GDPR un lielie dati nav nesavienojami, taču tie piespiež izvēlēties, ko daudzas organizācijas atliek: pirms liela datu kopuma vākšanas vai atkārtotas izmantošanas jums ir jāspēj nosaukt likumīgo pamatu šādai rīcībai un jāpierāda, ka apstrāde ir nepieciešama šim nolūkam. Praksē tas nozīmē dokumentēt pamatojumu saskaņā ar Vispārīgās datu aizsardzības regulas 6. pantu, pārbaudīt, vai vēlāka izmantošana algoritma apmācībai ir saderīga ar mērķi, kādam dati sākotnēji tika vākti, un novērtēt risku pirms pirmā modeļa izveides. Šajā rakstā ir izklāstīts, kā šie noteikumi attiecas uz liela mēroga analītiku un mākslīgā intelekta apmācību Nīderlandē un kur Autoriteit Persoonsgegevens novelk robežu.
Kas lielā datu kopā tiek uzskatīts par personas datiem
GDPR attiecas uz informāciju, kas attiecas uz identificētu vai identificējamu fizisku personu. Lielo datu kontekstā šis slieksnis tiek pārkāpts daudz biežāk, nekā organizācijas sagaida, jo identificējamība tiek novērtēta, atsaucoties uz visiem līdzekļiem, ko pārzinis vai kāds cits pamatoti varētu izmantot, lai noteiktu konkrētu personu. Tāpēc ierīču identifikatoru, atrašanās vietas izsekošanas, darījumu ierakstu vai klikšķu plūsmu datu kopa gandrīz vienmēr ir personas dati, pat ja nevienā kolonnā nav norādīts neviens vārds.
Divi jēdzieni regulāri tiek jaukti, un atšķirība nosaka, vai regula vispār ir piemērojama. Pseidonimizēti dati, kuros identifikatori ir aizstāti, bet atslēga joprojām kaut kur pastāv, joprojām ir personas dati un pilnībā pakļauti GDPR. Anonimizēti dati, kuros atkārtota identifikācija vairs nav pamatoti iespējama nevienam, neietilpst šajā regulā. Patiesas anonimizācijas latiņa ir augsta: apkopošana, hešēšana vai tiešo identifikatoru noņemšana parasti atstāj pietiekami daudz pirkstu nospiedumu, lai apņēmīga puse varētu atkārtoti identificēt personas, jo īpaši, ja datu kopa ir bagātīga un aptver ilgu periodu.
Tas ir svarīgi, jo apgalvojums, ka datu kopa ir anonīma, bieži vien ir pamatpieņēmums visā mākslīgā intelekta programmā. Ja tas neizdodas, katrs pakārtotais solis, sākot no apmācības palaišanas līdz saglabāšanas grafikam, ir veikts bez likumīga pamata. Drošāka pieeja ir uzskatīt datu kopu par personas datiem, ja vien dokumentēta atkārtotas identifikācijas analīze neliecina par pretējo, un pārskatīt šo analīzi, kad datu kopa tiek bagātināta vai apvienota ar citu avotu. Arī Eiropas Datu aizsardzības kolēģija ir risinājusi jautājumu par to, kad pašu mākslīgā intelekta modeli var uzskatīt par anonīmu, un tās atbilde ir tāda, ka to nevar pieņemt: modelis, kas apmācīts ar personas datiem, joprojām var saturēt šos datus iegūstamā veidā, un tas ir jāizvērtē katrā gadījumā atsevišķi.
Lielo datu un mākslīgā intelekta apmācības juridiskā pamata izvēle
Katrai apstrādes darbībai ir nepieciešams viens no sešiem 6. pantā minētajiem pamatojumiem, un šis pamatojums ir jāizvēlas pirms apstrādes sākuma, nevis jārekonstruē vēlāk. Liela mēroga analītikai tikai trīs ir reāli kandidāti.
