GDPR ja big data: tekoälykoulutuksen lailliset perusteet Alankomaissa

GDPR ja big data eivät ole ristiriidassa keskenään, mutta ne pakottavat valinnan, jota monet organisaatiot lykkäävät: ennen kuin keräät tai käytät uudelleen suurta tietoaineistoa, sinun on kyettävä nimeämään laillinen peruste sille ja osoittamaan, että käsittely on tarpeen kyseiseen tarkoitukseen. Käytännössä tämä tarkoittaa yleisen tietosuoja-asetuksen 6 artiklan mukaisen perusteen dokumentointia, testaamista, onko myöhempi käyttö algoritmin kouluttamiseen yhteensopiva sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, ja riskin arviointia ennen ensimmäisen mallin rakentamista. Tässä artikkelissa esitetään, miten näitä sääntöjä sovelletaan laajamittaiseen analytiikkaan ja tekoälykoulutukseen Alankomaissa ja missä Autoriteit Persoonsgegevens vetää rajan.

Mitä pidetään henkilötietona suuressa tietojoukossa

GDPR soveltuu tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviin tietoihin. Big data -kontekstissa tämä kynnys ylittyy paljon useammin kuin organisaatiot odottavat, koska tunnistettavuutta arvioidaan kaikkien niiden keinojen perusteella, joita rekisterinpitäjä tai kukaan muu kohtuullisesti todennäköisesti käyttää jonkun erottamiseen. Laitetunnisteiden, sijaintitietojen, tapahtumatietojen tai klikkausvirtojen tietojoukko on siksi lähes aina henkilötietoa, vaikka nimeä ei esiintyisi yhdessäkään sarakkeessa.

Kaksi käsitettä sekoitetaan säännöllisesti, ja näiden erojen perusteella voidaan ratkaista, sovelletaanko asetusta lainkaan. Pseudonymisoitu data, jossa tunnisteet on korvattu, mutta avain on edelleen jossain olemassa, pysyy henkilötietona ja kuuluu täysin GDPR:n piiriin. Anonymisoitu data, jossa uudelleentunnistaminen ei ole enää kohtuudella mahdollista kenellekään, jää sen ulkopuolelle. Aidon anonymisoinnin rima on korkea: suorien tunnisteiden yhdistäminen, hajauttaminen tai poistaminen jättää yleensä riittävästi sormenjälkeä, jotta määrätietoinen taho voi tunnistaa yksilöt uudelleen, erityisesti silloin, kun aineisto on runsas ja kattaa pitkän ajanjakson.

Tällä on merkitystä, koska väite tietojoukon anonymiteetistä on usein koko tekoälyohjelman perusta. Jos se epäonnistuu, jokainen loppuvaihe koulutusajosta säilytysaikatauluun on suoritettu ilman laillista perustetta. Turvallisempi lähestymistapa on käsitellä tietojoukkoa henkilötietona, ellei dokumentoitu uudelleentunnistusanalyysi toisin sano, ja tarkastella tätä analyysia uudelleen, kun tietojoukkoa rikastetaan tai yhdistetään toiseen lähteeseen. Euroopan tietosuojaneuvosto on myös käsitellyt sitä, milloin tekoälymallia itseään voidaan pitää anonyyminä, ja sen vastaus on, että tätä ei voida olettaa: henkilötiedoilla koulutettu malli voi silti sisältää kyseisiä tietoja erotettavissa olevassa muodossa, ja se on arvioitava tapauskohtaisesti.

Oikeudellisen perustan valinta big datalle ja tekoälykoulutukselle

Jokainen käsittelytoimi tarvitsee yhden 6 artiklan kuudesta perusteesta, ja peruste on valittava ennen käsittelyn aloittamista eikä sitä saa rekonstruoida jälkikäteen. Laajamittainen analytiikka edellyttää vain kolmea realistista vaihtoehtoa.

