Il-GDPR u l-big data mhumiex inkompatibbli, iżda jġiegħluk tagħmel għażla li ħafna organizzazzjonijiet jipposponu: qabel ma tiġbor jew terġa' tuża sett kbir ta' dejta, trid tkun tista' ssemmi l-bażi legali biex tagħmel dan u turi li l-ipproċessar huwa meħtieġ għal dak il-għan. Fil-prattika dan ifisser li tiddokumenta raġuni skont l-Artikolu 6 tar-Regolament Ġenerali dwar il-Protezzjoni tad-Dejta, tittestja jekk użu aktar tard għat-taħriġ ta' algoritmu huwiex kompatibbli mal-għan li għalih id-dejta nġabret oriġinarjament, u tivvaluta r-riskju qabel ma jinbena l-ewwel mudell. Dan l-artikolu jistabbilixxi kif dawk ir-regoli japplikaw għall-analitika fuq skala kbira u t-taħriġ tal-IA fin-Netherlands, u fejn l-Autoriteit Persoonsgegevens tiġbed il-linja.
X'jgħodd bħala dejta personali f'sett ta' dejta kbira
Il-GDPR japplika għal informazzjoni relatata ma’ persuna fiżika identifikata jew identifikabbli. Fil-kuntest ta’ big data, dak il-limitu jinqabeż ħafna aktar spiss milli jistennew l-organizzazzjonijiet, għaliex l-identifikabbiltà tiġi vvalutata b’referenza għall-mezzi kollha li raġonevolment x’aktarx jintużaw, mill-kontrollur jew minn xi ħadd ieħor, biex jidentifika lil xi ħadd. Għalhekk, sett ta’ dejta ta’ identifikaturi ta’ apparati, traċċi ta’ lok, rekords ta’ tranżazzjonijiet jew clickstreams kważi dejjem huwa dejta personali, anke fejn l-ebda isem ma jidher f’kolonna waħda.
Żewġ kunċetti jiġu konfużi regolarment, u d-differenza tiddeċiedi jekk ir-regolament japplikax għalkollox. Id-dejta psewdonimizzata, fejn l-identifikaturi jkunu ġew sostitwiti iżda ċ-ċavetta tkun għadha teżisti x'imkien, tibqa' dejta personali u tibqa' kompletament soġġetta għall-GDPR. Id-dejta anonimizzata, fejn l-identifikazzjoni mill-ġdid ma tibqax raġonevolment possibbli għal ħadd, taqa' barra minn dan. Il-livell għal anonimizzazzjoni ġenwina huwa għoli: l-aggregazzjoni, il-hashing jew it-tneħħija ta' identifikaturi diretti ġeneralment iħallu biżżejjed marki tas-swaba' biex parti determinata terġa' tidentifika individwi, partikolarment meta s-sett tad-dejta jkun rikk u jkopri perjodu twil.
Dan huwa importanti għaliex l-istqarrija li sett ta’ dejta huwa anonimu ħafna drabi hija s-suppożizzjoni ewlenija fi programm sħiħ tal-IA. Jekk dan ifalli, kull pass downstream, mit-taħriġ sal-iskeda taż-żamma, ikun twettaq mingħajr bażi legali. L-approċċ aktar sikur huwa li s-sett ta’ dejta jiġi ttrattat bħala dejta personali sakemm analiżi dokumentata ta’ identifikazzjoni mill-ġdid ma tgħidx mod ieħor, u li terġa’ tiġi riveduta dik l-analiżi meta s-sett ta’ dejta jiġi arrikkit jew ikkombinat ma’ sors ieħor. Il-Bord Ewropew għall-Protezzjoni tad-Dejta indirizza wkoll meta mudell tal-IA nnifsu jista’ jitqies bħala anonimu, u t-tweġiba tiegħu hija li dan ma jistax jiġi preżunt: mudell imħarreġ fuq dejta personali xorta jista’ jkun fih dik id-dejta f’forma li tista’ tiġi estratta u jrid jiġi vvalutat każ b’każ.
L-għażla ta' bażi legali għat-taħriġ tal-big data u l-IA
Kull operazzjoni ta' pproċessar teħtieġ waħda mis-sitt raġunijiet fl-Artikolu 6, u r-raġuni trid tintgħażel qabel ma jibda l-ipproċessar aktar milli tiġi rikostruwita wara. Għal analitika fuq skala kbira, tlieta biss huma kandidati realistiċi.
