usługa łączności elektronicznej”. Jest to usługa świadczona za pośrednictwem sieci łączności elektronicznej polegająca na dostępie do Internetu, czy też świadczenie usług łączności maszyna-maszyna tzw. Internet rzeczy. Z kolei pojęcie „użytkownika końcowego” rozumiane jest jako podmiot, który korzystając z publicznie dostępnych usług łączności elektronicznej, nie udostępnia publicznych sieci lub usług. Jest wyłącznie odbiorcą usługi i uczestnikiem sieci.

W opinii unijnego ustawodawcy, wobec znacznego poszerzenia ochrony prywatności użytkowników sieci - przede wszystkim Internetu - niezbędnym było szczegółowe określenie czym jest komunikacja elektroniczna i co stanowi jej części składowe. Z tego też względu EPR wprowadza pojęcie połączenia elektronicznego, które będzie rozumiane, jako wymiana elektronicznych komunikatów pomiędzy skończoną liczbą użytkowników. Nowymi pojęciami są także:

  • treść połączeń elektronicznych - oznaczająca tekst, głos, dźwięk, obraz;
  • metadane połączeń elektronicznych - oznaczające wszelkie dane dotyczące użytkownika końcowego, przetwarzane na potrzeby transmisji, dystrybucji lub wymiany zawartości elektronicznego komunikatu, obejmujące m.in. datę, miejsce, długość trwania komunikatu, jego typ oraz przeznaczenie, jak również dane dotyczące urządzenia umożliwiające zidentyfikowanie użytkownika końcowego;
  • dane połączeń elektronicznych – na które składają się treść oraz metadane.

EPR odsyła także do definicji urządzenia końcowego, zawartego w Dyrektywie Komisji 2008/63/WE z dnia 20 czerwca 2008 r. w sprawie konkurencji na rynkach końcowych urządzeń telekomunikacyjnych, przez które należy rozumieć każde urządzenie podłączone do sieci publicznej w celu przesyłania, przetwarzania lub odbierania informacji – a zatem przede wszystkim komputery, smartfony, czy tablety.

Zakres obowiązywania EPR

EPR swoimi postanowieniami obejmuje przetwarzanie danych połączeń elektronicznych, w związku z korzystaniem z usług łączności elektronicznej oraz przetwarzanie informacji związanych z urządzeniami końcowymi użytkowników końcowych realizowane przez wszelkie podmioty zapewniające usługi łączności elektronicznej oraz prowadzące publicznie dostępne spisy abonentów, a także podmioty, których działalność nie była dotychczas objęta regulacją e-privacy – zapewniające dostęp do oprogramowania umożliwiającego elektroniczną komunikację tzw. OTT.

Ponadto EPR ma także zastosowanie do jakichkolwiek podmiotów, które korzystając z usług łączności elektronicznej zbierają informacje o użytkownikach końcowych lub kierują do nich reklamy wykorzystując przy tym środki marketingu bezpośredniego. Są to a zatem takie podmioty, jak Google, które poprzez swoje usługi monitorowania użytkownika umożliwiają reklamodawcom profilowanie reklam dla konkretnego użytkownika. Należy przy tym zwrócić uwagę, że elektroniczne komunikaty są objęte ochroną niezależnie od tego, czy dotyczą one osób fizycznych czy prawnych – w przeciwieństwie do zasad ochrony danych osobowych. Z tego też względu każde przetwarzanie danych połączeń elektronicznych będzie podlegało ochronie rozporządzenia EPR. Ponadto w przeciwieństwie do obowiązującej dyrektywy e-privacy rozporządzenie obejmuje wszelkie elementy łączności elektronicznej, a nie jedynie dane osobowe przekazywane w związku z jej prowadzeniem.

Nie dla systemów wewnętrznych

Przepisy EPR nie mają jednak zastosowania do działań leżących poza kompetencją Unii, usług łączności elektronicznej niedostępnych publicznie (np. wewnętrzne systemy w przedsiębiorstwach), a także przetwarzania takich komunikatów przez organy państw członkowskich UE spowodowanych koniecznością zapewnienia bezpieczeństwa wewnętrznego kraju, obrony, czy też egzekwowania krajowego prawa karnego. Niemniej jednak państwa członkowskie powinny przyjąć stosowne przepisy w tym względzie, tak aby ewentualne przetwarzanie przez władze państwowe poufnych komunikatów, pozostało, zgodnie z EPR wyjątkiem, a nie stało się zasadą.