Suostumus on teoriassa puhtain ja käytännössä haurain tapa. Sen on oltava vapaaehtoinen, yksilöity, tietoon perustuva ja yksiselitteinen, ja sen peruuttamisen on oltava yhtä helppoa kuin sen antamisenkin. Suostumus, joka on esitetty yleisluontoisesti, saatu ehtona palvelulle, joka ei tarvitse tietoja, tai niin laajasti muotoiltu, ettei henkilö näe, mistä sovitaan, ei ole voimassa. Kun suostumus peruutetaan, tarvitaan tekninen vastaus kysymykseen siitä, mitä tapahtuu jo koulutetulle mallille.

Sopimuksen täytäntöönpanon välttämättömyys on suppeampi kuin miltä se näyttää. Testinä on objektiivinen välttämättömyys palvelun kannalta, jota henkilö tosiasiallisesti pyysi, ei kaupallinen hyödyllisyys. Asiakkaan profilointi suosittelujärjestelmän parantamiseksi ei yleensä ole välttämätöntä heidän ostamansa tuotteen toimittamiseksi, ja unionin tuomioistuin on toistuvasti hylännyt yritykset laajentaa tätä käsitettä koskemaan myös käyttäytymiseen perustuvaa mainontaa ja personointia.

Jäljelle jäävät oikeutetut edut, joihin useimpien laajamittaisten käsittelyjen on nojauduttava. Se edellyttää kolmea vaihetta, jotka on dokumentoitu tässä järjestyksessä: todellisen ja laillisen edun tunnistaminen, sen osoittaminen, että käsittely on tarpeen, koska sen saavuttamiseksi ei ole vähemmän puuttuvaa tapaa, ja edun punnitseminen asianomaisten henkilöiden oikeuksien ja kohtuullisten odotusten kanssa. Alankomaiden tuomioistuimen kansallista tennisliittoa koskevassa ennakkoratkaisupyynnössä unionin tuomioistuin vahvisti vuonna 2024, että puhtaasti kaupallinen etu voi luokitella oikeutetuksi eduksi, mutta vain jos tarpeellisuus- ja punnintakriteerit todella täyttyvät. Kaupallinen arvo on siis sallittu etu, ei lisenssi.

Erityiskategoriat ja päätellyt ominaisuudet

Tietoja, jotka paljastavat rodullisen tai etnisen alkuperän, poliittiset mielipiteet, uskonnolliset vakaumukset, ammattiliiton jäsenyyden, terveydentilan, seksuaalisen elämän tai suuntautumisen, sekä tunnistamiseen käytettäviä geneettisiä ja biometrisiä tietoja ei saa käsitellä lainkaan, ellei jokin 9 artiklan mukaisista suppeista poikkeuksista sovellu. Nimenomainen suostumus on tavanomainen tapa; muut harvoin sopivat kaupalliseen tietojoukkoon.

Big datan ansa on se, että erityisluokkiin kuuluvia tietoja ei tarvitse kerätä tarkoituksella. Jos tietojoukko mahdollistaa suojatun ominaisuuden päättelyn esimerkiksi ostotottumusten, sijaintihistorian tai vapaiden tekstikenttien sisällön perusteella, tiukempi säännöstö soveltuu kyseiseen käsittelyyn, vaikka kukaan ei olisi koskaan kysynyt kysymystä suoraan. Malliominaisuudet, jotka toimivat suojatun ominaisuuden sijaisina, tulisi tunnistaa kehitysvaiheessa, ei valituksen jälkeen.

Käyttötarkoituksen rajoittaminen: voidaanko tietoja käyttää uudelleen mallin kouluttamiseen

Voit, mutta et automaattisesti. GDPR edellyttää, että henkilötietoja kerätään tiettyjä, nimenomaisia ​​ja laillisia tarkoituksia varten, eikä niitä saa käsitellä edelleen tavalla, joka ei ole yhteensopiva näiden tarkoitusten kanssa. Algoritmin kouluttaminen tiedoilla, jotka on kerätty tilausten täyttämistä, asiakastukea tai petosten estämistä varten, on jatkokäsittelytoiminto, ja se on laillista vain, jos se läpäisee asetuksessa määritellyn yhteensopivuustestin.

