Winst:
- Het onderscheiden van zes rechtsgrondslagen voor dataverwerking met AI en het kiezen van de juiste
- Het evalueren van de voorwaarden voor expliciete toestemming en de nadelen van het vertrouwen op toestemming
- Opstellen van een whitepaper over het gebruik van AI
In de vorige paragraaf zeiden we: “Het invoeren van gegevens in AI is een verwerking en vereist een geldige wettelijke basis.” Wat is deze rechtsgrondslag en hoe wordt deze gekozen? De meest voorkomende fout die compliance-functionarissen maken, is alles proberen op te lossen met ‘uitdrukkelijke toestemming’. Instemming is echter vaak de zwakste en meest kwetsbare basis. In deze unit leren we de rechtsgrondslag die KVKK biedt, het kiezen van de juiste, de verplichting om te informeren en de werkelijke plaats van expliciete toestemming in de context van AI-gebruik.
Wat is de wettelijke basis?
Rechtsgrondslag (voorwaarde voor verwerking) is de rechtvaardiging die de verwerking van persoonsgegevens rechtmatig maakt. Volgens KVKK worden persoonsgegevens in de regel met uitdrukkelijke toestemming verwerkt; De wet noemt echter zes uitzonderingen waarvoor geen uitdrukkelijke toestemming vereist is. Een transactie moet op ten minste één van deze bases plaatsvinden. Verwerking zonder rechtvaardiging is onrechtmatig.
Wettelijke basis
kort
Voorbeeld van AI-gebruik
Staat niet duidelijk in de wet
Indien vereist door de wetgeving
Documenten die wettelijk verplicht moeten worden bewaard
Uitvoering van de overeenkomst
Als het verplicht is voor het contract
Het orderoverzicht voor de klant opstellen met AI
wettelijke verplichting
Voor de wettelijke plicht van de instelling
Het maken van belasting-/controlerapporten
publicatie
Als de persoon de gegevens zelf openbaar heeft gemaakt
Het analyseren van iemands openbare schrijven
legitiem belang
Zonder de betrokkene te schaden
Themaanalyse van klachtteksten met AI
Vestiging/bescherming van een recht
Voor rechtszaken/juiste verdediging
Samenvatten van het geschildossier met AI
Expliciete toestemming
Gratis, geïnformeerde toestemming van het individu
Als geen van bovenstaande van toepassing is
Let op: Expliciete toestemming staat aan het einde van de lijst omdat dit de meest kwetsbare basis is: een persoon kan zich op elk moment intrekken, en eenmaal ingetrokken moet de verwerking worden stopgezet. Indien mogelijk wordt eerst een van de andere grondslagen (in het bijzonder de uitvoering van de overeenkomst of het gerechtvaardigd belang) beoordeeld.
Evenwicht tussen legitieme belangen
Gerechtvaardigd belang is een flexibele grondslag die kan worden gehanteerd als de instelling een redelijk belang heeft en dit belang de rechten en vrijheden van de betrokkene niet schaadt. Maar het vergt een afweging: prevaleert het belang van de instelling of het recht van het individu? Bij het gebruik van AI gebeurt dit testen als volgt:
- Is het belang reëel en legitiem? (Bijvoorbeeld klachten snel oplossen.)
- Is het gebruik van AI noodzakelijk voor dit voordeel? Is er een minder ingrijpende manier?
- Worden de rechten van de persoon geschonden? Als er sprake is van gevoelige gegevens, profilering of onverwacht gebruik, verschuift de balans in het voordeel van het individu.
Er kan niet op een legitiem belang worden vertrouwd als de balans in het voordeel van het individu weegt; een andere basis (meestal expliciete toestemming) of een opt-out voor verwerking is vereist.
drie minikoffers
Geval 1 — Toestemmingsval. Een HR-team verzamelt ‘expliciete toestemming’ van werknemers om de prestatiebeoordelingen van werknemers te analyseren met AI. Er is echter sprake van een machtsevenwicht tussen werknemer en werkgever; De uitkomst van ‘nee’ zeggen is onzeker, dus toestemming kan niet als gratis worden beschouwd. De juiste manier: deze verwerking niet baseren op toestemming, maar op legitieme belangen die voortvloeien uit de zakelijke relatie of op contract, en de afweging documenteren.
