Η "σκοτεινή διαχείριση" των προσωπικών δεδομένων και η δυσκολία ελέγχου και λογοδοσίας

Το συμπέρασμα πρόσφατης έρευνας του zoho σε 1.400 επιχειρήσεις των ΗΠΑ και του Καναδά είναι μάλλον αποκαρδιωτικό. Το 63% των επιχειρήσεων δεν ενημερώνει καν τους επισκέπτες των ιστοχώρων τους ότι σε αυτούς υπάρχουν trackers τρίτων εταιρειών. Το 58% των εταιρειών μάλιστα αισθάνεται «άνετα» ή «πολύ άνετα» με τον τρόπο που οι τρίτοι συλλέγουν δεδομένα από τον ιστότοπό τους.

Όπως αναμενόταν, όσο περισσότερο εξαρτάται το επιχειρηματικό μοντέλο κάθε εταιρείας από την επεξεργασία προσωπικών δεδομένων, τόσο λιγότερο προβληματίζονται οι εταιρείες για τη συλλογή αυτών ενώ ταυτόχρονα θεωρούν ότι η Πολιτική Απορρήτου που αναρτούν δημόσια είναι ικανοποιητική.

Άλλωστε, σύμφωνα με την ίδια έρευνα, οι εταιρείες που συμμετείχαν θεωρούν ότι τα τρίτα μέρη που πραγματοποιούν τη συλλογή και ανάλυση δεδομένων «κάνουν καλή δουλειά», επιστρέφοντας πληροφορίες, τάσεις και συμβουλές στις ίδιες τις εταιρείες, ώστε να συμβάλλουν στην ενίσχυση της επιχειρηματικής τους στόχευσης και δράσης.

Η παραπάνω διαδοχική αντίφαση περιγράφει το ίδιο το πρόβλημα:

• Οι εταιρείες γνωρίζουν τι κάνουν οι trackers (δικοί τους ή άλλων) στις ιστοσελίδες του, όσο περισσότερο όμως χρειάζονται τα δεδομένα αυτά (και τα αναλυτικά στοιχεία που προκύπτουν από την επεξεργασία τους) τόσο κλείνουν τα μάτια στις νομικές τους υποχρεώσεις.

• Είναι φυσικό να αισθάνονται άνετα οι επιχειρήσεις με τις Πολιτικές Προστασίας Δεδομένων που δημοσιοποιούν, καθώς αυτό υποδηλώνει την προτεραιότητα που δίνουν στη βελτίωση της απόδοσης της επιχείρησης έναντι της νομικής τους υποχρέωσης να ενημερώνουν τους επισκέπτες των ιστοσελίδων τους σχετικά.

Προκύπτει ως ιδιαίτερα σημαντικό το ζήτημα της Διαφάνειας από τα παραπάνω: όσο λιγότερη διαφάνεια και πληροφόρηση παρέχεται στα φυσικά πρόσωπα, τόσο λιγότερο ενημερώνονται, ακόμη λιγότερο ευαισθητοποιούνται, επομένως μειώνονται οι πιθανότητες να κάνουν «κάτι» σχετικά με τα δικαιώματά τους (ερώτηση, παράπονο, καταγγελία). Έτσι μειώνονται και οι πιθανότητες να βρεθούν στη θέση να λογοδοτήσουν για την πρακτική που ακολουθούν οι εταιρείες.

Όπως φαίνεται, το πρωταρχικό ζήτημα είναι η ενημέρωση των επισκεπτών ενός ιστοχώρου, η πλήρης και διαφανής πληροφόρησή του, ώστε να έχει σαφή εικόνα για το ποια δεδομένα του θα συλλεχθούν, για ποιους σκοπούς, για πόσο διάστημα, κλπ.

Αυτός είναι ο λόγος που η πρόσφατη ρύθμιση της Apple ώστε να εμφανίζονται σε κάθε εφαρμογή τα προσωπικά δεδομένα που συλλέγει προκαλεί αντιδράσεις, πρώτα και κύρια από το facebook, καθώς «προδίδει» κρυμμένες λειτουργίες οι οποίες δεν προκαλούσαν τους χρήστες να ψάξουν περαιτέρω.

Αν, όμως, η ενημέρωση και ευαισθητοποίηση των πολιτών είναι η μια πλευρά και σχετίζεται με τη Διαφάνεια, η άλλη πλευρά είναι η Λογοδοσία και συναρτάται με τη δράση των ελεγκτικών Αρχών.

Η είδηση ότι η εποπτική Αρχή της Ιρλανδίας (DPC) επέβαλλε το πρώτο πρόστιμο στο Twitter για παραβίαση του GDPR (υπέρβαση της προθεσμίας των 72 ωρών για ενημέρωση των υποκειμένων σε περιστατικό παραβίασης), ύψους 450.000€, δείχνει ότι κάτι αρχίζει να κινείται στη «σημαντικότερη» εποπτική Αρχή της Ευρώπης:

• Η ιδιαίτερη σημασία της Ιρλανδικής Αρχής έγκειται στο γεγονός ότι επιβλέπει τις big tech που έχουν έδρα στην Ευρώπη (Ιρλανδία), άρα εποπτεύει ιδιαίτερα «μεγάλους» Υπευθύνους Επεξεργασίας.

• Η ιδιαίτερη σημασία του συγκεκριμένου προστίμου έχει να κάνει με το ότι «έλυσε» το γόρδιο δεσμό περιπτώσεων όπου εμπλέκονται περισσότερες από μία εποπτικές Αρχές, όταν μια παραβίαση αφορά πολίτες/κατοίκους περισσότερων από μία χωρών, ξεπερνώντας την πολυπλοκότητα μιας απόφασης που απαιτεί διασυνοριακή συνεργασία.

Και αν τα πρόστιμα δε λύνουν το πρόβλημα, εφόσον δε συνοδεύονται από «διαρθρωτικές» αλλαγές στη λειτουργία που οδήγησε στο πρόστιμο, το πρώτο βήμα είναι να γίνονται οι απαιτούμενοι έλεγχοι ώστε να υπάρχει εικόνα της πραγματικής κατάστασης.

Μόνο τότε είναι δυνατό να δίνονται πληρέστερες, σαφέστερες και πιο προσαρμοσμένες στις πραγματικές ανάγκες οδηγίες και κατευθύνσεις από τις Εποπτικές Αρχές τόσο στους Υπευθύνους Επεξεργασίας για τους τρόπους που συλλέγουν και επεξεργάζονται προσωπικά δεδομένα, όσο και στα φυσικά πρόσωπα σχετικά με το τι να προσέχουν και τα δικαιώματά τους.

Όσο αναγκαίο είναι να υπάρχει Διαφάνεια στις πρακτικές των εταιρειών, άλλο τόσο απαιτείται να υπάρχει έλεγχος και Λογοδοσία. Μόνο τότε αποκτούν νόημα οι έννοιες αυτές ώστε να μην είναι κενές περιεχομένου.