Retsgrundlag, pligt til at informere og udtrykkeligt samtykke

Gevinster:

• At skelne mellem seks juridiske grundlag for databehandling med AI og vælge det rigtige
• Evaluering af betingelserne for udtrykkeligt samtykke og ulemperne ved at stole på samtykke
• Udarbejdelse af en hvidbog, der dækker brugen af kunstig intelligens

I den forrige enhed sagde vi: "Indtastning af data i AI er en behandling og kræver et gyldigt juridisk grundlag." Så hvad er dette retsgrundlag, og hvordan vælges det? Den mest almindelige fejl, compliance officers begår, er at forsøge at løse alt med "eksplicit samtykke". Samtykke er dog ofte det svageste og mest skrøbelige grundlag. I denne enhed lærer vi det juridiske grundlag, der tilbydes af KVKK, at vælge det rigtige blandt dem, forpligtelsen til at informere og det rigtige sted for eksplicit samtykke i forbindelse med AI-brug.

Hvad er retsgrundlaget?

Retsgrundlag (betingelse for behandling) er den begrundelse, der gør behandling af personoplysninger lovlig. Ifølge KVKK behandles personoplysninger som udgangspunkt med udtrykkeligt samtykke; Loven opregner dog seks undtagelser, hvortil der ikke kræves udtrykkeligt samtykke. En transaktion skal ligge på mindst én af disse baser. Behandling uden begrundelse er ulovlig.

Retsgrundlag

kort

Eksempel på brug af AI

Ikke klart fastsat i loven

Hvis lovgivningen kræver det

Registrering, der er lovpligtig at opbevare

Udførelse af kontrakten

Hvis det er obligatorisk for kontrakten

Udarbejdelse af ordreoversigten til kunden med AI

juridisk forpligtelse

For institutionens juridiske pligt

Udarbejdelse af skatte-/revisionsoptegnelser

offentliggørelse

Hvis personen selv har offentliggjort dataene

At analysere ens offentlige forfatterskab

legitim interesse

Uden at skade den pågældende

Temaanalyse af klagetekster med AI

Etablering/beskyttelse af en rettighed

Til retssag/retsforsvar

Opsummering af tvistfilen med AI

Eksplicit samtykke

Frit, informeret samtykke fra den enkelte

Hvis intet af ovenstående gælder

Advarsel: Eksplicit samtykke er sidst på listen, fordi det er det mest skrøbelige grundlag: en person kan trække sig tilbage når som helst, og når først det er trukket tilbage, skal behandlingen stoppes. Hvis det er muligt, evalueres et af de andre grundlag (især kontraktens opfyldelse eller legitime interesser) først.

Afvejning af legitime interesser

Berettiget interesse er et fleksibelt grundlag, der kan anvendes, hvis institutionen har en rimelig interesse, og denne interesse ikke skader den pågældendes rettigheder og frihedsrettigheder. Men det kræver en afvejningstest: Går institutionens interesse eller den enkeltes ret frem? Ved brug af AI udføres denne test sådan her:

1. Er interessen reel og legitim? (f.eks. hurtig løsning af klager).
2. Er brugen af kunstig intelligens nødvendig for denne fordel? Er der en mindre påtrængende måde?
3. Er personens rettigheder krænket? Hvis der er følsomme data, profilering eller uventet brug, skifter balancen til fordel for den enkelte.

Berettiget interesse kan ikke påberåbes, hvis balancen vejer til fordel for den enkelte; et andet grundlag (normalt udtrykkeligt samtykke) eller fravalg af behandling er påkrævet.

tre minisager

Tilfælde 1 — Samtykkefælde. Et HR-team indsamler "eksplicit samtykke" fra medarbejderne til at analysere medarbejdernes præstationsvurderinger med AI. Der er dog en magtubalance mellem medarbejder og arbejdsgiver; Resultatet af at sige "nej" er usikkert, så samtykke betragtes muligvis ikke som gratis. Den rigtige måde: at basere denne behandling ikke på samtykke, men på legitime interesser, der udspringer af forretningsforholdet eller på kontrakt, og dokumentere balancetesten.

