GDPR in veliki podatki niso nezdružljivi, vendar silijo v izbiro, ki jo številne organizacije odlagajo: preden zberete ali ponovno uporabite velik nabor podatkov, morate biti sposobni navesti pravno podlago za to in dokazati, da je obdelava potrebna za ta namen. V praksi to pomeni dokumentiranje razloga v skladu s 6. členom Splošne uredbe o varstvu podatkov, preverjanje, ali je poznejša uporaba za učenje algoritma združljiva z namenom, za katerega so bili podatki prvotno zbrani, in oceno tveganja, preden je zgrajen prvi model. Ta članek določa, kako se ta pravila uporabljajo za obsežno analitiko in usposabljanje za umetno inteligenco na Nizozemskem ter kje je meja, ki jo določa Agencija za varstvo podatkov (Autoriteit Persoonsgegevens).
Kaj se šteje kot osebni podatki v velikem naboru podatkov
GDPR se uporablja za informacije, ki se nanašajo na identificirano ali določljivo fizično osebo. V kontekstu velepodatkov se ta prag preseže veliko pogosteje, kot organizacije pričakujejo, saj se določljivost ocenjuje s sklicevanjem na vsa sredstva, za katera je razumno verjetno, da jih bo upravljavec ali kdorkoli drug uporabil za izločitev osebe. Nabor podatkov o identifikatorjih naprav, sledi lokacije, zapisih transakcij ali klikih je zato skoraj vedno osebni podatek, tudi če se v enem samem stolpcu ne pojavi nobeno ime.
Redno se zamenjujeta dva pojma, razlika pa odloča o tem, ali se uredba sploh uporablja. Psevdonimizirani podatki, pri katerih so bili identifikatorji zamenjani, vendar ključ še vedno obstaja nekje, ostanejo osebni podatki in zanje v celoti velja GDPR. Anonimizirani podatki, pri katerih ponovna identifikacija ni več razumno mogoča za nikogar, ne spadajo v to uredbo. Pogoj za resnično anonimizacijo je visok: združevanje, zgoščevanje ali odstranitev neposrednih identifikatorjev običajno pusti dovolj prstnega odtisa, da določena stranka ponovno identificira posameznike, zlasti kadar je nabor podatkov bogat in zajema dolgo obdobje.
To je pomembno, ker je trditev, da je nabor podatkov anonimen, pogosto nosilna predpostavka v celotnem programu umetne inteligence. Če ne uspe, je bil vsak nadaljnji korak, od izvajanja učenja do urnika hrambe, izveden brez zakonite podlage. Varnejši pristop je, da se nabor podatkov obravnava kot osebni podatek, razen če dokumentirana analiza ponovne identifikacije ne pravi drugače, in da se ta analiza ponovno pregleda, ko se nabor podatkov obogati ali združi z drugim virom. Evropski odbor za varstvo podatkov je obravnaval tudi vprašanje, kdaj se lahko model umetne inteligence šteje za anonimnega, in njegov odgovor je, da tega ni mogoče domnevati: model, usposobljen na osebnih podatkih, lahko še vedno vsebuje te podatke v obliki, ki jo je mogoče izvleči, in ga je treba oceniti za vsak primer posebej.
Izbira pravne podlage za usposabljanje o velikih podatkih in umetni inteligenci
Vsak postopek obdelave potrebuje enega od šestih razlogov iz 6. člena, razlog pa je treba izbrati pred začetkom obdelave in ga ne rekonstruirati pozneje. Za obsežno analitiko so realni kandidati le trije.
Privolitev je v teoriji najčistejša, v praksi pa najbolj krhka. Biti mora prostovoljno dana, specifična, informirana in nedvoumna, njen preklic pa mora biti tako enostaven, kot je bil prej. Privolitev, ki je združena v splošne pogoje, pridobljena kot pogoj za storitev, ki ne potrebuje podatkov, ali tako široko oblikovana, da posameznik ne more videti, o čem se strinja, ne bo veljavna. Če je privolitev preklicana, potrebujete tehnični odgovor na vprašanje, kaj se zgodi z modelom, ki je že bil usposobljen.
