Naudojant DI įrankius, BDAR taikomas, kai tik į užklausą, įkeltą failą ar DI integraciją patenka asmens duomenys. Įmonė, kuri nusprendžia, kokiu tikslu ir kokiu įrankiu tvarkyti duomenis, paprastai yra duomenų valdytoja. Ji turi turėti teisinį pagrindą, naudoti tik būtinus duomenis, sudaryti sutartį su DI tiekėju, įvertinti duomenų perdavimą už ES ribų ir, kai rizika didelė, atlikti poveikio duomenų apsaugai vertinimą.
Ką VDAI sako apie DI?
Valstybinė duomenų apsaugos inspekcija 2025 m. gegužės 29 d. paskelbė klausimus ir atsakymus „Norite pradėti naudoti dirbtinio intelekto sistemą: nuo ko pradėti?“ ir 7 pirmųjų žingsnių apžvalgą. Pagrindinės mintys:
- prieš pasirinkdami DI sistemą, susipažinkite su tiekėju, jo privatumo politika, saugumo priemonėmis ir duomenų šaltiniais;
- vertinkite visus gyvavimo ciklo etapus, ne tik mokymą. Asmens duomenų gali būti ir naudotojų užklausose;
- DI naudojanti organizacija paprastai yra duomenų valdytoja;
- teisinis pagrindas skirtinguose etapuose gali skirtis, o norint duomenis naudoti nauju tikslu, reikia įvertinti tikslų suderinamumą;
- jei tikslą galima pasiekti be asmens duomenų, rinkitės tą kelią.
VDAI pabrėžia, kad šie atsakymai remiasi tik BDAR. DI akto reikalavimai vertinami atskirai, žr. DI aktas įmonėms.
Penki BDAR klausimai prieš naudojant DI asmens duomenims tvarkyti
Koks tikslas ir ar reikia asmens duomenų?
Aiškiai įvardykite, ką norite pasiekti. Laiško juodraščiui ar sutarties struktūrai parengti konkretaus žmogaus duomenų dažniausiai nereikia (BDAR 5 str. 1 d. c punktas, duomenų kiekio mažinimas).
Koks teisinis pagrindas?
Taikomas BDAR 6 straipsnis, o tvarkant specialių kategorijų duomenis taikomas ir 9 straipsnis. Jei duomenys surinkti kitu tikslu, įvertinkite tikslų suderinamumą pagal 6 straipsnio 4 dalį.
Ar tiekėjas yra tvarkytojas, ar atlieka kitą vaidmenį?
Jei tiekėjas tvarko duomenis jūsų vardu, reikia BDAR 28 straipsnyje nurodytos sutarties. Patikrinkite, ar tiekėjas duomenis naudoja savo tikslams, pvz., modeliams mokyti.
Kur keliauja duomenys?
Duomenims perduoti už Europos ekonominės erdvės ribų reikia BDAR V skyriuje numatyto pagrindo: Komisijos sprendimo dėl tinkamumo arba standartinių sutarčių sąlygų. Peržiūrėkite subtvarkytojų sąrašą.
Ar reikia poveikio vertinimo?
Jei duomenų tvarkymas gali kelti didelį pavojų žmonių teisėms, pagal BDAR 35 straipsnį poveikio duomenų apsaugai vertinimą būtina atlikti prieš pradedant juos tvarkyti.
Kada naudojant DI reikia poveikio duomenų apsaugai vertinimo?
BDAR 35 straipsnio 3 dalyje numatyta, kad vertinimas privalomas, pavyzdžiui, kai asmeniniai aspektai sistemingai ir išsamiai vertinami automatizuotai, įskaitant profiliavimą, ir tai lemia teisinius ar panašius padarinius arba kai dideliu mastu tvarkomi specialių kategorijų duomenys. Naujų technologijų naudojimas yra vienas iš kriterijų, nurodytų 29 straipsnio darbo grupės gairėse dėl poveikio vertinimo (WP248), kurioms pritarė Europos duomenų apsaugos valdyba.
| DI naudojimo atvejis | Ar tikėtina, kad reikės vertinimo |
|---|---|
| Laiškų ir tekstų juodraščiai be asmens duomenų | Paprastai ne |
| Klientų užklausų santraukos verslo paskyroje | Įvertinkite, ar jo reikia. Tai priklauso nuo duomenų apimties |
| Pokalbių robotas svetainėje, renkantis klientų duomenis | Dažnai taip |
| CV atranka ar kandidatų vertinimas naudojant DI | Taip, be to, tai didelės rizikos sritis pagal DI aktą |
| Darbuotojų veiklos stebėsena ar vertinimas naudojant DI | Taip |
| Sveikatos ar kitų specialių kategorijų duomenų analizė | Taip |
Lentelė padeda orientuotis, bet sprendimą priimkite kartu su duomenų apsaugos pareigūnu.
