Base Giuridica, Obbligo di Informazione e Consenso Esplicito

Guadagni:

• Distinguere sei basi giuridiche per il trattamento dei dati con l’IA e scegliere quella giusta
• Valutare le condizioni del consenso esplicito e gli svantaggi di fare affidamento sul consenso
• Redazione di un libro bianco sull'uso dell'intelligenza artificiale

Nell’unità precedente abbiamo detto: “L’immissione di dati nell’intelligenza artificiale costituisce un trattamento e richiede una base giuridica valida”. Qual è allora questa base giuridica e come viene scelta? L'errore più comune commesso dai responsabili della conformità è cercare di risolvere tutto con il "consenso esplicito". Tuttavia, il consenso è spesso la base più debole e fragile. In questa unità apprenderemo la base giuridica offerta dalla KVKK, scegliendo quella giusta tra queste, l’obbligo di informazione e il luogo reale del consenso esplicito nel contesto dell’uso dell’IA.

Qual è la base giuridica?

La base giuridica (condizione del trattamento) è la giustificazione che rende lecito il trattamento dei dati personali. Secondo KVKK, i dati personali vengono di norma trattati con il consenso esplicito; Tuttavia, la legge elenca sei eccezioni per le quali non è richiesto il consenso esplicito. Una transazione deve basarsi su almeno una di queste basi. Il trattamento senza giustificazione è illecito.

Base giuridica

brevemente

Esempio di utilizzo dell'intelligenza artificiale

Non chiaramente previsto dalla legge

Se richiesto dalla legislazione

Registro che è legalmente obbligatorio conservare

Esecuzione del contratto

Se è obbligatorio per il contratto

Preparazione del riepilogo dell'ordine per il cliente con l'intelligenza artificiale

obbligo legale

Per dovere giuridico dell'ente

Produzione di documenti fiscali/di controllo

pubblicità

Se la persona stessa ha reso pubblici i dati

Analizzare la propria scrittura pubblica

interesse legittimo

Senza nuocere all'interessato

Analisi tematica dei testi di reclamo con AI

Costituzione/tutela di un diritto

Per causa/difesa del diritto

Riassumendo il fascicolo della controversia con AI

Consenso esplicito

Consenso libero e informato dell’individuo

Se nessuno dei casi precedenti si applica

Attenzione: il consenso esplicito è alla fine dell'elenco perché è la base più fragile: una persona può revocare in qualsiasi momento e una volta revocato il trattamento deve essere interrotto. Se possibile, viene valutata prima una delle altre basi (in particolare l'esecuzione del contratto o l'interesse legittimo).

Equilibrio degli interessi legittimi

L'interesse legittimo è una base flessibile che può essere utilizzata se l'istituzione ha un interesse ragionevole e tale interesse non pregiudica i diritti e le libertà della persona interessata. Ma occorre fare un test comparativo: prevale l’interesse dell’istituzione o il diritto del singolo? Nell'uso dell'intelligenza artificiale, questo test viene eseguito in questo modo:

1. L’interesse è reale e legittimo? (Ad esempio, risolvere rapidamente i reclami.)
2. L’uso dell’intelligenza artificiale è necessario per questo vantaggio? Esiste un modo meno invadente?
3. I diritti della persona vengono violati? Se ci sono dati sensibili, profilazione o usi imprevisti, l’equilibrio si sposta a favore dell’individuo.

Non si può fare affidamento sul legittimo interesse se la bilancia pende a favore del singolo; è richiesta un'altra base (solitamente il consenso esplicito) o la rinuncia al trattamento.

tre mini custodie

Caso 1 – Trappola del consenso. Un team delle risorse umane raccoglie il “consenso esplicito” dei dipendenti per analizzare le valutazioni delle prestazioni dei dipendenti con l’intelligenza artificiale. Tuttavia, esiste uno squilibrio di potere tra dipendente e datore di lavoro; L’esito del “no” è incerto, quindi il consenso potrebbe non essere considerato libero. Il modo giusto: basare questo trattamento non sul consenso ma sui legittimi interessi derivanti dal rapporto commerciale o dal contratto e documentare il test comparativo.

