Korea wprowadza karę do 10% globalnego przychodu za naruszenia prywatności w treningu AI

Korea Południowa uruchamia najostrzejszy na świecie reżim kar za naruszenia prywatności w AI

Znowelizowana ustawa o ochronie danych osobowych (PIPA) w Korei Południowej, ogłoszona 10 marca 2026 r. jako Act No. 21445, wchodzi w życie 11 września 2026 r. Nowelizacja potraja maksymalny pułap grzywien, wprowadza osobistą odpowiedzialność prezesów i skraca terminy zgłaszania naruszeń. Po raz pierwszy w krajowym prawie ochrony danych tworzy też wyraźne ramy prawne dla trenowania systemów AI na danych osobowych. Wcześniejszy reżim egzekwowania przynosił grzywny nakładane przez Komisję Ochrony Informacji Osobistych (PIPC) na poziomie około 0,70 dolara za każdy ujawniony rekord, a wolumen wycieków danych osobowych w Korei Południowej wzrósł w tym samym okresie niemal trzynastokrotnie. Nowe przepisy ustanawiają dwustopniową strukturę kar: podstawowa grzywna administracyjna do 3% przychodów związanych z naruszeniem oraz podwyższony poziom do 10% całkowitego globalnego rocznego przychodu firmy, gdy występuje co najmniej jedna okoliczność obciążająca. Chodzi m.in. o powtórzenie naruszenia w ciągu trzech lat przy umyślnym lub rażąco niedbałym działaniu, pojedynczy incydent dotykający 10 mln lub więcej osób w takich warunkach albo naruszenie po wcześniejszym niezastosowaniu się do formalnego nakazu naprawczego PIPC. Limit 10% przewyższa 4% z unijnego RODO i 7% z unijnego AI Act, co czyni go najwyższym krajowym pułapem kar na świecie pod tym względem. Przewodniczący PIPC określił tę eskalację jako kalibrację odstraszania, a nie zaostrzanie kar. Firmy dokumentujące zweryfikowane inwestycje w prywatność — budżet, personel, sprzęt i systemy techniczne — mogą liczyć na obniżenie grzywny nawet o 40%, o ile naruszenie nie wynikało z umyślnego lub rażąco niedbałego działania. Nowelizacja wskazuje prezesa, właściciela firmy lub przedstawiciela jako ostatecznie odpowiedzialnego za zgodność ochrony danych. W dużych organizacjach spełniających kryteria określone w rozporządzeniu prezydenckim powołanie i odwołanie dyrektora ds. prywatności (CPO) wymaga zatwierdzenia przez radę nadzorczą i formalnego zgłoszenia do PIPC. CPO musi zapewnić odpowiedni budżet i raportować bezpośrednio do prezesa i rady. Dostępne badania wskazują, że około 70% organizacji w Korei Południowej ma najwyżej jednego pracownika zajmującego się wyłącznie prywatnością. Forrester Research prognozuje, że rynek rozwiązań do zarządzania AI będzie rósł ponad 30% rocznie, osiągając 15,8 mld dolarów do 2030 r. Trójstopniowa klasyfikacja adopcji AI opublikowana przez PIPC w przewodniku o generatywnej AI i danych osobowych, wsparta ramami egzekwowania nowelizacji, nakłada obowiązki zależnie od poziomu. Korzystanie z usług zewnętrznych — wywoływanie API generatywnej AI — wymaga filtrowania danych wejściowych, by dane osobowe nie trafiały do promptów zewnętrznego modelu, oraz zarządzania zasadami transferu danych za granicę, jeśli API obsługuje firma zagraniczna. Dostrajanie gotowego modelu lub RAG na danych własnych wymaga konkretnej podstawy prawnej dla wykorzystanych danych i zarządzania ryzykiem, że dane osobowe ze zbioru dostrajającego wypłyną w wynikach modelu. Modele tworzone samodzielnie od etapu pre-trainingu wymagają możliwości odtworzenia pochodzenia, historii zgód i rejestru pseudonimizacji każdego elementu danych treningowych. Artykuł 28-2 PIPA pozwala przetwarzać dane pseudonimizowane bez zgody osoby na potrzeby zestawień statystycznych, badań naukowych i archiwizacji w interesie publicznym. Interpretacja regulatora sygnalizowana w wytycznych PIPC jest taka, że trening modeli AI może kwalifikować się jako badanie naukowe w rozumieniu art. 28-2, jeśli metodologia treningu ma rzeczywiste cechy badawcze: stawianie hipotez, analizę danych, walidację i iteracyjne udoskonalanie. Wyłączenie dotyczy tylko treningu i analizy. Wdrożenie w działającej usłudze, które mogłoby reidentyfikować konkretną osobę lub traktować osoby odmiennie na podstawie wniosków modelu, wymaga