Il-kunsens huwa l-aktar wieħed nadif fit-teorija u l-aktar wieħed fraġli fil-prattika. Irid jingħata liberament, ikun speċifiku, infurmat u mhux ambigwu, u jrid ikun faċli li wieħed jirtirah daqs kemm kien faċli li jingħata. Kunsens li jkun miġbur f'termini ġenerali, miksub bħala kundizzjoni ta' servizz li ma jeħtieġx id-dejta, jew ifformulat b'mod tant wiesa' li l-individwu ma jkunx jista' jara x'qed jiġi miftiehem, mhux se jkun validu. Fejn il-kunsens jiġi rtirat, għandek bżonn tweġiba teknika għall-mistoqsija ta' x'jiġri minn mudell li diġà ġie mħarreġ.
Il-ħtieġa għat-twettiq ta' kuntratt hija aktar ristretta milli tidher. It-test huwa l-ħtieġa oġġettiva għas-servizz li l-individwu fil-fatt talab, mhux l-utilità kummerċjali. Il-profilar ta' klijent biex tittejjeb magna ta' rakkomandazzjoni ġeneralment mhuwiex neċessarju għall-kunsinna tal-prodott li xtara, u l-Qorti tal-Ġustizzja ripetutament irrifjutat tentattivi biex dan l-aspett jiġi estiż biex ikopri r-reklamar ibbażat fuq l-imġiba u l-personalizzazzjoni.
Dan iħalli l-interessi leġittimi, li huma l-bażi li fuqha jrid jiddependi l-biċċa l-kbira tal-ipproċessar fuq skala kbira. Jeħtieġ tliet passi, dokumentati f'dik l-ordni: l-identifikazzjoni ta' interess reali u legali, li jintwera li l-ipproċessar huwa neċessarju għaliex m'hemm l-ebda mod inqas intrużiv biex jinkiseb, u l-ibbilanċjar tal-interess mad-drittijiet u l-aspettattivi raġonevoli tal-persuni kkonċernati. F'referenza minn qorti Olandiża dwar l-assoċjazzjoni nazzjonali tat-tennis, il-Qorti tal-Ġustizzja kkonfermat fl-2024 li interess purament kummerċjali jista' jikkwalifika bħala interess leġittimu, iżda biss jekk it-testijiet tan-neċessità u l-ibbilanċjar ikunu ġenwinament sodisfatti. Għalhekk, il-valur kummerċjali huwa interess ammissibbli, mhux liċenzja.
Kategoriji speċjali u karatteristiċi inferiti
Dejta li tiżvela l-oriġini razzjali jew etnika, l-opinjonijiet politiċi, it-twemmin reliġjuż, is-sħubija fi trade union, is-saħħa, il-ħajja sesswali jew l-orjentazzjoni sesswali, flimkien ma’ dejta ġenetika u bijometrika użata għall-identifikazzjoni, ma tistax tiġi pproċessata sakemm ma tapplikax waħda mill-eċċezzjonijiet ristretti fl-Artikolu 9. Il-kunsens espliċitu huwa r-rotta tas-soltu; l-oħrajn rarament jaqblu ma’ sett ta’ dejta kummerċjali.
In-nassa fid-dejta l-kbira hija li d-dejta ta’ kategorija speċjali m’għandhiex għalfejn tinġabar apposta. Fejn sett ta’ dejta jippermetti li karatteristika protetta tiġi dedotta, pereżempju permezz ta’ mudelli ta’ xiri, storja tal-post jew il-kontenut ta’ oqsma ta’ test liberu, ir-reġim aktar strett japplika għal dak l-ipproċessar anke jekk ħadd qatt ma staqsa l-mistoqsija direttament. Il-karatteristiċi tal-mudell li jaġixxu bħala proxies għal karatteristika protetta għandhom jiġu identifikati waqt l-iżvilupp, mhux wara lment.
Limitazzjoni tal-iskop: tista' terġa' tuża d-dejta biex tħarreġ mudell
Tista', iżda mhux awtomatikament. Il-GDPR jirrikjedi li d-dejta personali tinġabar għal skopijiet speċifikati, espliċiti u leġittimi u li ma tiġix ipproċessata aktar b'mod li ma jkunx kompatibbli ma' dawk l-iskopijiet. It-taħriġ ta' algoritmu fuq dejta li nġabret għat-twettiq tal-ordnijiet, l-appoġġ għall-klijenti jew il-prevenzjoni tal-frodi huwa operazzjoni ta' pproċessar ulterjuri, u huwa legali biss jekk jgħaddi mit-test ta' kompatibilità li jistabbilixxi r-regolament.