Aby ochroną objąć jak największą ilość przetwarzanych danych łączności elektronicznej, EPR będzie miało zastosowanie do świadczenia usług łączności elektronicznej na rzecz użytkowników końcowych zamieszkujących w UE - niezależnie od tego, czy usługa jest płatna bądź darmowa. EPR ma być też stosowane do użytkowania takich usług oraz w celu zapewnienia ochrony informacjom, które są związane z urządzeniem końcowym należącym do użytkownika końcowego, zamieszkującego w UE. Każda usługa, która w ostatecznym rezultacie jest wykonywana na terenie UE lub użytkownik końcowy zamieszkały w Unii z niej korzysta, będzie musiała spełniać wszelkie wymogi przewidziane w EPR.

Rozszerzony w stosunku do dyrektywy e-privacy zakres zastosowania EPR, obejmuje poza tradycyjnymi środkami łączności elektronicznej takich jak telefon czy SMS, wspomniane wyżej usługi OTT, a także komunikację na linii maszyna-maszyna. Chodzi tu o połączenia elektroniczne pomiędzy urządzeniami, bez udziału człowieka, o ile przetwarzają dane osobowe lub informacje dotyczące użytkowników końcowych. Także podmioty, które udostępniają publicznie dostępne sieci wifi (hotspoty), będą zobowiązane do przestrzegania przepisów EPR.

Szeroka ochrona

Proponowany zakres ochrony EPR jest zatem bardzo szeroki i będzie obejmował dużo większą liczbę podmiotów niż obecnie. Obowiązanymi będą przede wszystkim wszystkie podmioty prowadzące strony internetowe umożliwiające wzajemną komunikację użytkowników, podmioty dostarczające oprogramowanie w postaci przeglądarek internetowych, czy różnego aplikacji instalowanych na komputerach, smartfonach, tabletach itp., które będą przetwarzać jakiekolwiek dane osobowe w rozumieniu RODO lub dane połączeń elektronicznych. W dzisiejszych realiach właściwie każdy usługodawca - nawet jeżeli jego podstawową działalnością nie jest działalność usług łączności elektronicznej (np. bank), o ile jednak tworzy on aplikację na smartfon umożliwiającą dostęp do konta - będzie zobowiązany do wdrożenia i przestrzegania regulacji zawartych w EPR.

Zobowiązane będą też podmioty, które niejako przy okazji, świadczą usługi np. dostępu do sieci wifi, a zatem wszelkiego rodzaju kawiarnie, restauracje czy tradycyjne sklepy. A zatem właściwie każdy podmiot, który w jakikolwiek sposób wykorzystuje nowoczesne technologie komunikacji z klientami, będzie zobowiązany do przestrzegania rygorów EPR.

Najpierw poufność

Zasadą, która leży u podstaw świadczenia jakiejkolwiek usługi łączności elektronicznej, podobnie jak na gruncie dotychczasowej dyrektywy e-privacy, jest zasada poufności określona w art. 5 EPR. A zatem jakakolwiek ingerencja w połączenie elektroniczne, takie jak podsłuchiwanie, monitorowanie, skanowanie, nagrywanie czy przetwarzanie przez jakikolwiek podmiot, bez zgody użytkowników końcowych, jest zakazana, o ile EPR nie stanowi inaczej. Przetwarzanie takich danych jest więc wykluczone, poza ściśle określonymi wyjątkami.

Usługodawcy, zgodnie z EPR, będą mogli przetwarzać dane, gdy będzie to niezbędne do:

  • przeprowadzenia transmisji danego połączenia, na czas jego trwania,
  • utrzymania lub odtworzenia bezpieczeństwa połączenia, lub wykrywania błędów i wad w transmisji danych.

W przypadku metadanych ich przetwarzanie będzie dopuszczalne wyłącznie w przypadkach gdy:

  • jest to niezbędne do utrzymania przewidzianych w prawie UE wymogów jakości świadczonych usług,
  • jest to niezbędne dla celów obliczania wynagrodzenia za usługi, wykrywania i zapobiegania oszustwom, nadużyciom lub do wykonywania subskrypcji usług,
  • użytkownik końcowy, którego metadane dotyczą, udzielił uprzedniej zgody usługodawcy na przetwarzanie konkretnych metadanych, w ściśle określonym celu, zakładając, że ten określony cel, nie może być osiągnięty poprzez przetwarzanie zanonimizowanych informacji.