odrębnej i osobnej podstawy prawnej. Podstawy prawne etapu treningu i etapu świadczenia usługi muszą być udokumentowane jako oddzielne rejestry. Ataki wnioskowania o członkostwie (MIA), opisywane od pracy Shokriego i in. z 2017 r. i rozwijane przez Carliniego i in. w 2022 r., statystycznie szacują, czy dany rekord danych znalazł się w zbiorze treningowym modelu. Dokładność zależy od rozkładu danych i architektury modelu, a metoda daje zarówno fałszywe pozytywy, jak i fałszywe negatywy. Ponieważ MIA nie pozwala wykazać zgodnego z prawem użycia na poziomie dowodu prawnego, pochodzenie danych trzeba zaprojektować w potoku danych już na etapie przyjmowania — dołączając pochodzenie, rejestr zgód, status pseudonimizacji i zakres użycia jako metadane. W nowelizacji PIPA zgodność z prawem staje się szóstym wymiarem jakości danych obok dokładności, kompletności, spójności, aktualności i integralności strukturalnej. Budżet PIPC na 2026 r. to 72,9 mld wonów (około 54,5 mln dolarów), o 9,1% więcej niż rok wcześniej, z czego około 13,3 mld wonów (około 9,9 mln dolarów) przeznaczono na badania i rozwój związane z AI. Około 2,9 mld wonów (około 2,2 mln dolarów) zarezerwowano na chmurowe środowisko kontrolowane, tzw. Strefę Innowacji, w której dane pseudonimizowane można łączyć i analizować bez eksportowania ich na zewnętrzne serwery. Kolejne 2,0 mld wonów (około 1,5 mln dolarów) przeznaczono na wsparcie łączenia danych pseudonimizowanych między zbiorami. Dwa dodatkowe przepisy wchodzą w życie 11 września. Próg zgłaszania naruszeń przesuwa się wcześniej: zgłoszenie jest wymagane, zanim naruszenie zostanie potwierdzone, gdy tylko istnieje uzasadnione prawdopodobieństwo, a zakres zdarzeń podlegających zgłoszeniu rozszerza się o fałszowanie, modyfikowanie i niszczenie danych osobowych, obejmując ataki ransomware i korupcję danych. Obowiązkowa certyfikacja ISMS-P, wcześniej dobrowolna, staje się wymagana dla dużych administratorów danych od 1 lipca 2027 r. ISMS-P jest szeroko porównywana z jednoczesnym posiadaniem ISO 27001 i ISO 27701, z lokalnie zdefiniowanymi kontrolami administrowanymi przez Korea Internet and Security Agency (KISA). PIPA działa eksterytorialnie wobec zagranicznych operatorów świadczących dobra lub usługi koreańskim podmiotom danych albo których przetwarzanie istotnie ich dotyczy. Zagraniczni operatorzy muszą wyznaczyć przedstawiciela w Korei Południowej — obowiązek wzmocniony od 2 października 2025 r. Limit grzywny 10% i odpowiedzialność prezesa dotyczą całkowitego globalnego przychodu, a nie tylko przychodu z Korei. Kolejna nowelizacja PIPA — projekty art. 28-12 do 28-15 — została zatwierdzona przez Komisję Polityki Zgromadzenia Narodowego 14 maja 2026 r. i przeszła przez Komisję Legislacji i Sprawiedliwości 29 lipca 2026 r. przy poparciu ponadpartyjnym. Pozwalałaby na wykorzystanie zgodnie zebranych danych osobowych, oryginalnych i niepseudonimizowanych, do rozwoju AI bez zgody osoby, za indywidualną zgodą PIPC. Cztery warunki wyznaczają uznaniowość PIPC: anonimizacja nie może być wystarczająca dla celu; muszą istnieć zabezpieczenia; cel musi obejmować interes publiczny, ochronę osób, których dane dotyczą, lub stron trzecich albo korzyść społeczną; a ryzyko nieuczciwego naruszenia musi być wyraźnie niskie. Kyoungsic Min, radca ds. prywatności i lider regionalny na Azję w VeraSafe oraz lider kraju dla International Association of Privacy Professionals, powiedział, że projekt przenosi decyzję o tym, czy dane osobowe mogą być używane w treningu AI, od odpowiedzialnych administratorów działających w ramach egzekwowalnych zasad do samego regulatora, rozpatrującego sprawy indywidualnie, co rodzi pytanie, kto nadzoruje nadzorcę. Praktycy wskazali pięć natychmiastowych priorytetów: dokumentować podstawę prawną — zgodę, wyłączenie pseudonimizacji, umowę lub inną podstawę z art. 15 — dla każdego zbioru użytego w treningu AI już na etapie przyjmowania; rejestrować podstawy prawne etapu treningu i etapu działania usługi jako osobne dokumenty; mapować typ adopcji AI na jego poziom ryzyka.

