Newsletter ZPP
Warszawa, 15 kwietnia 2022 r.
Komentarz ZPP ws. postępów prac nad Digital Services Act
Akt o usługach cyfrowych, znany również pod swoją angielskojęzyczną nazwą Digital Services Act, niedługo zmieni obowiązującą od ponad 20 lat dyrektywę o handlu elektronicznym. Prace nad nowym rozporządzeniem trwają nieprzerwanie od końca 2020 r. Trylogi – trójstronne negocjacje między kluczowymi unijnymi instytucjami – mają zakończyć się już w tym miesiącu. Obecnie obserwujemy jednak pojawianie się licznych propozycji, które nie były ujęte w oryginalnym mandacie negocjatorów.
Nieproporcjonalność mechanizmu odpowiedzi kryzysowej
Do najnowszych propozycji należy mechanizm odpowiedzi kryzysowej (ang. Crisis response mechanism (CRM), który powstał, by umożliwić instytucjom sprawne przeciwdziałanie Rosyjskim atakom dezinformacyjnym. Cieszymy się, że instytucje UE podejmują zdecydowane kroki w walce z rosyjską propagandą. Mimo to, mamy pewne wątpliwości czy wprowadzanie proponowanych zapisów do DSA na tym etapie negocjacji jest najlepszym sposobem rozwiązania tego problemu.
Na wniosek francuskiej prezydencji, Komisja zaproponowała wprowadzenie przepisów, które mogą zmusić duże firmy technologiczne do szybkiego dostosowania swoich platform i zwiększenia liczby pracowników moderujących treści w czasie poważnych kryzysów takich jak klęska żywiołowa, atak terrorystyczny lub wojna. Nowy art. 25(a) projektu DSA uprawniałby Komisję do żądania wykonania konkretnych działań wyłącznie na podstawie zalecenia rady europejskich krajowych organów regulacyjnych. Paryż zasugerował, że konieczna będzie większość dwóch trzecich głosów organów regulacyjnych. Działania firm technologicznych, których celem jest walka z dezinformacją lub problemami związanymi z konkretnym kryzysem, byłyby prawnie ograniczone do trzech miesięcy. Jednocześnie Komisja musiałaby zachować przejrzystość swoich decyzji.
Przeciwko tej propozycji zaprotestowały 24 organizacje obywatelskie, które w swoim otwartym liście zwróciły uwagę, że Komisja Europejska nie powinna zostać uprawniona do jednostronnego ogłoszenia stanu wyjątkowego w całej UE. Ponadto, organizacje te zauważają, że CRM daleko do poszanowania międzynarodowych standardów praw człowieka w zakresie legalności, zasadności, konieczności i proporcjonalności, oraz wzywają do jego odpowiedniego przeformułowania.
Co więcej, nowy art. 25a DSA ma upoważnić krajowych koordynatorów cyfrowych do wymagania od mniejszych platform, aby spełniamy wymogi w zakresie obowiązków ograniczania ryzyka, które w normalnych warunkach ciążą jedynie na bardzo dużych platformach. Taki przepis wydaje się być nieproporcjonalnym obciążeniem dla mniejszych platform, których możliwości dostosowania się do ww. wymienionych będą w praktyce ograniczone, szczególnie w krótkim czasie.
Ostatecznie, próby walki z rosyjską dezinformacją mogą zostać osłabione przez inne zapisy znalezione w DSA. Art. 15 ust. 2 nakłada na platformy obowiązek udzielenia informacji o faktach i okolicznościach, jak również o stosowanych środkach przy każdorazowym podejmowaniu działań dotyczących treści. Dzięki temu podmioty zajmujące się dezinformacją otrzymają pełną wiedzę co do tego jak platformy walczą z dezinformacją oraz obniżają widoczność szkodliwych w treści. W efekcie, DSA starając się zwiększyć transparentność, ułatwi złym aktorom oszukiwanie systemów bezpieczeństwa i utrudni walkę z dezinformacją. W obecnej sytuacji, instytucje unijne powinny wytworzyć instrumenty pozwalające platformom walczyć z akcjami dezinformacyjnymi prowadzonymi przez państwa trzecie na masową skalę, raczej niż wprowadzać nowe rozwiązania do horyzontalnej regulacji jakim jest DSA na tak późnym etapie prac.
Powrót zakazu reklamy targetowanej
W głosowaniu plenarnym w Parlamencie Europejskim eurodeputowani odrzucili pełny zakaz reklamy targetowanej. W efekcie, zagłosowano za ograniczeniem targetowania osób nieletnich oraz targetowania z wykorzystaniem danych wrażliwych. Z zadowoleniem przyjęliśmy decyzję PE. Uważamy, że znalazła ona odpowiedni balans pomiędzy ochroną użytkowników, a prawami przedsiębiorców. Pełny zakaz uderzyłby w przedsiębiorstwa z sektora MŚP, odbierając im kosztowo-efektywny sposób docierania do swoich klientów, oraz znacznie ograniczył możliwości rozwoju. Dlatego z zaniepokojeniem obserwujemy zgłaszane przez eurodeputowanych poprawki, mające na celu doprowadzenie do de facto zakazu reklamy targetowanej.