Dak it-test mhuwiex formalità. Jistaqsi dwar ir-rabta bejn l-iskop oriġinali u dak il-ġdid, il-kuntest li fih inġabret id-dejta u x'jista' raġonevolment jistenna l-individwu fuq dik il-bażi, in-natura tad-dejta u jekk hemmx kategoriji speċjali involuti, il-konsegwenzi possibbli tal-ipproċessar il-ġdid, u l-eżistenza ta' salvagwardji bħall-psewdonimizzazzjoni jew il-kriptaġġ. Sett ta' dejta ta' rekords mediċi jew finanzjarji ma jgħaddix mit-test fejn sett ta' dejta ta' logs operattivi anonimizzati jgħaddih.
Hemm sqaq wieħed, u huwa iktar dejqa milli ġeneralment jiġi preżunt li hu. L-ipproċessar ulterjuri għall-arkivjar fl-interess pubbliku, għal riċerka xjentifika jew storika jew għal skopijiet statistiċi huwa ttrattat bħala kompatibbli, sakemm ikunu fis-seħħ is-salvagwardji għall-ipproċessar tar-riċerka. L-iżvilupp ta’ mudell kummerċjali moħbi bħala riċerka ma jikkwalifikax; l-eċċezzjoni hija mmirata lejn riċerka ġenwina soġġetta għal standards metodoloġiċi u etiċi, mhux lejn it-titjib tal-prodott. Fejn it-test tal-kompatibbiltà ma jintlaħaqx, għandek bżonn bażi legali ġdida u, fil-biċċa l-kbira tal-każijiet, informazzjoni ġdida lin-nies ikkonċernati.
Il-konsegwenza prattika hija li l-limitazzjoni tal-iskop trid tiġi ttrattata fil-punt tal-ġbir. Dikjarazzjonijiet ta’ privatezza li jiddeskrivu l-iskopijiet f’termini wesgħin biżżejjed biex ikunu bla sens mhux se jiffrankaw taħriġ aktar tard, għaliex it-test iħares lejn dak li l-individwu jista’ raġonevolment jistenna, mhux lejn dak li l-abbozzar jippermetti teknikament. Il-gwida tagħna għall-kitba ta’ politika ta’ privatezza fl-Olanda tistabbilixxi kif tiddeskrivi l-iskopijiet b’mod li jkun kemm onest kif ukoll użabbli.
Minimizzazzjoni, żamma u preċiżjoni meta l-mudell irid kollox
Il-minimizzazzjoni tad-dejta teħtieġ li d-dejta personali tkun adegwata, rilevanti u limitata għal dak li hu neċessarju. Dak il-prinċipju huwa ġenwinament f'tensjoni ma' metodu ta' żvilupp li l-loġika tiegħu hija li aktar dejta tipproduċi mudell aħjar, u t-tensjoni ma tistax tiġi solvuta billi tiġi injorata. Dak li tista' tiġi solvuta huwa argument dokumentat: liema oqsma huma meħtieġa għall-iskop iddikjarat, x'ġie ttestjat mingħajrhom, u għaliex il-bqija twarrab. Kontrollur li jista' juri li l-analiżi għandu pożizzjoni difendibbli anke fejn is-sett tad-dejta huwa kbir. Kontrollur li żamm kollox għax il-ħażna hija rħisa le.
Il-limitazzjoni tal-ħażna tqajjem l-istess mistoqsija maż-żmien. Id-dejta tat-taħriġ, il-ħażniet tal-karatteristiċi, il-punti ta' kontroll tal-mudelli u l-logs tal-inferenza kollha jaqgħu taħt l-obbligu taż-żamma, u kull wieħed jeħtieġ il-perjodu tiegħu marbut ma' skop. Il-logs tal-inferenza spiss jintesew u spiss ikun fihom aktar dejta personali milli qatt kien fih is-sett tat-taħriġ.
L-eżattezza hija l-prinċipju li l-aktar spiss jiġi injorat f'dan il-kuntest, u għandha vantaġġ legali li faċli tintilef. Id-dejta personali trid tkun preċiża u, fejn meħtieġ, tinżamm aġġornata, u l-individwi għandhom id-dritt għal rettifika. Fejn mudell jipproduċi output dwar persuna identifikabbli, dak l-output innifsu huwa dejta personali. Inferenza li xi ħadd huwa riskju ta' kreditu ħażin, probabbli frodatur jew kandidat mhux adattat hija dejta dwarhom, tista' tkun mhux preċiża, u tista' tiġi kkontestata. Il-bini ta' sistema li fiha tali outputs ma jistgħux jiġu kkoreġuti joħloq problema ta' konformità li l-ebda ammont ta' dokumentazzjoni ma jista' jirranġa wara.