Nujnost za izpolnitev pogodbe je ožja, kot se zdi. Preizkus je objektivna nujnost za storitev, ki jo je posameznik dejansko zahteval, ne pa komercialna uporabnost. Profiliranje stranke za izboljšanje sistema priporočil običajno ni potrebno za dobavo izdelka, ki ga je kupila, Sodišče pa je večkrat zavrnilo poskuse, da bi se ta podlaga razširila na vedenjsko oglaševanje in personalizacijo.
Ostanejo torej legitimni interesi, ki so podlaga za večino obsežnih obdelav. Zahteva tri korake, dokumentirane v tem vrstnem redu: opredelitev dejanskega in zakonitega interesa, dokazovanje, da je obdelava potrebna, ker ni manj vsiljivega načina za njeno dosego, in tehtanje interesa s pravicami in razumnimi pričakovanji zadevnih oseb. Sodišče je leta 2024 v zaprosilu nizozemskega sodišča v zvezi z nacionalno teniško zvezo potrdilo, da se lahko izključno komercialni interes šteje za legitimni interes, vendar le, če so resnično izpolnjeni preizkusi nujnosti in tehtanja. Komercialna vrednost je torej dopusten interes, ne pa licenca.
Posebne kategorije in izpeljane značilnosti
Podatki, ki razkrivajo rasno ali etnično poreklo, politična mnenja, verska prepričanja, članstvo v sindikatu, zdravje, spolno življenje ali spolno usmerjenost, skupaj z genetskimi in biometričnimi podatki, ki se uporabljajo za identifikacijo, se sploh ne smejo obdelovati, razen če velja ena od ozkih izjem iz člena 9. Izrecna privolitev je običajna pot; druge le redko ustrezajo komercialnemu naboru podatkov.
Past velepodatkov je v tem, da podatkov posebne kategorije ni treba zbirati namerno. Kadar nabor podatkov omogoča sklepanje o zaščiteni značilnosti, na primer prek vzorcev nakupov, zgodovine lokacij ali vsebine polj za prosto besedilo, za to obdelavo velja strožji režim, čeprav nihče ni nikoli neposredno postavil vprašanja. Značilnosti modela, ki delujejo kot približki za zaščiteno značilnost, je treba prepoznati med razvojem, ne po pritožbi.
Omejitev namena: ali lahko podatke ponovno uporabite za učenje modela
Lahko, vendar ne samodejno. GDPR zahteva, da se osebni podatki zbirajo za določene, eksplicitne in zakonite namene ter da se ne obdelujejo naprej na način, ki ni združljiv s temi nameni. Učenje algoritma na podatkih, ki so bili zbrani za izpolnitev naročil, podporo strankam ali preprečevanje goljufij, je nadaljnja obdelava in je zakonita le, če prestane preizkus združljivosti, ki ga določa uredba.
Ta preizkus ni formalnost. Sprašuje se o povezavi med prvotnim in novim namenom, kontekstu, v katerem so bili podatki zbrani, in kaj lahko posameznik razumno pričakuje na tej podlagi, o naravi podatkov in o tem, ali so vključene posebne kategorije, o možnih posledicah nove obdelave ter o obstoju zaščitnih ukrepov, kot sta psevdonimizacija ali šifriranje. Nabor podatkov o zdravstvenih ali finančnih zapisih ne bo prestal preizkusa, medtem ko bi ga nabor podatkov anonimiziranih operativnih dnevnikov prestal.
Obstaja ena bližnjica in ta je ožja, kot se običajno domneva. Nadaljnja obdelava za arhiviranje v javnem interesu, za znanstvene ali zgodovinske raziskave ali za statistične namene se obravnava kot združljiva, če so vzpostavljeni zaščitni ukrepi za obdelavo v raziskavah. Razvoj komercialnega modela, ki se preobleče v raziskavo, ne izpolnjuje pogojev; izjema je namenjena pristnim raziskavam, ki so predmet metodoloških in etičnih standardov, ne pa izboljšanju izdelkov. Če test združljivosti ni izpolnjen, potrebujete novo pravno podlago in v večini primerov nove informacije za zadevne osebe.