Tämä testi ei ole muodollisuus. Siinä kysytään alkuperäisen ja uuden tarkoituksen välistä yhteyttä, tiedonkeruun kontekstia ja sitä, mitä yksilö voi kohtuudella odottaa sen perusteella, tiedon luonnetta ja sitä, liittyykö siihen erityisiä tietoluokkia, uuden käsittelyn mahdollisia seurauksia sekä suojatoimien, kuten pseudonymisoinnin tai salauksen, olemassaoloa. Lääketieteellisten tai taloudellisten tietojen tietojoukko ei läpäise testiä, jos anonymisoitujen operatiivisten lokien tietojoukko läpäisisi sen.

Yksi oikotie on olemassa, ja se on kapeampi kuin yleensä oletetaan. Yleisen edun mukaista arkistointia, tieteellistä tai historiallista tutkimusta tai tilastollisia tarkoituksia varten tapahtuvaa jatkokäsittelyä pidetään yhteensopivana, edellyttäen, että tutkimustietojen käsittelyä koskevat suojatoimet ovat käytössä. Tutkimukseksi naamioitu kaupallinen mallikehitys ei täytä vaatimuksia; poikkeus koskee aitoa tutkimusta, johon sovelletaan metodologisia ja eettisiä standardeja, ei tuoteparannusta. Jos yhteensopivuustestiä ei täytetä, tarvitaan uusi oikeusperusta ja useimmissa tapauksissa uutta tietoa asianosaisille.

Käytännössä tämä tarkoittaa, että käyttötarkoituksen rajoittaminen on käsiteltävä jo tiedonkeruun yhteydessä. Tietosuojalausekkeet, jotka kuvaavat käyttötarkoituksia liian laajoilla termeillä ollakseen merkityksettömiä, eivät säästä myöhempää koulutusta, koska testissä tarkastellaan sitä, mitä yksilö voi kohtuudella odottaa, eikä sitä, mitä sanamuoto teknisesti sallii. Oppaamme tietosuojakäytännön laatimiseen Alankomaissa esittelee, kuinka käyttötarkoitukset kuvataan sekä rehellisesti että käyttökelpoisesti.

Minimointi, säilyvyys ja tarkkuus, kun malli haluaa kaiken

Tiedon minimointi edellyttää, että henkilötiedot ovat riittäviä, relevantteja ja rajoitettuja siihen, mikä on välttämätöntä. Tämä periaate on aidosti ristiriidassa kehitysmenetelmän kanssa, jonka logiikka on, että mitä enemmän tietoa, sitä parempi malli, eikä ristiriitaa voida ratkaista jättämällä se huomiotta. Se voidaan ratkaista dokumentoidulla argumentilla: mitä kenttiä tarvitaan ilmoitettuun tarkoitukseen, mitä testattiin ilman niitä ja miksi loput hylättiin. Rekisterinpitäjällä, joka pystyy osoittamaan tämän analyysin, on puolustettava asema, vaikka tietojoukko olisi suuri. Rekisterinpitäjällä, joka säilyttää kaiken, koska tallennustila on halpaa, ei ole sitä.

Tallennusrajoitukset herättävät saman kysymyksen ajan kuluessa. Koulutusdata, ominaisuustallennustilat, mallin tarkistuspisteet ja päättelylokit kuuluvat kaikki säilytysvelvollisuuden piiriin, ja jokainen tarvitsee oman tarkoitukseensa sidotun ajanjakson. Päättelylokit unohdetaan usein ja ne sisältävät usein enemmän henkilökohtaista tietoa kuin koulutusjoukko koskaan sisälsi.

Tarkkuus on tässä yhteydessä useimmiten unohdettu periaate, ja sillä on oikeudellinen etu, joka on helppo ohittaa. Henkilötietojen on oltava tarkkoja ja tarvittaessa ajan tasalla, ja yksilöillä on oikeus oikaisuun. Kun malli tuottaa tulosteen tunnistettavasta henkilöstä, tämä tuloste on itsessään henkilötietoa. Johtopäätös siitä, että joku on huonon luottoriskin omaava, todennäköinen huijari tai sopimaton ehdokas, voi olla epätarkka ja sitä voidaan kyseenalaistaa. Järjestelmän rakentaminen, jossa tällaisia ​​​​tuloksia ei voida korjata, luo vaatimustenmukaisuusongelman, jota mikään määrä dokumentaatiota ei korjaa jälkikäteen.