Korea PIPA Takes Effect Tomorrow: World’s First AI Training Data Law Is Now Enforceable →

America PAC Elona Muska zbiera dane osobowe wyborców przed wyborami do Kongresu

America PAC Elona Muska promuje stronę VoteSafe.org jako narzędzie do sprawdzenia rejestracji wyborcy, ale korzystanie z niej może dać komitetowi politycznemu dostęp do znacznie większego zakresu informacji. Dziennikarz Judd Legum, autor newslettera Popular Information, poinformował we wtorek 8 września, że VoteSafe.org zbiera imiona i nazwiska, daty urodzenia, pełne adresy domowe, adresy e-mail, numery telefonów komórkowych, adresy IP oraz dane o lokalizacji. Serwis zbiera też informacje o aktywności użytkowników, w tym o przeglądanych stronach i klikanych linkach. Status rejestracji wyborcy, co do którego VoteSafe ostrzega, że może nie być dokładny, pochodzi z pliku wyborczego należącego do America PAC lub jego dostawców, a nie bezpośrednio z państwowych rejestrów wyborczych. Polityka prywatności serwisu została zaktualizowana 29 sierpnia. Poprzednia polityka zabraniała America PAC udostępniania informacji reklamodawcom, organizacjom politycznym i niepowiązanym stronom trzecim. Zaktualizowana polityka mówi, że America PAC może udostępniać lub sprzedawać dane osobowe partnerom biznesowym, w tym informacje o tym, czy ktoś jest zarejestrowany do głosowania oraz, tam gdzie prawo na to pozwala, jak oddaje głos. Polityka pozwala też America PAC sprzedawać wnioski o użytkownikach, w tym informacje o ich skłonnościach psychologicznych, predyspozycjach, zachowaniu, postawach, inteligencji, zdolnościach i uzdolnieniach. Wśród partnerów biznesowych VoteSafe są Facebook, Google, X, firma reklamowa The Trade Desk, firma śledząca Increment Data i firma marketingowa Iterable. America PAC wydał ponad 180 tys. dolarów na promowanie VoteSafe w serwisie Meta w tygodniu przed publikacją reportażu Leguma. W kampanii prezydenckiej 2024 r. komitet wydał około 800 tys. dolarów na podobne reklamy cyfrowe, a niektórzy użytkownicy w stanach wahających się podawali swoje dane, nie będąc przekierowanymi na rzeczywistą stronę rejestracji wyborcy. Musk zapowiedział wydanie ponad 100 mln dolarów na wybory do Kongresu w 2026 r.