Praktična posledica je, da je treba omejitev namena obravnavati na mestu zbiranja. Izjave o zasebnosti, ki opisujejo namene dovolj široko, da so brez pomena, ne bodo rešile poznejšega usposabljanja, saj test preučuje, kaj lahko posameznik razumno pričakuje, ne pa kaj osnutek tehnično dovoljuje. Naš vodnik za pisanje politike zasebnosti na Nizozemskem določa, kako opisati namene na način, ki je hkrati pošten in uporaben.
Minimizacija, zadrževanje in natančnost, ko model želi vse
Zmanjševanje podatkov zahteva, da so osebni podatki ustrezni, ustrezni in omejeni na tisto, kar je potrebno. To načelo je resnično v nasprotju z razvojno metodo, katere logika je, da več podatkov ustvari boljši model, in te napetosti ni mogoče rešiti z ignoriranjem le-teh. Razrešiti jo je mogoče z dokumentiranim argumentom: katera polja so potrebna za navedeni namen, kaj je bilo preizkušeno brez njih in zakaj je bilo preostanek zavržen. Upravljavec, ki lahko dokaže to analizo, ima utemeljen položaj, tudi če je nabor podatkov velik. Upravljavec, ki je hranil vse, ker je shranjevanje poceni, tega položaja nima.
Omejitev shranjevanja sčasoma sproža isto vprašanje. Podatki o usposabljanju, shrambe funkcij, kontrolne točke modela in dnevniki sklepanja spadajo v obveznost hrambe, vsak pa potrebuje svoje obdobje, povezano z namenom. Dnevniki sklepanja so pogosto pozabljeni in pogosto vsebujejo več osebnih podatkov kot učni nabor.
Načelo natančnosti je v tem kontekstu najpogosteje spregledano in ima pravno prednost, ki jo je enostavno spregledati. Osebni podatki morajo biti točni in po potrebi posodobljeni, posamezniki pa imajo pravico do popravka. Kadar model ustvari izhodni podatek o določljivi osebi, je ta izhodni podatek sam po sebi osebni podatek. Sklep, da je nekdo slabo kreditno tvegan, verjeten prevarant ali neprimeren kandidat, je lahko netočen in ga je mogoče izpodbijati. Izgradnja sistema, v katerem takšnih izhodnih podatkov ni mogoče popraviti, ustvarja problem skladnosti, ki ga nobena količina dokumentacije pozneje ne bo odpravila.
Kdaj je ocena učinka na varstvo podatkov obvezna
Ocena učinka na varstvo podatkov je obvezna, kadar je verjetno, da bo določena vrsta obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov, uredba pa navaja zlasti tri primere: sistematično in obsežno ocenjevanje osebnih vidikov na podlagi avtomatizirane obdelave, vključno s profiliranjem, na kateri temeljijo odločitve s pravnimi ali podobno pomembnimi učinki; obsežna obdelava posebnih kategorij podatkov ali podatkov o kazenskih obsodbah; in sistematično spremljanje javno dostopnega območja v velikem obsegu. Večina resnih projektov velepodatkov spada v prvo ali drugo kategorijo.
Agencija za zaščito osebnih podatkov (Autoriteit Persoonsgegevens) je objavila tudi seznam postopkov obdelave, za katere je na Nizozemskem vedno potrebna ocena, ki zajema področja, kot so obsežno profiliranje, sistematično ocenjevanje zaposlenih, platforme za zdravstvene podatke in uporaba sistemov kamer. Ta seznam bi moral biti prvi dokument, s katerim se je treba posvetovati na začetku projekta, saj odpravlja spor o tem, ali je ocena potrebna.