Meta valutazzjoni tal-impatt dwar il-protezzjoni tad-dejta tkun obbligatorja
Valutazzjoni tal-impatt fuq il-protezzjoni tad-dejta hija obbligatorja fejn tip ta’ pproċessar x’aktarx jirriżulta f’riskju għoli għad-drittijiet u l-libertajiet tal-individwi, u r-regolament isemmi tliet każijiet b’mod partikolari: evalwazzjoni sistematika u estensiva ta’ aspetti personali bbażata fuq ipproċessar awtomatizzat, inkluż it-tfassil ta’ profili, li fuqhom huma bbażati deċiżjonijiet b’effetti legali jew effetti sinifikanti simili; ipproċessar fuq skala kbira ta’ kategoriji speċjali ta’ dejta jew ta’ dejta ta’ kundanni kriminali; u monitoraġġ sistematiku ta’ żona aċċessibbli għall-pubbliku fuq skala kbira. Il-biċċa l-kbira tal-proġetti serji ta’ big data jaqgħu fl-ewwel jew fit-tieni kategorija.
L-Autoriteit Persoonsgegevens ippubblikat ukoll lista ta' operazzjonijiet ta' pproċessar li għalihom dejjem hija meħtieġa valutazzjoni fin-Netherlands, li tkopri oqsma bħall-profiling fuq skala kbira, l-evalwazzjoni sistematika tal-impjegati, pjattaformi tad-dejta dwar is-saħħa u l-użu ta' sistemi ta' kameras. Dik il-lista għandha tkun l-ewwel dokument ikkonsultat fil-bidu ta' proġett, għax tneħħi l-argument dwar jekk hijiex meħtieġa valutazzjoni.
Żewġ punti dwar iż-żmien huma deċiżivi. Il-valutazzjoni trid titwettaq qabel ma jibda l-ipproċessar, li fi proġett tal-IA jfisser qabel ma tinġabar id-dejta tat-taħriġ, mhux qabel l-iskjerament. U fejn il-valutazzjoni turi riskju residwu għoli li ma tistax ittaffi, trid tikkonsulta lill-awtorità superviżorja qabel ma tipproċedi. Li taqbeż dik il-konsultazzjoni hija fiha nnifisha ksur, irrispettivament minn jekk l-ipproċessar jirriżultax li hu legali.
Valutazzjoni utli għal sistema algoritmika tmur lil hinn mill-mudell standard. Din tirreġistra liema sorsi ta' dejta jitimgħu l-mudell u fuq liema bażi, x'jista' jiddeċiedi l-mudell waħdu u x'jiddeċiedi bniedem, kif l-output jiġi spjegat lill-persuna affettwata, kif id-dejta tat-taħriġ ġiet ittestjata għal preġudizzju kontra gruppi protetti, u x'jiġri jekk il-mudell ikun żbaljat. Dawn huma l-mistoqsijiet li regolatur jistaqsi l-ewwel.
Kif l-Autoriteit Persoonsgegevens tinforza dan
L-awtorità superviżorja Olandiża hija l-Autoriteit Persoonsgegevens, li tinforza l-GDPR flimkien mal-att ta' implimentazzjoni Olandiż, l-Uitvoeringswet AVG. Is-setgħat tagħha jvarjaw minn twissija u twiddiba sa ordni soġġetta għal ħlas ta' penali, projbizzjoni temporanja jew definittiva fuq l-ipproċessar u multa amministrattiva. Ir-regolament jistabbilixxi l-limiti massimi: sa għaxar miljun ewro jew żewġ fil-mija tal-fatturat annwali totali dinji għal-livell aktar baxx, u sa għoxrin miljun ewro jew erba' fil-mija għal ksur tal-prinċipji bażiċi, il-bażijiet legali, id-drittijiet tas-suġġetti tad-dejta u r-regoli dwar trasferimenti internazzjonali, skont liema ammont ikun l-ogħla.