Elon Musk Is Collecting Voters’ Personal Data Ahead Of Midterms →

Unijne prawo o ciasteczkach to w istocie prawo o nadzorze

W 2022 r. reporter zapłacił 160 dolarów za tygodniowy zestaw danych o lokalizacji powiązanych z wizytami w ponad 600 klinikach Planned Parenthood w Stanach Zjednoczonych. Zbiór pokazywał, skąd przyszły grupy odwiedzających, jak długo zostali i dokąd poszli dalej. Broker wycofał produkt po publikacji artykułu, ale rynek stojący za nim pozostał. Dziennikarze zdobyli miliardy komercyjnie handlowanych rekordów lokalizacji z Niemiec i Belgii, ujawniając przemieszczanie się wokół szpitali, miejsc kultu religijnego, siedzib związków zawodowych, ministerstw, obiektów wojskowych, instytucji UE i budynków NATO. Prawo UE uznaje dwa odrębne prawa podstawowe: art. 7 Karty praw podstawowych chroni życie prywatne, dom i komunikację, a art. 8 chroni dane osobowe. Ochrona danych reguluje głównie to, co dzieje się, gdy dane osobowe są przetwarzane; prywatność i poufność komunikacji chronią także przestrzeń, z której informacje są pozyskiwane, wyznaczając granicę wkraczania w tę przestrzeń. Ramy ePrivacy dodają szczególne zasady poufności komunikacji i dostępu do informacji przechowywanych na urządzeniach ludzi lub przez nie generowanych, w tym komunikacji, metadanych i lokalizacji. RODO reguluje przede wszystkim dostęp do danych osobowych — co organizacje mogą zrobić z danymi, gdy już je przetworzą. Artykuł 5 ust. 3 dyrektywy ePrivacy kontroluje, kiedy podmiot może przechowywać informacje na urządzeniu końcowym osoby lub je z niego pozyskiwać. Urządzenia końcowe to telefony i laptopy, połączone samochody, telewizory, urządzenia noszone, inteligentne okulary i inne elementy internetu rzeczy. Przepis obejmuje fingerprinting, piksele śledzące, pamięć lokalną, identyfikatory systemu operacyjnego i instrukcje każące urządzeniu wysyłać informacje gdzie indziej. ePrivacy chroni też poufność komunikacji i reguluje dane o ruchu i lokalizacji przechowywane przez dostawców komunikacji, ogranicza ich przechowywanie i ponowne wykorzystanie, obejmuje komunikację niezamówioną i określa warunki, na jakich państwa członkowskie mogą ograniczać poufność. Dyrektywa ePrivacy powstała wokół tradycyjnych dostawców telefonii i komunikacji, więc wiele usług internetowych było początkowo wyłączonych z jej ochrony. Usługi komunikatorów i webmailu mogą dziś podlegać zasadom poufności komunikacji, ale zakres zależy od klasyfikacji prawnych niewidocznych dla użytkowników; ta sama wiadomość, ślad lokalizacji czy dane urządzenia mogą otrzymać różną ochronę w zależności od tego, czy firmę określa się jako operatora telekomunikacyjnego, usługę komunikatora czy platformę. Komercyjny nadzór często zaczyna się, zanim pojawi się kwestia RODO, od dostępu do urządzenia lub sygnału związanego z komunikacją, np. gdy aplikacja zawiera zestaw programistyczny zbierający lokalizację albo telewizor nagrywa nawyki oglądania. ePrivacy pyta, czy dostawca może używać danych o ruchu lub lokalizacji oraz czy tracker może czytać z urządzenia albo czy komunikacja musi pozostać poufna. Nie reguluje całego rynku brokerów danych, ale może zakręcić część kurków, które go zasilają. W kwestii nadzoru państwowego art. 15 pozwala na ograniczenia dla celów publicznych, z zastrzeżeniem Karty, w tym wymogów konieczności i proporcjonalności z art. 52. Orzecznictwo Trybunału Sprawiedliwości — od Digital Rights Ireland, Tele2 Sverige i Watson, przez La Quadrature du Net, SpaceNet, po niedawny HADOPI — odrzuca ogólne i masowe przechowywanie danych o ruchu i lokalizacji jako domyślne, dopuszczając przechowywanie ukierunkowane i niektóre ograniczone formy przechowywania ogólnego. Zapis kto z kim się kontaktował, kiedy, jak długo i skąd, może odtworzyć życie bez ujawniania treści choćby jednej wiadomości; powtarzane