Odločilni sta dve točki glede časa. Oceno je treba opraviti pred začetkom obdelave, kar pri projektu umetne inteligence pomeni, preden se zberejo učni podatki, ne pa pred uvedbo. In kadar ocena pokaže visoko preostalo tveganje, ki ga ni mogoče ublažiti, se morate pred nadaljevanjem posvetovati z nadzornim organom. Že samo opustitev tega posvetovanja je kršitev, ne glede na to, ali se obdelava izkaže za zakonito.
Koristna ocena algoritmičnega sistema presega standardno predlogo. Zabeleži, kateri viri podatkov napajajo model in na kakšni podlagi, kaj lahko model sam odloči in kaj odloči človek, kako je rezultat razložen prizadeti osebi, kako so bili učni podatki preizkušeni glede pristranskosti do zaščitenih skupin in kaj se zgodi, če je model napačen. To so vprašanja, ki si jih regulator najprej zastavi.
Kako Autoriteit Persoonsgegevens to uveljavlja
Nizozemski nadzorni organ je Autoriteit Persoonsgegevens, ki izvršuje GDPR skupaj z nizozemskim izvedbenim zakonom, Uitvoeringswet AVG. Njegova pooblastila segajo od opozorila in opomina do odredbe, ki je podvržena plačilu denarne kazni, začasni ali dokončni prepovedi obdelave in upravni globi. Uredba določa zgornje meje: do deset milijonov evrov ali dva odstotka celotnega svetovnega letnega prometa za nižjo stopnjo in do dvajset milijonov evrov ali štiri odstotke za kršitve temeljnih načel, pravnih podlag, pravic posameznikov, na katere se nanašajo osebni podatki, in pravil o mednarodnih prenosih, kar je znesek višji.
V nizozemski praksi sta vidni dve temi izvrševanja, ki se neposredno nanašata na velike podatke. Prva je preglednost: znaten delež nedavnih ukrepov se nanaša na izjave o zasebnosti, ki ne pojasnjujejo v razumljivem jeziku, kateri podatki se uporabljajo, za kateri namen in kako dolgo. Nejasni opisi namenov se obravnavajo kot kršitev sami po sebi, ne pa kot napaka v besedilu. Druga je algoritmični nadzor. Organ ima namensko enoto za nadzor algoritmov in objavlja redna poročila o algoritmičnih tveganjih, ki jih je vredno prebrati kot izjavo o tem, kaj pričakuje, preden postane predmet preiskave.
Vzporedno z izvrševanjem obstaja tudi dolžnost obveščanja o kršitvah. Kršitev varnosti osebnih podatkov je treba organu sporočiti brez nepotrebnega odlašanja in, kjer je to izvedljivo, v dvainsedemdesetih urah po tem, ko se zanjo zavemo, razen če je malo verjetno, da bo kršitev povzročila tveganje za posameznike; kadar je tveganje za posameznike veliko, je treba obvestiti tudi te. V okolju umetne inteligence je ocena težja kot prej, ker ogrožen učni nabor ali shramba funkcij vpliva na vse, katerih podatke vsebuje, posledice pa segajo na vsako odločitev, ki jo je model sprejel. Upoštevajte, da je to ločena obveznost od dolžnosti poročanja o incidentih v skladu z zakonom Cyberbeveiligingswet, nizozemsko izvedbo NIS2, ki se uporablja od 15. avgusta 2026 in subjektom, ki spadajo pod njegovo področje uporabe, nalaga lastne roke za obveščanje štiriindvajset in dvainsedemdeset ur. Naš pregled NIS2 in nizozemskega zakona o kibernetski varnosti pojasnjuje, kako se oba režima medsebojno dopolnjujeta.
Zakon o umetni inteligenci ne nadomešča GDPR
Zakon EU o umetni inteligenci ureja sisteme umetne inteligence kot izdelke: razvršča jih glede na tveganje in nalaga obveznosti ponudnikom in uvajalcem. Ne zagotavlja pravne podlage za obdelavo osebnih podatkov, skladnost z njim pa ne pove ničesar o skladnosti z GDPR. Kadar sistem umetne inteligence obdeluje osebne podatke, se obe ureditvi uporabljata v celoti in vzporedno.