Geval 2 — Juiste grondslag, onnodige toestemming. Een e-commercebedrijf genereert factuuroverzichten met AI bij het klaarmaken van de bestelling. Deze verwerking valt rechtstreeks in het kader van de uitvoering van het contract; Er is geen noodzaak om aanvullende toestemming te verkrijgen. Het team voegt een onnodig toestemmingsvak toe, de klant verlaat de transactie. Het kiezen van de juiste basis verbetert zowel het recht als de klantervaring.
Geval 3 – De evenwichtstest is in het voordeel van de persoon. Een bedrijf wil de sociale mediaprofielen van kandidaten ‘persoonlijk analyseren’ en scoren met AI. Dit is een procedure die de kandidaat niet verwacht en die diep raakt aan zijn privacy; De evenwichtstest eindigt duidelijk in iemands voordeel. Er kan geen gebruik worden gemaakt van legitiem belang; Het bedrijf verlaat deze praktijk.
Vier voorwaarden voor geldige uitdrukkelijke toestemming
Als expliciete toestemming echt nodig is, moet deze aan alle vier de voorwaarden voldoen om geldig te zijn; Als er één ontbreekt, is de toestemming juridisch ongeldig:
- Met betrekking tot een specifiek onderwerp: Algemene toestemming zoals "Ik geef toestemming voor elke verwerking" is ongeldig; Toestemming moet specifiek zijn voor individuele doeleinden.
- Op informatie gebaseerd: De persoon moet duidelijk weten waar hij of zij mee instemt (welke gegevens, welk doel, welke AI, overdracht naar het buitenland).
- Uitgelegd door vrije wil: toestemming wordt niet als gratis beschouwd als er sprake is van druk, oplegging of de voorwaarde "geen dienstverlening als u niet instemt".
- Herroepbaar: De persoon moet zijn/haar toestemming op elk moment kunnen intrekken en de verwerking moet stoppen wanneer hij/zij deze intrekt.
In de context van AI is de laatste voorwaarde de meest geschonden voorwaarde: de persoon wordt niet verteld dat zijn gegevens in een AI zullen worden ingevoerd en mogelijk in het buitenland zullen worden verwerkt. Deze omissie kan zelfs een toestemming ongeldig maken die technisch gezien lijkt te zijn verkregen.
Let op: Als u toestemming als voorwaarde stelt voor een dienst ("accepteren of u kunt niet doorgaan"), wordt de toestemming in de meeste gevallen ongeldig. Toestemming moet een keuze zijn waarbij de persoon daadwerkelijk ‘nee’ kan zeggen; Anders moet er naar een andere rechtsgrondslag worden gezocht.
Verplichting om te informeren
Ongeacht de wettelijke grondslag legt KVKK een informatieplicht op: aan de betrokkene moet duidelijk worden uitgelegd wie u bent, met welk doel en op welke grondslag u de gegevens verwerkt, aan wie u deze doorgeeft en wat hun rechten zijn. Wanneer AI een rol gaat spelen, moet de openbaarmakingstekst ook worden bijgewerkt – met name de zinsneden “uw gegevens kunnen worden geanalyseerd door geautomatiseerde systemen/kunstmatige intelligentie” en “kunnen worden overgedragen naar buitenlandse servers” moeten worden toegevoegd.
Tip: "Kan één persoon de verduidelijkingstekst in 2 minuten lezen en begrijpen wat het is?" slagen voor de test. Het gebruik van AI in een simpele zin vermelden, in plaats van het te verbergen, is zowel een wettelijke verplichting als het opbouwen van vertrouwen.
Kopieerbare sjablonen
TEMPLATE 1 - Selectie van de rechtsgrond: "Ik zal de volgende verwerking uitvoeren: [beschrijf de verwerking]. Geef aan welke van de 6 rechtsgronden van KVKK GESCHIKT kunnen zijn en welke NIET, met motivering. Beschouw expliciete toestemming alleen als laatste redmiddel. Definitieve juridische besluitvorming; vermeld de opties die ter juridische goedkeuring moeten worden voorgelegd."
SJABLOON 2 — Test voor het afwegen van legitieme belangen: "Stel de test voor het afwegen van legitieme belangen op voor het volgende gebruik van AI: [beschrijf het gebruik]. Drie kopjes: (1) is het belang van de organisatie reëel, (2) zijn er minder ingrijpende alternatieven, (3) worden de rechten van het individu geschaad? Schrijf onder elke kop afzonderlijke pro/con-argumenten.'