telefony do oddziału onkologicznego mogą ujawnić diagnozę, a telefon obecny w klinice aborcyjnej, meczecie, biurze związku lub na demonstracji może ujawnić zdrowie, religię, stosunki pracy lub działalność polityczną. W Stanach Zjednoczonych ICE i Customs and Border Protection kupiły dostęp do danych o lokalizacji telefonów zbieranych przez zwykłe aplikacje i sprzedawanych przez brokerów, nie budując własnego systemu śledzenia. Spyware typu Pegasus jest tworzony i sprzedawany przez prywatne firmy, a następnie używany przez władze publiczne przeciwko dziennikarzom, aktywistom, prawnikom i politykom opozycji; potrafi wejść do telefonu, uzyskać dostęp do komunikacji i metadanych, śledzić lokalizację oraz włączać mikrofony i kamery. Europejski Inspektor Ochrony Danych wprost powiązał wdrażanie spyware z dyrektywą ePrivacy tam, gdzie stosuje się prawo UE, i nazwał telefon wirtualnym domicylem osoby. Gdy wiele usług komunikatorów i webmailu weszło w zakres zasad poufności ePrivacy, praktyki wcześniej oceniane głównie przez RODO musiały też spełniać art. 5 i 6 dyrektywy ePrivacy, chroniące komunikację i dane o ruchu. Dostawcy chcący kontynuować dobrowolne skanowanie nie mogli już opierać się wyłącznie na podstawie z RODO, lecz także na konkretnym wyjątku od zasad poufności. UE przyjęła rozporządzenie 2021/1232, tworząc tymczasowe odstępstwo pozwalające dostawcom, dobrowolnie i pod warunkami, używać technologii do wykrywania i zgłaszania materiałów przedstawiających wykorzystywanie seksualne dzieci oraz nakłaniania dzieci, bez tworzenia podstawy prawnej dla skanowania. Negocjacje nad stałymi ramami trwają, a współprawodawcy dwukrotnie przedłużyli odstępstwo z rosnącą niechęcią. Podstawa z RODO nie daje przepustki przez drzwi ePrivacy; trzeba spełnić obie warstwy. Artykuł 52 wymaga, by ograniczenia poufnej komunikacji były zgodne z prawem, konieczne i proporcjonalne. Dyrektywa ePrivacy pochodzi z 2002 r., a jej najbardziej znana nowelizacja z 2009 r.; jej terminologia odzwierciedla wcześniejszy rynek telekomunikacyjny, egzekwowanie jest niespójne pod względem braków i braku harmonizacji, a banery ciasteczek stały się narzędziem manipulacji, a nie realnego wyboru. W 2017 r. Komisja zaproponowała rozporządzenie ePrivacy obejmujące komunikację internetową, metadane, technologie śledzące i połączone urządzenia. Grupy branżowe argumentowały, że RODO wystarczy, domagały się większej elastyczności dla dalszego przetwarzania i sprzeciwiały się silniejszym ograniczeniom śledzenia; społeczeństwo obywatelskie, organizacje konsumenckie i organy ochrony danych chciały silniejszej poufności i lepszej ochrony metadanych oraz urządzeń; państwa członkowskie nie zgadzały się co do zakresu, egzekwowania, wyjątków i retencji danych. Po latach negocjacji Komisja wycofała projekt w 2025 r. Komisja zaproponowała ramy ChatControl i tymczasowe odstępstwo, pracuje nad nowym unijnym podejściem do retencji danych i zaproponowała przeniesienie ważnych zasad dotyczących urządzeń końcowych do RODO poprzez Digital Omnibus. Firmy chcą więcej swobody w używaniu danych urządzeń i danych związanych z komunikacją do reklamy, analityki i AI; wiele rządów chce, by dostawcy przechowywali dane na potrzeby dostępu organów ścigania; a Komisja chce pokazać uproszczenie, rozszerzając narzędzia zgodnego z prawem dostępu. Digital Omnibus utrzymuje zgodę jako ogólną zasadę przechowywania lub dostępu do danych osobowych na urządzeniu osoby, jednocześnie rozszerzając wyjątki, i dzieliłby ten sam akt między dwa reżimy: dostęp do danych osobowych podlegałby RODO, a inne informacje mogłyby pozostać w ePrivacy. Nadzór przesunąłby się w stronę systemu kompleksowej obsługi z RODO. Niektóre firmy chcą dostępu do urządzeń zgodnego ze wszystkimi podstawami prawnymi RODO, w tym uzasadnionym interesem.