Milloin tietosuojaa koskeva vaikutustenarviointi on pakollinen

Tietosuojaa koskeva vaikutustenarviointi on pakollinen, jos tietyntyyppinen käsittely todennäköisesti aiheuttaa korkean riskin yksilöiden oikeuksille ja vapauksille, ja asetuksessa nimetään erityisesti kolme tapausta: henkilökohtaisten ominaisuuksien järjestelmällinen ja laaja arviointi automaattisen käsittelyn, mukaan lukien profiloinnin, perusteella, johon perustuvat oikeudellisesti tai vastaavasti merkittäviä vaikutuksia omaavat päätökset; erityisten tietoryhmien tai rikosrekisteritietojen laajamittainen käsittely; ja julkisesti saatavilla olevan alueen järjestelmällinen valvonta laajassa mittakaavassa. Useimmat vakavat big data -hankkeet kuuluvat ensimmäiseen tai toiseen tapaukseen.

Autoriteit Persoonsgegevens on myös julkaissut luettelon käsittelytoimista, joista Alankomaissa vaaditaan aina arviointi. Luettelo kattaa muun muassa laajamittaisen profiloinnin, työntekijöiden systemaattisen arvioinnin, terveystietoalustat ja kamerajärjestelmien käytön. Tämän luettelon tulisi olla ensimmäinen asiakirja, johon tutustutaan projektin alussa, koska se poistaa keskustelun siitä, onko arviointi tarpeen.

Kaksi ajoitukseen liittyvää seikkaa on ratkaisevia. Arviointi on suoritettava ennen käsittelyn aloittamista, mikä tekoälyprojektissa tarkoittaa ennen harjoitusdatan kokoamista, ei ennen käyttöönottoa. Ja jos arviointi osoittaa suuren jäännösriskin, jota ei voida lieventää, on kuultava valvontaviranomaista ennen jatkamista. Konsultaation väliin jättäminen on itsessään rikkomus riippumatta siitä, osoittautuuko käsittely lailliseksi.

Hyödyllinen algoritmisen järjestelmän arviointi menee standardimallia pidemmälle. Se tallentaa tiedot siitä, mitkä tietolähteet syöttävät mallia ja millä perusteella, mitä malli saa päättää itse ja mitä ihminen, miten tulos selitetään asianomaiselle henkilölle, miten harjoitusdataa testattiin suojeltuja ryhmiä vastaan ​​​​kohdistuvan vinouman varalta ja mitä tapahtuu, jos malli on väärä. Nämä ovat kysymyksiä, joita sääntelyviranomainen kysyy ensin.

Kuinka Autoriteit Persoonsgegevens valvoo tätä

Alankomaiden valvontaviranomainen on Autoriteit Persoonsgegevens, joka valvoo GDPR:n ja sen täytäntöönpanosäädöksen, Uitvoeringswet AVG:n, noudattamista. Sen toimivaltuudet ulottuvat varoituksesta ja huomautuksesta määräykseen, johon liittyy uhkasakko, väliaikainen tai lopullinen käsittelykielto ja hallinnollinen sakko. Asetuksessa vahvistetaan enimmäismäärät: alemmalla tasolla enintään kymmenen miljoonaa euroa tai kaksi prosenttia vuotuisesta maailmanlaajuisesta liikevaihdosta ja enintään kaksikymmentä miljoonaa euroa tai neljä prosenttia perusperiaatteiden, laillisten perusteiden, rekisteröityjen oikeuksien ja kansainvälisiä siirtoja koskevien sääntöjen rikkomisesta, sen mukaan kumpi määrä on suurempi.

