GDPR и големите податоци не се некомпатибилни, но тие наметнуваат избор што многу организации го одложуваат: пред да соберете или повторно да користите голем збир на податоци, мора да можете да ја наведете законската основа за тоа и да покажете дека обработката е неопходна за таа цел. Во пракса, ова значи документирање на основа според член 6 од Општата регулатива за заштита на податоци, тестирање дали подоцнежната употреба за обука на алгоритам е компатибилна со целта за која податоците првично биле собрани и проценка на ризикот пред да се изгради првиот модел. Оваа статија утврдува како тие правила се применуваат на аналитиката на големи размери и обуката за вештачка интелигенција во Холандија, и каде Autoriteit Persoonsgegevens повлекува граница.
Што се смета за личен податок во голем збир на податоци
GDPR се однесува на информации поврзани со идентификувано или препознатливо физичко лице. Во контекст на големи податоци, тој праг се преминува многу почесто отколку што очекуваат организациите, бидејќи идентификациската способност се проценува со упатување на сите средства за кои е разумно веројатно дека ќе се користат, од страна на контролорот или од било кој друг, за да се издвои некого. Затоа, збир на податоци од идентификатори на уреди, траги на локација, записи за трансакции или кликови е речиси секогаш личен податок, дури и кога нема име во една колона.
Два концепта редовно се мешаат, а разликата одлучува дали регулативата воопшто се применува. Псевдонимизираните податоци, каде што идентификаторите се заменети, но клучот сè уште постои некаде, остануваат лични податоци и остануваат целосно предмет на GDPR. Анонимизираните податоци, каде што повторната идентификација повеќе не е разумно можна за никого, спаѓаат надвор од неа. Лебдечката за вистинска анонимизација е висока: агрегацијата, хеширањето или отстранувањето на директните идентификатори обично оставаат доволно отпечаток за одредена страна да ги повторни идентификува поединците, особено кога збирот на податоци е богат и опфаќа долг период.
Ова е важно бидејќи тврдењето дека еден сет на податоци е анонимен често е претпоставка што го носи товарот во целата програма за вештачка интелигенција. Ако не успее, секој чекор понатаму, од обуката до распоредот за задржување, е извршен без законска основа. Побезбеден пристап е да се третира сетот на податоци како личен податок, освен ако документираната анализа за повторна идентификација не каже поинаку, и повторно да се разгледа таа анализа кога сетот на податоци е збогатен или комбиниран со друг извор. Европскиот одбор за заштита на податоци, исто така, се осврна кога самиот модел на вештачка интелигенција може да се смета за анонимен, а неговиот одговор е дека ова не може да се претпостави: модел обучен врз основа на лични податоци може сè уште да ги содржи тие податоци во изводлива форма и мора да се оценува од случај до случај.
Избор на законска основа за обука за големи податоци и вештачка интелигенција
Секоја операција на обработка бара еден од шесте основи во Член 6, а основата мора да се избере пред да започне обработката, а не да се реконструира потоа. За аналитика од голем обем, само три се реални кандидати.
Согласноста е најчиста во теорија, а најкревка во пракса. Таа мора да биде слободно дадена, специфична, информирана и недвосмислена, и мора да биде лесно да се повлече како што беше и да се даде. Согласноста што е општо формулирана, добиена како услов за услуга на која не ѝ се потребни податоците или толку широко формулирана што поединецот не може да види за што се согласува, нема да важи. Кога согласноста е повлечена, потребен ви е технички одговор на прашањето што се случува со модел што веќе е обучен.
Потребата за извршување на договор е потесна отколку што изгледа. Тестот е објективна неопходност за услугата што поединецот всушност ја побарал, а не комерцијална корисност. Профилирањето на клиент за подобрување на системот за препораки генерално не е потребно за испорака на производот што го купил, а Судот на правдата постојано ги отфрла обидите да се прошири оваа основа за да се опфати рекламирањето и персонализацијата врз основа на однесувањето.