Piekrišana teorētiski ir vistīrākā, bet praksē – visnestabilākā. Tai jābūt brīvprātīgai, konkrētai, informētai un nepārprotamai, un to jābūt tikpat viegli atsaukt, cik to bija iespējams dot. Piekrišana, kas ir formulēta vispārīgi, iegūta kā nosacījums pakalpojumam, kuram dati nav nepieciešami, vai tik plaši formulēta, ka persona nevar redzēt, par ko tiek panākta vienošanās, nebūs spēkā. Ja piekrišana tiek atsaukta, ir nepieciešama tehniska atbilde uz jautājumu, kas notiek ar jau apmācītu modeli.
Nepieciešamība līguma izpildei ir šaurāka, nekā šķiet. Pārbaudāmā ir objektīva nepieciešamība pakalpojumam, ko persona faktiski pieprasīja, nevis komerciāla lietderība. Klienta profilēšana, lai uzlabotu ieteikumu sistēmu, parasti nav nepieciešama iegādātā produkta piegādei, un Tiesa ir atkārtoti noraidījusi mēģinājumus paplašināt šo tvērumu, lai tas ietvertu uzvedības reklāmu un personalizāciju.
Tādējādi atliek leģitīmas intereses, kas ir pamats, uz kuru jāpaļaujas lielākajai daļai liela mēroga apstrādes. Tas prasa trīs soļus, kas dokumentēti šādā secībā: reālu un likumīgu interešu identificēšana, pierādīšana, ka apstrāde ir nepieciešama, jo nav mazāk uzbāzīga veida, kā to panākt, un interešu līdzsvarošana ar attiecīgo personu tiesībām un saprātīgām cerībām. Nīderlandes tiesas lūgumā sniegt prejudiciālu nolēmumu par nacionālo tenisa asociāciju Tiesa 2024. gadā apstiprināja, ka tīri komerciālas intereses var kvalificēt kā leģitīmas intereses, bet tikai tad, ja ir patiesi izpildīti nepieciešamības un līdzsvarošanas kritēriji. Tāpēc komerciālā vērtība ir pieļaujamas intereses, nevis licence.
Īpašas kategorijas un secinātās īpašības
Datus, kas atklāj rases vai etnisko izcelsmi, politiskos uzskatus, reliģisko pārliecību, dalību arodbiedrībās, veselību, seksuālo dzīvi vai seksuālo orientāciju, kā arī ģenētiskos un biometriskos datus, ko izmanto identifikācijai, nedrīkst apstrādāt vispār, ja vien nav piemērojams viens no 9. pantā minētajiem šaurajiem izņēmumiem. Parasti tiek izmantota nepārprotama piekrišana; pārējie reti atbilst komerciālam datu kopumam.
Lielo datu slazds ir tāds, ka īpašu kategoriju dati nav jāapkopo apzināti. Ja datu kopa ļauj secināt aizsargātu raksturlielumu, piemēram, izmantojot pirkumu modeļus, atrašanās vietas vēsturi vai brīvā teksta lauku saturu, uz šo apstrādi attiecas stingrāks režīms, pat ja neviens nekad nav tieši uzdevis jautājumu. Modeļa iezīmes, kas darbojas kā aizsargātas pazīmes aizstājēji, jāidentificē izstrādes laikā, nevis pēc sūdzības saņemšanas.
Mērķa ierobežojums: vai datus var atkārtoti izmantot modeļa apmācībai?
Jūs varat, bet ne automātiski. GDPR nosaka, ka personas dati jāvāc konkrētiem, skaidriem un likumīgiem mērķiem, un tos nedrīkst tālāk apstrādāt veidā, kas nav savienojams ar šiem mērķiem. Algoritma apmācība ar datiem, kas tika apkopoti pasūtījumu izpildei, klientu atbalstam vai krāpšanas novēršanai, ir tālāka apstrādes darbība, un tā ir likumīga tikai tad, ja tā iztur regulā noteikto saderības pārbaudi.