Europe’s Cookie Law Is Really a Law About Surveillance →

Czego nigdy nie wolno wrzucać do narzędzia AI

Poświadczenia każdego rodzaju — hasła, klucze API, tokeny dostępu, ciągi połączeń, klucze prywatne — nie powinny trafiać do żadnego narzędzia AI. Klucz wklejony do okna czatu należy uznać za skompromitowany i wymienić. To jedno z najczęstszych ustaleń, gdy firmy audytują swoje użycie AI. Dane kart płatniczych nie mają uzasadnionego powodu, by trafiać do interfejsu czatu, a zrobienie tego może postawić użytkownika poza jego obowiązkami w zakresie przetwarzania kart. Informacje o zdrowiu to dane szczególnej kategorii w rozumieniu RODO, z wyższym progiem zgodnego z prawem przetwarzania, obejmujące zwolnienia lekarskie pracowników, zaświadczenia medyczne i wszystko o czyimś stanie zdrowia. Inne dane szczególnej kategorii to pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne, przynależność do związków zawodowych, dane biometryczne i genetyczne oraz życie seksualne i orientacja seksualna. Materiały objęte obowiązkiem poufności, co do których nie można zweryfikować, że obejmuje on narzędzie — materiały klienta na podstawie NDA, niepublikowane informacje o transakcji, tajemnice handlowe innej firmy — mogą naruszać umowę utrzymującą informacje w organizacji, jeśli zostaną wysłane do zewnętrznego procesora, niezależnie od jego bezpieczeństwa. Wgranie listy klientów do ogólnego narzędzia w celu analizy to czynność przetwarzania wymagająca podstawy i umowy powierzenia przetwarzania danych. Nazwiska i dane kontaktowe klientów są dopuszczalne w narzędziu biznesowym objętym umową powierzenia i rejestrem przetwarzania, ale nie w darmowym czacie konsumenckim bez umowy. Ta sama różnica dotyczy wewnętrznych danych finansowych: objęte umową narzędzie biznesowe jest procesorem, a darmowe narzędzie założone prywatnie nie. Dane pracowników, takie jak umowy, wynagrodzenia i notatki o wynikach, wymagają właściwego narzędzia biznesowego i podstawy prawnej. Projekty strategii i niepublikowane plany niosą niższe ryzyko prawne, ale realne ryzyko komercyjne, zależne od zaufania do polityki retencji i treningu dostawcy. Trzy pytania rozstrzygają większość przypadków. Zgodnie z RODO każdy dostawca przetwarzający dane osobowe wymaga umowy powierzenia z art. 28; bez takiej umowy dane osobowe nie powinny być wprowadzane. Twierdzenia na stronach dostawców, że nie trenują na danych klientów, należy sprawdzić w umowie, bo to ona wiąże. Aneks podprocesorów w umowie powierzenia wymienia każdą stronę trzecią, która dotyka danych, i jej lokalizację; przy narzędziach AI ma to większe znaczenie niż zwykle, ponieważ wnioskowanie często odbywa się przez dostawców w Stanach Zjednoczonych, nawet gdy produkt jest europejski, a przechowywanie nie. Mirage Cloud publikuje aneks podprocesorów wymieniający dostawców modeli i głosu wraz z lokalizacjami i zabezpieczeniami transferu. Jednozdaniowa zasada jest łatwiejsza do przestrzegania niż rozbudowana polityka: jeśli coś zawiera hasło, informacje o zdrowiu czy materiały poufne klienta, nie trafia do narzędzia AI; jeśli zawiera dane osobowe, trafia tylko do narzędzi z zatwierdzonej listy. Zatwierdzona lista powinna być krótka, a jej narzędzia powinny mieć umowy powierzenia. Redagowanie przed wklejeniem — zastępowanie prawdziwych identyfikatorów symbolami zastępczymi — zajmuje sekundy i usuwa problem. Należy używać kont biznesowych, a nie prywatnych, ponieważ pakiety biznesowe zwykle mają inne warunki przetwarzania danych i można nimi administrować, audytować je i odbierać, gdy ktoś odchodzi. Prompty to nie jedyny kanał: wgrywane pliki, podłączone integracje i rozszerzenia przeglądarki również przenoszą dane, a integracje robią to w sposób ciągły, nie jednorazowy. Podłączenie narzędzia AI do poczty, dysku lub systemu księgowego daje stały dostęp do wszystkiego, co się w nich znajduje. Należy sprawdzić przyznane uprawnienia, czy obejmują prawo zapisu i jak je odebrać. Wszystko, co trafi do narzędzia, może zostać odczytane przez kogoś u dostawcy; dla większości pracy biznesowej z należycie objętym umową dostawcą jest to akceptowalne, ale dla poświadczeń, danych zdrowotnych i materiałów poufnych innych osób już nie.