Żewġ temi ta' infurzar huma viżibbli fil-prattika Olandiża u t-tnejn għandhom effett dirett fuq id-dejta kbira. L-ewwel waħda hija t-trasparenza: sehem sostanzjali tal-azzjoni reċenti tikkonċerna dikjarazzjonijiet ta' privatezza li ma jispjegawx b'lingwaġġ intelliġibbli liema dejta tintuża, għal liema skop u għal kemm żmien. Deskrizzjonijiet vagi tal-iskop huma trattati bħala ksur fihom infushom, mhux bħala difett fl-abbozzar. It-tieni waħda hija s-sorveljanza algoritmika. L-awtorità għandha unità ddedikata għas-superviżjoni tal-algoritmi u tippubblika rapporti perjodiċi dwar ir-riskji algoritmiċi, li ta' min jinqara bħala dikjarazzjoni ta' dak li tistenna qabel ma jsiru s-suġġett ta' investigazzjoni.
Flimkien mal-infurzar hemm id-dmir ta’ notifika ta’ ksur. Ksur ta’ dejta personali għandu jiġi rrappurtat lill-awtorità mingħajr dewmien żejjed u, fejn fattibbli, fi żmien tnejn u sebgħin siegħa minn meta jsiru konxji bih, sakemm il-ksur mhux probabbli li jirriżulta f’riskju għall-individwi; fejn ir-riskju għall-individwi huwa għoli, dawn għandhom jiġu infurmati wkoll. F’ambjent tal-IA l-valutazzjoni hija aktar diffiċli milli kienet, għaliex sett ta’ taħriġ jew maħżen ta’ karatteristiċi kompromess jaffettwa lil kull min għandu d-dejta tiegħu fih u l-konsegwenzi jestendu għal kull deċiżjoni li jkun ħa l-mudell. Innota li dan huwa obbligu separat mid-dmirijiet ta’ rappurtar ta’ inċidenti taħt is-Cyberbeveiligingswet, l-implimentazzjoni Olandiża tal-NIS2, li ilha tapplika mill-15 ta’ Awwissu 2026 u timponi l-iskadenzi ta’ notifika tagħha stess ta’ erbgħa u għoxrin u tnejn u sebgħin siegħa fuq entitajiet fl-ambitu tagħha. Il-ħarsa ġenerali tagħna lejn in- NIS2 u l-Att Olandiż dwar iċ-Ċibersigurtà tispjega kif iż-żewġ reġimi jinsabu ħdejn xulxin.
L-Att dwar l-IA ma jissostitwixxix il-GDPR
L-Att tal-UE dwar l-Intelliġenza Artifiċjali jirregola s-sistemi tal-IA bħala prodotti: jikklassifikahom skont ir-riskju u jimponi obbligi fuq il-fornituri u dawk li jimplimentawhom. Ma jipprovdix bażi legali għall-ipproċessar ta' dejta personali, u l-konformità miegħu ma tgħid xejn dwar il-konformità mal-GDPR. Fejn sistema tal-IA tipproċessa dejta personali, iż-żewġ reġimi japplikaw bis-sħiħ u b'mod parallel.
L-iskeda ta' żmien hija importanti għall-ippjanar. Il-projbizzjonijiet fuq prattiki inaċċettabbli, l-obbligi għal mudelli tal-IA għal skopijiet ġenerali u d-dmirijiet ta' trasparenza għal sistemi li jinteraġixxu man-nies jew jiġġeneraw kontenut sintetiku diġà huma fis-seħħ. Ir-reġim ta' riskju għoli ġie pospost mill-pakkett omnibus diġitali: l-obbligi għal sistemi ta' riskju għoli elenkati fl-Anness III issa japplikaw mit-2 ta' Diċembru 2027, u dawk għal sistemi li huma komponenti ta' sikurezza ta' prodotti regolati taħt l-Anness I mit-2 ta' Awwissu 2028. Il-proposta separata għal Direttiva dwar ir-Responsabbiltà tal-IA ġiet irtirata, għalhekk ir-responsabbiltà għal danni kkawżati minn sistema tal-IA tkompli tkun irregolata mir-regoli Olandiżi ordinarji dwar kuntratti u torti u mir-reġim Ewropew ta' responsabbiltà għall-prodott.
Għal organizzazzjoni mmexxija mid-dejta, il-konsegwenza prattika hija li l-analiżi tal-GDPR tibqa' r-restrizzjoni vinkolanti llum, filwaqt li l-Att dwar l-IA jiddetermina liema dokumentazzjoni, ittestjar u sorveljanza umana se teħtieġ l-istess sistema qabel tmiem id-deċennju. Il-bini taż-żewġ eżerċizzji separatament jidduplika x-xogħol; il-bini tagħhom flimkien le. Il-gwidi tagħna għall- Att dwar l-IA tal-UE u għas -sistemi tal-IA ta' riskju għoli jistabbilixxu l-klassifikazzjoni u l-obbligi fid-dettall.