Šī pārbaude nav formalitāte. Tajā tiek jautāts par saikni starp sākotnējo mērķi un jauno, kontekstu, kurā dati tika vākti, un ko persona varēja pamatoti sagaidīt, pamatojoties uz to, datu raksturu un to, vai ir iesaistītas īpašas kategorijas, jaunās apstrādes iespējamās sekas un tādu drošības pasākumu esamību kā pseidonimizācija vai šifrēšana. Medicīnisko vai finanšu ierakstu datu kopa neizturēs pārbaudi, savukārt anonimizētu darbības žurnālu datu kopa to izturētu.
Ir viens īsceļš, un tas ir šaurāks, nekā parasti tiek pieņemts. Turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskiem vai vēsturiskiem pētījumiem vai statistikas nolūkos tiek uzskatīta par saderīgu, ja vien ir ieviesti pētniecības apstrādes drošības pasākumi. Komerciāla modeļa izstrāde, kas maskējas kā pētniecība, nekvalificējas; izņēmums attiecas uz patiesiem pētījumiem, ievērojot metodoloģiskus un ētiskus standartus, nevis uz produktu uzlabošanu. Ja saderības kritērijs netiek izpildīts, ir nepieciešams jauns juridiskais pamats un vairumā gadījumu jauna informācija attiecīgajām personām.
Praktiskās sekas ir tādas, ka mērķu ierobežojums ir jāaplūko datu vākšanas brīdī. Konfidencialitātes paziņojumi, kas apraksta mērķus pietiekami plaši, lai tiem nebūtu nozīmes, neglābs vēlākas apmācības, jo testā tiek aplūkots, ko indivīds varētu pamatoti sagaidīt, nevis tas, ko tehniski atļauj formulējums. Mūsu ceļvedī par konfidencialitātes politikas izstrādi Nīderlandē ir izklāstīts, kā aprakstīt mērķus gan godīgā, gan lietojamā veidā.
Minimizēšana, saglabāšana un precizitāte, kad modelis vēlas visu
Datu minimizēšana prasa, lai personas dati būtu atbilstoši, atbilstoši un ierobežoti līdz nepieciešamajam līmenim. Šis princips patiesi ir pretrunā ar izstrādes metodi, kuras loģika ir tāda, ka vairāk datu rada labāku modeli, un šo pretrunu nevar atrisināt, tos ignorējot. To var atrisināt ar dokumentētu argumentu: kuri lauki ir nepieciešami norādītajam mērķim, kas tika pārbaudīts bez tiem un kāpēc pārējais tika atmests. Kontrolierim, kurš var pierādīt, ka analīze ir pamatota, ir aizstāvama pozīcija pat tad, ja datu kopa ir liela. Kontrolierim, kurš visu saglabāja, jo uzglabāšana ir lēta, tādas nav.
Glabāšanas ierobežojumi laika gaitā rada vienu un to pašu jautājumu. Apmācības dati, funkciju krātuves, modeļu kontrolpunkti un secinājumu žurnāli ietilpst saglabāšanas pienākumā, un katram no tiem ir nepieciešams savs periods, kas saistīts ar mērķi. Secinājumu žurnāli bieži tiek aizmirsti un bieži vien satur vairāk personas datu nekā jebkad agrāk apmācības kopā.
Šajā kontekstā visbiežāk netiek ņemta vērā precizitāte, un tai ir juridiska priekšrocība, ko ir viegli nepamanīt. Personas datiem ir jābūt precīziem un, ja nepieciešams, atjauninātiem, un personām ir tiesības tos labot. Ja modelis ģenerē rezultātus par identificējamu personu, šie rezultāti paši par sevi ir personas dati. Secinājums, ka kādai personai ir zems kredītrisks, iespējams krāpnieks vai nepiemērots kandidāts, var būt neprecīzs, un to var apstrīdēt. Sistēmas izveide, kurā šādus rezultātus nevar labot, rada atbilstības problēmu, ko vēlāk neatrisinās nekāda dokumentācija.
