Rättslig grund, skyldighet att informera och uttryckligt samtycke

Vinster:

Att särskilja sex rättsliga grunder för databehandling med AI och välja rätt
Utvärdera villkoren för uttryckligt samtycke och nackdelarna med att förlita sig på samtycke
Utarbeta ett vitt papper som täcker användningen av AI

I den föregående enheten sa vi, "Att mata in data i AI är en bearbetning och kräver en giltig rättslig grund." Så vad är denna rättsliga grund och hur väljs den? Det vanligaste misstaget som compliance officers gör är att försöka lösa allt med "uttryckligt samtycke". Samtycke är dock ofta den svagaste och ömtåligaste grunden. I denna enhet kommer vi att lära oss den rättsliga grunden som erbjuds av KVKK, att välja rätt bland dem, skyldigheten att informera och den verkliga platsen för uttryckligt samtycke i samband med AI-användning.

Vad är den rättsliga grunden?

Rättslig grund (villkor för behandling) är den motivering som gör behandling av personuppgifter laglig. Enligt KVKK behandlas personuppgifter som regel med uttryckligt samtycke; Lagen räknar dock upp sex undantag för vilka uttryckligt samtycke inte krävs. En transaktion måste ligga på minst en av dessa baser. Behandling utan motivering är olaglig.

Rättslig grund

kortfattat

Exempel på användning av AI

Inte tydligt föreskrivet i lag

Om det krävs enligt lagstiftningen

Fullgörande av kontraktet

Om det är obligatoriskt för kontraktet

Förbereder ordersammanfattningen till kunden med AI

rättslig skyldighet

För institutionens rättsliga skyldighet

Ta fram skatte-/revisionshandlingar

publicering

Om personen själv har gjort uppgifterna offentliga

Att analysera sitt offentliga författarskap

berättigat intresse

Utan att skada den berörda personen

Temaanalys av klagomålstexter med AI

Fastställande/skydd av en rättighet

För rättegång/rätt försvar

Sammanfattning av tvistfilen med AI

Uttryckligt samtycke

Fri, informerat samtycke från individen

Om inget av ovanstående gäller

Varning: Uttryckligt samtycke finns i slutet av listan eftersom det är den ömtåligaste grunden: en person kan dra sig ur när som helst, och när det har dragits tillbaka måste behandlingen stoppas. Om möjligt utvärderas en av de andra grunderna (särskilt fullgörandet av kontraktet eller berättigat intresse) först.

Avvägning av legitima intressen

Berättigat intresse är en flexibel grund som kan användas om institutet har ett rimligt intresse och detta intresse inte skadar den berörda personens rättigheter och friheter. Men det kräver en avvägningsprövning: råder institutionens intresse eller individens rätt? Vid användning av AI görs denna testning så här:

Är intresset verkligt och legitimt? (T.ex. lösa klagomål snabbt.)
Är användningen av AI nödvändig för denna fördel? Finns det ett mindre påträngande sätt?
Kränks personens rättigheter? Om det finns känsliga uppgifter, profilering eller oväntad användning skiftar balansen till individens fördel.

Berättigat intresse kan inte åberopas om balansen väger till förmån för den enskilde; annan grund (vanligtvis uttryckligt samtycke) eller opt-out från behandling krävs.

tre minifodral

Fall 1 – Samtyckesfälla. Ett HR-team samlar in "uttryckligt samtycke" från anställda för att analysera anställdas prestationsbetyg med AI. Det finns emellertid en maktobalans mellan arbetstagare och arbetsgivare; Resultatet av att säga "nej" är osäkert, så samtycke kanske inte anses vara fritt. Rätt sätt: att basera denna behandling inte på samtycke utan på legitima intressen som härrör från affärsrelationen eller på kontrakt, och dokumentera avvägningstestet.

Fall 2 — Rätt grund, onödigt samtycke. Ett e-handelsföretag genererar fakturautdrag med AI när beställningen förbereds. Denna behandling ligger direkt inom ramen för avtalets fullgörande; Det finns inget behov av att inhämta ytterligare samtycke. Teamet lägger till en onödig samtyckesbox, kunden överger transaktionen. Att välja rätt underlag förbättrar både lagen och kundupplevelsen.

Fall 3 — Balanstestet är till förmån för personen. Ett företag vill "personlighetsanalysera" och poängsätta kandidaternas sociala medieprofiler med AI. Detta är ett förfarande som kandidaten inte förväntar sig och som djupt berör hans integritet; Balanstestet slutar helt klart till ens fördel. Berättigat intresse kan inte användas; Företaget överger denna praxis.

Fyra villkor för giltigt uttryckligt samtycke

Om uttryckligt samtycke verkligen är nödvändigt måste det uppfylla alla fyra villkoren för att vara giltigt; Om en saknas är samtycke juridiskt ogiltigt:

Angående ett specifikt ämne: Allmänt samtycke såsom "Jag samtycker till all behandling" är ogiltigt; Samtycke måste vara specifikt för individuella ändamål.
Informationsbaserad: Personen måste tydligt veta vad han eller hon samtycker till (vilka data, vilket syfte, vilken AI, utomlands överför).
Förklarat av fri vilja: Samtycke anses inte vara fritt om det finns påtryckningar, påläggande eller "ingen service om du inte samtycker".
Återkallelig: Personen ska när som helst kunna återkalla sitt samtycke och behandlingen ska stoppas när han/hon återkallar det.

I AI-sammanhang är det mest trasiga tillståndet det senare: personen får inte veta att deras data kommer att föras in i en AI och eventuellt bearbetas utomlands. Detta utelämnande kan ogiltigförklara även ett samtycke som tekniskt sett verkar ha erhållits.

