Regulamentul General privind Protecția Datelor (GDPR), considerat un standard global în domeniul protecției vieții private, este vizat de o reformă propusă de Comisia Europeană. Potrivit unei anchete marca EuObserver, din dorința „simplificării” administrative și sprijinirii competitivității, executivul UE poate să afecteze una dintre cele mai importante realizări europene din ultimul deceniu.
Această propunere este o mutare politică majoră, care riscă să prioritizeze interesele marilor actori comerciali în detrimentul drepturilor fundamentale ale cetățenilor europeni.
O excepție care devine regulă
Una dintre cele mai problematice prevederi ale noii propuneri este excepția de la obligația păstrării evidențelor (Articolul 30 GDPR), care ar urma să se aplice automat tuturor companiilor cu mai puțin de 750 de angajați — cu o singură condiție: ca acestea să declare, singure, că activitatea lor de prelucrare a datelor nu prezintă un „risc ridicat” pentru drepturile fundamentale.
Această schimbare elimină, de fapt, ambele condiții de siguranță impuse până acum: caracterul ocazional al prelucrării și lipsa de risc pentru persoane. Practic, aproape orice firmă din UE — peste 99,9%, conform datelor Eurostat — ar putea evita complet obligațiile de documentare, invocând o autoevaluare vagă și neverificabilă.
Nu doar că autoritățile de supraveghere ar fi lăsate pe dinafară, dar și cetățenii ar fi privați de capacitatea reală de a-și accesa, corecta sau șterge datele. Fără evidențe, nu există nici transparență, nici responsabilitate.
Mici, dar dăunători: De ce dimensiunea companiei nu contează
Se presupune, în mod fals, că firmele mici sunt inofensive. Realitatea ne contrazice în mod brutal. IAB Europe, organizația din spatele ferestrelor de consimțământ omniprezente pe internet, are sub 40 de angajați. Clearview AI, compania care a alimentat baze de date de recunoaștere facială cu miliarde de imagini colectate ilegal, este, de asemenea, o firmă „mică”.
Dimensiunea personalului nu reflectă amploarea riscului. Într-o eră în care tehnologii precum inteligența artificială și profilarea biometrică sunt accesibile și ieftine, impactul asupra vieții private poate fi devastator chiar și din partea unui startup cu 10 angajați.
Noua propunere nu impune firmelor să consulte autoritățile de protecție a datelor. Nici nu oferă criterii clare pentru evaluarea riscurilor. Practic, companiile ar deveni propriile lor autorități de reglementare. E ca și cum am lăsa lupul să păzească oile și ne-am declara satisfăcuți de liniște.
Acest tip de „autoreglare” — de fapt, o absență totală a controlului — e rețeta perfectă pentru abuzuri, interpretări divergente și zone gri legale care vor fi exploatate tocmai de cei mai bine înzestrați juridic și financiar: marile platforme.
Record-keeping-ul nu este birocrație. Este garanția că avem drepturi.
Mulți responsabili cu protecția datelor avertizează că evidențele nu sunt o povară birocratică, ci un instrument esențial pentru respectarea legii. Ele ajută organizațiile să se autoevalueze, să prevină riscuri și să demonstreze conformitatea. Eliminarea lor nu înseamnă „simplificare”, ci subminarea unei arhitecturi legale bazate pe responsabilitate și transparență.
Fără evidențe, autoritățile nu pot investiga, iar oamenii nu pot cere despăgubiri.
O reformă fără consultare și fără o evaluare a impactului
Modificările vin ca parte a unui pachet mai larg — „Omnibus 4” — fără un studiu de impact, fără consultare publică serioasă și fără justificare clară privind presupusa povară administrativă. E o abordare grăbită și netransparentă, ce ignoră ghidurile proprii ale Comisiei privind elaborarea legislativă.
Deja Ombudsmanul European a deschis o anchetă privind primele două pachete „Omnibus”, suspectând că aceste reforme încalcă normele fundamentale ale bunei guvernări europene.
O tendință periculoasă
Aceste modificări nu sunt izolate. Ele fac parte dintr-un tipar mai amplu, în care drepturile cetățenești sunt negociate în spatele ușilor închise. AI Act a fost diluat în ultimele versiuni. Aplicarea Digital Services Act și Digital Markets Act este întârziată sau compromisă. Mesajul transmis? Protecțiile legale ale UE sunt negociabile.
Dacă GDPR poate fi slăbit fără o dezbatere și fără o opoziție serioasă, atunci orice alt cadru de protecție e la fel de vulnerabil.
Ce avem de făcut? Nu să „simplificăm”, ci să consolidăm
Problema nu este GDPR-ul. Este lipsa de aplicare. Marii actori se ascund în spatele unei conformități de fațadă, în timp ce autoritățile naționale rămân subfinanțate și supuse presiunii politice. Întreprinderile mici nu au nevoie de „scutiri”, ci de sprijin real: ghiduri, modele de documente, instrumente practice.
Cetățenii nu au nevoie de „competitivitate”. Au nevoie de garanții că datele lor nu vor fi vândute, abuzate sau folosite împotriva lor.