Caso 2 – Base corretta, consenso non necessario. Una società di e-commerce genera estratti conto con l'intelligenza artificiale durante la preparazione dell'ordine. Questo trattamento rientra direttamente nell'ambito dell'esecuzione del contratto; Non è necessario ottenere ulteriore consenso. Il team aggiunge una casella di consenso non necessaria, il cliente abbandona la transazione. Scegliere la base giusta migliora sia la legge che l’esperienza del cliente.

Caso 3 — Il test dell'equilibrio è a favore della persona. Un'azienda vuole "analizzare la personalità" e valutare i profili dei social media dei candidati con l'intelligenza artificiale. Questa è una procedura che il candidato non si aspetta e che tocca profondamente la sua privacy; Il test di equilibrio si conclude chiaramente a proprio favore. L'interesse legittimo non può essere utilizzato; L'azienda abbandona questa pratica.

Quattro condizioni per un consenso espresso valido

Se il consenso esplicito è veramente necessario, deve soddisfare tutte e quattro le condizioni per essere valido; Se ne manca uno, il consenso non è giuridicamente valido:

1. Riguardo ad un argomento specifico: il consenso generale del tipo “Acconsento a qualsiasi trattamento” non è valido; Il consenso deve essere specifico per le finalità individuali.
2. Basato sulle informazioni: la persona deve sapere chiaramente a cosa sta acconsentendo (quali dati, quale scopo, quale intelligenza artificiale, trasferimento all'estero).
3. Spiegato con il libero arbitrio: il consenso non è considerato libero se c'è pressione, imposizione o condizione "nessun servizio se non acconsenti".
4. Revocabile: l'interessato deve poter revocare il proprio consenso in qualsiasi momento e il trattamento deve cessare nel momento in cui lo revoca.

Nel contesto dell’IA, la condizione più frequente è quest’ultima: alla persona non viene detto che i suoi dati verranno inseriti in un’IA ed eventualmente elaborati all’estero. Tale omissione può invalidare anche un consenso che tecnicamente sembra essere stato ottenuto.

Attenzione: rendere il consenso un prerequisito per un servizio ("accetta o non puoi continuare") invalida il consenso nella maggior parte dei casi. Il consenso dovrebbe essere una scelta in cui la persona può effettivamente dire “no”; Altrimenti è necessario cercare un’altra base giuridica.

Obbligo di informare

Indipendentemente dalla base giuridica, KVKK impone un obbligo di informazione: all’interessato deve essere spiegato chiaramente chi sei, per quale scopo e su quale base tratti i dati, a chi li trasferisci e quali sono i suoi diritti. Quando entra in gioco l’intelligenza artificiale, anche il testo dell’informativa dovrebbe essere aggiornato, in particolare dovrebbero essere aggiunte le frasi “i tuoi dati potrebbero essere analizzati da sistemi automatizzati/intelligenza artificiale” e “potrebbero essere trasferiti a server esteri”.

Suggerimento: "Una persona può leggere il testo chiarificatore in 2 minuti e capire di cosa si tratta?" superare la prova. Dichiarare l’uso dell’intelligenza artificiale in una semplice frase, anziché nasconderlo, è sia un obbligo legale che un rafforzamento della fiducia.

Modelli copiabili

MODELLO 1 - Selezione della base giuridica: "Eseguirò il seguente trattamento: [descrivere il trattamento]. Elenca quali delle 6 basi giuridiche della KVKK possono essere APPROPRIATE e quali NON lo sono, con giustificazione. Considerare il consenso esplicito solo come ultima risorsa. Processo decisionale legale finale; elencare le opzioni da sottoporre all'approvazione legale."

MODELLO 2 - Test di bilanciamento degli interessi legittimi: "Stendere il test di bilanciamento degli interessi legittimi per il seguente utilizzo dell'IA: [descrivere l'uso]. Tre titoli: (1) l'interesse dell'organizzazione è genuino, (2) esistono alternative meno invasive, (3) i diritti dell'individuo sono lesi? Scrivere argomentazioni pro/contro separate sotto ciascuna intestazione."

