Die AVG en groot data is nie onversoenbaar nie, maar hulle dwing 'n keuse af wat baie organisasies uitstel: voordat jy 'n groot datastel insamel of hergebruik, moet jy die wettige basis daarvoor kan noem en aantoon dat die verwerking vir daardie doel nodig is. In die praktyk beteken dit om 'n grond kragtens Artikel 6 van die Algemene Verordening oor Databeskerming te dokumenteer, te toets of 'n latere gebruik vir die opleiding van 'n algoritme versoenbaar is met die doel waarvoor die data oorspronklik ingesamel is, en die risiko te beoordeel voordat die eerste model gebou word. Hierdie artikel stel uiteen hoe daardie reëls van toepassing is op grootskaalse analitiese en KI-opleiding in Nederland, en waar die Autoriteit Persoonsgegevens die lyn trek.
Wat tel as persoonlike data in 'n groot datastel
Die AVG is van toepassing op inligting met betrekking tot 'n geïdentifiseerde of identifiseerbare natuurlike persoon. In 'n grootdatakonteks word daardie drempel baie meer gereeld oorskry as wat organisasies verwag, want identifiseerbaarheid word beoordeel met verwysing na al die middele wat redelikerwys waarskynlik deur die beheerder of deur enigiemand anders gebruik sal word om iemand uit te sonder. 'n Datastel van toestelidentifiseerders, liggingspore, transaksierekords of klikstrome is dus byna altyd persoonlike data, selfs waar geen naam in 'n enkele kolom verskyn nie.
Twee konsepte word gereeld verwar, en die verskil bepaal of die regulasie hoegenaamd van toepassing is. Gepseudonimiseerde data, waar die identifiseerders vervang is, maar die sleutel steeds êrens bestaan, bly persoonlike data en bly ten volle onderhewig aan die AVG. Geanonimiseerde data, waar heridentifikasie nie meer redelikerwys moontlik is vir enigiemand nie, val daarbuite. Die lat vir ware anonimisering is hoog: aggregasie, hashing of die verwydering van direkte identifiseerders laat gewoonlik genoeg van 'n vingerafdruk vir 'n vasgestelde party om individue te heridentifiseer, veral wanneer die datastel ryk is en 'n lang tydperk dek.
Dit maak saak omdat die bewering dat 'n datastel anoniem is dikwels die lasdraende aanname in 'n hele KI-program is. Indien dit misluk, is elke afwaartse stap, van die opleidingslopie tot die bewaringskedule, sonder 'n wettige basis uitgevoer. Die veiliger benadering is om die datastel as persoonlike data te behandel tensy 'n gedokumenteerde heridentifikasie-analise anders aandui, en om daardie analise te heroorweeg wanneer die datastel verryk of gekombineer word met 'n ander bron. Die Europese Databeskermingsraad het ook aangespreek wanneer 'n KI-model self as anoniem beskou kan word, en hul antwoord is dat dit nie aanvaar kan word nie: 'n model wat op persoonlike data opgelei is, kan steeds daardie data in onttrekbare vorm bevat en moet van geval tot geval beoordeel word.
Die keuse van 'n wettige basis vir grootdata- en KI-opleiding
Elke verwerkingsproses benodig een van die ses gronde in Artikel 6, en die grond moet gekies word voordat die verwerking begin eerder as om dit daarna gerekonstrueer te word. Vir grootskaalse analise is slegs drie realistiese kandidate.
Toestemming is die skoonste in teorie en die mees broos in praktyk. Dit moet vrylik gegee, spesifiek, ingelig en ondubbelsinnig wees, en dit moet net so maklik wees om terug te trek as wat dit was om te gee. Toestemming wat in algemene terme saamgevat is, verkry word as 'n voorwaarde vir 'n diens wat nie die data benodig nie, of so breed geraam is dat die individu nie kan sien waaroor ooreengekom word nie, sal nie geld nie. Waar toestemming teruggetrek word, benodig jy 'n tegniese antwoord op die vraag van wat gebeur met 'n model wat reeds opgelei is.