Тоа ги остава легитимните интереси, што е основата на која мора да се потпира најголемиот дел од обработката на податоци од голем обем. Потребни се три чекори, документирани по тој редослед: идентификување на реален и законски интерес, покажување дека обработката е неопходна бидејќи не постои помалку наметлив начин да се постигне и балансирање на интересот со правата и разумните очекувања на засегнатите лица. Во упатување од холандски суд во врска со националната тениска асоцијација, Судот на правдата потврди во 2024 година дека чисто комерцијален интерес може да се квалификува како легитимен интерес, но само ако тестовите за неопходност и балансирање се навистина исполнети. Комерцијалната вредност затоа е прифатлив интерес, а не лиценца.
Специјални категории и изведени карактеристики
Податоците што откриваат расно или етничко потекло, политички мислења, религиозни верувања, членство во синдикати, здравје, сексуален живот или сексуална ориентација, заедно со генетските и биометриските податоци што се користат за идентификација, воопшто не смеат да се обработуваат освен ако не се применува еден од тесните исклучоци во Член 9. Експлицитната согласност е вообичаената рута; другите ретко се вклопуваат во комерцијален збир на податоци.
Стапицата кај големите податоци е што податоците од посебна категорија не мора намерно да се собираат. Кога еден збир на податоци дозволува да се изведе заштитена карактеристика, на пример преку модели на купување, историја на локација или содржина на полиња со слободен текст, построгиот режим се применува за таа обработка иако никој никогаш не го поставил прашањето директно. Карактеристиките на моделот што дејствуваат како посредници за заштитена карактеристика треба да се идентификуваат за време на развојот, а не по жалба.
Ограничување на целта: дали можете да ги повторете податоците за обука на модел?
Можете, но не автоматски. GDPR бара личните податоци да се собираат за одредени, експлицитни и легитимни цели и да не се обработуваат понатаму на начин што е некомпатибилен со тие цели. Обуката на алгоритам врз основа на податоци собрани за исполнување на нарачки, поддршка на клиенти или спречување на измами е дополнителна операција на обработка и е законска само ако го помине тестот за компатибилност што го утврдува регулативата.
Тој тест не е формалност. Прашува за врската помеѓу првичната цел и новата, контекстот во кој се собрани податоците и што поединецот разумно може да очекува врз основа на тоа, природата на податоците и дали се вклучени посебни категории, можните последици од новата обработка и постоењето на заштитни мерки како што се псевдонимизација или енкрипција. Збир на податоци од медицински или финансиски записи нема да го помине тестот, додека збир на податоци од анонимизирани оперативни логови би го поминал.
Постои еден кратенки, и тој е потесен отколку што обично се претпоставува. Понатамошната обработка за архивирање во јавен интерес, за научни или историски истражувања или за статистички цели се третира како компатибилна, под услов да се воспоставени заштитни мерки за обработка на истражувања. Развојот на комерцијален модел облечен како истражување не се квалификува; исклучокот е насочен кон вистинско истражување кое е предмет на методолошки и етички стандарди, а не кон подобрување на производот. Кога тестот за компатибилност не е исполнет, ви е потребна нова правна основа и, во повеќето случаи, нови информации за засегнатите лица.
Практичната последица е дека ограничувањето на целта мора да се решава во моментот на собирање. Изјавите за приватност што ги опишуваат целите на начин доволно широк за да бидат бесмислени нема да заштедат подоцнежна обука, бидејќи тестот разгледува што поединецот разумно може да очекува, а не што технички дозволува изготвувањето. Нашиот водич за пишување политика за приватност во Холандија објаснува како да се опишат целите на начин што е искрен и употреблив.
Минимизирање, задржување и точност кога моделот сака сè
Минимизирањето на податоците бара личните податоци да бидат соодветни, релевантни и ограничени на она што е потребно. Тој принцип е навистина во конфликт со методот на развој чија логика е дека повеќе податоци произведуваат подобар модел, а конфликтот не може да се реши со негово игнорирање. Она со што може да се реши е документиран аргумент: кои полиња се потребни за наведената цел, што е тестирано без нив и зошто остатокот е отфрлен. Контролор кој може да покаже дека анализата има одбранлива позиција дури и кога збирот на податоци е голем. Контролор кој задржал сè затоа што складирањето е евтино, нема.