Zanim przejdziemy do omówienia najnowszych propozycji PE, na wstępie należy zwrócić uwagę na tzw. known minor problem. Aby ograniczyć reklamę targetowaną dla osób nieletnich, platformy muszą w pierwszej kolejności wiedzieć, że użytkownik nie ukończył określonego roku życia. Ze względu na brak ogólnej weryfikacji wieku w internecie, platformy muszą przetwarzać dane o ruchu użytkownika, aby określić wiek na podstawie aktywności. Paradoksalnie wiec, zakaz targetowania mógłby w teorii doprowadzić do większego śledzenia aktywności dzieci w internecie.
Aby odpowiedzieć na ten problem, PE zaproponował wprowadzenie poprawki do art. 24(1)(b), w którym stwierdza, że „spełnienie obowiązku określonego w akapicie pierwszym nie pociąga za sobą konieczności przetwarzania przez platformy internetowe dodatkowych danych osobowych małoletnich w celu weryfikacji wieku usługobiorcy”. Choć uznajemy potrzebę wspierania bezpieczeństwa dzieci poprzez minimalizację danych, uważamy, że tak sformułowany przepis będzie trudny do realizacji w praktyce i doprowadzi do ograniczenia reklamy targetowanej we wszystkich grupach wiekowych. Proponujemy, aby przepis został zmieniony, by zakazać nadmiernego, nie zaś dodatkowego zbierania danych osobowych w celu weryfikacji wieku.
Ponadto eurodeputowani proponują rozszerzenie zakazu na użytkownika, w sytuacji gdy platforma ma wątpliwości czy odbiorca jest osobą niepełnoletnią (art. 24(1)(c)). Oznacza to również rozszerzenie zakazu na użytkownika, gdy przeprowadzenie weryfikacji wieku było niemożliwe. Biorąc pod uwagę obecny stan technologii, taki przepis może doprowadzić do faktycznego zakazu reklam personalizowanych. Aby uniknąć sytuacji, w której negocjatorzy wyjdą swój mandat, przepis ten powinien zostać ograniczony do przypadków, gdzie platforma ma poważne podstawy, nie zaś jedynie wątpliwości, by sądzić, że odbiorca jest osobą niepełnoletnią. Tak sformułowany przepis będzie jednocześnie chronił nieletnich.
Rozszerzenie know-your-business-customer
W ostatniej kolejności należy zwrócić uwagę na propozycję rozszerzenia zasady know-your-business-customer, która zobowiązuje dostawców usług internetowych do zbierania informacji identyfikujących użytkowników biznesowych w celu weryfikacji ich tożsamości. Celem KYBC jest poprawienie bezpieczeństwa w sieci poprzez powstrzymanie pewnych podmiotów przed wykorzystywaniem legalnych usług do prowadzenia nielegalnej działalności w sposób anonimowy. Zakładając, że lista informacji wymaganych do pozyskania od dostawców usług internetowych jest proporcjonalna i nie stanowi nieuzasadnionego obciążenia administracyjnego, propozycję należy ocenić pozytywnie. Niemniej, podczas styczniowych rund negocjacji zaproponowano rozszerzenie tej zasady do wszystkich rodzajów dostawców usług internetowych, zatem obejmując nią nie tylko market place-y, ale również media społecznościowe, komunikatory czy serwisy streamingowe.
Aby zrozumieć implikacje rozszerzenia KYBC, należy pamiętać, że DSA, podobnie jak dyrektywa o handlu elektronicznym, bazuje na zakazie ogólnego monitorowania internetu. Nakaz taki został odrzucony z dyrektywy e-commerce jak i DSA, ponieważ godzi w podstawowe wartości takie jak wolność słowa i może doprowadzić do cenzury (tj. nadmiernego blokowania czy usuwania) legalnych treści. Rozszerzenie KYBC do wszystkich dostawców usług pośrednich oznacza rozszerzenie jej do wszystkich treści, które występują w internecie. Dlatego ciężko w praktyce wyobrazić sobie jak stosowanie tej rodzaju zasady miałoby odbyć się bez generalnego monitorowania internetu, jednocześnie spełniając wyśrubowane wymogi DSA co do zapewniania czynnika ludzkiego.
Związek Przedsiębiorców i Pracodawców aktywnie uczestniczył w pracach nad Aktem i od samego początku apelował o wprowadzenie rozwiązań, które nie będą nadmiernie obciążać przedsiębiorstw z sektora cyfrowego. Pod koniec prac nad DSA podtrzymujemy ten apel i nawołujemy decydentów do niestawiania niemożliwych do zrealizowania wymogów przed przedsiębiorstwami aktywnymi w sektorze cyfrowym.
Zobacz: 15.04.2022 Komentarz ZPP ws. postępów prac nad Digital Services Act
