Pravo na zaborav

Mediji prenose vijest kako je Google dobio pravnu bitku protiv EU. Na webu ćete naći naslove koji sugeriraju da je Google ostvario veliku pobjedu time što je European court of Justice presudio da Google ne mora ukloniti poveznice na osjetljive osobne informacije koje pretraživač prikazuje ako su sadržaji objavljeni izvan granica 28 članica EU. GDPR to naziva "pravo na zaborav". Po presudi, to pravo ne vrijedi izvan granica EU. Što to zapravo znači i kakve bi mogle biti posljedice ovakve presude?

GDPR je regulativa EU koja je na snazi od 2018., kada je zamijenila Data Protection Directive iz 1995. godine. Obvezuje tvrtke i organizacije koje su osnovane u Europi ili tamo imaju klijente. Regulira način na koji se mogu prikupljati, čuvati i koristiti osobni podaci. Ukratko, osobni podaci su vlasništvo osobe, to je osnovni postulat koji često zaboravljamo i olako ga se odričemo, bez pravog razumijevanja posljedica. Pristup osobnim podacima imaju državna tijela, radi obavljanja svojih poslova, ali i neke kompanije poput banaka i telekom operatera, kojima je to neophodno za obavljanje posla. Ostale tvrtke bi trebale biti oprezne kad traže osobne podatke klijenata, objasniti im kako će ih koristiti i zatražiti od klijenta privolu za to. Jedna od stvari o kojoj se ne vodi računa je rok do kojeg se smiju čuvati osobni podaci? Ponekad regulativa zahtijeva  da se podaci čuvaju određeno vrijeme. Što kad to vrijeme istekne? Da li se podaci brišu? Tko to provjerava? GDPR daje korisniku "pravo na zaborav", pravo da zatraži uvid u osobne podatke koje čuvaju tvrtke i organizacije i zahtijeva da se ti podaci na njegov zahtjev brišu. Baš me zanima kako bi se kod nas proveo klijent koji bi ušetao u ured neke tvrtke, tražio uvid u svoje osobne podatke i  naložio da ih se uništi.

U praksi se ta pravila često krše. Od mene su tražili ime, prezime, adresu i broj telefona kad sam htio kupiti WC kotlić! Na pitanje zašto im trebaju moji osobni podaci, trgovac je odgovorio da im trebaju "radi garancije". Prigovorio sam da je za garanciju dovoljan račun i ovjera pečatom, bez ikakvih osobnih podataka! Odgovorili su mi da su ih tako instruirali iz uprave. Na pitanje kako će se podaci koristiti i koliko će ih dugo čuvati (na pr. do isteka garancije), nisu znali odgovoriti. Nisu krivi trgovci, nego tvrtka koja ih nije informirala o zakonskoj regulativi.

Toliko o lokalnim trgovcima. Što s gigantima poput Googlea ili Facebooka, koji imaju milijarde klijenata, registrirane su u jednoj državi a posluju diljem planeta? Javna je tajna da zarađuju trgujući osobnim podacima korisnika, prodajući ih ne samo trgovcima koji su u lovu na kupce, nego i tvrtkama poput Cambridge Analitice, koje rade za političke stranke. Za njih su naši osobni podaci pravo blago na kojem se može dobro profitirati. Tržišna vrijednost Facebooka procijenjena je na 475 milijardi dolara, a dobit im raste 38% godišnje. Što može jedan mali korisnik iz Hrvatske tražiti od tvrtke čija je dobit veća od BDP-a cijele Hrvatske? Za svoje se stanovnike pravnim sredstvima zalaže EU, ali eto, sudeći prema novinskim napisima, izgubila je bitku protiv Googlea. No ako pažljivo čitamo tekst ispod bombastičnog naslova, ispada da bitka nije posve izgubljena. U slučaju spomenutog sudskog spora Francuska agencija za zaštitu osobnih podataka tražila je od tvrtke Google da europska pravila primjeni globalno, barem na francuskoj verziji pretraživača (Google.fr). Sud je presudio da GDPR vrijedi unutar EU, ali ne i izvan nje! Od 2014. građani EU dobili su bolju kontrolu nad svojim podacima, mogli su tražiti da se uklone poveznice na podatke koji su zastarjeli, uvredljivi ili "osjetljivi". Sud je dakle samo presudio da Europski standardi ne mogu vrijediti izvan EU sve dok ostatak svijeta ne uvede sličnu regulativu. Ukratko, izgubljena je bitka, ali ne i rat. Google bi, prema preporuci koja ide uz presudu, trebao otežati pretraživanje povjerljivih podataka o građanima EU i izvan EU, iako se tamo ne primjenjuje GDPR.

A mi se, Europljani, još jednom moramo podsjetiti koliko smo privilegirani jer živimo u ovoj zajednici država koja pruža ostatku čovječanstva primjer kako se može ostvariti prosperitet u miru, suradnji i pružati svojim građanima dobru pravnu zaštitu. Problem s Googleom se dogodio kad je Francuska Agencija pokušala tu pravnu zaštitu proširiti na ostatak svijeta.

