Dopady ePrivacy na Internet of Things

Vedle OTT služeb si nové nařízení klade za cíl nastavit zároveň i regulatorní rámec pro využívání tzv. cookies, resp. „informací uchovávaných v koncových zařízeních koncových uživatelů“. Evropská komise tak činí ve snaze dosáhnout cíle formulovaného ve Strategii pro jednotný digitální trh: vedle mediálně známého obecného nařízení na ochranu osobních údajů[3] (GDPR) má být ePrivacy klíčem pro zvýšení důvěry uživatelů v internetové služby. Sám návrh ePrivacy pak explicitně uvádí, že se jedná o úpravu lex specialis vůči GDPR: na všechny záležitosti týkající se zpracování osobních údajů, které nejsou konkrétně upraveny v tomto návrhu, se tedy bude vztahovat GDPR.

Klíčovým ustanovením návrhu je čl. 5, dle kterého musí každý, kromě koncového uživatele, dodržovat generální zákaz jakéhokoliv zásahu do elektronické komunikace včetně zpracování dat. Výjimky, kdy je zpracování těchto dat povoleno, jsou uvedeny v čl. 6. Stejně jako v případě GDPR, i zde je třeba najít pro zpracování dat odpovídající právní základ, přičemž oproti GDPR jsou zde poskytovatelé a správci komunikačních sítí zbaveni možnosti využít titulu oprávněného zájmu či především plnění smlouvy: dle e-Privacy mohou využívat pouze souhlasu koncového uživatele nebo nezbytnosti pro poskytnutí služby/splnění zákonných požadavků na kvalitu služby. V tomto případě je třeba uvést, že návrh nařízení pracuje s rozdělením na metadata a obsah, přičemž souhrnně tyto kategorie nazývá data: pokud je naplněn právní základ (a tím výjimka pro zpracování dat), je možno zpracovávat obsah a/nebo metadata. V opačném případě je třeba hledat odpovídající právní základ pro zpracování pouze dané kategorie: zpracování obsahu elektronické komunikace, kterým je z definice například „hlas, video, obrazy a zvuk“, je přitom vždy vázané na souhlas koncového uživatele. Pokud tedy správce nesplní výjimku nezbytnosti zpracování pro přenos komunikace, případně pro zachování/obnovení bezpečnosti služeb, musí pro zpracování obsahu vždy získat souhlas koncového uživatele.

Jak už to ovšem bývá, při snaze regulovat rozvíjející se technologie, i v tomto případě má současný návrh nevyhnutelně dopady mimo zamýšlený segment komunikačních služeb. Jedním z těchto odvětví, pro které návrh ePrivacy přináší podstatně více dotazů, nežli odpovědí, je Internet of Things (Internet věcí, IoT). Jeho běžným příkladem, který se stává každodenní součástí našich životů, je vzájemná komunikace čidel na měření dopravy nebo inteligentních zařízení v rámci domácí sítě (TV, ledničky nebo chytrých domácích pomocníků typu Amazon Echo). Internet věcí si lze představit jako „Twitter pro stroje“: zařízení se přihlašují a odhlašují k odebírání dat a vzájemnou komunikaci skrze nespecifikované komunikační sítě a nepotřebují vědět, jakým způsobem jsou připojeny další zařízení. Internet věcí je zároveň klíčovým prvkem pro iniciativu Průmyslu 4.0, tzn. pro fungování kyberfyzikálních systémů a spolupráci samostatných řídících jednotek schopných se autonomně rozhodovat. Na podobném principu je založen též koncept Smart Cities, spočívající v komunikaci zařízení a čidel v rámci městské komunikační či dopravní infrastrukty.

Uplatňování ePrivacy na IoT vyplývá z klíčového recitálu č. 12 návrhu e-Privacy ve spojení se základní premisou důvěrnosti dat elektronických komunikací. V tomto bodě návrh explicitně vyjasňuje, že nařízení by se mělo vztahovat na komunikaci mezi stroji, když tato komunikace zahrnuje přenos signálů po síti. Působnost na IoT návrh odůvodňuje nutností zajistit plnou ochranu práv na soukromí a důvěrný charakter sdělení a současně podporou důvěryhodného a bezpečného Internetu věcí v rámci dalšího rozvoje Jednotného digitálního trhu. Problematické je, že nařízení ePrivacy ovšem tento recitál a především autonomní komunikaci mezi zařízeními nereflektuje v žádném ze samotných článků nařízení! Tuto skutečnost přímo uvádí ve svém stanovisku[4] k návrhu ePrivacy skupina WP29, resp. Evropský sbor pro ochranu osobních údajů. Skupina dále uvádí, že konečné znění nařízení by sice mělo dopadat na většinu komunikací, které obsahují informace chráněné právem na soukromí, ovšem současně by úzká kategorie komunikací, která nemá žádný dopad na soukromí nebo na důvěrný charakter sdělení, měla být vyjmuta z působnosti. Existuje tedy možnost, že současný návrh bude doplněn o další výjimky, které by se mohly uplatnit zejména v průmyslovém sektoru.

Problematické je už samotné zařazení využívaných informací (dat) do konkrétních kategorií. Obvyklá povaha přenášených informací mezi zařízeními bude mít dle definic v základní podobě obvykle formu metadat, přenášených specifickým komunikačním protokolem. Přitom však prostřednictvím této komunikace bude přenášen právě zásadní obsah, dle kterého je třeba konkrétně jednat (např. odeslání informace řídící jednotce, že čidlo zatížení u lavičky v parku registruje obsazení fyzickou osobou, což má vyvolat reakci kamerového systému ostrahy parku). Z takového důvodu se jeví jako nezbytné přistupovat ke každému zpracování individuálně a vedle zajištění ochrany před kybernetickými riziky posuzovat povahu elektronické komunikace.

Sledovat další legislativní postup nařízení ePrivacy se tak jeví jako velice zajímavé a je otázkou, jak bude k soukromí fyzické osoby v rámci IoT dále přistupováno. Najít rozumný kompromis pro právní rámec, který zajistí neexistenci „Velkého bratra“ a současně nezbrzdí malé start-upy i velké průmyslové hráče v možnostech inovace neúměrnými legislativními povinnostmi, bude dalším oříškem pro zákonodárce. Konečně využívání veškerých výdobytků moderních technologií, aniž by uživatel musel neustále udělovat souhlasy a současně měl jistotu, že veškerým zasílaným informacím včetně jeho polohy nebo zdravotního stavu je zajištěno dostatečné soukromí, za jeho rozlousknutí určitě stojí. Vzhledem k dynamice vývoje textu návrhu nařízení ePrivacy nelze předpokládat, že by nařízení bylo ve finálním znění v nejbližších týdnech, ale nelze pochybovat o nezbytnosti nahradit původní zastaralou směrnici o soukromí a elektronických komunikacích novou právní úpravou, která bude reflektovat tak dynamický vývoj v oblasti informačních a komunikačních technologií.

JUDr. Josef Donát, LL.M.,

partner 

GEMINI Center 

Na Pankráci 1683/127,  

140 00  Praha 4 

Tel.:    +420 224 216 212   

Fax:    +420 224 215 823 

e-mail: praha@rowanlegal.com