Kad datu aizsardzības ietekmes novērtējums ir obligāts
Datu aizsardzības ietekmes novērtējums ir obligāts, ja apstrādes veids var radīt augstu risku personu tiesībām un brīvībām, un regulā ir minēti trīs konkrēti gadījumi: sistemātiska un plaša personisko aspektu novērtēšana, kuras pamatā ir automatizēta apstrāde, tostarp profilēšana, uz kuras pamata tiek pieņemti lēmumi ar juridiskām vai līdzīgi būtiskām sekām; liela mēroga īpašu datu kategoriju vai kriminālsodāmības datu apstrāde; un sistemātiska publiski pieejamas zonas uzraudzība plašā mērogā. Lielākā daļa nopietnu lielo datu projektu ietilpst pirmajā vai otrajā kategorijā.
Arī Autoriteit Persoonsgegevens ir publicējis to apstrādes darbību sarakstu, kurām Nīderlandē vienmēr ir nepieciešams novērtējums, aptverot tādas jomas kā liela mēroga profilēšana, darbinieku sistemātiska novērtēšana, veselības datu platformas un kameru sistēmu izmantošana. Šim sarakstam vajadzētu būt pirmajam dokumentam, ar kuru jāiepazīstas projekta sākumā, jo tas novērš strīdu par to, vai ir nepieciešams novērtējums.
Divi punkti par laika noteikšanu ir izšķiroši. Novērtējums jāveic pirms apstrādes sākuma, kas mākslīgā intelekta projektā nozīmē pirms apmācības datu apkopošanas, nevis pirms ieviešanas. Un, ja novērtējums uzrāda augstu atlikušo risku, ko nevar mazināt, pirms turpināt darbu, ir jākonsultējas ar uzraudzības iestādi. Šīs konsultācijas neveikšana pati par sevi ir pārkāpums neatkarīgi no tā, vai apstrāde izrādās likumīga.
Noderīgs algoritmiskās sistēmas novērtējums sniedzas tālāk par standarta veidni. Tajā tiek reģistrēts, kuri datu avoti un uz kāda pamata tiek izmantoti modeļa darbināšanai, ko modelim ir atļauts izlemt pašam un ko cilvēks, kā rezultāts tiek izskaidrots attiecīgajai personai, kā apmācības dati tika pārbaudīti attiecībā uz aizspriedumiem pret aizsargātām grupām un kas notiek, ja modelis ir nepareizs. Šie ir jautājumi, ko regulators uzdod vispirms.
Kā Autoriteit Persoonsgegevens to nodrošina
Nīderlandes uzraudzības iestāde ir Autoriteit Persoonsgegevens, kas nodrošina GDPR un Nīderlandes īstenošanas akta Uitvoeringswet AVG piemērošanu. Tās pilnvaras aptver gan brīdinājumu un rājienu, gan rīkojumu par soda naudu, pagaidu vai galīgu apstrādes aizliegumu un administratīvu naudas sodu. Regula nosaka maksimālo summu: līdz desmit miljoniem eiro vai diviem procentiem no kopējā gada apgrozījuma pasaulē zemākajam līmenim un līdz divdesmit miljoniem eiro vai četriem procentiem par pamatprincipu, tiesiskā pamata, datu subjektu tiesību un starptautiskās pārsūtīšanas noteikumu pārkāpumiem, atkarībā no tā, kura summa ir lielāka.