Alankomaiden käytännössä näkyy kaksi täytäntöönpanoteemaa, ja molemmat liittyvät suoraan massadataan. Ensimmäinen on läpinäkyvyys: huomattava osa viimeaikaisista toimista koskee tietosuojaselosteita, joissa ei selitetä ymmärrettävällä kielellä, mitä tietoja käytetään, mihin tarkoitukseen ja kuinka kauan. Epämääräisiä käyttötarkoitusten kuvauksia käsitellään itsenäisenä tietoturvaloukkauksena, ei laatimisvirheenä. Toinen on algoritmien valvonta. Viranomaisella on erillinen yksikkö algoritmien valvontaa varten, ja se julkaisee säännöllisesti raportteja algoritmiriskeistä, jotka kannattaa lukea selvityksenä siitä, mitä se odottaa ennen kuin niistä tulee tutkinnan kohteena.

Täytäntöönpanon rinnalla on velvollisuus ilmoittaa tietomurrosta. Henkilötietojen tietomurrosta on ilmoitettava viranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun se on tullut tietoiseksi siitä, paitsi jos on epätodennäköistä, että tietomurto aiheuttaa riskin yksilöille. Jos riski yksilöille on suuri, heille on myös ilmoitettava siitä. Tekoälyympäristössä arviointi on vaikeampaa kuin ennen, koska vaarantunut harjoitusjoukko tai ominaisuussäilö vaikuttaa kaikkiin, joiden tietoja se sisältää, ja seuraukset ulottuvat jokaiseen mallin tekemään päätökseen. On huomattava, että tämä on erillinen velvollisuus Cyberbeveiligingswetin mukaisista tietoturvaloukkausilmoitusvelvollisuuksista. Kyseinen laki on hollantilainen NIS2-asetus, jota on sovellettu 15. elokuuta 2026 alkaen ja jossa on omat 24 ja 72 tunnin ilmoitusmääräaikansa sen soveltamisalaan kuuluville tahoille. NIS2-lain ja Alankomaiden kyberturvallisuuslain katsauksemme selittää, miten nämä kaksi järjestelmää toimivat rinnakkain.

Tekoälylaki ei korvaa GDPR:ää

EU:n tekoälylaki sääntelee tekoälyjärjestelmiä tuotteina: se luokittelee ne riskin mukaan ja asettaa velvoitteita palveluntarjoajille ja käyttöönottajille. Se ei tarjoa oikeusperustaa henkilötietojen käsittelylle, eikä sen noudattaminen kerro mitään yleisen tietosuoja-asetuksen noudattamisesta. Kun tekoälyjärjestelmä käsittelee henkilötietoja, molempia järjestelmiä sovelletaan täysimääräisesti ja rinnakkain.

Aikataululla on merkitystä suunnittelun kannalta. Kiellot hyväksymättömille käytännöille, yleiskäyttöisten tekoälymallien velvoitteet ja avoimuusvelvoitteet järjestelmille, jotka ovat vuorovaikutuksessa ihmisten kanssa tai tuottavat synteettistä sisältöä, ovat jo voimassa. Digitaalinen kokonaispaketti lykkäsi korkean riskin järjestelmää: liitteessä III lueteltuja korkean riskin järjestelmiä koskevat velvoitteet tulevat voimaan 2. joulukuuta 2027 ja liitteen I mukaisia ​​säänneltyjen tuotteiden turvakomponentteina olevia järjestelmiä koskevat velvoitteet 2. elokuuta 2028. Erillinen ehdotus tekoälyvastuudirektiiviksi on peruttu, joten tekoälyjärjestelmän aiheuttamien vahinkojen vastuuseen sovelletaan edelleen Alankomaiden tavanomaisia ​​sopimus- ja vahingonkorvaussääntöjä sekä eurooppalaista tuotevastuujärjestelmää.