No nas će i dalje zanimati na koji način tvrtke poput Googlea koriste osobne podatke svojih korisnika? Kad izguglate pojmove Google i GDPR, na vrhu liste poveznica pojavit će linkovi na Googleove dokumente u kojima je na jednostavan način objašnjen smisao GDPR-a, a zatim su pobrojani načini na koje Google tvrtkama klijentima pomaže u ostvarivanju te regulative. U Google cloudu na raspolaganju su im alati za višestruku autentikaciju i slično. Sve u svrhu postizanja poznatih ciljeva: Confidentiality, Integrity, Availability. Na prvi pogled, regulativa je ozbiljno shvaćena, Google je primjenjuje i pomaže korisnicima clouda da to i sami ostvare. Ako želimo zaviriti ispod površine, treba potražiti pomoć organizacija i pojedinaca kojima je stalo do zaštite osobnih podataka.

Tvrtka Brave osmislila je radikalno drugačiji način praćenja sadržaja na Internetu. Njihov Brave browser je brži (2x na laptopu i 7x na pametnom telefonu) i troši manje bandwidtha tako što blokira oglase i pratitelje, smanjuje račun za telekom vezu i produžuje vijek trajanja baterije na mobilnim uređajima. Jer htjeli mi to ili ne, dobar dio prometa potroše sadržaji koje ne tražimo, ali ih u postojećem poslovnom modelu ne možemo izbjeći. Zašto bi korisnici plaćali za nešto što nisu naručili? Zato su u Bravu osmisli novi model oglašavanja zasnovan na blockchain tehnologiji. Uvode se tokeni, pa će korisnici koji žele vidjeti neki sadržaj biti nagrađeni tokenima, koje će moći poklanjati izdavačima čije sadržaje žele pratiti i koje žele poduprijeti. Blockchain tehnologija će eliminirati prijevare i omogućiti nam da biramo sadržaje koje želimo. Zvuči odlično, zar ne? Zašto bi neki posrednici zarađivali na reklamama koje nam se nameću i na prodaji podataka o nama?

Brave je napravio i analizu postojećeg poslovnog modela. Pratili su što se događa s podacima o korisnicima pretraživača. Googleov “DoubleClick/Authorized Buyers sustav oglašavanja aktivan je na preko 8.4 milijuna siteova. On odašilje osobne podatke o posjetiteljima na adrese preko 2,000 tvrtki, stotinama milijardi puta dnevno”, tvrdi Dr Johnny Ryan of Brave (zvuči kao plemićka titula). Dokaze za tu tvrdnju dao je nadležnoj Irskoj agenciji (Irish Data Protection Commission). Kako to funkcionira?

Na stranici https://brave.com/google-gdpr-workaround naći ćemo informacije o tome kako Google zaobilazi prepreke koje postavlja GDPR. Google je razvio Real Time Biding sistem, koji omogućuje tvrtkama da se nadmeću tko će pojedinom korisniku pokazati reklamu. Tvrtke se ohrabruju da dijele podatke, a Google im nudi “Push Pages” uslugu sa svoje domene (https://pagead2.googlesyndication.com). Svaka push stranica zove se “cookie_push.html”, a međusobno se razlikuju po kodu koji Google dodaje na kraju. Kod sadrži skoro 2000 znakova koji sadrže podatke o posjetitelju. Citiramo: "Svaki put kad osoba posjeti web stranicu koja koristi RTB, podaci o njoj se šalju desecima i stotinama tracking tvrtki, koje omogućuju oglašivačima da se nadmeću za priliku da im pokažu reklamu. Podaci mogu uključivati podatke o tome što čitaju, čime se može otkriti njihova seksualna orijentacija, politički pogledi, vjeroispovijest, zdravstveno stanje, na primjer AIDS, bolesti koje se prenose seksom i depresija. Uključeni su podaci o tome što osoba čita, gleda, sluša, njihova lokacija, ID kodovi specifični za tu osobu, tako da se s vremenom i kontinuirano ti podaci mogu povezivati s fizičkom osobom." Google zapravo i nema kontrolu što se sve događa s osobnim podacima koje tako velikodušno dijeli, ali njihova tehnologija je upravo tako i zamišljena.

Neki dan sam gledao simpatičnu talijansku seriju o detektivu Montalbanu. On rješava ubojstva počinjena pištoljem. Forenzičar mu kaže da se vjerojatno radi o "pištolju za gađanje", kako je to prevedeno s talijanskog . Zar postoje pištolji s kojima se ne gađa? Pretpostavio sam da se radi o sportskom pištolju za natjecanja u streljaštvu. Išao sam izguglati taj pojam, bio sam u pravu, oružje za streljaštvo ima dužu cijev i veliku dršku koja je ergonomski oblikovana da bolje leži u ruci. Zadovoljno sam zatvorio preglednik, ali onda sam shvatio što sam uradio. Sad je moj profil obogaćen "činjenicom" da me zanima oružje. Tko zna kakve ću odsada reklame morati podnositi? Googleov cookie vjerojatno nije u stanju razabrati da sam samo provjeravao da li je prijevod dobar.

Pametnome dosta. Idem instalirati Bravo preglednik. Novi browser donosi novi poslovni model, koji je bolje usklađen s pravima korisnika. Mogli bismo reći da donosi i civilizacijski napredak. A Google vjerojatno može očekivati nove tužbe.