Nīderlandes praksē ir redzamas divas izpildes tēmas, un abas tieši ietekmē lieldatus. Pirmā ir pārredzamība: ievērojama daļa nesen veikto darbību attiecas uz privātuma paziņojumiem, kuros saprotamā valodā nav paskaidrots, kādi dati tiek izmantoti, kādam mērķim un cik ilgi. Neskaidri mērķu apraksti tiek uzskatīti par pārkāpumu paši par sevi, nevis par redakcijas kļūdu. Otrā ir algoritmiskā uzraudzība. Iestādei ir īpaša vienība algoritmu uzraudzībai, un tā publicē periodiskus ziņojumus par algoritmiskajiem riskiem, kurus ir vērts izlasīt kā paziņojumu par to, ko tā sagaida, pirms tā kļūst par izmeklēšanas objektu.
Līdztekus izpildes nodrošināšanai pastāv arī pienākums paziņot par pārkāpumu. Par personas datu pārkāpumu ir jāziņo iestādei bez nepamatotas kavēšanās un, ja iespējams, septiņdesmit divu stundu laikā pēc tam, kad par to uzzinājuši, ja vien pārkāpums, visticamāk, neradīs risku personām; ja risks personām ir augsts, arī viņas ir jāinformē. Mākslīgā intelekta vidē novērtēšana ir grūtāka nekā agrāk, jo apdraudēta apmācības kopa vai funkciju krātuve ietekmē ikvienu, kura datus tā satur, un sekas attiecas uz katru modeļa pieņemto lēmumu. Ņemiet vērā, ka šis ir atsevišķs pienākums no incidentu ziņošanas pienākuma saskaņā ar Cyberbeveiligingswet, NIS2 ieviešanas likumu Nīderlandē, kas ir piemērojams kopš 2026. gada 15. augusta un nosaka savus paziņošanas termiņus divdesmit četru un septiņdesmit divu stundu laikā struktūrām, uz kurām tas attiecas. Mūsu NIS2 un Nīderlandes Kiberdrošības likuma pārskats paskaidro, kā abi režīmi pastāv līdzās.
Mākslīgā intelekta likums neaizstāj GDPR
ES Mākslīgā intelekta likums regulē mākslīgā intelekta sistēmas kā produktus: tas klasificē tās pēc riska un uzliek pienākumus pakalpojumu sniedzējiem un ieviesējiem. Tas nenodrošina juridisko pamatu personas datu apstrādei, un tā ievērošana neko nesaka par atbilstību GDPR. Ja mākslīgā intelekta sistēma apstrādā personas datus, abi režīmi tiek piemēroti pilnībā un paralēli.
Laika grafiks ir svarīgs plānošanai. Aizliegumi attiecībā uz nepieņemamu praksi, pienākumi attiecībā uz vispārējas nozīmes mākslīgā intelekta modeļiem un pārredzamības pienākumi sistēmām, kas mijiedarbojas ar cilvēkiem vai ģenerē sintētisku saturu, jau ir spēkā. Augsta riska režīms tika atlikts ar digitālo omnibusa paketi: pienākumi attiecībā uz III pielikumā uzskaitītajām augsta riska sistēmām tagad ir spēkā no 2027. gada 2. decembra, bet pienākumi attiecībā uz sistēmām, kas ir regulēto produktu drošības komponenti saskaņā ar I pielikumu, - no 2028. gada 2. augusta. Atsevišķais priekšlikums par mākslīgā intelekta atbildības direktīvu ir atsaukts, tāpēc atbildību par mākslīgā intelekta sistēmas nodarīto kaitējumu joprojām regulē parastie Nīderlandes noteikumi par līgumiem un deliktiem, kā arī Eiropas produktu atbildības režīms.
Datu vadītai organizācijai praktiskās sekas ir tādas, ka GDPR analīze joprojām ir saistošs ierobežojums, savukārt Mākslīgā intelekta likums nosaka, kāda dokumentācija, testēšana un cilvēku uzraudzība būs nepieciešama vienai un tai pašai sistēmai līdz desmitgades beigām. Abu vingrinājumu atsevišķa izveide dublē darbu; to apvienošana to nedara. Mūsu ceļvežos par ES Mākslīgā intelekta likumu un augsta riska Mākslīgā intelekta sistēmām ir detalizēti izklāstīta klasifikācija un pienākumi.