Časovni načrt je pomemben za načrtovanje. Prepovedi nesprejemljivih praks, obveznosti za modele umetne inteligence za splošno uporabo in dolžnosti preglednosti za sisteme, ki komunicirajo z ljudmi ali ustvarjajo sintetično vsebino, so že v veljavi. Režim visokega tveganja je bil s svežnjem digitalnih ukrepov preložen: obveznosti za sisteme z visokim tveganjem, navedene v Prilogi III, zdaj veljajo od 2. decembra 2027, obveznosti za sisteme, ki so varnostne komponente reguliranih izdelkov iz Priloge I, pa od 2. avgusta 2028. Ločen predlog za direktivo o odgovornosti za umetno inteligenco je bil umaknjen, zato odgovornost za škodo, ki jo povzroči sistem umetne inteligence, še naprej urejajo običajna nizozemska pravila o pogodbah in odškodninskih odgovornostih ter evropska ureditev odgovornosti za izdelke.
Za organizacijo, ki temelji na podatkih, je praktična posledica ta, da analiza GDPR ostaja zavezujoča omejitev, medtem ko zakon o umetni inteligenci določa, kakšno dokumentacijo, testiranje in človeški nadzor bo isti sistem potreboval pred koncem desetletja. Ločena izdelava obeh nalog podvaja delo; njuna skupna izdelava pa ne. Naši vodniki po zakonu EU o umetni inteligenci in po visoko tveganih sistemih umetne inteligence podrobno določajo klasifikacijo in obveznosti.
Skupinski zahtevki in odškodnine: civilna stran tveganja
Globe pred predpisi niso edina izpostavljenost in na Nizozemskem morda niso največje. Zakon o kolektivni tožbi Wet afwikkeling massaschade in collectieve actie (WAMCA) dovoljuje fundaciji ali združenju, ki izpolnjuje stroge zahteve glede upravljanja in financiranja, da vloži kolektivno tožbo za odškodnino v imenu določene skupine, z režimom zavrnitve za osebe s stalnim prebivališčem na Nizozemskem. Obdelava na podlagi podatkov je očitna tarča: ena sama odločitev o zasnovi vpliva na vse uporabnike na enak način, kar je ravno tista homogenost, ki jo potrebuje kolektivna tožba.
GDPR to po drugi strani še dodatno krepi. Vsakomur, ki je utrpel premoženjsko ali nepremoženjsko škodo zaradi kršitve, daje pravico do odškodnine od upravljavca ali obdelovalca, neprofitni organizaciji, ki deluje na področju varstva podatkov, pa omogoča, da v imenu posameznikov, na katere se nanašajo osebni podatki, sproži postopek, v nekaterih primerih brez njihovega pooblastila. Sodišče je potrdilo, da lahko združenje za varstvo potrošnikov deluje na tej podlagi.
Obstaja omejitev in ta je koristna za tožence. Sodišče je razsodilo, da kršitev GDPR sama po sebi ne daje pravice do odškodnine: tožnik mora dokazati dejansko škodo in vzročno zvezo, čeprav za nematerialno škodo ne velja noben prag resnosti, ko je ta ugotovljena. Individualne odškodnine v nizozemski praksi so bile zato skromne, vendar aritmetika razreda več sto tisoč popolnoma spremeni sliko. Naš članek o kolektivnih tožbah v primeru množične škode opisuje, kako ti postopki potekajo.
Kdo je upravljavec, ko podatki prihajajo od vsepovsod
Projekti velikih podatkov le redko ostanejo znotraj ene organizacije. Podatke obogati posrednik, gosti jih ponudnik storitev v oblaku, očisti jih analitična agencija in jih vnese v model, ki ga zagotovi prodajalec, pri čemer je treba vsako od teh razmerij pravilno opredeliti, saj dodelitev vlog določa, kdo nosi katero obveznost in kdo je odgovoren regulatorju.
