Adatvédelmet gyengítene Brüsszel a versenyképességért
Az Európai Bizottság omnibuszcsomagokkal egyszerűsítené a vállalati szabályokat, a GDPR és a mesterséges intelligenciáról szóló rendelet módosítása azonban éles vitát váltott ki: civilek szerint a tervezet a személyes adatok védelmét sodorja veszélybe.
Brüsszelben immár másfél éve zajlik az uniós szabályozás nagyszabású leegyszerűsítése, amelynek célja, hogy a vállalatokra nehezedő adminisztratív terhek csökkentésével javítsa Európa versenyképességét. Az Európai Bizottság eddig tizenkét úgynevezett omnibuszcsomagot dolgozott ki, amelyek a fenntarthatósági jelentéstételtől a mezőgazdaságon, a vegyi anyagokon és az autóiparon át a digitális szabályozásig szinte minden területet érintenek. A Bizottság 2029-ig évi 37,5 milliárd eurós adminisztratívköltség-csökkentést tűzött ki célul, ebből 2026 közepéig már mintegy 18 milliárd eurót sikerült elérni, vagyis a program nagyjából félúton tart. A cél, hogy a vállalkozások adminisztratív terhei átlagosan 25, a kis- és középvállalkozásoké pedig 35 százalékkal mérséklődjenek a von der Leyen-bizottság mandátumának végére.
A legtöbb vitát az elmúlt hónapokban a fenntarthatósági jelentéstétel és a digitális szabályozás egyszerűsítése váltotta ki. A vállalati fenntarthatósági jelentéstételi irányelv (CSRD) és a taxonómiarendelet esetében a Bizottság februárban terjesztette elő az úgynevezett érdemi javaslatot, amely március 18-án lépett hatályba. Ez alapján a jövőben csak azok a vállalatok esnek jelentéstételi kötelezettség alá, amelyeknek legalább ezer alkalmazottjuk van, és emellett 450 millió eurónál nagyobb az árbevételük, vagy 250 millió eurónál nagyobb a mérlegfőösszegük. A Bizottság becslése szerint ez az eredetileg jelentéstételre kötelezett vállalatok mintegy 80 százalékát mentesíti a kötelezettség alól, a tőzsdén jegyzett kis- és középvállalkozások pedig teljesen kikerülnek a szabályozás hatálya alól. Emellett megszűnik az ágazatspecifikus jelentési szabványok bevezetése, az adatpontok száma nagyjából 60 százalékkal csökken, és korlátozzák azt is, hogy a nagyvállalatok mennyire háríthatják át beszállítóikra a jelentéstétel terheit. Az új szabályok szerinti első jelentések 2028-ban válnak esedékessé.
A digitális területen a Bizottság novemberben mutatta be az úgynevezett digitális omnibuszcsomagot, amely az adatvédelmi rendeletet (GDPR), az e-adatvédelmi irányelvet, az adatrendeletet, a mesterséges intelligenciáról szóló rendeletet és a kiberbiztonsági szabályokat egyaránt érinti. A csomag önmagában mintegy 860 millió eurós adminisztratívteher-csökkentést ígér. Konkrét példaként a Bizottság a magánszemélyek online értékesítését hozza fel: több mint tízmillió, használt cikkeket áruló magánszemély mentesülne az adatszolgáltatási kötelezettség alól, az érintett platformok, például a Vinted vagy az eBay típusú oldalak pedig együttesen mintegy 678 millió eurós megtakarítást érhetnének el. A vállalatok számára emellett gyorsabbá válna a határon átnyúló osztalék-, kamat- és jogdíjfizetések után levont forrásadó visszaigénylése, és csökkenne a globális minimumadó adminisztrációjának párhuzamos adatszolgáltatási terhe is.