Grupas prasības un zaudējumu atlīdzība: riska civiltiesiskā puse
Normatīvo aktu noteiktās sankcijas nav vienīgās riska grupas, un Nīderlandē tās, iespējams, nav lielākās. Likums par kolektīvu zaudējumu atlīdzināšanu (WAMCA) ļauj fondam vai asociācijai, kas atbilst stingrām pārvaldības un finansēšanas prasībām, celt kolektīvu prasību par zaudējumu atlīdzību noteiktas grupas vārdā, paredzot atteikšanās režīmu personām, kuru dzīvesvieta ir Nīderlandē. Datu vadīta apstrāde ir acīmredzams mērķis: viens dizaina lēmums ietekmē katru lietotāju vienādi, kas ir tieši tāda viendabība, kāda nepieciešama kolektīvai prasībai.
GDPR to nostiprina no savas puses. Tā piešķir ikvienam, kam pārkāpuma rezultātā nodarīts materiāls vai nemateriāls kaitējums, tiesības saņemt kompensāciju no pārziņa vai apstrādātāja, un tā ļauj bezpeļņas organizācijai, kas darbojas datu aizsardzības jomā, celt prasību datu subjektu vārdā, dažos gadījumos bez viņu pilnvarojuma. Tiesa ir apstiprinājusi, ka patērētāju tiesību aizsardzības asociācija var rīkoties uz šī pamata.
Pastāv ierobežojums, un tas ir noderīgs atbildētājiem. Tiesa ir lēmusi, ka GDPR pārkāpums pats par sevi nerada tiesības uz kompensāciju: prasītājam ir jāpierāda faktiskais kaitējums un cēloņsakarība, lai gan nemateriālajam kaitējumam, kad tas ir konstatēts, netiek piemērots nopietnības slieksnis. Tāpēc individuālie atlīdzības apmēri Nīderlandes praksē ir bijuši pieticīgi, taču simtiem tūkstošu cilvēku grupas aritmētiskais aprēķins pilnībā maina ainu. Mūsu rakstā par kolektīvām prasībām masveida zaudējumu gadījumā ir aprakstīts, kā notiek šīs tiesvedības.
Kas ir datu pārzinis, ja dati nāk no visurienes?
Lielie datu projekti reti kad paliek vienas organizācijas ietvaros. Datus bagātina brokeris, tos mitina mākoņpakalpojumu sniedzējs, attīra analītikas aģentūra un ievada pārdevēja sniegtā modelī, un katra no šīm attiecībām ir pareizi jāraksturo, jo lomu sadalījums nosaka, kurš uzņemas kādus pienākumus un kurš ir atbildīgs regulatora priekšā.
Pārzinis nosaka apstrādes mērķus un līdzekļus; apstrādātājs rīkojas tikai saskaņā ar pārziņa dokumentētajiem norādījumiem. Ja divas vai vairākas puses kopīgi nosaka mērķus un līdzekļus, tās ir kopīgi pārziņi un tām vienošanās ietvaros ir jānosaka savi attiecīgie pienākumi, jo īpaši attiecībā uz informācijas sniegšanu un personu pieprasījumu apstrādi, kuras jebkurā gadījumā var īstenot savas tiesības pret jebkuru no tām. Līgumā izmantotais apzīmējums nav noteicošais: svarīgs ir tas, kurš faktiski izlemj, kāpēc un kā dati tiek apstrādāti. Piegādātājs, kas patur tiesības izmantot jūsu datus, lai uzlabotu savu produktu, šajā ziņā ir kļuvis par pārzini saviem mērķiem neatkarīgi no tā, kā tas tiek nosaukts līgumā.