Noodsaaklikheid vir die uitvoering van 'n kontrak is enger as wat dit lyk. Die toets is objektiewe noodsaaklikheid vir die diens waarvoor die individu eintlik gevra het, nie kommersiële nut nie. Die profiel van 'n kliënt om 'n aanbevelingsenjin te verbeter, is oor die algemeen nie nodig vir die lewering van die produk wat hulle gekoop het nie, en die Hof van Justisie het herhaaldelik pogings verwerp om hierdie grond te uitbrei om gedragsadvertensies en verpersoonliking in te sluit.
Dit laat wettige belange oor, wat die grond is waarop die meeste grootskaalse verwerking moet staatmaak. Dit vereis drie stappe, in daardie volgorde gedokumenteer: die identifisering van 'n werklike en wettige belang, die aantoon dat die verwerking nodig is omdat daar geen minder indringende manier is om dit te bereik nie, en die afweging van die belang teen die regte en redelike verwagtinge van die betrokke persone. In 'n verwysing van 'n Nederlandse hof rakende die nasionale tennisvereniging het die Hof van Justisie in 2024 bevestig dat 'n suiwer kommersiële belang as 'n wettige belang kan kwalifiseer, maar slegs indien die noodsaaklikheids- en afwegingstoetse werklik nagekom word. Kommersiële waarde is dus 'n toelaatbare belang, nie 'n lisensie nie.
Spesiale kategorieë en afgeleide eienskappe
Data wat rasse- of etniese oorsprong, politieke menings, godsdienstige oortuigings, vakbondlidmaatskap, gesondheid, sekslewe of seksuele oriëntasie openbaar, tesame met genetiese en biometriese data wat vir identifikasie gebruik word, mag glad nie verwerk word nie, tensy een van die eng uitsonderings in Artikel 9 van toepassing is. Eksplisiete toestemming is die gewone roete; die ander pas selde in 'n kommersiële datastel.
Die lokval in groot data is dat spesiale kategorie data nie doelbewus versamel hoef te word nie. Waar 'n datastel toelaat dat 'n beskermde eienskap afgelei word, byvoorbeeld deur aankooppatrone, liggingsgeskiedenis of die inhoud van vrye teksvelde, geld die strenger regime vir daardie verwerking, al het niemand ooit die vraag direk gevra nie. Modelkenmerke wat as plaasvervangers vir 'n beskermde eienskap optree, moet tydens ontwikkeling geïdentifiseer word, nie na 'n klagte nie.
Doelbeperking: kan jy data hergebruik om 'n model op te lei
Jy kan, maar nie outomaties nie. Die AVG vereis dat persoonlike data vir spesifieke, eksplisiete en wettige doeleindes ingesamel word en nie verder verwerk word op 'n manier wat onversoenbaar is met daardie doeleindes nie. Die opleiding van 'n algoritme op data wat ingesamel is vir bestellingsvervulling, kliëntediens of bedrogvoorkoming is 'n verdere verwerkingsproses, en dit is slegs wettig as dit die versoenbaarheidstoets slaag wat die regulasie uiteensit.
Daardie toets is nie 'n formaliteit nie. Dit vra oor die verband tussen die oorspronklike doel en die nuwe een, die konteks waarin die data ingesamel is en wat die individu redelikerwys op grond daarvan kon verwag, die aard van die data en of spesiale kategorieë betrokke is, die moontlike gevolge van die nuwe verwerking, en die bestaan van waarborge soos pseudonimisasie of enkripsie. 'n Datastel van mediese of finansiële rekords sal die toets druip waar 'n datastel van geanonimiseerde operasionele logboeke dit sou slaag.
