Kraj cookie bannera? EU otvara GDPR za lakši pristup podacima

Europska unija želi stati na kraj beskrajnim prozorima za prihvaćanje kolačića, ali cijena jednostavnijeg interneta mogla bi biti širi prostor za korištenje osobnih podataka, osobito pri razvoju umjetne inteligencije. Upravo se oko te ravnoteže između konkurentnosti i privatnosti otvara jedna od najvećih regulatornih bitaka u Bruxellesu.

Osam mjeseci nakon što je Europska komisija predstavila Digitalni omnibus, zastupnici u Europskom parlamentu podnijeli su čak 1840 amandmana. Pregovori bi trebali početi nakon ljetne stanke, a cilj izvjestiteljica je da nadležni odbori glasaju prije veljače 2027., iako službeni datum još nije određen.

Komisija je paket predstavila u studenome 2025. kao pokušaj pojednostavljenja sve složenijega europskog digitalnog zakonodavstva i smanjenja administrativnog opterećenja za poduzeća. Podatkovni dio paketa mijenja Opću uredbu o zaštiti podataka (GDPR), Direktivu o e-privatnosti, Akt o podacima i pravila o prijavljivanju kibernetičkih incidenata. Istodobno bi se ukinulo nekoliko zasebnih propisa, a dio njihovih odredbi preselio u prošireni Akt o podacima.

Kada pseudonimizirani podatak prestaje biti osoban

Najspornija je namjera da se jasnije odredi kada pseudonimizirani podatak više ne potpada pod GDPR. Takav podatak izravno ne otkriva identitet osobe, ali se uz dodatne informacije može ponovno povezati s njom.

Prema pristupu Komisije, isti skup podataka mogao bi za jednu organizaciju biti osobni podatak, a za drugu ne. Primjerice, za tvrtku koja primi pseudonimizirane podatke oni bi mogli biti izvan dosega GDPR-a ako ona nema sredstva kojima bi mogla utvrditi identitet osoba na koje se podaci odnose.

Protivnici upozoravaju da se time ne razjašnjava, nego sužava temeljni pojam na kojem počiva cijeli GDPR. Socijaldemokratska suizvjestiteljica Marina Kaljurand poručila je da definicija osobnih podataka mora ostati netaknuta jer bi predložena izmjena unijela novu pravnu nesigurnost. Slično smatraju Europski odbor za zaštitu podataka i Europski nadzornik za zaštitu podataka, koji su upozorili da prijedlog ide dalje od ciljane tehničke izmjene i mogao bi osjetno smanjiti razinu zaštite građana.

Komisija je u međuvremenu zastupnicima signalizirala da je spremna korigirati tekst, ali i dalje inzistira na posebnom rješenju za pseudonimizirane podatke.

Političku osjetljivost pregovora dodatno povećava izbor finske zastupnice Europske pučke stranke Aure Salle za vodeću pregovaračicu Odbora za industriju. Salla je prije ulaska u Parlament bila direktorica javnih politika i voditeljica poslova s EU-om u Meti. Sedam organizacija u veljači je zbog mogućeg sukoba interesa zatražilo da bude povučena s te dužnosti. Salla je to odbacila, navodeći da je ispunila pravila transparentnosti i da nema financijski ni osobni interes koji bi utjecao na njezin rad.

Može li razvoj AI-ja biti legitimni interes

Druga velika bitka vodi se oko pitanja mogu li se razvoj i rad modela umjetne inteligencije izrijekom smatrati legitimnim interesom za obradu osobnih podataka. Takvo bi rješenje programerima i tehnološkim kompanijama olakšalo oslanjanje na podatke bez traženja pojedinačne privole, ali samo uz ispunjavanje ostalih uvjeta GDPR-a i procjenu prava osoba čiji se podaci obrađuju.

Zagovornici tvrde da europskim kompanijama treba omogućiti pristup većim količinama podataka žele li razviti vlastite modele i smanjiti ovisnost o američkim pružateljima. Protivnici odgovaraju da konkurentnost ne smije počivati na popuštanju standarda zaštite privatnosti.

Europska tijela za zaštitu podataka podsjećaju da se legitimni interes već sada, ovisno o okolnostima, može koristiti kao pravna osnova pri razvoju i primjeni AI modela, pa smatraju da posebna odredba nije potrebna. Posebno osjetljivo ostaje slučajno ili preostalo prikupljanje podataka o zdravlju, etničkom podrijetlu, političkim stajalištima i drugim zaštićenim kategorijama, za koje traže jasnije granice i zaštitne mjere tijekom cijelog životnog ciklusa sustava.

Jedna postavka umjesto privole na svakoj stranici

Za većinu korisnika najvidljivija bi promjena bila smanjenje broja cookie bannera. Umjesto da na svakoj internetskoj stranici ponovno odlučuje o kolačićima, korisnik bi svoju želju mogao postaviti jednom, primjerice u pregledniku, a internetske stranice morale bi očitati taj strojno čitljiv signal. Nakon odbijanja privole ista stranica ne bi je smjela ponovno tražiti šest mjeseci.

Takvo rješenje načelno ima široku političku potporu. I europska tijela za zaštitu podataka podupiru tehnološki mehanizam koji bi smanjio zamor od stalnog davanja privole. Međutim, ostaje otvoreno kako će sustav funkcionirati u praksi i hoće li dodatno ojačati najveće proizvođače preglednika, koji bi mogli postati čuvari korisničkih odluka za velik dio interneta.

Promjena je posebno važna izdavačima i drugim internetskim uslugama koje se financiraju oglašavanjem. Ako korisnik jednim potezom odbije praćenje na većem broju stranica, poslovni modeli zasnovani na bihevioralnom oglašavanju mogli bi pretrpjeti znatan udar. Zato će zakonodavci morati istodobno smanjiti broj nepotrebnih zahtjeva za privolu, sačuvati stvaran izbor korisnika i spriječiti narušavanje tržišnog natjecanja.

Spor i oko podataka iz automobila i pametnih uređaja

Digitalni omnibus ponovno otvara i dijelove Akta o podacima, koji se primjenjuje od rujna 2025. i korisnicima daje pravo pristupa podacima koje stvaraju proizvodi u njihovu vlasništvu ili uporabi. Vlasnik povezanog automobila ili pametnog uređaja u određenim slučajevima može tražiti da proizvođač te podatke proslijedi drugoj tvrtki, primjerice neovisnom servisu.

Proizvođači tvrde da opća obveza dijeljenja podataka zanemaruje posebnosti pojedinih industrija, ugrožava poslovne tajne i može pogodovati konkurentima koji nisu ulagali u razvoj proizvoda. Organizacije za digitalna prava uzvraćaju da se nedavno donesena pravila mijenjaju prije nego što su uopće pošteno iskušana te da bi popuštanje moglo dodatno ojačati najveće vlasnike podataka, a otežati položaj neovisnih servisa, istraživača i manjih podatkovnih posrednika.

Još jedan spor otvorile su države članice prijedlogom da se međunarodna porezna suradnja izrijekom prizna kao važan razlog javnog interesa za prijenos osobnih podataka izvan Europskoga gospodarskog prostora. Time bi se državama olakšalo pravno opravdavanje periodične ili automatske razmjene financijskih podataka s trećim zemljama, uključujući Sjedinjene Američke Države.

Pred europskim zastupnicima zato nije samo tehnička dorada pravila o kolačićima. U jednome paketu morat će odlučiti gdje završava administrativno pojednostavljenje, a počinje slabljenje prava građana i koliko podataka Europa želi staviti na raspolaganje kompanijama kako bi uhvatila korak u razvoju umjetne inteligencije.