Общ регламент относно защитата на данните (GDPR)

Обхват

Регламентът се прилага за обработването на лични данни в контекста на дейностите на администратор или обработващ, установен в Съюза, независимо дали самото обработване става в Съюза^[5].

Той се прилага и за администратори извън Съюза, когато обработват данни на лица в Съюза във връзка с предлагането на стоки или услуги — независимо дали срещу заплащане — или с наблюдението на поведението им в Съюза^[6]. Така регламентът засяга и компании без присъствие в Европа, които обслужват европейски потребители.

Наред с GDPR законодателството на ЕС за защита на данните включва Директивата относно правоприлагането и отделен регламент за институциите и органите на ЕС^[7].

Принципи

Член 5 изисква личните данни да се обработват законосъобразно, добросъвестно и прозрачно; да се събират за конкретни, изрични и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тях; да са подходящи, относими и ограничени до необходимото^[8].

Данните трябва също да се съхраняват във вид, позволяващ идентифициране, не по-дълго от необходимото^[9], и да се обработват по начин, който гарантира подходяща сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба или унищожаване^[10]. Администраторът носи отговорност и трябва да може да докаже спазването на тези принципи^[11].

Обработването е законосъобразно само ако е налице поне едно основание — например съгласие на субекта на данните за една или повече конкретни цели или необходимост за изпълнение на договор^[12].

Права на гражданите

Субектът на данните има право да поиска от администратора изтриване на данните без ненужно забавяне, например когато те вече не са необходими за целите, за които са събрани, или когато той оттегли съгласието си^[13]. Това право е известно и като „право да бъдеш забравен“: администратор, който е направил данните публични, трябва да уведоми останалите администратори, за да изтрият връзките към тях и копията им^[14].

Правото на преносимост позволява на лицето да получи данните, които е предоставило, в структуриран, широко използван и машинночетим формат и да ги прехвърли на друг администратор^[15].

Член 22 дава право човек да не бъде обект на решение, основано единствено на автоматизирано обработване, включително профилиране, което поражда правни последици за него или по подобен начин го засяга в значителна степен; когато има изключение, администраторът трябва да осигури поне правото на човешка намеса^[16]. Тази разпоредба е важна за използването на изкуствен интелект при решения за хора.

Задължения и надзор

Публичните органи и предприятията, чиято основна дейност е редовно или систематично обработване на лични данни, трябва да назначат длъжностно лице по защита на данните; нарушенията на сигурността трябва да се съобщават на националния надзорен орган в срок до 72 часа, ако засягат неблагоприятно поверителността на потребителите^[17].

Всяка държава членка има независим надзорен орган, а за компания с дейност в няколко държави водещ е органът по мястото на основното ѝ установяване — механизмът „обслужване на едно гише“. Европейският комитет по защита на данните координира надзорните органи и замества Работната група по член 29^[18]. В България надзорен орган е Комисията за защита на личните данни^[19].

Санкции и известни решения

За нарушения на основните принципи, на правата на субектите и на правилата за прехвърляне на данни извън ЕС глобата може да достигне 20 000 000 евро или до 4% от общия годишен световен оборот за предходната финансова година, като се прилага по-високата сума^[20].

На 16 юли 2020 г. Съдът на ЕС обявява за невалидно решението на Комисията за адекватността на защитата по „Щита за личните данни“ между ЕС и САЩ (делото Schrems II), но потвърждава валидността на стандартните договорни клаузи^[21].

На 22 май 2023 г. ирландската Комисия за защита на данните приключва разследването си срещу Meta Ireland за прехвърлянето на данни към САЩ^[22] и налага глоба от 1,2 милиарда евро, както и разпореждане за спиране на бъдещите прехвърляния^[23] (вж. „Глобата от 1,2 милиарда евро на Ирландия срещу Meta“).

