Egy fejezet, kilenc jog
A GDPR III. fejezete, "Az érintett jogai" címmel, a 12-23. cikkeket tartalmazza. Ez a fejezet mondja ki, hogy az adatkezelőnek tömör, átlátható, érthető és könnyen hozzáférhető, világos és közérthető nyelven kell tájékoztatnia az érintettet, és hogy a kérelmére legkésőbb egy hónapon belül választ kell adnia (12. cikk). Erre a keretre épül rá a hozzáférés, a helyesbítés, a törlés, a korlátozás, az adathordozhatóság, a tiltakozás és az automatizált döntéshozatallal szembeni jog, valamint a 19. cikk szerinti értesítési kötelezettség.
- 12. cikk, átlátható tájékoztatásTömör, átlátható, érthető, könnyen hozzáférhető nyelven, legkésőbb egy hónapon belüli válasszal.
- 15. cikk, hozzáférésVisszaigazolás és másolat a kezelt adatokról, AI esetén az automatizált döntéshozatal logikájáról is.
- 16. cikk, helyesbítésA pontatlan vagy hiányos személyes adatok kijavítása, kiegészítése.
- 17. cikk, törlésAz elfeledtetéshez való jog, meghatározott feltételek teljesülése esetén.
- 18. cikk, korlátozásAz adatkezelés felfüggesztése törlés helyett, például vitatott pontosság esetén.
- 19. cikk, értesítésA címzettek tájékoztatása minden helyesbítésről, törlésről vagy korlátozásról.
- 20. cikk, adathordozhatóságTagolt, széles körben használt, géppel olvasható formátumú adatmásolat.
- 21. cikk, tiltakozásKözvetlen üzletszerzés esetén feltétlen jog az adatkezelés leállítására.
- 22. cikk, automatizált döntéshozatalVédelem a kizárólag automatizált, jelentős hatású döntésekkel szemben.
A hozzáférési jog AI-specifikus rétege
A 15. cikk alapján az érintett visszaigazolást kérhet arról, hogy kezelik-e az adatait, és ha igen, másolatot kaphat róluk, a kezelés céljával, az érintett adatkategóriákkal és a címzettekkel együtt. Egy AI rendszert használó adatkezelőnél különösen fontos a 15. cikk (1) bekezdés h) pontja, amely kifejezetten kiterjed az automatizált döntéshozatal létéről és az alkalmazott logikáról, valamint a döntés várható következményeiről szóló tájékoztatásra.
Az automatizált döntéshozatal logikájáról is tájékoztatni kell az érintettet, nemcsak arról, hogy kezelik-e az adatait. AI alapú hitelbírálatnál vagy önéletrajz-szűrésnél ez a pont adja a hozzáférési jog valódi tétjét.
A 19. cikk, amit könnyű összekeverni a 17. cikkel
A törléshez, közismert nevén az elfeledtetéshez való jogot a 17. cikk biztosítja, és a 17. cikk (1) bekezdése sorolja fel, milyen esetekben kérhető a törlés. Azt viszont, hogy az adatkezelőnek a címzetteket is értesítenie kell a történtekről, nem a 17. cikk, hanem a 19. cikk mondja ki. A 19. cikk szerint az adatkezelő tájékoztatja a címzetteket minden helyesbítésről, törlésről (17. cikk (1) bekezdés) vagy korlátozásról, kivéve ha ez lehetetlen vagy aránytalan erőfeszítést igényel.
Adathordozhatóság és tiltakozás
A 20. cikk szerint az érintett a saját maga által megadott adatait tagolt, széles körben használt, géppel olvasható formátumban kérheti, és jogosult ezeket egy másik adatkezelőnek is továbbítani. A 21. cikk alapján az érintett bármikor tiltakozhat a jogos érdeken vagy közérdekű feladaton alapuló adatkezelés ellen, közvetlen üzletszerzés esetén pedig a tiltakozás feltétlen jog, az adatkezelő ilyenkor nem folytathatja tovább az adatkezelést erre a célra.
Adathordozhatóság (20. cikk)
- Csak az érintett által megadott adatra vonatkozik
- Tagolt, géppel olvasható formátum
- Másik adatkezelőhöz továbbítható
Tiltakozás (21. cikk)
- Jogos érdeken vagy közérdeken alapuló kezelés ellen
- Közvetlen üzletszerzésnél feltétlen jog
- Sikeres tiltakozás után a kezelés leáll
A 22. cikk, ahol az AI a legérzékenyebb pontra ér
A 22. cikk (1) bekezdése főszabályként megtiltja, hogy az érintettre kizárólag automatizált adatkezelésen, ideértve a profilalkotást is, alapuló olyan döntés vonatkozzon, amely rá nézve joghatással jár, vagy őt hasonlóan jelentős mértékben érinti. Ez a rendelkezés az AI rendszereknél kulcsfontosságú, tipikus példa erre a hitelbírálat vagy az önéletrajz-szűrés automatizálása. A 22. cikk (2) bekezdése három esetben enged kivételt, szerződés megkötése vagy teljesítése, uniós vagy tagállami jog felhatalmazása, illetve az érintett kifejezett hozzájárulása esetén, de ilyenkor az adatkezelőnek garanciákat kell biztosítania, legalább az emberi beavatkozáshoz, a saját álláspont kifejtéséhez és a döntés megtámadásához való jogot.
A sávok azt szemléltetik, mennyire szigorú az adott cikk által megkövetelt garancia szintje, nem konkrét jogi mértéket fejeznek ki.
Workshop
AI Transformation Day
Egésznapos, vezetőknek szóló program. Feltérképezzük, hol tart a szervezet, mi az első reális lépés, és milyen belső feltételek szükségesek a sikerhez. A nap végén konkrét, prioritizált cselekvési lista.
Érdekel a program →