Talbiet u danni tal-grupp: in-naħa ċivili tar-riskju
Il-multi regolatorji mhumiex l-unika espożizzjoni, u fl-Olanda jistgħu ma jkunux l-akbar. Il-Wet afwikkeling massaschade in collectieve actie (WAMCA) tippermetti lil fondazzjoni jew assoċjazzjoni li tissodisfa rekwiżiti stretti ta’ governanza u finanzjament biex tressaq azzjoni kollettiva għal danni f’isem grupp definit, b’reġim ta’ għażla għal persuni domiċiljati fl-Olanda. L-ipproċessar immexxi mid-dejta huwa mira ovvja: deċiżjoni waħda ta’ disinn taffettwa lil kull utent bl-istess mod, li hija preċiżament l-omoġeneità li teħtieġ azzjoni kollettiva.
Il-GDPR isaħħaħ dan min-naħa tiegħu stess. Jagħti lil kull min ikun sofra dannu materjali jew mhux materjali bħala riżultat ta’ ksur id-dritt għal kumpens mill-kontrollur jew mill-proċessur, u jippermetti lil korp mingħajr skop ta’ qligħ attiv fil-qasam tal-protezzjoni tad-dejta li jressaq proċedimenti f’isem is-suġġetti tad-dejta, f’xi każijiet mingħajr mandat mingħandhom. Il-Qorti tal-Ġustizzja kkonfermat li assoċjazzjoni għall-protezzjoni tal-konsumatur tista’ taġixxi fuq dik il-bażi.
Hemm limitu, u huwa limitu utli għall-konvenuti. Il-Qorti tal-Ġustizzja ddeċidiet li ksur tal-GDPR fih innifsu ma jagħtix lok għal dritt għal kumpens: ir-rikorrent irid juri dannu attwali u rabta kawżali, għalkemm l-ebda limitu ta’ serjetà ma japplika għal dannu mhux materjali ladarba jiġi stabbilit. Għalhekk, l-għotjiet individwali fil-prattika Olandiża kienu modesti, iżda l-aritmetika ta’ klassi ta’ mijiet ta’ eluf tbiddel l-istampa għalkollox. L-artiklu tagħna dwar talbiet kollettivi f’każ ta’ dannu tal-massa jiddeskrivi kif jimxu dawn il-proċedimenti.
Min hu l-kontrollur meta d-dejta tiġi minn kullimkien
Proġetti ta' dejta kbira rarament jibqgħu ġewwa organizzazzjoni waħda. Id-dejta tiġi arrikkita minn sensar, ospitata minn fornitur tal-cloud, imnaddfa minn aġenzija tal-analitika u mdaħħla f'mudell fornut minn bejjiegħ, u kull waħda minn dawk ir-relazzjonijiet trid tiġi kkaratterizzata b'mod korrett, għaliex l-allokazzjoni tar-rwoli tiddetermina min iġorr liema obbligu u min iwieġeb lir-regolatur.
Kontrollur jiddetermina l-għanijiet u l-mezzi tal-ipproċessar; proċessur jaġixxi biss fuq l-istruzzjonijiet dokumentati tal-kontrollur. Fejn żewġ partijiet jew aktar jiddeterminaw b'mod konġunt l-għanijiet u l-mezzi, huma kontrolluri konġunti u jridu jistabbilixxu r-responsabbiltajiet rispettivi tagħhom f'arranġament, b'mod partikolari għall-għoti ta' informazzjoni u għall-immaniġġjar ta' talbiet minn individwi, li jistgħu fi kwalunkwe każ jeżerċitaw id-drittijiet tagħhom kontra kwalunkwe wieħed minnhom. It-tikketta użata fil-kuntratt mhijiex deċiżiva: dak li jgħodd huwa min fil-fatt jiddeċiedi għaliex u kif tiġi pproċessata d-dejta. Fornitur li jirriżerva d-dritt li juża d-dejta tiegħek biex itejjeb il-prodott tiegħu stess, sa dak il-punt, sar kontrollur għall-għanijiet tiegħu stess, ikun xi jkun kif isejjaħlu l-ftehim.