Ограничувањето на складирањето го поставува истото прашање со текот на времето. Податоците за обука, складиштата на функции, контролните точки на моделите и логовите за инференција спаѓаат во обврската за чување и секој од нив има потреба од свој период поврзан со одредена цел. Логовите за инференција често се забораваат и честопати содржат повеќе лични податоци отколку што некогаш имал множеството за обука.
Точноста е принципот што најчесто се занемарува во овој контекст, а има правна предност што лесно се пропушта. Личните податоци мора да бидат точни и, каде што е потребно, да се ажурираат, а поединците имаат право на исправка. Кога моделот дава резултати за лице што може да се идентификува, тој резултат е самиот личен податок. Заклучокот дека некој е со низок кредитен ризик, веројатен измамник или несоодветен кандидат е податок за него, може да биде неточен и може да се оспори. Градењето систем во кој таквите резултати не можат да се корегираат создава проблем со усогласеност што никаква документација нема да го реши подоцна.
Кога проценката на влијанието врз заштитата на податоците е задолжителна
Проценката на влијанието врз заштитата на податоците е задолжителна кога е веројатно дека одреден вид обработка ќе резултира со висок ризик за правата и слободите на поединците, а регулативата наведува три случаи: систематска и обемна евалуација на личните аспекти врз основа на автоматизирана обработка, вклучително и профилирање, врз која се засноваат одлуки со правни или слично значајни ефекти; обработка на посебни категории на податоци или податоци за кривични пресуди во голем обем; и систематско следење на јавно достапна област во голем обем. Повеќето сериозни проекти за големи податоци спаѓаат во првата или втората категорија.
Авторитетот за персонални податоци, исто така, објави список на операции за обработка за кои секогаш е потребна проценка во Холандија, опфаќајќи области како што се профилирање на големи размери, систематска евалуација на вработените, платформи за здравствени податоци и употреба на системи за камери. Тој список треба да биде првиот документ што се консултира на почетокот на проектот, бидејќи го отстранува аргументот за тоа дали е потребна проценка.
Две точки во врска со времето се одлучувачки. Проценката мора да се спроведе пред да започне обработката, што во проект со вештачка интелигенција значи пред да се соберат податоците за обука, а не пред распоредувањето. И кога проценката покажува висок преостанат ризик што не можете да го ублажите, мора да се консултирате со надзорниот орган пред да продолжите. Прескокнувањето на таа консултација само по себе е прекршување, независно од тоа дали обработката се покажува како законска.
Корисната проценка за алгоритамски систем оди подалеку од стандардниот образец. Таа евидентира кои извори на податоци го хранат моделот и врз основа на што, што му е дозволено на моделот сам да одлучи и што одлучува човек, како резултатот му се објаснува на засегнатото лице, како податоците за обука се тестирани за пристрасност кон заштитените групи и што се случува ако моделот е погрешен. Тоа се прашањата што прво ги поставува регулаторот.
Како Autoriteit Persoonsgegevens го спроведува ова
Холандскиот надзорен орган е Autoriteit Persoonsgegevens, кој го спроведува GDPR заедно со холандскиот закон за спроведување, Uitvoeringswet AVG. Неговите овластувања се движат од предупредување и опомена до наредба предмет на парична казна, привремена или дефинитивна забрана за обработка и административна казна. Регулативата ги поставува ограничувањата: до десет милиони евра или два проценти од вкупниот годишен промет во светот за понискиот степен и до дваесет милиони евра или четири проценти за прекршување на основните принципи, законските основи, правата на субјектите на податоци и правилата за меѓународни трансфери, кој и да е износот што е поголем.
Во холандската пракса се видливи две теми за спроведување и обете се директно поврзани со големите податоци. Првата е транспарентноста: значителен дел од неодамнешните активности се однесуваат на изјавите за приватност кои не објаснуваат на разбирлив јазик кои податоци се користат, за која цел и колку долго. Нејасните описи на целите се третираат како прекршување сами по себе, а не како грешка во изготвувањето. Втората е алгоритамскиот надзор. Органот има посебна единица за надзор на алгоритмите и објавува периодични извештаи за алгоритамските ризици, кои вреди да се прочитаат како изјава за тоа што очекува пред да стане предмет на истрага.