Ką patikrinti DI tiekėjo sutartyje?
- Ar yra duomenų tvarkymo sutartis (DPA) pagal BDAR 28 straipsnį.
- Ar jūsų duomenys naudojami modeliams mokyti ir ar šį naudojimą galima išjungti visai organizacijai.
- Kur duomenys saugomi ir tvarkomi, ar galima pasirinkti jų saugojimą ir tvarkymą ES.
- Koks subtvarkytojų sąrašas ir kaip pranešama apie jo pokyčius.
- Kiek laiko saugomos užklausos ir rezultatai, ar galima juos ištrinti.
- Kokios saugumo priemonės taikomos ir kokius sertifikatus tiekėjas turi (pvz., ISO/IEC 27001).
- Ar administratorius gali valdyti paskyras bei prieigą ir matyti naudojimo žurnalus.
Ar DI modelis gali „įsiminti“ asmens duomenis?
Europos duomenų apsaugos valdyba 2024 m. gruodžio 17 d. priimtoje nuomonėje 28/2024 nurodė, kad DI modelis, mokytas naudojant asmens duomenis, nebūtinai yra anoniminis ir tai reikia vertinti kiekvienu atveju. Praktinė išvada naudotojui yra neleisti, kad jūsų klientų ar darbuotojų duomenys be aiškaus sprendimo patektų į tiekėjo mokymo duomenis.
Darbuotojų informavimas ir privatumo pranešimai
Jei DI naudojamas tvarkant klientų ar darbuotojų duomenis, atnaujinkite privatumo pranešimą (BDAR 13 ir 14 str.) ir duomenų tvarkymo veiklos įrašus (30 str.). Jei DI priima sprendimus dėl žmonių be žmogaus įsikišimo, įvertinkite BDAR 22 straipsnio reikalavimus dėl automatizuotų sprendimų.
Ši informacija yra bendro pobūdžio ir nėra teisinė konsultacija. Duomenų apsaugos reikalavimai priklauso nuo konkretaus duomenų tvarkymo, todėl pasitarkite su savo duomenų apsaugos pareigūnu ar teisininku.
Reikia DI rizikų peržiūros?
Aprašykite, kokius duomenis tvarko jūsų DI įrankiai. Padėsime įvertinti rizikas ir parengti reikalingus dokumentus.
Dažniausi klausimai
Ar užklausoje nurodytas vardas jau laikomas asmens duomenimis?
Taip, jei pagal jį arba jį susiejus su kita informacija galima nustatyti konkretų žmogų. Asmens duomenys yra vardai, asmens kodai, el. pašto adresai, telefonų numeriai, IP adresai, sutarčių numeriai ar unikalūs aprašymai. VDAI atkreipia dėmesį, kad asmens duomenų gali būti ir pačiose užklausose.
Kada naudojant DI reikia poveikio duomenų apsaugai vertinimo?
Pagal BDAR 35 straipsnį vertinimas būtinas, kai duomenų tvarkymas gali kelti didelį pavojų žmonių teisėms. Naudojant DI tai dažnai aktualu, kai tvarkomi specialių kategorijų duomenys, vertinami ar profiliuojami žmonės, stebimi darbuotojai arba DI rezultatai lemia sprendimus dėl žmonių.
Ar DI tiekėjas yra duomenų tvarkytojas?
Dažniausiai taip, kai jis tvarko duomenis jūsų vardu pagal jūsų nurodymus. Tada reikia BDAR 28 straipsnyje nurodytos sutarties. Jei tiekėjas duomenis naudoja savo tikslams, pavyzdžiui, modeliams mokyti, jo vaidmuo gali būti kitoks, todėl tai turi būti aiškiai įvertinta.
Ar galima naudoti DI įrankį, kurio serveriai yra JAV?
Galima, jei duomenims perduoti yra BDAR V skyriuje numatytas pagrindas, pavyzdžiui, Europos Komisijos sprendimas dėl tinkamumo arba standartinės sutarčių sąlygos. Kai kurie tiekėjai siūlo ir duomenų saugojimą ES. Patikrinkite tai tiekėjo sutartyje ir subtvarkytojų sąraše.
Ar už darbuotojo įvestus duomenis atsakingas tik pats darbuotojas?
Ne. Jei darbuotojas tvarko duomenis atlikdamas darbo funkcijas, už jų tvarkymą atsako įmonė kaip duomenų valdytoja. Todėl įmonė turi nustatyti taisykles, suteikti tinkamus įrankius ir apmokyti žmones.