Varning: Att göra samtycke till en förutsättning för en tjänst ("acceptera eller så kan du inte fortsätta") ogiltigförklarar i de flesta fall samtycket. Samtycke bör vara ett val där personen faktiskt kan säga "nej"; Annars är det nödvändigt att söka en annan rättslig grund.

Skyldighet att informera

Oavsett den rättsliga grunden ålägger KVKK en skyldighet att informera: den registrerade ska tydligt förklaras vem du är, för vilket ändamål och på vilken grund du behandlar uppgifterna, till vem du överför dem och vilka rättigheter de har. När AI kommer in i spelet bör avslöjandetexten också uppdateras - i synnerhet fraserna "din data kan analyseras av automatiserade system/artificiell intelligens" och "kan överföras till utländska servrar" bör läggas till.

Tips: "Kan en person läsa förtydligande texten på 2 minuter och förstå vad det är?" klara provet. Att ange användningen av AI i en enkel mening, snarare än att dölja det, är både en juridisk skyldighet och en förtroendeuppbyggnad.

Kopierbara mallar

MALL 1 - Val av rättslig grund: "Jag kommer att utföra följande behandling: [beskriv behandlingen]. Lista vilka av de 6 rättsliga grunderna för KVKK som kan vara LÄMPLIGA och vilka INTE är det, med motivering. Betrakta uttryckligt samtycke endast som en sista utväg. Slutligt rättsligt beslutsfattande; ange de alternativ som ska lämnas in för juridiskt godkännande."

MALL 2 — Legitima intresseavvägningstest: "Utforma det legitima intresseavvägningstestet för följande användning av AI: [beskriv användningen]. Tre rubriker: (1) är organisationens intresse genuint, (2) finns det mindre ingripande alternativ, (3) skadas individens rättigheter? Skriv separata pro/con-argument under varje rubrik."

MALL 3 — AI tillägg till förtydligande text: "Föreslå ett stycke som återspeglar användningen av AI i vår nuvarande förtydligande text. Ange i klartext: att uppgifterna kan analyseras med automatiska/AI-system, möjlighet till överföring utomlands, att mänsklig kontroll bevaras och den registrerades rätt att invända. Max 120 ord."

MALL 4 – Kontroll av samtyckeskrav: "Utvärdera dessa 5 processer en efter en och ange för var och en om 'uttryckligt samtycke KRÄVS' eller 'annan grund är tillräcklig': [Lista 5 processer]. Påminn varje rad om nackdelen med onödig insamling av samtycke."

Svag prompt / Stark prompt

SVAG: "Skriv en samtyckestext för denna databehandling."-> Kanske låser institutionen till ett onödigt eller ogiltigt samtycke, utan att ifrågasätta om samtycke är rätt grund. STARK: "Utvärdera först vilken rättslig grund som är lämplig för denna behandling; är samtycke verkligen nödvändigt? Vid behov, utarbeta ett fritt, informerat och återkallbart samtycke; om det är onödigt, föreslå på vilken grund du ska sitta och vad du ska lägga till i informationstexten."-> Modellen ifrågasätter först den korrekta grunden, och producerar sedan den lämpliga texten.

Vanliga misstag

Försöker att automatiskt lösa varje behandling med "uttryckligt samtycke".
Att betrakta samtycke som "gratis" i relationer med maktobalans, såsom anställd-arbetsgivare.
Inhämtning av onödigt samtycke när det finns en korrekt grund (kontrakt, berättigat intresse).
Underlåtenhet att testa eller dokumentera balans när man förlitar sig på berättigat intresse.
Reflekterar inte alls användningen av AI i ljustexten.
Döljer internationell överföring i belysning.
Inte etablera en mekanism för att stoppa behandlingen när samtycke dras tillbaka.

Sammanfattningsvis

Varje AI-baserad behandling måste baseras på minst en av de sex rättsliga grunderna för KVKK.
Uttryckligt samtycke är den ömtåligaste grunden; kan dras tillbaka och ogiltigförklaras i händelse av obalans i makt.
Berättigat intresse är flexibelt men kräver ett avvägningstest; Den kan inte användas om personens rättigheter överväger det.
Oavsett rättslig grund finns det en skyldighet att upplysa; AI och utlandsöverföring återspeglas i texten.
Att välja rätt underlag förbättrar både juridiken och kund/anställds upplevelse.

Applikationsuppgift

Identifiera tre olika bearbetningsscenarier som kommer att göras med AI i din organisation (till exempel: analys av kundklagomål, support för kandidatutvärdering, fakturasammanfattning). För varje scenario, välj den lämpligaste rättsliga grunden med motivering och förklara varför uttryckligt samtycke inte krävs (eller varför det är det). Skriv ditt trestegsbalanseringstest för minst ett scenario där du grundar berättigat intresse. Slutligen, utarbeta ett stycke för att inkludera i avslöjandetexten som täcker dessa scenarier och inkludera information om AI-automatiserad bearbetning och utlandsöverföring.

checklista

[ ] Jag har valt rätt rättslig grund för varje behandling.
[ ] Jag använde uttryckligt samtycke endast där det verkligen var nödvändigt.
[ ] Jag har genomfört och dokumenterat avvägningstestet i scenariot med berättigat intresse.
[ ] Jag ifrågasatte giltigheten av samtycke i relationer med maktobalans.
[ ] Jag lade till AI och automatisk bearbetningsinformation till belysningstexten.
[ ] Jag har tydligt angett överföringen till utlandet.
[ ] Jag planerade mekanismen för återkallande av samtycke.