Заедно со спроведувањето на прописите, постои и обврска за известување за прекршување. Прекршувањето на личните податоци мора да се пријави до надлежниот орган без непотребно одложување и, доколку е можно, во рок од седумдесет и два часа од дознавањето за него, освен ако прекршувањето веројатно нема да резултира со ризик за поединци; кога ризикот за поединците е висок, тие исто така мора да бидат информирани. Во средина со вештачка интелигенција, проценката е потешка отколку што беше порано, бидејќи компромитиран сет за обука или складиште на функции влијае на сите чии податоци ги содржи, а последиците се протегаат на секоја одлука што ја донел моделот. Забележете дека ова е посебна обврска од должностите за пријавување инциденти според Cyberbeveiligingswet, холандската имплементација на NIS2, која се применува од 15 август 2026 година и наметнува свои рокови за известување од дваесет и четири и седумдесет и два часа за субјектите во рамките на нејзиниот опсег. Нашиот преглед на NIS2 и холандскиот Закон за сајбер безбедност објаснува како двата режима се наоѓаат еден покрај друг.
Законот за вештачка интелигенција не го заменува GDPR
Законот на ЕУ за вештачка интелигенција ги регулира системите со вештачка интелигенција како производи: ги класифицира според ризик и им наметнува обврски на добавувачите и распоредувачите. Тој не дава правна основа за обработка на лични податоци, а усогласеноста со него не кажува ништо за усогласеноста со GDPR. Кога систем со вештачка интелигенција обработува лични податоци, двата режима се применуваат целосно и паралелно.
Распоредот е важен за планирањето. Забраните за неприфатливи практики, обврските за моделите на вештачка интелигенција за општа намена и должностите за транспарентност за системи што комуницираат со луѓе или генерираат синтетичка содржина веќе се во сила. Режимот со висок ризик беше одложен со дигиталниот омнибус пакет: обврските за системите со висок ризик наведени во Анекс III сега важат од 2 декември 2027 година, а оние за системите што се безбедносни компоненти на регулирани производи според Анекс I од 2 август 2028 година. Посебниот предлог за Директива за одговорност за вештачка интелигенција е повлечен, па затоа одговорноста за штета предизвикана од систем на вештачка интелигенција продолжува да се регулира со обичните холандски правила за договори и деликт и со европскиот режим на одговорност за производи.
За организација водена од податоци, практичната последица е дека анализата на GDPR останува обврзувачко ограничување денес, додека Законот за вештачка интелигенција одредува каква документација, тестирање и човечки надзор ќе му бидат потребни на истиот систем пред крајот на деценијата. Разработката на двете вежби одделно ја дуплира работата; нивното заедничко градење не го прави тоа. Нашите водичи за Законот на ЕУ за вештачка интелигенција и за системите со вештачка интелигенција со висок ризик детално ја наведуваат класификацијата и обврските.
Групни побарувања и штети: граѓанската страна на ризикот
Регулаторните казни не се единствената изложеност, а во Холандија можеби не се најголемите. Wet afwikkeling massaschade in collectieve actie (WAMCA) им овозможува на фондацијата или здружението што ги исполнува строгите барања за управување и финансирање да покрене колективна тужба за штета во име на дефинирана група, со режим на откажување за лица со живеалиште во Холандија. Обработката базирана на податоци е очигледна цел: една единствена одлука за дизајн влијае на секој корисник на ист начин, што е токму хомогеноста што е потребна за колективна тужба.
GDPR го потврдува ова од своја страна. Таа им дава на сите што претрпеле материјална или нематеријална штета како резултат на повреда право на надомест од контролорот или обработувачот, а му овозможува на непрофитно тело активно во областа на заштитата на податоците да покрене постапка во име на субјектите на податоци, во некои случаи без нивен мандат. Судот на правдата потврди дека здружението за заштита на потрошувачите може да дејствува врз основа на тоа.
