De Digital Omnibus is (onder meer) een poging om onderliggende wetgeving (o.a. AVG/GDPR) te vereenvoudigen. Een bijzonder prangende vraag (deze week wordt hierover besloten) is of onderstaande toevoeging aan Artikel 88c van de GDPR als een vereenvoudiging moet worden gezien (Art. 88c/88bis paragraaf 1 GDPR):
The processing of personal data for the training and technical operation of an AI system as defined in Article 3, point (1), of Regulation (EU) 2024/1689 or an AI model shall be presumed as a legitimate interest within the meaning of this provision.
In principe zijn persoonsgegevens beschermd gebied, dus waarom wordt voor AI een uitzondering gemaakt? Ik ga er vanuit dat onze niet-gekozen EU-vertegenwoordigers onze privacygegevens te grabbel gooien om in het gevlei van de VS en China te komen. De data-stofzuigers uit deze twee landen willen namelijk alle data opzuigen, inclusief de persoonsgegevens.
Bovenstaande aanpassing betekent dat ieder softwarebedrijf het acroniem “AI” aan hun naam, hun logo en al hun producten toevoegen om op deze manier de nieuwe privacy wetgeving kalt te stellen. En verder lachen de Magnificent Seven en in hun slagschaduw duizenden andere roofridders zich de ballen uit de broek. Europese persoonsgegevens zijn een soort een free-for-all geworden.
Maar, maar zeggen EU apologeten dan, we kunnen toch nog bezwaar aantekenen tegen de opname van onze persoonsgegevens in elke database ter wereld? Natuurlijk, want artikel 21, lid 1 van de GDPR/AVG zegt:
The data subject shall have the right to object, on grounds relating to his or her particular situation, at any time to processing of personal data concerning him or her which is based on point (e) or (f) of Article 6(1), including profiling based on those provisions. The controller shall no longer process the personal data unless the controller demonstrates compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject, or for the establishment, exercise or defence of legal claims.
Oftewel, een data subject (wat een akelige naam is dit toch) kan protesteren, maar de controller kan daar bezwaar tegen aantekenen. Ik heb een donkerbruin vermoeden hoe dit soort bezwaarschriften gaan aflopen. En hoe weet je overigens als data subject in welke databases je allemaal zit? Met deze wetgeving wordt de privacy van burgers te grabbel gegooid.
En dan, heb je weleens geprobeerd te protesteren via de Autoriteit Persoonsgegevens (AP)? Trek er maar wat jaren voor uit, als je überhaupt een fatsoenlijk antwoord van deze partij krijgt. Overigens is de AP per direct overbodig geworden, wat in ieder geval meehelpt aan de doelstellingen van dit kabinet om het aantal ambtenaren terug te dringen.
Is er in deze inktzwarte wereld dan geen enkele hoop? Nou, er is dit: Art. 88c, paragraaf 3 GPDR:
Paragraph 1 [zie hierboven] does not apply where the processing is specifically directed at certain identified or identifiable natural persons, or where the system is designed for the identification, monitoring, or evaluation of natural persons, or where the system is specifically designed for the synthetic generation of the voice, image or other personal characteristics of a certain identified or identifiable natural person
De people aggregators van deze wereld (inderdaad, 8vance valt hier ook onder) zijn uitgesloten van het feest. Zij mogen nog steeds geen persoonsgegevens verzamelen, hoewel zij zich daar tot op heden niets van hebben aangetrokken.
Wat vrolijkmakend leeswerk
People aggregators en Data Protection Agencies
Waarom de term ‘data subject’ onwenselijk is
“Can we have your liver, then?”, de donoren van de recruitmentindustrie
De privacyverklaring als vijgeblad voor een data grab