Upravljavec določa namene in sredstva obdelave; obdelovalec deluje le na podlagi dokumentiranih navodil upravljavca. Kadar dve ali več strank skupaj določita namene in sredstva, sta skupni upravljavci in morata v dogovoru določiti svoje odgovornosti, zlasti za zagotavljanje informacij in za obravnavo zahtev posameznikov, ki lahko v vsakem primeru uveljavljajo svoje pravice zoper katero koli od njiju. Oznaka, uporabljena v pogodbi, ni odločilna: pomembno je, kdo dejansko odloči, zakaj in kako se podatki obdelujejo. Dobavitelj, ki si pridržuje pravico do uporabe vaših podatkov za izboljšanje lastnega izdelka, je v tem obsegu postal upravljavec za lastne namene, ne glede na to, kako se to imenuje v pogodbi.
V kontekstu umetne inteligence si v pogodbah z dobavitelji zaslužita posebno pozornost dve klavzuli. Prva je tista, ki ponudniku dovoljuje uporabo vsebine strank za usposabljanje ali izboljšanje storitev; če je prisotna, razkrivate osebne podatke drugemu upravljavcu in za to razkritje potrebujete podlago in obvestilo. Druga je klavzula o podobdelovalcu, ker se ponudniki modelov pogosto zanašajo na nadaljnje dobavitelje in na infrastrukturo zunaj Evropskega gospodarskega prostora, kar sproži uporabo pravil o prenosu. Sporazum o obdelavi, ki zajema zahtevano vsebino, vendar ne opisuje, kaj se dejansko zgodi s podatki, je v preiskavi malo uporaben.
Nenazadnje ne pozabite, da načelo odgovornosti dokazno breme nalaga upravljavcu. Ni dovolj, da ste skladni s predpisi; to morate biti sposobni dokazati z evidencami, ocenami in sporazumi, ki ustrezajo sistemom, kot so dejansko zgrajeni.
Kaj je treba urediti pred začetkom naslednjega projekta
Skladnost za velike podatke se vzpostavi že v fazi načrtovanja, ker uredba zahteva varstvo podatkov že po zasnovi in privzeto: v samo obdelavo je treba vključiti ustrezne tehnične in organizacijske ukrepe, privzeto pa se lahko obdelujejo le osebni podatki, ki so potrebni za vsak posamezen namen. Naknadna vgradnja je draga in običajno nepopolna.
V praksi je pomembnih pet stvari. Vodite evidenco dejavnosti obdelave, ki dejansko opisuje tokove podatkov, na katerih temelji vsak model, in ne oddelkov, ki so lastniki teh podatkov. Določite in zapišite pravno podlago za vsako operacijo obdelave, vključno z nadaljnjo obdelavo, ki je vključena v usposabljanje, in skupaj s tem hranite oceno legitimnih interesov. Preden se podatki zberejo, izvedite oceno učinka in se posvetujte z nadzornim organom, kadar je preostalo tveganje še vedno visoko. Sklenite sporazum o obdelavi podatkov z vsakim dobaviteljem, ki se dotika podatkov, vključno s ponudniki modela ali platforme, in preverite, kaj lahko počnejo z vašimi podatki za lastne namene; zahteve so določene v našem vodniku po sporazumu o obdelavi podatkov . In preverite, kam podatki gredo: prenosi zunaj Evropskega gospodarskega prostora zahtevajo mehanizem prenosa v skladu s poglavjem V uredbe in oceno učinka prenosa, stališče posameznih tretjih držav pa se lahko spremeni.
Predvsem pa naj ljudje, ki gradijo modele, in ljudje, ki ocenjujejo tveganje, delajo na istem dokumentu. Temelji same uredbe so povzeti v našem pregledu Splošne uredbe o varstvu podatkov , specifična vprašanja, ki se pojavljajo pri vnosu osebnih podatkov v sistem umetne inteligence, od avtomatiziranega odločanja do pravic prizadetih, pa so obravnavana v našem spremljevalnem članku o GDPR in umetni inteligenci na Nizozemskem.