MODELLO 3 - Aggiunta AI al testo di chiarimento: "Suggerire un paragrafo che rifletta l'uso dell'IA nel nostro attuale testo di chiarimento. Dichiarare in parole semplici: che i dati possono essere analizzati da sistemi automatici/AI, la possibilità di trasferimento all'estero, che è preservato il controllo umano e il diritto di opposizione dell'interessato. Massimo 120 parole."

MODELLO 4 - Controllo dei requisiti di consenso: "Valutare questi 5 processi uno per uno e indicare per ciascuno se 'il consenso esplicito è RICHIESTO' o 'altre basi sono sufficienti': [Elenco 5 processi]. Ricordare a ciascuna riga lo svantaggio di una raccolta di consenso non necessaria."

Prompt debole / Prompt forte

DEBOLE: "Scrivi un testo di consenso per questo trattamento dei dati."-> Forse blocca l'istituzione in un consenso non necessario o non valido, senza mettere in dubbio se il consenso sia la base corretta. FORTE: "Valutare prima quale base giuridica è adeguata per questo trattamento; il consenso è davvero necessario? Se necessario, redigere un consenso libero, informato e revocabile; se non necessario, suggerire su quale base sedersi e cosa aggiungere al testo dell'informativa."-> Il modello prima si interroga sulla base corretta, poi produce il testo appropriato.

Errori comuni

• Cercando di risolvere automaticamente ogni trattamento con il "consenso esplicito".
• Considerare il consenso come “libero” nei rapporti con squilibrio di potere, come quello di dipendente-datore di lavoro.
• Raccolta del consenso non necessario quando esiste una base corretta (contratto, interesse legittimo).
• Mancata verifica o documentazione dell'equilibrio quando si fa affidamento sull'interesse legittimo.
• Non riflette affatto l'uso dell'intelligenza artificiale nel testo dell'illuminazione.
• Nascondere il trasferimento internazionale nell’illuminazione.
• Non stabilire un meccanismo per interrompere il trattamento in caso di revoca del consenso.

In sintesi

• Ogni trattamento basato sull’intelligenza artificiale deve basarsi su almeno una delle sei basi giuridiche della KVKK.
• Il consenso esplicito è la base più fragile; può essere revocato e annullato in caso di squilibrio di potere.
• L’interesse legittimo è flessibile ma richiede un test comparativo; Non può essere utilizzato se i diritti della persona prevalgono su di esso.
• Indipendentemente dalla base giuridica, esiste l'obbligo di chiarire; L'IA e il trasferimento all'estero si riflettono nel testo.
• Scegliere la base giusta migliora sia la legge che l’esperienza del cliente/dipendente.

Compito dell'applicazione

Identifica tre diversi scenari di elaborazione che verranno eseguiti con l'intelligenza artificiale nella tua organizzazione (ad esempio: analisi dei reclami dei clienti, supporto alla valutazione dei candidati, riepilogo delle fatture). Per ciascuno scenario, scegliere la base giuridica più appropriata corredata di giustificazione e spiegare perché il consenso esplicito non è richiesto (o perché lo è). Scrivi il tuo test comparativo in tre fasi per almeno uno scenario in cui basi l'interesse legittimo. Infine, redigere un paragrafo da includere nel testo informativo che copra questi scenari e includere informazioni sull’elaborazione automatizzata dell’IA e sul trasferimento all’estero.

lista di controllo

• [ ] Ho scelto la base giuridica corretta per ciascun trattamento.
• [ ] Ho utilizzato il consenso espresso solo dove era veramente necessario.
• [ ] Ho effettuato e documentato il test comparativo nello scenario dell'interesse legittimo.
• [ ] Ho messo in dubbio la validità del consenso nei rapporti con uno squilibrio di potere.
• [ ] Ho aggiunto informazioni sull'intelligenza artificiale e sull'elaborazione automatica al testo dell'illuminazione.
• [ ] Ho chiaramente indicato il trasferimento all'estero.
• [ ] Ho previsto il meccanismo di revoca del consenso.