Natomiast treść połączeń elektronicznych będzie mogła być przetwarzana przez usługodawców, wyłącznie:

  • w celu realizacji konkretnej usługi dla użytkownika końcowego, jeżeli ten wyraził zgodę na przetwarzanie treści, a zrealizowanie usługi nie jest bez tego możliwe,
  • wszyscy zainteresowani użytkownicy końcowi wyrazili zgodę na przetwarzanie treści łączności elektronicznej w jednym lub kilku określonych celach, które nie mogą być osiągnięte przez przetwarzanie zanonimizowanych informacji, a usługodawca uprzednio skonsultował się w tej sprawie z krajowym organem nadzorczym.

Niezbędna anonimizacja

Ponadto przetworzona treść musi zostać usunięta lub zanonimizowana niezwłocznie po tym, jak tylko komunikacja zostanie nawiązana pomiędzy użytkownikami. Niemniej dozwolone będzie zapisywanie lub przechowywanie tych danych przez użytkowników końcowych lub podmiot trzeci, o ile podmiot ten będzie spełniał wymogi przetwarzania określone w RODO.

Z kolei metadane muszą zostać usunięte lub zanonimizowane, gdy nie będą już potrzebne do osiągnięcia celu w postaci przeprowadzenia transmisji lub połączenia. Natomiast gdy metadane będą przetwarzane do obliczania wynagrodzenia, mogą być przechowywane do czasu gdy zapłata może być skutecznie dochodzona w świetle krajowego prawa, czyli w praktyce do czasu przedawnienia roszczenia o zapłatę.

Przedmiotowa regulacja dotycząca zasad, w oparciu o które będzie możliwe przetwarzanie danych jest bardzo istotna z punktu widzenia praktycznego. Wymagana będzie bowiem zgoda, na każde przetwarzanie treści i meta danych/ Zgoda ta nie jest niezbędna do zrealizowania usługi, a zatem przede wszystkim wszelkiego rodzaju działania marketingowe, czy reklamowe.

Informacje a urządzenia końcowe użytkowników

Nowością na gruncie ochrony e-privacy będzie również wprowadzona ochrona informacji znajdujących się na urządzeniach końcowych oraz danych związanych z tym urządzeniem, takich jak jego parametry, funkcje, oprogramowanie, aktywność użytkownika w sieci itp., których to zbieranie będzie zakazane z wyłączeniem przypadków, gdy:

  • jest to niezbędne wyłącznie w celu zrealizowania transmisji w danej komunikacji,
  • użytkownik końcowy wyraził na to uprzednią zgodę,
  • jest to niezbędne dla zapewnienia usług społeczeństwa informacyjnego, których zażądał użytkownik (czyli wszelkiego rodzaju portale społecznościowe).

Ponadto zbieranie danych, wysyłanych przez samo urządzenie końcowe w celu umożliwienia połączenia się z innym urządzeniem lub siecią, będzie zakazane, z wyjątkiem gdy:

  • takie zbieranie jest realizowane wyłącznie w celu zapewnienia połączenia,
  • zostanie podana do publicznej informacji, w jasny i widoczny sposób, wiadomość, z której będzie wynikać co najmniej sposób zbierania danych, cel zbierania danych, dane podmiotu odpowiedzialnego oraz informacje, jakie zgodnie z RODO musi podać administrator, a także informacje w jaki sposób użytkownik końcowy może przedsięwziąć, aby wyłączyć lub zminimalizować zbieranie takich danych.

Informacje takie mogą być podane poprzez przedstawienie zestandaryzowanych znaków graficznych, tak aby przekaz był jasny i zrozumiały dla jego odbiorcy. Znaki takie będą mogły być ustalone przez Komisję w wydawanych przez nią aktach prawnych. Oznacza to w praktyce, że podmiot, chcąc uzyskiwać dane np. dotyczące lokalizacji urządzenia, będzie musiał podać użytkownikowi podczas uruchamiania aplikacji lub otwarcia strony internetowej ww. informacje dotyczące sposobu i celu zbierania takich danych, a także sposobu umożliwiającego użytkownikowi wyłączenie takiego dostępu do danych.

reklama

Polecamy artykuły

Narzędzia przedsiębiorcy

POLECANE

Dotacje dla firm

reklama

Ostatnio na forum

Fundusze unijne

Pomysł na biznes

Eksperci portalu infor.pl

Bąkowski Kancelaria Radcowska

Kancelaria świadczy zarówno stałą obsługę prawną, doradztwo i obsługę określonych projektów czy transakcji o charakterze jednorazowym.

Zostań ekspertem portalu Infor.pl »
Notyfikacje
Czy chcesz otrzymywać informacje o najnowszych zmianach? Zaakceptuj powiadomienia od mojafirma.Infor.pl
Powiadomienia można wyłączyć w preferencjach systemowych
NIE
TAK