What You Should Never Put Into an AI Tool →

Austriacka aktywistka pozywa unijnego nadzorcę danych w sprawie akt Europolu

Austriacka obywatelka Natalie Gruber złożyła skargę do Sądu Unii Europejskiej przeciwko Europejskiemu Inspektorowi Ochrony Danych (EDPS), oskarżając unijnego strażnika ochrony danych o osłanianie Europolu i niewystarczającą ochronę jej praw. Gruber dokumentowała naruszenia praw podstawowych wobec migrantów w Grecji poprzez swoją, już rozwiązana, organizację Josoor. Reprezentuje ją Iftach Cohen, prawnik w Front-lex, holenderskiej organizacji społeczeństwa obywatelskiego. Sprawa została złożona na początku tego tygodnia; Gruber rozmawiała z EUobserver w czwartek 10 września. Powodowie domagają się 130 tys. euro odszkodowania. Gruber przez lata próbowała uzyskać własne dane osobowe przetwarzane przez Europol w związku z prowadzonym przez Grecję śledztwem karnym, które później zostało umorzone. Gdy w końcu uzyskała pośredni częściowy dostęp, EDPS ujawnił, że jej dane były przechowywane w związku z domniemanym przestępstwem zmuszania właściwych organów do ratowania migrantów, jak wynika z dokumentów sądowych złożonych przez Front-lex. Cohen nazwał to oczywistym nieprzestępstwem, sugerując, że dawałoby to Europolowi prawo do przetwarzania danych osobowych aktywisty politycznego za sprzeciw wobec referendum lub za próbę zorganizowania marszu równości. Historia Gruber prowadząca do sprawy przed EDPS sięga 2020 r., gdy Turcja pozwoliła tysiącom osób przekroczyć grecką granicę lądową, wywołując międzynarodowy kryzys, a Ateny tymczasowo zawiesiły azyl. Tysiące kolejnych utknęły na granicy lądowej. Josoor przybyła na miejsce w marcu 2020 r., niosąc pomoc humanitarną i dokumentując naruszenia. Miesiąc później Grecy po cichu wszczęli śledztwo karne wobec Josoor i trzech innych organizacji pozarządowych. We wrześniu 2020 r. Grecy upublicznili sprawę w komunikacie prasowym. Gruber powiedziała, że ujawniali ich przestępstwa, więc próbowano ich zdyskredytować i zniechęcić do dalszego działania, a także innych. Dodała, że żyje w stanie wyjątkowym od prawie sześciu lat.

Cleared in Greek border case, Austrian activist now sues EU data chief over Europol record →