Tilfælde 2 — Korrekt grundlag, unødvendigt samtykke. En e-handelsvirksomhed genererer fakturaudtog med AI, når den forbereder ordren. Denne behandling er direkte inden for rammerne af kontraktens udførelse; Der er ikke behov for at indhente yderligere samtykke. Teamet tilføjer en unødvendig samtykkeboks, kunden opgiver transaktionen. At vælge det rigtige grundlag forbedrer både loven og kundeoplevelsen.

Tilfælde 3 — Balancetesten er til fordel for personen. En virksomhed ønsker at "personlighedsanalysere" og score kandidaters profiler på sociale medier med AI. Dette er en procedure, som kandidaten ikke forventer, og som dybt berører hans privatliv; Balancetesten ender klart i ens favør. Berettiget interesse kan ikke anvendes; Virksomheden opgiver denne praksis.

Fire betingelser for gyldigt udtrykkeligt samtykke

Hvis udtrykkeligt samtykke virkelig er nødvendigt, skal det opfylde alle fire betingelser for at være gyldigt; Hvis der mangler en, er samtykke juridisk ugyldigt:

1. Angående et specifikt emne: Generelt samtykke såsom "Jeg giver samtykke til enhver behandling" er ugyldigt; Samtykke skal være specifikt for individuelle formål.
2. Informationsbaseret: Personen skal klart vide, hvad han eller hun giver samtykke til (hvilke data, hvilket formål, hvilken AI, oversøisk overføre).
3. Forklaret med fri vilje: Samtykke anses ikke som frit, hvis der er pres, pålæggelse eller "ingen service, hvis du ikke giver samtykke".
4. Genkaldelig: Personen skal til enhver tid kunne trække sit samtykke tilbage, og behandlingen skal stoppe, når han/hun trækker det tilbage.

I forbindelse med AI er den hyppigst ødelagte tilstand sidstnævnte: personen får ikke at vide, at deres data vil blive indtastet i en AI og muligvis behandlet i udlandet. Denne udeladelse kan ugyldiggøre selv et samtykke, der teknisk set ser ud til at være opnået.

Forsigtig: At gøre samtykke til en forudsætning for en tjeneste ("accepter eller du kan ikke fortsætte") gør samtykket ugyldigt i de fleste tilfælde. Samtykke bør være et valg, hvor personen faktisk kan sige "nej"; Ellers er det nødvendigt at søge et andet retsgrundlag.

Oplysningspligt

Uanset lovgrundlaget pålægger KVKK en pligt til at informere: Den registrerede skal tydeligt forklares, hvem du er, til hvilket formål og på hvilket grundlag du behandler oplysningerne, hvem du overfører dem til, og hvilke rettigheder de har. Når AI kommer i spil, bør oplysningsteksten også opdateres - især sætningerne "dine data kan blive analyseret af automatiserede systemer/kunstig intelligens" og "kan overføres til oversøiske servere" bør tilføjes.

Tip: "Kan én person læse opklaringsteksten på 2 minutter og forstå, hvad det er?" bestå testen. At angive brugen af ​​kunstig intelligens i en simpel sætning i stedet for at skjule det, er både en juridisk forpligtelse og en opbygning af tillid.

Kopierbare skabeloner

SKABELON 1 - Valg af retsgrundlag: "Jeg vil udføre følgende behandling: [beskriv behandlingen]. Angiv, hvilke af de 6 retsgrundlag for KVKK, der kan være egnede, og hvilke der IKKE er, med begrundelse. Overvej kun udtrykkeligt samtykke som en sidste udvej. Endelig juridisk beslutningstagning; angiv de muligheder, der skal forelægges til juridisk godkendelse."

SKABELON 2 — Test af legitim interesseafvejning: "Udfør den legitime interesseafvejningstest for følgende brug af AI: [beskriv brugen]. Tre overskrifter: (1) er organisationens interesse reel, (2) er der mindre indgribende alternativer, (3) er den enkeltes rettigheder skadet? Skriv separate pro/con-argumenter under hver overskrift."