Datalähtöiselle organisaatiolle käytännön seuraus on, että GDPR-analyysi on edelleen sitova rajoite, kun taas tekoälylaki määrittää, mitä dokumentaatiota, testausta ja ihmisen valvontaa sama järjestelmä tarvitsee ennen vuosikymmenen loppua. Kahden prosessin erillinen rakentaminen päällekkäistä työtä; niiden yhdistäminen ei. EU:n tekoälylakia ja korkean riskin tekoälyjärjestelmiä koskevat oppaamme esittävät luokittelun ja velvoitteet yksityiskohtaisesti.

Ryhmävaatimukset ja vahingonkorvaukset: riskin siviilioikeudellinen puoli

Sääntelyyn liittyvät sakot eivät ole ainoa riski, eivätkä Alankomaissa ne välttämättä ole suurimpia. Wet afwikkeling massaschade in collectieve actie (WAMCA) -laki sallii tiukat hallinto- ja rahoitusvaatimukset täyttävän säätiön tai yhdistyksen nostaa kollektiivisen vahingonkorvauskanteen määritellyn ryhmän puolesta. Alankomaissa asuville henkilöille on kuitenkin olemassa opt-out-järjestely. Datapohjainen käsittely on ilmeinen kohde: yksi suunnittelupäätös vaikuttaa kaikkiin käyttäjiin samalla tavalla, mikä on juuri sitä homogeenisuutta, jota kollektiivinen kanne tarvitsee.

GDPR vahvistaa tätä omalta osaltaan. Se antaa jokaiselle, joka on kärsinyt aineellista tai aineetonta vahinkoa rikkomuksen seurauksena, oikeuden korvaukseen rekisterinpitäjältä tai henkilötietojen käsittelijältä, ja se sallii tietosuojan alalla toimivan voittoa tavoittelemattoman elimen nostaa kanteen rekisteröityjen puolesta, joissakin tapauksissa ilman heidän valtuutustaan. Unionin tuomioistuin on vahvistanut, että kuluttajansuojayhdistys voi toimia tällä perusteella.

On olemassa raja, ja se on hyödyllinen vastaajille. Unionin tuomioistuin on todennut, että GDPR:n rikkominen ei sinänsä oikeuta korvaukseen: kantajan on näytettävä toteen todellinen vahinko ja syy-yhteys, vaikka aineettomaan vahinkoon ei sovelletakaan vakavuuskynnystä sen toteamisen jälkeen. Yksittäiset korvaukset ovat siksi Alankomaiden käytännössä olleet vaatimattomia, mutta satojen tuhansien ihmisten ryhmän laskeminen muuttaa tilanteen täysin. Artikkelimme kollektiivisista vaatimuksista joukkovahinkojen yhteydessä kuvaa, miten nämä menettelyt etenevät.

Kuka on rekisterinpitäjä, kun dataa tulee kaikkialta?

Suuret dataprojektit harvoin pysyvät yhden organisaation sisällä. Välittäjä rikastaa dataa, pilvipalveluntarjoaja isännöi sitä, analytiikkayritys puhdistaa sen ja syöttää sen toimittajan toimittamaan malliin. Jokainen näistä suhteista on luonnehdittava oikein, koska roolien jako määrittää, kuka kantaa mitäkin velvollisuuksia ja kuka on vastuussa sääntelyviranomaiselle.

Rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot; käsittelijä toimii ainoastaan ​​rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti. Kun kaksi tai useampi osapuoli yhdessä määrittää tarkoitukset ja keinot, he ovat yhteisrekisterinpitäjiä ja heidän on määriteltävä sopimuksessa vastuualueensa, erityisesti tietojen toimittamisen ja yksilöiden pyyntöjen käsittelyn osalta, ja yksilöt voivat joka tapauksessa käyttää oikeuksiaan kumpaa tahansa osapuolta vastaan. Sopimuksessa käytetty nimitys ei ole ratkaiseva: tärkeää on se, kuka tosiasiallisesti päättää, miksi ja miten tietoja käsitellään. Toimittajasta, joka pidättää oikeuden käyttää tietojasi oman tuotteensa parantamiseen, on siinä määrin tullut rekisterinpitäjä omiin tarkoituksiinsa, olipa sopimuksessa sitä kutsuttu mitä tahansa.

