A hét alapelv (5. cikk)
A GDPR 5. cikke rögzíti azokat az elveket, amelyeknek minden adatkezelésnek meg kell felelnie, függetlenül attól, milyen jogalapon történik. Az 5. cikk (1) bekezdése hat anyagi alapelvet sorol fel az a) f) pontokban, a (2) bekezdés pedig egy hetediket teszi hozzá, ez az elszámoltathatóság elve. Ez azt jelenti, hogy nem elég betartani az elveket, az adatkezelőnek azt is igazolnia kell tudnia, hogy betartja őket.
- Jogszerűség, tisztesség, átláthatóság5. cikk (1) a). Kell hozzá érvényes jogalap, és az érintett világos tájékoztatást kap az adatkezelésről.
- Célhoz kötöttség5. cikk (1) b). Az adatot meghatározott, egyértelmű, jogszerű célból kell gyűjteni, más célra alapból nem használható.
- Adattakarékosság5. cikk (1) c). Csak annyi adat gyűjthető, amennyi a célhoz feltétlenül szükséges.
- Pontosság5. cikk (1) d). Az adatnak pontosnak, szükség esetén naprakésznek kell lennie, a pontatlan adatot törölni vagy helyesbíteni kell.
- Korlátozott tárolhatóság5. cikk (1) e). Az adat csak addig tárolható azonosítható formában, amíg a cél eléréséhez szükséges.
- Integritás és bizalmas jelleg5. cikk (1) f). Megfelelő technikai és szervezési intézkedésekkel biztosítani kell az adat biztonságát.
- Elszámoltathatóság5. cikk (2). Az adatkezelő felelős a fenti hat elvnek való megfelelésért, és képesnek kell lennie ezt igazolni.
Az elszámoltathatóság a hetedik alapelv. Az 5. cikk (2) bekezdése szerint nem elég betartani a szabályokat, dokumentálni és bizonyítani is kell tudni, hogy az adatkezelés megfelel az 5. cikk (1) bekezdésének. Egy AI projektnél ez konkrétan azt jelenti, hogy legyen írásos nyilvántartás arról, milyen adatot, milyen jogalapon, milyen célra használ a rendszer.
A hat jogalap (6. cikk)
Az alapelvek betartása önmagában nem elég, minden adatkezeléshez kell egy jogalap is. A GDPR 6. cikk (1) bekezdése hat lehetséges jogalapot sorol fel az a) f) pontokban. Elegendő, ha ezek közül egy teljesül, nem kell mindegyiket megalapozni. A gyakorlatban a legtöbb vállalati adatkezelés a szerződés vagy a jogos érdek jogalapra épül, a hozzájárulás pedig ott jellemző, ahol nincs más jogalap, például marketing megkeresésnél.
6. cikk (1) a) c)
- a) Hozzájárulás
- b) Szerződés teljesítése
- c) Jogi kötelezettség teljesítése
6. cikk (1) d) f)
- d) Létfontosságú érdek védelme
- e) Közérdek vagy közhatalmi jogosítvány
- f) Jogos érdek
Elég egyetlen jogalap megléte. A 6. cikk (1) bekezdése szerint az adatkezelés akkor jogszerű, ha a hat jogalap közül legalább az egyik teljesül. Fontos kivétel: a jogos érdek (f) pont) nem alkalmazható, ha az adatkezelést közhatalmi szerv végzi a feladatai ellátása során, ott a közérdek vagy közhatalmi jogosítvány (e) pont) jogalapot kell keresni.
Jogalap egy AI rendszernél
Egy AI rendszer betanítása vagy futtatása is adatkezelés, ha személyes adatot érint, tehát ennek is kell egy jogalap a 6. cikk szerint. A tipikus helyzetek eltérő jogalapot kívánnak. Ha egy vállalat a saját ügyféladatait elemzi egy AI rendszerrel, hogy jobb ajánlatot adjon vagy kiszolgálja a szerződéses kötelezettségét, ez jellemzően a szerződés (b) pont) vagy a jogos érdek (f) pont) jogalapra épül. Ha viszont az AI rendszert marketing célú megkeresésre használják, ott jellemzően hozzájárulás (a) pont) szükséges, mert a direkt marketing nem tartozik automatikusan a jogos érdek körébe.
Az Európai Adatvédelmi Testület (EDPB) 28/2024. számú véleménye külön foglalkozik azzal, hogy a jogos érdek mennyiben lehet jogalap AI modellek fejlesztésénél és üzembe helyezésénél, és hangsúlyozza, hogy ezt esetről esetre kell megítélni. Ez az oktatási anyag nem jogi tanácsadás, egy konkrét AI projekt jogalapjának meghatározásához érdemes jogi szakértőt bevonni.
Workshop
AI Transformation Day
Egésznapos, vezetőknek szóló program. Feltérképezzük, hol tart a szervezet, mi az első reális lépés, és milyen belső feltételek szükségesek a sikerhez. A nap végén konkrét, prioritizált cselekvési lista.
Érdekel a program →