Постои ограничување, и тоа е корисно за обвинетите. Судот на правдата пресуди дека прекршувањето на GDPR само по себе не создава право на надомест на штета: подносителот на барањето мора да покаже реална штета и причинско-последична врска, иако не се применува праг на сериозност за нематеријална штета откако ќе се утврди. Индивидуалните надоместоци во холандската пракса затоа се скромни, но аритметиката на класа од стотици илјади целосно ја менува сликата. Нашата статија за колективни барања во случај на масовна штета опишува како се одвиваат овие постапки.
Кој е контролорот кога податоците доаѓаат од секаде
Проектите за големи податоци ретко остануваат во рамките на една организација. Податоците се збогатуваат од брокер, се хостираат од провајдер на облак, се чистат од агенција за аналитика и се внесуваат во модел обезбеден од добавувач, а секој од тие односи мора да се карактеризира правилно, бидејќи распределбата на улогите одредува кој ја носи која обврска и кој одговара пред регулаторот.
Контролорот ги одредува целите и средствата за обработка; обработувачот дејствува само врз основа на документираните упатства на контролорот. Кога две или повеќе страни заеднички ги одредуваат целите и средствата, тие се заеднички контролори и мора да ги утврдат своите соодветни одговорности во договор, особено за обезбедување информации и за обработка на барања од поединци, кои во секој случај можат да ги остварат своите права против кој било од нив. Ознаката што се користи во договорот не е одлучувачка: она што е важно е кој всушност одлучува зошто и како се обработуваат податоците. Добавувач кој го задржува правото да ги користи вашите податоци за подобрување на сопствениот производ, до таа мера, станал контролор за свои цели, како и да е наведено во договорот.
Две клаузули во договорите со добавувачи заслужуваат посебно внимание во контекст на вештачката интелигенција. Првата е онаа што му дозволува на добавувачот да користи содржина на клиентите за обука или за подобрување на услугите; доколку е присутна, откривате лични податоци на друг контролор и ви е потребна основа и известување за тоа откривање. Втората е клаузулата за под-обработувач, бидејќи добавувачите на модели честопати се потпираат на дополнителни добавувачи и на инфраструктура надвор од Европската економска зона, што ги вклучува правилата за пренос. Договор за обработка што ја опфаќа потребната тема, но не опишува што всушност се случува со податоците, е од мала корист во истрагата.
Конечно, запомнете дека принципот на одговорност го става товарот на докажување врз контролорот. Не е доволно само да се биде усогласен; мора да бидете во можност да го покажете тоа, со евиденција, проценки и договори што одговараат на системите онакви какви што се всушност изградени.
Што да се подготви пред да започне следниот проект
Усогласеноста за големи податоци се гради во фазата на дизајнирање, бидејќи регулативата бара заштита на податоците по дизајн и по дифолт: соодветни технички и организациски мерки мора да се интегрираат во самата обработка, а само личните податоци потребни за секоја специфична цел може да се обработуваат по дифолт. Ретрофитирањето е скапо и обично нецелосно.
Пет работи прават разлика во пракса. Водете евиденција за активностите за обработка што всушност ги опишуваат тековите на податоци зад секој модел, а не одделите што ги поседуваат. Одлучете и запишете ја законската основа за секоја операција на обработка, вклучително и понатамошната обработка вклучена во обуката, и чувајте ја проценката на легитимните интереси со неа. Спроведете ја проценката на влијанието пред да се соберат податоците и консултирајте се со надзорниот орган каде што преостанатиот ризик останува висок. Склучете договор за обработка на податоци со секој добавувач што ги допира податоците, вклучително и добавувачите на моделот или платформата, и проверете што им е дозволено да прават со вашите податоци за свои цели; барањата се наведени во нашиот водич за договорот за обработка на податоци . И проверете каде одат податоците: преносите надвор од Европската економска зона бараат механизам за пренос согласно Поглавје V од регулативата и проценка на влијанието на преносот, а позицијата на поединечните трети земји може да се промени.