Kaksi toimitussopimusten lauseketta ansaitsee erityistä huomiota tekoälyn yhteydessä. Ensimmäinen on se, joka sallii palveluntarjoajan käyttää asiakassisältöä koulutukseen tai palvelun parantamiseen; jos se on läsnä, luovutat henkilötietoja toiselle rekisterinpitäjälle ja tarvitset perusteen ja ilmoituksen kyseiselle luovutukselle. Toinen on alihankkijaa koskeva lauseke, koska mallipalveluntarjoajat ovat usein riippuvaisia ​​muista toimittajista ja Euroopan talousalueen ulkopuolisesta infrastruktuurista, mikä tuo mukanaan siirtosäännöt. Käsittelysopimus, joka kattaa vaaditun aiheen, mutta ei kuvaa, mitä tiedoille todellisuudessa tapahtuu, on tutkinnassa vain vähän hyödyllinen.

Lopuksi on muistettava, että vastuuvelvollisuusperiaate asettaa todistustaakan rekisterinpitäjälle. Pelkkä vaatimustenmukaisuus ei riitä; sinun on kyettävä osoittamaan se asiakirjoilla, arvioinneilla ja sopimuksilla, jotka vastaavat todellisuudessa rakennettuja järjestelmiä.

Mitä kannattaa ottaa huomioon ennen seuraavan projektin alkua

Big datan vaatimustenmukaisuus rakennetaan suunnitteluvaiheessa, koska asetus edellyttää sisäänrakennettua ja oletusarvoista tietosuojaa: asianmukaiset tekniset ja organisatoriset toimenpiteet on integroitava itse käsittelyyn, ja oletusarvoisesti saa käsitellä vain kunkin tietyn tarkoituksen kannalta välttämättömiä henkilötietoja. Jälkiasennus on kallista ja yleensä epätäydellistä.

Viisi asiaa ratkaisevat käytännössä. Pidä kirjaa käsittelytoimista, jotka kuvaavat kunkin mallin taustalla olevia tietovirtoja sen sijaan, että kuvailisit niitä omistavia osastoja. Päätä ja kirjaa ylös kunkin käsittelytoimen oikeusperusta, mukaan lukien koulutukseen liittyvä jatkokäsittely, ja säilytä oikeutettujen etujen arviointi sen mukana. Suorita vaikutustenarviointi ennen tietojen kokoamista ja ota yhteyttä valvontaviranomaiseen, jos jäännösriski pysyy korkeana. Tee tietojenkäsittelysopimus jokaisen tietoihin liittyvän toimittajan kanssa, mukaan lukien mallin tai alustan tarjoajat, ja tarkista, mitä he saavat tehdä tiedoillasi omiin tarkoituksiinsa; vaatimukset on esitetty tietojenkäsittelysopimusta koskevassa oppaassamme . Ja tarkista, minne tiedot menevät: Euroopan talousalueen ulkopuolelle tehtävät siirrot edellyttävät asetuksen V luvun mukaista siirtomekanismia ja siirtojen vaikutustenarviointia, ja yksittäisten kolmansien maiden asema voi muuttua.

Ennen kaikkea varmista, että mallien rakentajat ja riskinarvioijat työskentelevät saman asiakirjan parissa. Itse asetuksen perusteet on esitetty tiivistetysti yleisen tietosuoja-asetuksen katsauksessamme , ja henkilötietojen tekoälyjärjestelmään syöttämisen herättämiä erityiskysymyksiä, automatisoidusta päätöksenteosta asianomaisten henkilöiden oikeuksiin, käsitellään oheisartikkelissamme GDPR:stä ja tekoälystä Alankomaissa.