Żewġ klawżoli fil-kuntratti tal-fornituri jistħoqqilhom attenzjoni partikolari f'kuntest tal-IA. L-ewwel waħda hija dik li tippermetti lill-fornitur juża kontenut tal-klijent għat-taħriġ jew għat-titjib tas-servizz; jekk tkun preżenti, qed tiżvela dejta personali lil kontrollur ieħor u għandek bżonn bażi u avviż għal dak l-iżvelar. It-tieni hija l-klawżola tas-sottoproċessur, għaliex il-fornituri tal-mudelli ta' spiss jiddependu fuq fornituri ulterjuri u fuq infrastruttura barra ż-Żona Ekonomika Ewropea, u dan idaħħal fis-seħħ ir-regoli tat-trasferiment. Ftehim ta' pproċessar li jkopri s-suġġett meħtieġ iżda ma jiddeskrivix x'jiġri fil-fatt mid-dejta huwa ta' ftit użu f'investigazzjoni.
Fl-aħħar nett, ftakar li l-prinċipju tar-responsabbiltà jpoġġi l-piż tal-prova fuq il-kontrollur. Mhux biżżejjed li tkun konformi; trid tkun tista' turih, b'rekords, valutazzjonijiet u ftehimiet li jaqblu mas-sistemi kif fil-fatt huma mibnija.
X'għandu jiġi implimentat qabel ma jibda l-proġett li jmiss
Il-konformità għad-dejta kbira tinbena fl-istadju tad-disinn, għaliex ir-regolament jirrikjedi protezzjoni tad-dejta bid-disinn u awtomatikament: miżuri tekniċi u organizzattivi xierqa jridu jiġu integrati fl-ipproċessar innifsu, u d-dejta personali meħtieġa għal kull skop speċifiku biss tista' tiġi pproċessata awtomatikament. Ir-retrofitting huwa għali u ġeneralment mhux komplut.
Ħames affarijiet jagħmlu d-differenza fil-prattika. Żomm rekord tal-attivitajiet tal-ipproċessar li fil-fatt jiddeskrivi l-flussi tad-dejta wara kull mudell aktar milli d-dipartimenti li jippossjeduhom. Iddeċiedi u niżżel bil-miktub il-bażi legali għal kull operazzjoni ta' pproċessar, inkluż l-ipproċessar ulterjuri involut fit-taħriġ, u żomm il-valutazzjoni tal-interessi leġittimi magħha. Wettaq il-valutazzjoni tal-impatt qabel ma tinġabar id-dejta, u kkonsulta mal-awtorità superviżorja fejn ir-riskju residwu jibqa' għoli. Poġġi ftehim dwar l-ipproċessar tad-dejta fis-seħħ ma' kull fornitur li jmiss id-dejta, inklużi l-fornituri tal-mudell jew il-pjattaforma, u ċċekkja x'huma permessi jagħmlu bid-dejta tiegħek għall-finijiet tagħhom stess; ir-rekwiżiti huma stipulati fil-gwida tagħna għall- ftehim dwar l-ipproċessar tad-dejta . U ċċekkja fejn tmur id-dejta: trasferimenti barra ż-Żona Ekonomika Ewropea jeħtieġu mekkaniżmu ta' trasferiment skont il-Kapitolu V tar-regolament u valutazzjoni tal-impatt tat-trasferiment, u l-pożizzjoni ta' pajjiżi terzi individwali tista' tinbidel.
Fuq kollox, ħalli lin-nies li jibnu l-mudelli u lin-nies li jivvalutaw ir-riskju jaħdmu fuq l-istess dokument. Il-pedamenti tar-regolament innifsu huma miġbura fil-qosor fil-ħarsa ġenerali tagħna tar- Regolament Ġenerali dwar il-Protezzjoni tad-Data , u l-mistoqsijiet speċifiċi mqajma mit-tqegħid ta’ data personali f’sistema tal-IA, mit-teħid awtomatizzat tad-deċiżjonijiet sad-drittijiet tal-persuni affettwati, huma ttrattati fl-artiklu akkumpanjanti tagħna dwar il-GDPR u l-IA fl-Olanda.
Ftit mistoqsijiet komuni
Liema bażi legali għandna nużaw għat-taħriġ ta' mudell tal-IA
F'ħafna ambjenti kummerċjali t-tweġiba hija interessi leġittimi, appoġġjati minn valutazzjoni bil-miktub li tkopri l-interess, il-ħtieġa u l-eżerċizzju ta' bilanċjar. Il-kunsens huwa preferibbli fejn id-dejta hija sensittiva jew l-użu jissorprendi lill-persuni kkonċernati, iżda jrid ikun ġenwinament liberu u revokabbli, li huwa diffiċli li jiġi organizzat għal sett ta' taħriġ. Il-ħtieġa għal kuntratt kważi qatt ma tkopri l-iżvilupp tal-mudell, għaliex it-taħriġ mhuwiex dak li talab il-klijent. Tkun xi tkun ir-raġuni li tagħżel, irreġistraha qabel ma jibda l-ipproċessar: l-għażla ta' bażi b'mod retrospettiv tiġi trattata bħala li m'hemm l-ebda bażi.
