Svetovanje pri uporabi UI

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis glede pomislekov v zvezi z zagotavljanjem skladnosti s Splošno uredbo o varstvu osebnih podatkov pri vključevanju različnih modelov UI v vaše delovne procese.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

1. Vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – mora izpolnjevati vsa pravila varstva osebnih podatkov.

2. Večina komercialno dostopnih orodij UI je trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

3. V primeru, da se osebni podatki prenašajo v tretje države (zunaj EU ali EGP), je za to potrebna ločena pravna podlaga.

O b r a z l o ž i t e v :

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

V življenjskem ciklu sistema UI lahko poteka ena ali več obdelav osebnih podatkov (na primer v fazi učenja modela UI, testiranja in kasnejše uporabe sistema UI). IP opozarja, da mora vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – izpolnjevati vsa pravila varstva osebnih podatkov. Temeljiti mora na zakoniti pravni podlagi, zagotovljene morajo biti pravice posameznikov, spoštovana temeljna načela in zagotovljena ustrezna varnost podatkov. Če so izpolnjeni vsi pogoji, potem je lahko vnos dopusten. Kljub temu pa pri tem IP izpostavlja, da je večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo. V zvezi s tem IP vnovič poudarja, da ne more podati ocene o zakonitosti in primernosti obdelave osebnih podatkov pri izbranem sistemu UI oziroma posameznem paketu ponudnikov sistemov UI izven konkretnega nadzornega ali drugega upravnega postopka. 

IP dalje opozarja tudi na specifična tveganja pri uporabi orodij UI, na primer na možnost, da se bo izbrani sistem UI nadalje učil na podatkih, ki jih je zajel pri vnosu. Pri tem sta lahko vprašljiva predvsem pravna podlaga ter obseg spoštovanja načela omejitve namena. Če se bo sistem UI lahko učil na zbranih podatkih, se zastavlja tudi vprašanje hrambe osebnih podatkov ter možnosti dostopa nepooblaščenih oseb do le-teh. Nenazadnje se pri uporabi tujih komercialnih orodij UI zastavlja tudi vprašanje, ali se osebni podatki prenašajo v tretje države (zunaj EU ali EGP), za kar je potrebna ločena pravna podlaga. 

Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi ali mednarodni organizaciji morata biti izpolnjena dva pogoja, in sicer:

1. Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v 6. ter 9. členu Splošne uredbe. Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v 28. členu Splošne uredbe.

2. Ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov upravljavcu ali pogodbenemu obdelovalcu v tretji državi ali mednarodni organizaciji dopustno pod pogoji, ki jih ureja V. poglavje Splošne uredbe. Prenos osebnih podatkov v tretjo državo se med drugim lahko izvede, če Evropska komisija izda odločbo, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov.

Trenutno ima večina podjetij, ki na trgu ponujajo komercialno dostopna orodja UI, sedež v ZDA. Prenosi osebnih podatkov v ZDA potekajo na podlagi izvedbenega sklepa Komisije (EU) 2023/1795 z dne 10. julija 2023 v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta o ustreznem varstvu osebnih podatkov na podlagi okvira za varstvo zasebnosti podatkov med EU in ZDA. Iz sklepa izhaja, da ZDA zagotavljajo ustrezno raven varstva za tiste osebne podatke, ki se iz EU prenašajo v ameriška podjetja v skladu z novim okvirjem za varstvo zasebnosti podatkov.

Okvir za varstvo zasebnosti podatkov med EU in ZDA je mehanizem samocertificiranja podjetij iz ZDA. Podjetja, ki so se samocertificirala v sklopu okvira za varstvo zasebnosti podatkov, morajo upoštevati njegova načela, pravila in obveznosti v zvezi z obdelavo podatkov posameznikov iz EGP. 

Več o tem, kako je urejen prenos osebnih podatkov v tretje države, si lahko preberete v smernicah IP, ki so dostopne na spodnji povezavi:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.6.pdf 

V zvezi z zapisanim IP pojasnjuje, da je v skladom z načelom odgovornosti naloga upravljavca, da izkaže ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov. 

IP je na svoji spletni strani objavil seznam pogostih vprašanj in odgovorov glede prepleta varstva osebnih podatkov in uporabe sistemov umetne inteligence. Besedilo je dostopno na spodnji povezavi:

https://www.ip-rs.si/varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/umetna-inteligenca-in-varstvo-osebnih-podatkov 

Ob tem še dodajamo, da se lahko za vsa nadaljnja vprašanja v zvezi z varstvom osebnih podatkov na področju umetne inteligence obrnete neposredno na Informacijskega pooblaščenca.

V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo, 

dr. Jelena Virant Burnik

Informacijska pooblaščenka