Muutamia yleisiä kysymyksiä

Mitä laillista perustaa meidän tulisi käyttää tekoälymallin kouluttamiseen

Useimmissa kaupallisissa tilanteissa vastaus on oikeutetut edut, joita tukee kirjallinen arviointi, joka kattaa edun, tarpeellisuuden ja tasapainottamisen. Suostumus on parempi, jos tiedot ovat arkaluonteisia tai niiden käyttö yllättäisi asianomaiset henkilöt, mutta sen on oltava aidosti vapaaehtoinen ja peruutettavissa, mikä on vaikea järjestää koulutuspaketin yhteydessä. Sopimuksen tarpeellisuus ei juuri koskaan kata mallin kehittämistä, koska koulutus ei ole sitä, mitä asiakas pyysi. Valitsetpa minkä tahansa perusteen, kirjaa se ennen käsittelyn aloittamista: perusteen valitseminen takautuvasti ei ole lainkaan peruste.

Sovelletaanko GDPR:ää edelleen, jos anonymisoimme tiedot ensin?

Vain jos anonymisointi todella toimii. Data on anonyymiä, kun uudelleentunnistus ei ole enää kohtuudella mahdollista kenellekään ottaen huomioon kaikki todennäköisesti käytettävät keinot ja muut datajoukot, jotka voitaisiin yhdistää siihen. Nimien poistaminen, tunnisteiden korvaaminen tiivisteillä tai pienryhmiin yhdistäminen ei yleensä täytä tätä standardia, ja tuloksena on pseudonymisoitua dataa, joka pysyy täysin asetuksen piirissä. Jos anonymisointi on peruste projektin käsittelylle soveltamisalan ulkopuolella, tämä johtopäätös on testattava ja dokumentoitava ja tarkistettava aina, kun datajoukko muuttuu.

Voimmeko luottaa tutkimuspoikkeukseen asiakasdatan uudelleenkäytössä?

Harvoin. Tieteellisiin tai tilastollisiin tarkoituksiin tapahtuvaa jatkokäsittelyä pidetään alkuperäisen tarkoituksen mukaisena, mutta poikkeus koskee tutkimusta, joka suoritetaan tunnustettujen menetelmästandardien mukaisesti ja johon sovelletaan suojatoimia, kuten pseudonymisointia ja käyttörajoituksia. Kaupallisen osapuolen omaksi hyödykseen suorittama tuotekehitys tai mallinparannus ei muutu tutkimukseksi, koska se sisältää datatiedettä. Jos yhteensopivuustestiä ei täytetä sellaisenaan, tarvitaan uusi laillinen perusta ja useimmissa tapauksissa uusia tietoja asianomaisille henkilöille.

Mitä tapahtuu, jos joku peruu suostumuksen mallin kouluttamisen jälkeen

Peruutus tulee voimaan tulevaisuudessa eikä tee aiemmasta käsittelystä takautuvasti laitonta, mutta se tarkoittaa, että tietoja ei enää voida käyttää tällä perusteella. Käytännössä tämä edellyttää mahdollisuutta poistaa yksilö koulutusjoukosta sekä ominaisuussäilöistä ja lokeista ja kouluttaa uudelleen tai muuten varmistaa, että malli ei enää heijasta kyseisen henkilön tietoja, jos se voidaan osoittaa heijastavan sitä. Tämä on yksi syy siihen, miksi suostumus on vaikea perusta mallin koulutukselle, ja se on kysymys, johon kannattaa vastata suunnitteluvaiheessa eikä ensimmäisen pyynnön saapumisen jälkeen.

Miten Law and More voi auttaa

Law and More Neuvoo hollantilaisia ​​ja kansainvälisiä organisaatioita analytiikan ja tekoälyn tietosuojakysymyksissä: laillisen perustan valinta ja dokumentointi, oikeutettujen etujen arviointien ja vaikutustenarviointien suorittaminen, tietosuojaselosteiden ja käsittelysopimusten laatiminen, jotka kestävät tarkastuksen, vastaaminen Autoriteit Persoonsgegevens -määräyksiin sekä yksityishenkilöiden tai etujärjestöjen esittämien vaatimusten puolustaminen. Jos suunnittelet datalähtöistä projektia tai sääntelyviranomainen on jo ottanut yhteyttä, tarkastelemme mielellämme tiedostoa kanssasi.

Miten Law & More voi auttaa sinua tässä, selitetään meidän IT-lakimies sivu.