Gdy zadanie przechodzi z człowieka na system, zmienia się często nie tylko to, kto wykonuje pracę, ale także sposób przetwarzania danych osobowych. Pracownik, który ocenia zapytanie klienta, odczytuje dane, waży je i podejmuje decyzję. System, który przejmuje to samo zadanie, przetwarza te dane w inny sposób: w sposób ustrukturyzowany, powtarzalny, czasem z przechowywaniem lub przekazywaniem, których wcześniej nie było. RODO patrzy na przetwarzanie, nie na to, czy zadanie 'brzmi' jak zautomatyzowane. To sprawia, że automatyzacja jest w swej istocie zdarzeniem z zakresu prawa ochrony danych, nawet jeśli dla klienta wynik wydaje się taki sam.
Dzieje się to na każdym poziomie automatyzacji, od prostego skryptu do systemu AI, który samodzielnie wyciąga wnioski. Przy ocenie przydatności zadania do przejęcia przez AI należy więc również zadać pytanie, jakie dane są w to zaangażowane i czy ich przetwarzanie wciąż wpisuje się w cel, dla którego dane te zostały pierwotnie zebrane. Jak oceniamy zadanie z tego powodu poświęca uwagę charakterowi przetwarzania danych, obok pytania, czy zadanie jest merytorycznie odpowiednie do przekazania systemowi.
Przy automatyzacji zadania zwykle przesuwają się trzy elementy:
Żadna z tych zmian nie jest z definicji problemem. Są one jednak momentem, w którym warto ponownie przyjrzeć się przetwarzaniu, a nie zakładać, że istniejąca podstawa prawna automatycznie przechodzi na nowy sposób pracy.
Każde przetwarzanie danych osobowych wymaga podstawy prawnej, na przykład zgody, umowy, obowiązku prawnego lub prawnie uzasadnionego interesu. Ta podstawa jest powiązana z przetwarzaniem takim, jakie zostało wówczas ukształtowane i ocenione. Jeśli przetwarzanie zmienia się w istotny sposób, pierwotna podstawa może nie być już wystarczająca.
Dzieje się to częściej, niż mogłoby się wydawać. Prawnie uzasadniony interes, który został wyważony dla przetwarzania ręcznego, nie utrzymuje się automatycznie, jeśli wolumen, szybkość lub zakres przetwarzania znacznie wzrastają wskutek automatyzacji. Zgoda, o którą poproszono w jednym konkretnym celu, nie obejmuje drugiego celu, który pojawia się wraz z zastosowaniem AI. A w przypadku automatycznego podejmowania decyzji ze skutkami prawnymi dla osób, których dane dotyczą, obowiązują dodatkowe warunki, niezależnie od pytania, jaka podstawa prawna ma dalej zastosowanie.
Czy zadanie znajduje się w kategorii pierwszej, drugiej czy trzeciej — AI może je przejąć, AI może je częściowo wykonywać pod nadzorem, albo pozostaje pracą ludzką — to jeszcze nic nie mówi o tym, czy leżące u podstaw przetwarzanie danych jest zabezpieczone. To dwie odrębne oceny, które są jednak ze sobą powiązane: zadanie, które pozostaje w kategorii drugiej lub trzeciej z powodu ryzyk związanych z danymi, robi to często właśnie dlatego, że podstawa prawna lub wpływ na osoby, których dane dotyczą, nie zostały jeszcze zbadane.
Samo RODO, wyjaśnienia organu nadzorczego do spraw ochrony danych osobowych oraz wytyczne europejskich organów nadzorczych do spraw prywatności to miejsca, w których znajdują się aktualne wymogi, w tym ewentualne szczególne przepisy dotyczące zastosowań AI, które mogą się zmienić po opublikowaniu tej strony. Celowo nie podajemy tutaj numerów artykułów ani terminów: mogą się one zmieniać i należą do tekstu źródłowego, a nie do przeglądu, który w momencie, gdy Państwo go czytają, może już nie być aktualny.
Ta strona opisuje mechanizm, a nie porady dostosowane do konkretnej sytuacji. Czy konkretna automatyzacja wymaga nowej podstawy prawnej, uzasadnia DPIA lub dotyczy automatycznego podejmowania decyzji, to pytanie prawne, na które należy odpowiedzieć indywidualnie dla danej sytuacji, zwykle z udziałem prawnika lub inspektora ochrony danych.
Jeśli automatyzacja dotyka zadania wykonywanego przez wiele osób, kwestia ochrony danych zwykle nie jest jedyną istotną kwestią. W obraz może wejść również współdecydowanie pracownicze: kiedy sprawa dotyczy rady zakładowej wyjaśnia, w jakich przypadkach wymagana jest zgoda lub opinia rady zakładowej przy zmianie procesów pracy. Oba procesy — ocena z zakresu ochrony danych i współdecydowanie pracownicze — przebiegają równolegle i nie zastępują się wzajemnie.
Ta strona opisuje, co zmienia się w przetwarzaniu danych na gruncie RODO w przypadku automatyzacji; nie odpowiada na pytanie, czy Państwa własne zadania są prawnie zabezpieczone lub odpowiednie do przekazania AI. Aby uzyskać pierwszą, niewiążącą wskazówkę, jaka część godzin w Państwa profilu może dziś zostać przejęta przez AI, można wypełnić bezpłatny quickscan ftetoai: dwanaście pytań, bez konta. Skan dotyczy treści zadania, nie przetwarzania danych wokół niego — ta ocena wciąż wymaga odrębnego przeprowadzenia. Pełny werkscan, który wchodzi głębiej w poszczególne procesy, jest jeszcze w budowie.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.