Nekaj pogostih vprašanj
Katero pravno podlago naj uporabimo za učenje modela umetne inteligence
V večini komercialnih okolij je odgovor legitimni interes, podprt s pisno oceno, ki zajema interes, nujnost in tehtanje. Privolitev je bolj zaželena, kadar so podatki občutljivi ali bi uporaba presenetila zadevne osebe, vendar mora biti resnično svobodna in preklicna, kar je za učni nabor težko organizirati. Nujnost pogodbe skoraj nikoli ne zajema razvoja modela, ker usposabljanje ni tisto, kar je stranka zahtevala. Ne glede na to, katero podlago izberete, jo zabeležite, preden se obdelava začne: izbira podlage za nazaj se obravnava kot odsotnost kakršne koli podlage.
Ali GDPR še vedno velja, če najprej anonimiziramo podatke
Le če anonimizacija resnično deluje. Podatki so anonimni, ko ponovna identifikacija ni več razumno mogoča za nikogar, pri čemer se upoštevajo vsa sredstva, ki se bodo verjetno uporabila, in drugi nabori podatkov, ki bi jih bilo mogoče kombinirati z njimi. Odstranjevanje imen, zamenjava identifikatorjev z zgoščenimi vrednostmi ali združevanje v majhne skupine običajno ne dosega tega standarda, rezultat pa so psevdonimizirani podatki, ki še vedno v celoti spadajo pod uredbo. Kadar je anonimizacija podlaga za obravnavo projekta kot izven obsega, je treba ta sklep preizkusiti in dokumentirati ter ponovno pregledati vsakič, ko se nabor podatkov spremeni.
Ali se lahko zanesemo na izjemo raziskav za ponovno uporabo podatkov o strankah?
Redko. Nadaljnja obdelava za znanstvene ali statistične namene se obravnava kot združljiva s prvotnim namenom, vendar je izjema namenjena raziskavam, ki se izvajajo v skladu s priznanimi metodološkimi standardi in so predmet zaščitnih ukrepov, kot so psevdonimizacija in omejitve dostopa. Razvoj izdelkov ali izboljšanje modela, ki ga izvaja komercialna stranka v lastno korist, ne postane raziskava, ker vključuje podatkovno znanost. Če preizkus združljivosti ni izpolnjen sam po sebi, potrebujete novo pravno podlago in v večini primerov nove informacije za zadevne posameznike.
Kaj se zgodi, če nekdo prekliče soglasje po tem, ko je bil model usposobljen
Preklic velja za prihodnost in ne pomeni, da je prejšnja obdelava za nazaj nezakonita, vendar pomeni, da se podatki na tej podlagi ne smejo več uporabljati. Praktično to zahteva možnost odstranitve posameznika iz učnega nabora ter iz shramb funkcij in dnevnikov ter ponovnega usposabljanja ali drugačnega zagotavljanja, da model ne odraža več podatkov te osebe, kjer je to mogoče dokazati. To je eden od razlogov, zakaj je privolitev težka podlaga za učenje modela, in je vprašanje, na katerega je vredno odgovoriti v fazi načrtovanja in ne po prejemu prve zahteve.
Kako Law and More lahko pomaga
Law and More Svetuje nizozemskim in mednarodnim organizacijam na področju varstva podatkov na področju analitike in umetne inteligence: izbira in dokumentiranje pravne podlage, izvajanje ocen legitimnih interesov in ocen učinka, priprava izjav o zasebnosti in sporazumov o obdelavi podatkov, ki vzdržijo nadzor, odzivanje na zahteve organa za varstvo podatkov (Autoriteit Persoonsgegevens) ter obramba pred zahtevki posameznikov ali reprezentativnih fundacij. Če načrtujete projekt, ki temelji na podatkih, ali pa je regulator že stopil v stik z vami, z veseljem pregledamo dokumentacijo.