TEMPLATE 3 — AI-toevoeging aan de verduidelijkingstekst: "Stel een paragraaf voor die het gebruik van AI weerspiegelt in onze huidige verduidelijkingstekst. Vermeld in duidelijke taal: dat de gegevens kunnen worden geanalyseerd door automatische/AI-systemen, de mogelijkheid van overdracht naar het buitenland, dat menselijke controle behouden blijft en het recht van de betrokkene om bezwaar te maken. Maximaal 120 woorden."
SJABLOON 4 — Controle van de toestemmingsvereisten: "Evalueer deze vijf processen één voor één en vermeld voor elk proces of 'expliciete toestemming VEREIST is' of 'een andere basis voldoende is': [Lijst vijf processen]. Herinner elke regel aan het nadeel van het onnodig verzamelen van toestemming."
Zwakke prompt/sterke prompt
ZWAK: "Schrijf een toestemmingstekst voor deze gegevensverwerking." -> Mogelijk vergrendelt de instelling een onnodige of ongeldige toestemming, zonder zich af te vragen of toestemming de juiste basis is. STERK: “Beoordeel eerst welke rechtsgrondslag passend is voor deze verwerking; is toestemming echt nodig? Stel indien nodig een vrije, geïnformeerde en herroepbare toestemming op; indien nodig, stel voor op welke basis te gaan zitten en wat toe te voegen aan de informatietekst.” -> Het model bevraagt eerst de juiste basis en produceert vervolgens de passende tekst.
Veel voorkomende fouten
- Probeer elke verwerking automatisch op te lossen met "uitdrukkelijke toestemming".
- Toestemming als ‘gratis’ beschouwen in relaties met een machtsongelijkheid, zoals tussen werknemer en werkgever.
- Het verkrijgen van onnodige toestemming wanneer er sprake is van een juiste grondslag (contract, gerechtvaardigd belang).
- Het niet testen of documenteren van het evenwicht bij het vertrouwen op legitieme belangen.
- Het weerspiegelt helemaal niet het gebruik van AI in de verlichtingstekst.
- Internationale transfer verhullen in verlichting.
- Geen mechanisme opzetten om de verwerking te stoppen wanneer de toestemming wordt ingetrokken.
Samengevat
- Elke AI-gebaseerde verwerking moet op minstens één van de zes rechtsgrondslagen van KVKK berusten.
- Expliciete toestemming is de meest kwetsbare basis; kan worden ingetrokken en ongeldig verklaard in geval van machtsongelijkheid.
- Gerechtvaardigd belang is flexibel maar vereist een afweging; Er kan geen gebruik van worden gemaakt als de rechten van de persoon zwaarder wegen.
- Ongeacht de wettelijke basis is er een verplichting om te informeren; AI en overzeese overdrachten worden weerspiegeld in de tekst.
- Het kiezen van de juiste basis verbetert zowel het recht als de klant-/werknemerservaring.
Applicatie taak
Identificeer drie verschillende verwerkingsscenario's die met AI in uw organisatie zullen worden uitgevoerd (bijvoorbeeld: analyse van klachten van klanten, ondersteuning bij evaluatie van kandidaten, samenvatting van facturen). Kies voor elk scenario de meest geschikte rechtsgrondslag met motivering en leg uit waarom expliciete toestemming niet vereist is (of waarom wel). Schrijf uw driestapsafwegingstest voor ten minste één scenario waarin u een legitiem belang baseert. Stel ten slotte een paragraaf op die in de openbaarmakingstekst over deze scenario's moet worden opgenomen en waarin informatie moet worden opgenomen over geautomatiseerde AI-verwerking en overdracht naar het buitenland.
controlelijst
- [ ] Ik heb voor elke verwerking de juiste rechtsgrondslag gekozen.
- [ ] Ik heb alleen gebruik gemaakt van uitdrukkelijke toestemming als dat echt nodig was.
- [ ] Ik heb de afwegingstoets in het gerechtvaardigd belangscenario uitgevoerd en gedocumenteerd.
- [ ] Ik trok de geldigheid van toestemming in relaties met een machtsevenwicht in twijfel.
- [ ] Ik heb AI en automatische verwerkingsinformatie toegevoegd aan de verlichtingstekst.
- [ ] Ik heb de overplaatsing naar het buitenland duidelijk aangegeven.
- [ ] Ik heb het mechanisme voor het intrekken van toestemming gepland.