Mākslīgā intelekta kontekstā īpaša uzmanība jāpievērš divām piegādātāju līgumu klauzulām. Pirmā ir tā, kas ļauj pakalpojumu sniedzējam izmantot klientu saturu apmācībai vai pakalpojumu uzlabošanai; ja tāda ir, jūs izpaužat personas datus citam pārzinim, un jums ir nepieciešams pamats un paziņojums šādai izpaušanai. Otrā ir apakšapstrādātāja klauzula, jo modeļa pakalpojumu sniedzēji bieži vien paļaujas uz citiem piegādātājiem un infrastruktūru ārpus Eiropas Ekonomikas zonas, kas ietekmē pārsūtīšanas noteikumus. Apstrādes līgums, kas aptver nepieciešamo priekšmetu, bet neapraksta, kas faktiski notiek ar datiem, izmeklēšanā ir maz noderīgs.
Visbeidzot, atcerieties, ka pārskatatbildības princips uzliek pierādīšanas pienākumu pārzinim. Nepietiek tikai ar atbilstību; jums tas ir jāspēj pierādīt ar ierakstiem, novērtējumiem un līgumiem, kas atbilst sistēmām tādā veidā, kā tās faktiski ir izveidotas.
Kas jāievieš pirms nākamā projekta uzsākšanas
Atbilstība lielo datu jomā tiek veidota jau izstrādes posmā, jo regula paredz integrētu datu aizsardzību un aizsardzību pēc noklusējuma: pašā apstrādē ir jāintegrē atbilstoši tehniski un organizatoriski pasākumi, un pēc noklusējuma var apstrādāt tikai tos personas datus, kas nepieciešami katram konkrētajam mērķim. Modernizācija ir dārga un parasti nepilnīga.
Praksē ir piecas lietas, kas rada atšķirību. Veiciet apstrādes darbību uzskaiti, kas faktiski apraksta katra modeļa datu plūsmas, nevis nodaļas, kurām tās pieder. Izlemiet un pierakstiet katras apstrādes darbības juridisko pamatu, tostarp turpmāko apstrādi, kas saistīta ar apmācību, un saglabājiet leģitīmo interešu novērtējumu kopā ar to. Veiciet ietekmes novērtējumu pirms datu apkopošanas un konsultējieties ar uzraudzības iestādi, ja atlikušais risks joprojām ir augsts. Noslēdziet datu apstrādes līgumu ar katru piegādātāju, kas pieskaras datiem, tostarp modeļa vai platformas nodrošinātājiem, un pārbaudiet, ko viņiem ir atļauts darīt ar jūsu datiem saviem mērķiem; prasības ir izklāstītas mūsu datu apstrādes līguma ceļvedī . Un pārbaudiet, kur nonāk dati: pārsūtīšanai ārpus Eiropas Ekonomikas zonas ir nepieciešams pārsūtīšanas mehānisms saskaņā ar regulas V nodaļu un pārsūtīšanas ietekmes novērtējums, un atsevišķu trešo valstu nostāja var mainīties.
Pats galvenais — panākt, lai modeļu veidotāji un risku novērtētāji strādātu pie viena un tā paša dokumenta. Pašas regulas pamatprincipi ir apkopoti mūsu Vispārīgās datu aizsardzības regulas pārskatā , un konkrētie jautājumi, kas rodas, ievietojot personas datus mākslīgā intelekta sistēmā, sākot no automatizētas lēmumu pieņemšanas līdz skarto personu tiesībām, ir aplūkoti mūsu pavadošajā rakstā par VDAR un mākslīgo intelektu Nīderlandē.
Daži bieži uzdoti jautājumi
Kādu juridisko pamatu mums vajadzētu izmantot mākslīgā intelekta modeļa apmācībai?