A mesterséges intelligenciáról szóló rendelet egyszerűsítéséről a Tanács és a Parlament már 2026 májusában ideiglenes politikai megállapodásra jutott. Ennek értelmében a magas kockázatú rendszerekre vonatkozó szabályok alkalmazása az önálló rendszerek esetében 2027 decemberére, a más termékekbe beépített rendszerek esetében 2028 augusztusára tolódik, szemben az eredetileg tervezett 2026 augusztusi határidővel. A megállapodás egyúttal kifejezetten megtiltja a beleegyezés nélküli, szexuális tartalmú vagy gyermekek bántalmazását ábrázoló mesterséges intelligenciás tartalmak előállítását, visszaállítja a korábban elengedett rendszerek uniós adatbázisba történő regisztrációs kötelezettségét, és megerősíti a torzítások kiszűrésére szolgáló érzékeny adatok kezelésének szigorú szükségesség szerinti korlátozását. A mesterségesintelligencia-tartalmak megjelölésére vonatkozó átmeneti időszak ugyanakkor hat hónapról háromra rövidült, míg a szabályozói homokozók bevezetése 2027 augusztusára csúszott.
A GDPR és az e-adatvédelmi szabályok módosításáról szóló tárgyalások lassabban haladnak. Az Európai Adatvédelmi Testület és az európai adatvédelmi biztos februári közös véleményében támogatta több egyszerűsítést, köztük az adatvédelmi incidensek bejelentési küszöbének emelését, a bejelentésekhez és hatásvizsgálatokhoz kapcsolódó egységes sablonok bevezetését, valamint egy új mentességet a biometrikus azonosítás esetére, amikor az ellenőrzés eszköze kizárólag az érintett személy birtokában marad. Ugyanakkor a testületek határozottan elutasítják, hogy a Bizottság végrehajtási aktusok útján kapjon felhatalmazást a személyes adat fogalmának szűkítésére, mondván, ez sokkal több egy célzott, technikai jellegű pontosításnál. Anu Talus, a testület elnöke szerint az egyszerűsítés fontos cél, de nem mehet az alapjogok rovására.
A polgárjogi szervezetek még élesebben fogalmaznak. A Max Schrems vezette noyb szerint a javaslat alapjaiban ingatná meg a negyven éve épülő európai adatvédelmi rendszert. A szervezet szerint a személyes adat fogalmának új, szubjektív meghatározása azt eredményezné, hogy egy vállalat egyszerűen kijelentheti: nem képes vagy nem szándékozik azonosítani az érintettet, és ezzel kikerülhet a szabályozás hatálya alól. Kritizálják azt is, hogy a tervezet lehetővé tenné a technológiai nagyvállalatok számára, hogy akár tizenöt évnyi közösségimédia-előzmény felhasználásával tanítsák mesterséges intelligencia rendszereiket, mindössze egy leiratkozási lehetőség biztosítása mellett, jóllehet felmérések szerint a németeknek mindössze hét százaléka támogatná, hogy a Meta ilyen célra használja fel adataikat. A szervezet szerint az érintetti hozzáférési jog tervezett szűkítése is problémás, mert az kizárólag adatvédelmi célú felhasználásra korlátozná a kérelmeket, ellehetetlenítve, hogy munkavállalók munkaügyi vitákban vagy újságírók tényfeltárásban hivatkozzanak rá.
Szeptember közepén a tagállami szakértőkből álló Antici-csoport egy újabb elnökségi kompromisszumos szöveget vitatott meg a digitális omnibuszról, miközben az Európai Parlament illetékes bizottsága még nem fogadta el saját tárgyalási megbízatását. Emiatt a Tanács és a Parlament közötti hivatalos háromoldalú egyeztetés egyelőre nem is kezdődhetett meg. A fennmaradó viták középpontjában továbbra is a személyes adat fogalmának pontos meghatározása áll, valamint az, hogy a mesterséges intelligencia fejlesztéséhez felhasznált adatok kezelését a jogszabály szövegében vagy csupán a kevésbé kötelező erejű preambulumbekezdésekben szabályozzák-e. További vitapont, hogy a közszféra adatvagyonának licencelésére vonatkozó tervezett szabályok mennyiben kedveznek majd a nagyobb piaci szereplőknek a kisebb európai innovátorok rovására.