SKABELON 3 — AI tilføjelse til præciseringsteksten: "Foreslå et afsnit, der afspejler brugen af ​​AI i vores nuværende præciseringstekst. Angiv i almindeligt sprog: at dataene kan analyseres af automatiske/AI-systemer, mulighed for overførsel til udlandet, at menneskelig kontrol bevares og den registreredes ret til at gøre indsigelse. Maksimum 120 ord."

SKABELON 4 — Kontrol af samtykkekrav: "Evaluer disse 5 processer én efter én og angiv for hver enkelt, om 'eksplicit samtykke er KRÆVET' eller 'andet grundlag er tilstrækkeligt': [Liste 5 processer]. Mind hver linje om ulempen ved unødvendig samtykkeindsamling."

Svag prompt / Stærk prompt

SVAG: "Skriv en samtykketekst til denne databehandling."-> Låser måske institutionen fast i et unødvendigt eller ugyldigt samtykke, uden at stille spørgsmålstegn ved, om samtykke er det rigtige grundlag. STÆRK: "Vurder først, hvilket retsgrundlag der er passende for denne behandling; er samtykke virkelig nødvendigt? Hvis det er nødvendigt, udarbejde et gratis, informeret og tilbagekaldeligt samtykke; hvis det er unødvendigt, foreslå, på hvilket grundlag du skal sidde, og hvad der skal tilføjes til informationsteksten."-> Modellen sætter først spørgsmålstegn ved det korrekte grundlag, og producerer derefter den passende tekst.

Almindelige fejl

• Forsøger automatisk at løse enhver behandling med "eksplicit samtykke".
• At betragte samtykke som "gratis" i forhold med magtubalance, såsom medarbejder-arbejdsgiver.
• Indhentning af unødvendigt samtykke, når der er et korrekt grundlag (kontrakt, legitim interesse).
• Undladelse af at teste eller dokumentere balance, når man stoler på legitim interesse.
• Afspejler slet ikke brugen af ​​AI i lysteksten.
• Skjuler international overførsel i belysning.
• Ikke etablere en mekanisme til at stoppe behandlingen, når samtykke trækkes tilbage.

Sammenfattende

• Enhver AI-baseret behandling skal hvile på mindst et af de seks juridiske grundlag for KVKK.
• Eksplicit samtykke er det mest skrøbelige grundlag; kan trækkes tilbage og annulleres i tilfælde af magtubalance.
• Berettiget interesse er fleksibel, men kræver en afvejningstest; Det kan ikke bruges, hvis personens rettigheder opvejer det.
• Uanset lovgrundlaget er der oplysningspligt; AI og oversøisk overførsel afspejles i teksten.
• At vælge det rigtige grundlag forbedrer både loven og kunde-/medarbejderoplevelsen.

Ansøgningsopgave

Identificer tre forskellige behandlingsscenarier, der vil blive udført med AI i din organisation (for eksempel: kundeklageanalyse, support til kandidatevaluering, fakturaoversigt). For hvert scenarie skal du vælge det mest passende retsgrundlag med begrundelse og forklare, hvorfor udtrykkeligt samtykke ikke er påkrævet (eller hvorfor det er det). Skriv din tre-trins balanceringstest for mindst ét ​​scenarie, hvor du baserer legitim interesse. Til sidst skal du udarbejde et afsnit, der skal medtages i offentliggørelsesteksten, der dækker disse scenarier, og inkludere oplysninger om automatiseret AI-behandling og overførsel til udlandet.

tjekliste

• [ ] Jeg har valgt det korrekte retsgrundlag for hver behandling.
• [ ] Jeg brugte kun udtrykkeligt samtykke, hvor det virkelig var nødvendigt.
• [ ] Jeg har udført og dokumenteret balancetesten i scenariet med legitim interesse.
• [ ] Jeg satte spørgsmålstegn ved gyldigheden af ​​samtykke i forhold med magtubalance.
• [ ] Jeg tilføjede AI og auto-behandlingsinformation til lysteksten.
• [ ] Jeg har tydeligt angivet overførslen til udlandet.
• [ ] Jeg planlagde mekanismen for tilbagetrækning af samtykke.