Пред сè, натерајте ги луѓето што ги градат моделите и луѓето што го проценуваат ризикот да работат на истиот документ. Основите на самата регулатива се сумирани во нашиот преглед на Општата регулатива за заштита на податоците , а специфичните прашања што се поставуваат со внесувањето лични податоци во систем на вештачка интелигенција, од автоматизирано донесување одлуки до правата на засегнатите лица, се обработени во нашата придружна статија за GDPR и вештачката интелигенција во Холандија.
Неколку вообичаени прашања
Која законска основа треба да ја користиме за обука на модел на вештачка интелигенција
Во повеќето комерцијални услови, одговорот е легитимен интерес, поткрепен со писмена проценка што ги опфаќа интересот, потребата и балансирањето. Согласноста е попожелна кога податоците се чувствителни или употребата би ги изненадила засегнатите лица, но таа мора да биде навистина бесплатна и отповиклива, што е тешко да се организира за сет обуки. Потребата од договор речиси никогаш не го опфаќа развојот на моделот, бидејќи обуката не е она што го побарал клиентот. Без разлика која основа ќе ја изберете, евидентирајте ја пред да започне обработката: изборот на основа ретроспективно се третира како никаква основа.
Дали GDPR сè уште важи ако прво ги анонимизираме податоците?
Само ако анонимизацијата навистина функционира. Податоците се анонимни кога повторната идентификација повеќе не е разумно можна за никого, земајќи ги предвид сите средства што веројатно ќе се користат и другите збирки на податоци што би можеле да се комбинираат со нив. Отстранувањето на имиња, замената на идентификаторите со хашови или агрегирањето во мали групи обично не го исполнува тој стандард, а резултатот се псевдонимизирани податоци, кои остануваат целосно предмет на регулативата. Кога анонимизацијата е основа за третирање на проект како надвор од опсегот, тој заклучок треба да се тестира и документира, како и повторно да се разгледува секогаш кога збирот на податоци ќе се промени.
Можеме ли да се потпреме на исклучокот од истражувањето за повторна употреба на податоците на клиентите?
Ретко. Понатамошната обработка за научни или статистички цели се третира како компатибилна со првичната цел, но исклучокот е насочен кон истражувања спроведени според признати методолошки стандарди и предмет на заштитни мерки како што се псевдонимизација и ограничувања на пристап. Развојот на производот или подобрувањето на моделот извршено од комерцијална страна за сопствена корист не станува истражување бидејќи вклучува наука за податоци. Доколку тестот за компатибилност не е исполнет сам по себе, потребна ви е нова законска основа и, во повеќето случаи, нови информации за засегнатите лица.
Што се случува ако некој ја повлече согласноста откако моделот ќе биде обучен
Повлекувањето стапува на сила за во иднина и не ја прави ретроспективно претходната обработка незаконска, но значи дека податоците повеќе не можат да се користат врз таа основа. Практично, тоа бара можност за отстранување на поединецот од сетот за обука и од складиштата и логовите на функции, како и за преквалификација или на друг начин осигурување дека моделот повеќе не ги одразува податоците на тоа лице каде што може да се покаже дека го прави тоа. Ова е една од причините зошто согласноста е тешка основа за обука на моделот и е прашање на кое вреди да се одговори во фазата на дизајнирање, а не откако ќе пристигне првото барање.
Како Law and More може да помогне
Law and More советува холандски и меѓународни организации во врска со заштитата на податоците од аналитиката и вештачката интелигенција: избирање и документирање на законска основа, спроведување проценки на легитимни интереси и проценки на влијанието, изготвување изјави за приватност и договори за обработка кои ќе издржат контрола, одговарање на Autoriteit Persoonsgegevens и одбрана на тужби поднесени од поединци или од репрезентативни фондации. Доколку планирате проект базиран на податоци или регулатор веќе стапил во контакт со нас, со задоволство ќе го разгледаме досието со вас.
Како Law & More може да ви помогне со ова е објаснето на нашата ИТ адвокат страница.