Il-GDPR għadu japplika jekk l-ewwel nanonimizzaw id-dejta?
Biss jekk l-anonimizzazzjoni taħdem ġenwinament. Id-dejta tkun anonima meta l-identifikazzjoni mill-ġdid ma tibqax raġonevolment possibbli għal ħadd, filwaqt li jitqiesu l-mezzi kollha li x'aktarx jintużaw u settijiet ta' dejta oħra li jistgħu jiġu kkombinati magħha. It-tneħħija ta' ismijiet, is-sostituzzjoni ta' identifikaturi b'hashes jew l-aggregazzjoni fi gruppi żgħar ġeneralment ma tilħaqx dak l-istandard, u r-riżultat huwa dejta psewdonimizzata, li tibqa' soġġetta għar-regolament bis-sħiħ. Fejn l-anonimizzazzjoni hija l-bażi biex proġett jiġi ttrattat bħala barra mill-ambitu, dik il-konklużjoni trid tiġi ttestjata u dokumentata, u riveduta kull meta jinbidel is-sett ta' dejta.
Nistgħu niddependu fuq l-eċċezzjoni tar-riċerka biex nerġgħu nużaw id-dejta tal-klijenti?
Rarament. L-ipproċessar ulterjuri għal skopijiet xjentifiċi jew statistiċi huwa ttrattat bħala kompatibbli mal-iskop oriġinali, iżda l-eċċezzjoni hija mmirata lejn riċerka mwettqa skont standards metodoloġiċi rikonoxxuti u soġġetta għal salvagwardji bħal psewdonimizzazzjoni u restrizzjonijiet fuq l-aċċess. L-iżvilupp tal-prodott jew it-titjib tal-mudell imwettaq minn parti kummerċjali għall-benefiċċju tagħha stess ma jsirx riċerka għax jinvolvi x-xjenza tad-dejta. Jekk it-test tal-kompatibbiltà ma jintlaħaqx fuq il-merti tiegħu stess, għandek bżonn bażi legali ġdida u, fil-biċċa l-kbira tal-każijiet, informazzjoni ġdida lill-individwi kkonċernati.
X'jiġri jekk xi ħadd jirtira l-kunsens tiegħu wara li mudell ikun ġie mħarreġ
L-irtirar jidħol fis-seħħ għall-futur u ma jagħmilx l-ipproċessar preċedenti illegali b'mod retrospettiv, iżda jfisser li d-dejta ma tistax tintuża aktar fuq dik il-bażi. Fil-prattika, dan jirrikjedi l-abbiltà li l-individwu jitneħħa mis-sett tat-taħriġ u mill-ħażniet u l-logs tal-karatteristiċi, u li jiġi mħarreġ mill-ġdid jew inkella jiġi żgurat li l-mudell ma jibqax jirrifletti d-dejta ta' dik il-persuna fejn jista' jintwera li jagħmel dan. Din hija waħda mir-raġunijiet għaliex il-kunsens huwa bażi diffiċli għat-taħriġ tal-mudell, u hija mistoqsija li ta' min iwieġebha fil-fażi tad-disinn aktar milli wara li tasal l-ewwel talba.
Kif Law and More jistgħu jgħinu
Law and More Jagħti pariri lil organizzazzjonijiet Olandiżi u internazzjonali dwar in-naħa tal-protezzjoni tad-dejta tal-analitika u l-IA: l-għażla u d-dokumentazzjoni ta' bażi legali, it-twettiq ta' valutazzjonijiet tal-interessi leġittimi u valutazzjonijiet tal-impatt, l-abbozzar ta' dikjarazzjonijiet ta' privatezza u ftehimiet ta' pproċessar li jgħaddu minn skrutinju, it-tweġiba lill-Autoriteit Persoonsgegevens, u d-difiża ta' talbiet imressqa minn individwi jew minn fondazzjonijiet rappreżentattivi. Jekk qed tippjana proġett immexxi mid-dejta jew regolatur diġà kkuntattjana, aħna kuntenti li nħarsu lejn il-fajl miegħek.
