Reglugerð ESB nr. 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB í þágu baráttu gegn kynferðislegu ofbeldi gegn börnum. - 32021R1232

Tilskipun 2002/58/EB tekur til vinnslu persónuupplýsinga í tengslum við framboð á rafrænni fjarskiptaþjónustu sem er aðgengileg á almennum fjarskiptanetum innan EES svæðisins. Með gildistöku tilskpunar 2018/1972 (kóðinn) var gerð breyting á skilgreiningu á rafrænni fjarskiptaþjónustu (e. electronic communications service). Eftir þá breytingu nær rafræn fjarskiptaþjónusta einnig til fjarskiptaþjónustu á milli einstaklinga sem er ótengd númerum, sbr. 7. mgr. 2. gr. Kóðans. Kóðinn var innleiddur hér á landi með nýjum fjarskiptalögum nr. 70/2022. Í dag eru einhverjir veitendur fjarskiptaþjónustu milli einstaklinga sem er ótengd númerum, s.s. veitendur OTT-samskiptaþjónustu (e. over the top communications services), sem eiga frumkvæði að því að nota sérstaka tækni til að greina kynferðisofbeldi gegn börnum á internetinu og tilkynna það til lögreglu. Það er gert t.d. með því að skanna efni sendinga s.s. mynda, texta eða umferðargögn sem tengjast samskiptum með hjálp ákveðinnar tækni. Þannig eru bornar saman myndir, texti og annað efni við svokallað tæti (e. hash) úr gagnagrunni sem viðhaldið er af samtökum sem vinna gegn kynferðisofbeldi gegn börnum. Þótt þessar ráðstafanir séu mjög mikilvægur þáttur í því að vinna gegn kynferðislegu ofbeldi gegn börnum þá samræmist þessi vinnsla á persónuupplýsingum ekki í öllum tilvikum reglugerð ESB nr. 2016/679 (GDPR) né ákvæðum tilskipunar 2002/58/EB um fjarskiptaleynd. Stafræn væðing samfélagsins hefur haft jákvæð áhrif á samfélagið og hagkerfið í heild sinni, en á sama tíma hefur hún leitt til aukningar í stafrænu kynferðisofbeldi gegn börnum. Reglugerðin veitir tímabundna undanþágu frá meginreglu um fjarskiptaleynd, nánar tiltekið ákvæðum 1. mgr. 5. gr. og 1. mgr. 6. gr. tilskipunar 2002/58/EB. Undanþágan er sett í þeim tilgangi að gera þjónustuveitendum sem veita fjarskiptaþjónustu milli einstaklinga óháð númerum kleift að nýta tiltekna tækni við vinnslu persónuupplýsinga og annarra ópersónugreinanlegra upplýsinga, þegar hún telst vera nauðsynleg til að koma upp um kynferðisofbeldi gegn börnum á internetinu ásamt því að tilkynna slíkt ólöglegt athæfi og fjarlægja slík gögn. Reglugerðinni er ekki ætlað að veita lagagrundvöll til vinnslu persónuupplýsinga við notkun þessarar greiningartækni heldur einungis undanþágu frá meginreglu um fjarskiptaleynd. Kjósi þjónustuveitendur að nýta sér undanþáguna ber þeim eftir sem áður að fara eftir ákvæðum almennu persónuverndarreglugerðarinnar, ásamt þeim skilyrðum sem settar eru fyrir undanþágunni í reglugerðinni. Til að þjónustuveitendur geti nýtt sér framangreinda undanþágu verður vinnslan að vera nauðsynleg til að koma upp um kynferðisofbeldi gegn börnum og tilkynna það til þar til bærra yfirvalda. Þá er einnig gert að skilyrði að gætt sé meðalhófs við vinnsluna og hún sé takmörkuð við það efni og tengd umferðargögnum sem eru nauðsynleg til að uppfylla tilgang vinnslunnar og ekki geymd lengur en 12 mánuði frá söfnun upplýsinganna. Reglugerðin skilgreinir ekki tiltekna tækni, heldur er vísað til þess að sú tækni sem nýtt er skuli uppfylla ákvæði 25. gr. almennu persónuverndarreglugerðarinnar um innbyggða og sjálfgefna persónuvernd eins og kostur er. Þá eru gerðar þær kröfur til þjónustuveitenda að þeir geri tilteknar ráðstafanir við nýtingu á undanþágunni. Ráðstafanir felast m.a. í því að til staðar séu innri ferlar hjá aðilum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingunum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingum sem unnið er með. Þá er gerð krafa um að til staðar sé mannleg íhlutun þegar unnið er með upplýsingarnar og við tilkynningu um brot til lögbærra yfirvalda, ásamt því að notendur séu upplýstir um vinnslu upplýsinganna á grundvelli undanþágunnar. Leiði vinnslan til þess að efni sé fjarlægt eða lokað sé á notendur ber þjónustuveitendum einnig skylda til að upplýsa notendur um það og þau réttindi sem þeir hafa samkvæmt lögum. Þeir aðilar sem kjósa að nýta undanþágu frá fjarskiptaleynd ber skylda til að afhenda eftirlitsstjórnvaldi sem fer með eftirlit samkvæmt almennu persónuverndarreglugerðinni og framkvæmdastjórn Evrópusambandsins skýrslu árlega. Í slíkri skýrslu þarf að gera grein fyrir þeirri vinnslu sem á sér stað, s.s. flokka og tegundir persónuupplýsinga sem unnið er með ásamt lagagrundvelli fyrir vinnslu og miðlun utan EES. Þá er einnig gerð krafa um að gerð sé grein fyrir fjölda mála sem upp hafa komið í tengslum við kynferðislegt ofbeldi gegn börnum og meðferð þeirra, ásamt upplýsingum um varðveislutíma og öryggisráðstafanir. Aðilum ber einnig að tilkynna til framkvæmdastjórnar þau samtök sem vinna gegn kynferðislegu ofbeldi gegn börnum sem þeir eru í samstarfi við, en gert er ráð fyrir opinberri birtingu á þeim lista.