Vairumā komerciālo apstākļu atbilde ir leģitīmas intereses, ko pamato rakstisks novērtējums, kurā ietvertas intereses, nepieciešamība un līdzsvarošanas vingrinājums. Piekrišana ir vēlama, ja dati ir sensitīvi vai to izmantošana pārsteigtu attiecīgās personas, taču tai ir jābūt patiesi brīvai un atsaucamai, ko ir grūti noorganizēt apmācību komplektam. Līguma nepieciešamība gandrīz nekad neattiecas uz modeļa izstrādi, jo apmācība nav tāda, kādu pieprasīja klients. Neatkarīgi no tā, kādu pamatojumu izvēlaties, reģistrējiet to pirms apstrādes sākuma: pamatojuma izvēle retrospektīvi netiek uzskatīta par pamatojuma neesamību.
Vai GDPR joprojām ir piemērojama, ja mēs vispirms anonimizējam datus?
Tikai tad, ja anonimizācija patiešām darbojas. Dati ir anonīmi, ja atkārtota identificēšana vairs nav saprātīgi iespējama nevienam, ņemot vērā visus līdzekļus, kas, visticamāk, tiks izmantoti, un citus datu kopumus, ko varētu ar tiem apvienot. Vārdu noņemšana, identifikatoru aizstāšana ar jaucējkodiem vai apkopošana mazās grupās parasti neatbilst šim standartam, un rezultāts ir pseidonimizēti dati, uz kuriem joprojām pilnībā attiecas regula. Ja anonimizācija ir pamats projekta uzskatīšanai par ārpus darbības jomas esošu, šis secinājums ir jāpārbauda un jādokumentē, un jāpārskata ikreiz, kad datu kopa mainās.
Vai mēs varam paļauties uz pētījumu izņēmumu, lai atkārtoti izmantotu klientu datus?
Reti. Turpmāka apstrāde zinātniskiem vai statistikas mērķiem tiek uzskatīta par saderīgu ar sākotnējo mērķi, taču izņēmums attiecas uz pētījumiem, kas veikti saskaņā ar atzītiem metodoloģiskajiem standartiem un ievērojot tādus drošības pasākumus kā pseidonimizācija un piekļuves ierobežojumi. Produkta izstrāde vai modeļa uzlabošana, ko veic komerciāla puse savā labā, nekļūst par pētījumu, jo tā ietver datu zinātni. Ja saderības kritērijs pats par sevi netiek izpildīts, jums ir nepieciešams jauns likumīgs pamats un vairumā gadījumu jauna informācija attiecīgajām personām.
Kas notiek, ja kāds atsauc piekrišanu pēc modeļa apmācības
Atsaukums stājas spēkā nākotnē un retrospektīvi nepadara iepriekšējo apstrādi nelikumīgu, taču tas nozīmē, ka datus vairs nevar izmantot, pamatojoties uz šo informāciju. Praktiski tas prasa iespēju noņemt personu no apmācības kopas, no funkciju krātuvēm un žurnāliem, kā arī pārkvalificēt vai citādi nodrošināt, ka modelis vairs neatspoguļo šīs personas datus, ja var pierādīt, ka tas tā ir. Šis ir viens no iemesliem, kāpēc piekrišana ir sarežģīts pamats modeļa apmācībai, un tas ir jautājums, uz kuru ir vērts atbildēt izstrādes fāzē, nevis pēc pirmā pieprasījuma saņemšanas.
Cik Law and More var palīdzēt
Law and More konsultē Nīderlandes un starptautiskās organizācijas par datu aizsardzības jautājumiem analītikas un mākslīgā intelekta jomā: juridiskā pamata izvēle un dokumentēšana, leģitīmo interešu novērtējumu un ietekmes novērtējumu veikšana, privātuma paziņojumu un apstrādes līgumu sagatavošana, kas iztur pārbaudi, atbildēšana uz Autoriteit Persoonsgegevens un personu vai pārstāvniecības fondu prasību aizstāvēšana. Ja plānojat uz datiem balstītu projektu vai regulators jau ir sazinājies ar jums, mēs labprāt kopā ar jums izskatīsim lietu.
