Comisia Europeană a publicat astăzi cel mai dezbătut proiect din ultima perioadă, cunoscut sub numele de Digital Omnibus[1] și Digital Omnibus privind AI[2], care tinde să modernizeze cadrul digital european. Propunerile pentru Digital Omnibus vizează reducerea sarcinilor administrative și de conformitate, sporirea securității juridice și facilitarea navigării în mediul digital european, în special pentru întreprinderile mici și mijlocii.
A. Propunerea pentru Digital Omnibus introduce numeroase modificări, dintre care cele mai importante sunt următoarele:
1. Reunirea legislației UE existente în materie de date în Data Act (Regulamentul UE privind datele)
Trei instrumente majore sunt reunite în Data Act, și anume: (i) Regulamentul UE 2018/1807 (circulația liberă a datelor cu caracter nepersonal); (ii) Regulamentul UE 2022/868 (Legea privind guvernanța datelor/DGA); și (iii) Directiva UE 2019/1024 (Directiva privind datele deschise).
Această coeziune a dispozițiilor legale are, printre altele, următoarele obiective:
▸modernizarea și armonizarea normelor existente;
▸consolidarea protecției aplicabile secretelor comerciale și țărilor terțe (e, să permită deținătorilor de date să refuze divulgarea secretelor comerciale către un utilizator atunci când există un risc ridicat de achiziție, utilizare sau divulgare ilegală către țări terțe care sunt supuse jurisdicțiilor cu protecții mai slabe decât cele disponibile în Uniune);
▸raționalizarea și simplificarea condițiilor de reutilizare a anumitor categorii de date protejate, clarificând modul în care se aplică normele atunci când datele cu caracter personal au fost anonimizate, menținând totodată garanțiile pentru transferurile de date cu caracter nepersonal către țări terțe etc.
2. Modificări ale GDPR și ale Directivei ePrivacy
► Propunerea Digital Omnibus vizează, de asemenea, clarificarea conceptelor cheie ale GDPR, după cum urmează:
▸Introducerea de noi definiții
- Restrângerea definiției datelor cu caracter personal: prin introducerea unei abordări „subiective” în funcție de capacitatea specifică a operatorilor de a identifica persoana și prin excluderea potențială a datelor „pseudonime” din domeniul de aplicare al GDPR;
- Se adaugă noi definiții, inclusiv echipament terminal, browser web, serviciu media, furnizor de servicii media, interfață online și cercetare științifică.
▸Se introduc noi excepții pentru categorii speciale de date, cum ar fi:
- date biometrice: prelucrarea datelor biometrice este permisă atunci când este necesară pentru confirmarea identității persoanei vizate.
- date sensibile reziduale: permite prelucrarea reziduală a categoriilor speciale de date cu caracter personal (adică datele care rămân în ciuda eforturilor de a evita colectarea acestora) pentru dezvoltarea și funcționarea unui sistem sau model de IA.
▸Clarificarea „dreptului de acces” al persoanelor vizate:
- operatorii pot refuza sau percepe o taxă rezonabilă pentru cererile de acces formulate în scopuri care nu au legătură cu protecția datelor și sunt definite criteriile pentru a determina când astfel de cereri sunt excesive.
▸Limitarea obligației operatorului de date de a informa persoanele vizate în temeiul art. 13 din GDPR:
- eliminarea obligației de a informa persoanele vizate atunci când se poate presupune în mod rezonabil că acestea dispun deja de informațiile respective, cu excepția cazurilor în care datele vor fi partajate cu noi destinatari, transferate la nivel internațional, utilizate pentru luarea automată a deciziilor sau prelucrate în moduri care prezintă un risc ridicat pentru drepturile persoanelor fizice;
▸Recunoașterea dezvoltării și funcționării sistemelor de AI ca interes legitim pentru prelucrarea datelor cu caracter personal:
- aceasta înseamnă că întreprinderile ar putea invoca interesul legitim pentru formarea și utilizarea AI, atâta timp cât prelucrarea este necesară și nu prevalează asupra drepturilor persoanelor fizice;
▸Actualizarea normelor privind luarea automată a deciziilor:
- prin extinderea excepțiilor prevăzute la articolul 22 din GDPR și clarificarea faptului că, pentru luarea automată a deciziilor în temeiul articolului 22 din GDPR în contextul încheierii sau executării unui contract, cerința „necesității” se aplică chiar dacă decizia ar putea fi luată din punct de vedere tehnic prin mijloace neautomatizate.
▸Prelungirea termenului de notificare a încălcării la 96 de ore și crearea unui portal unic de raportare la nivelul UE:
- notificarea este necesară numai dacă o încălcare a securității datelor este susceptibilă să conducă la un risc ridicat pentru drepturile persoanei vizate;
- se propune, de asemenea, ca operatorii să utilizeze portalul unic de raportare la nivelul UE atunci când notifică încălcările datelor autorității de supraveghere.
▸Introducerea de noi norme privind evaluările impactului asupra protecției datelor:
- prin crearea unei liste unice la nivelul UE a operațiunilor de prelucrare care necesită sau nu o DPIA. EDPB ar fi obligat să pregătească propuneri pentru astfel de liste, împreună cu un model și o metodologie comune pentru DPIA, pe care Comisia le poate formaliza printr-un act de punere în aplicare.
▸Integrarea normelor privind confidențialitatea electronică în cadrul GDPR.
- Pentru a elimina ambiguitatea creată de regimul dual GDPR-ePrivacy, se clarifică faptul că prelucrarea datelor cu caracter personal pe sau de la echipamente terminale este reglementată exclusiv de GDPR.
3. Securitate cibernetică – Punct unic de contact pentru raportarea incidentelor
Propunerea Digital Omnibus vizează crearea unui punct unic de contact pentru toate obligațiile majore de raportare a incidentelor din UE, atribuind ENISA responsabilități cheie și impunând ca notificările în temeiul NIS2, Regulamentului eIDAS, DORA, Directivei privind reziliența entităților critice (CER) și GDPR să treacă toate prin acest portal unificat.
B. Propunerea pentru Digital Omnibus privind AI
Pentru a asigura o implementare lină și practică a Regulamentului UE privind inteligența artificială (AI Act), Comisia Europeană a introdus o serie de măsuri de simplificare specifice, cum ar fi:
▸Punerea în aplicare și standardele: calendarul de punere în aplicare a normelor privind riscurile ridicate va fi corelat cu disponibilitatea standardelor sau a altor instrumente de sprijin.
▸Alfabetizarea în domeniul AI: Comisia și statele membre sunt obligate să promoveze alfabetizarea în domeniul AI. Aceasta înlocuiește obligațiile nespecificate ale furnizorilor și utilizatorilor, deși obligațiile de formare pentru utilizatorii cu risc ridicat rămân în vigoare.
▸Reducerea sarcinii de înregistrare: Se va reduce sarcina de înregistrare pentru furnizorii de sisteme de AI care sunt utilizate în domenii cu risc ridicat, dar care sunt considerate a nu prezenta un risc ridicat, deoarece sunt utilizate numai pentru sarcini restrânse sau procedurale.
▸Un spațiu de testare în materie de reglementare în domeniul AI (sandbox) la nivelul UE: Oficiul pentru AI va crea un sandbox de reglementare a AI la nivel UE începând din 2028.
▸Claritate legislativă: Se vor efectua modificări specifice pentru a clarifica interacțiunea dintre AI Act și alte acte legislative ale UE.
[1] https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal
[2] Omnibus digital privind propunerea de reglementare a IA | Modelarea viitorului digital al Europei