GDPR и изкуственият интелект

На 30 март 2023 г. италианският орган за защита на данните временно ограничава обработването на данни на италиански потребители от OpenAI^[24]. Той посочва липсата на информация за потребителите и на правно основание за масовото събиране на лични данни за обучение на алгоритмите, както и че информацията, давана от ChatGPT, не винаги отговаря на действителността и така води до обработване на неточни лични данни^[25].

На 18 декември 2024 г. Европейският комитет по защита на данните приема становище за използването на лични данни при разработването и внедряването на модели на ИИ. То разглежда кога моделите могат да се смятат за анонимни, дали законният интерес може да е правно основание и какво следва, ако моделът е разработен с незаконосъобразно обработени данни^[26].

Влияние извън Европа

Като пример за т.нар. „Брюкселски ефект“ регламентът става модел за закони в много държави, включително Бразилия, Япония, Сингапур, Южна Африка, Южна Корея, Шри Ланка и Тайланд. След излизането си от ЕС Обединеното кралство приема идентичен „UK GDPR“^[27].

Доказателства към твърденията

1. General Data Protection Regulation
   Wikipedia
   Отвори източника
2. General Data Protection Regulation
   Wikipedia
   Отвори източника
3. Regulation (EU) 2016/679 (General Data Protection Regulation)
   EUR-Lex · 2016-05-04
   чл. 99
   Отвори източника
4. Data protection in the EU
   European Commission
   Отвори източника
5. Regulation (EU) 2016/679 (General Data Protection Regulation)
   EUR-Lex · 2016-05-04
   чл. 3, пар. 1
   Отвори източника
6. Regulation (EU) 2016/679 (General Data Protection Regulation)
   EUR-Lex · 2016-05-04
   чл. 3, пар. 2
   Отвори източника
7. Data protection in the EU
   European Commission
   Отвори източника
8. Regulation (EU) 2016/679 (General Data Protection Regulation)
   EUR-Lex · 2016-05-04
   чл. 5, пар. 1
   Отвори източника
9. Regulation (EU) 2016/679 (General Data Protection Regulation)
   EUR-Lex · 2016-05-04
   чл. 5, пар. 1, б. „д“
   Отвори източника
10. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 5, пар. 1, б. „е“
    Отвори източника
11. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 5, пар. 2
    Отвори източника
12. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 6, пар. 1
    Отвори източника
13. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 17, пар. 1
    Отвори източника
14. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    съображение 66
    Отвори източника
15. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 20, пар. 1
    Отвори източника
16. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 22
    Отвори източника
17. General Data Protection Regulation
    Wikipedia
    Отвори източника
18. General Data Protection Regulation
    Wikipedia
    Отвори източника
19. Комисия за защита на личните данни
    Комисия за защита на личните данни
    Отвори източника
20. Regulation (EU) 2016/679 (General Data Protection Regulation)
    EUR-Lex · 2016-05-04
    чл. 83, пар. 5
    Отвори източника
21. Press release No 91/20: Judgment in Case C-311/18 Data Protection Commissioner v Facebook Ireland and Maximillian Schrems
    Court of Justice of the European Union · 2020-07-16
    Отвори източника
22. Data Protection Commission announces conclusion of inquiry into Meta Ireland
    Data Protection Commission (Ireland) · 2023-05-22
    Отвори източника
23. Data Protection Commission announces conclusion of inquiry into Meta Ireland
    Data Protection Commission (Ireland) · 2023-05-22
    Отвори източника
24. Intelligenza artificiale: il Garante blocca ChatGPT
    Garante per la protezione dei dati personali · 2023-03-31
    съобщение, свързано с provvedimento n. 112 del 30 marzo 2023
    Отвори източника
25. Intelligenza artificiale: il Garante blocca ChatGPT
    Garante per la protezione dei dati personali · 2023-03-31
    Отвори източника
26. EDPB opinion on AI models: GDPR principles support responsible AI
    European Data Protection Board · 2024-12-18
    Отвори източника
27. General Data Protection Regulation
    Wikipedia
    Отвори източника