Daar is een kortpad, en dit is nouer as wat gewoonlik aanvaar word. Verdere verwerking vir argivering in die openbare belang, vir wetenskaplike of historiese navorsing of vir statistiese doeleindes word as versoenbaar beskou, mits die waarborge vir navorsingsverwerking in plek is. Kommersiële modelontwikkeling vermom as navorsing kwalifiseer nie; die uitsondering is gemik op egte navorsing onderhewig aan metodologiese en etiese standaarde, nie op produkverbetering nie. Waar die versoenbaarheidstoets nie nagekom word nie, benodig jy 'n vars regsbasis en, in die meeste gevalle, vars inligting aan die betrokke mense.
Die praktiese gevolg is dat doelbeperking by die punt van insameling hanteer moet word. Privaatheidsverklarings wat doeleindes in terme beskryf wat breed genoeg is om betekenisloos te wees, sal nie 'n latere oefenlopie red nie, want die toets kyk na wat die individu redelikerwys kan verwag, nie na wat die opstel tegnies toelaat nie. Ons gids vir die skryf van 'n privaatheidsbeleid in Nederland stel uiteen hoe om doeleindes op 'n manier te beskryf wat beide eerlik en bruikbaar is.
Minimalisering, behoud en akkuraatheid wanneer die model alles wil hê
Dataminimalisering vereis dat persoonlike data voldoende, relevant en beperk moet wees tot wat nodig is. Daardie beginsel is werklik in spanning met 'n ontwikkelingsmetode waarvan die logika is dat meer data 'n beter model lewer, en die spanning kan nie opgelos word deur dit te ignoreer nie. Waarmee dit opgelos kan word, is 'n gedokumenteerde argument: watter velde is nodig vir die gestelde doel, wat is daarsonder getoets, en waarom die res weggegooi is. 'n Beheerder wat kan aantoon dat analise 'n verdedigbare posisie het selfs waar die datastel groot is. 'n Beheerder wat alles gehou het omdat berging goedkoop is, het nie.
Stoorbeperking laat dieselfde vraag oor tyd ontstaan. Opleidingsdata, kenmerkbergings, modelkontrolepunte en afleidingslogboeke val almal binne die bewaringsverpligting, en elkeen benodig sy eie tydperk wat aan 'n doel gekoppel is. Afleidingslogboeke word gereeld vergeet en bevat dikwels meer persoonlike data as wat die opleidingstel ooit gedoen het.
Akkuraatheid is die beginsel wat die meeste in hierdie konteks oor die hoof gesien word, en dit het 'n regsvoordeel wat maklik misgekyk kan word. Persoonlike data moet akkuraat wees en, waar nodig, op datum gehou word, en individue het die reg op regstelling. Waar 'n model 'n uitset oor 'n identifiseerbare persoon lewer, is daardie uitset self persoonlike data. 'n Afleiding dat iemand 'n swak kredietrisiko, 'n waarskynlike bedrieër of 'n ongeskikte kandidaat is, is data oor hulle, dit kan onakkuraat wees en dit kan betwis word. Die bou van 'n stelsel waarin sulke uitsette nie reggestel kan word nie, skep 'n voldoeningsprobleem wat geen hoeveelheid dokumentasie daarna sal oplos nie.
Wanneer 'n impakstudie op databeskerming verpligtend is
'n Impakassessering vir databeskerming is verpligtend waar 'n tipe verwerking waarskynlik 'n hoë risiko vir die regte en vryhede van individue tot gevolg sal hê, en die regulasie noem drie gevalle in die besonder: sistematiese en uitgebreide evaluering van persoonlike aspekte gebaseer op outomatiese verwerking, insluitend profilering, waarop besluite met wetlike of soortgelyke beduidende gevolge gebaseer is; grootskaalse verwerking van spesiale kategorieë data of van kriminele skuldigbevindingsdata; en sistematiese monitering van 'n publiek toeganklike gebied op groot skaal. Die meeste ernstige grootdataprojekte val in die eerste of die tweede.
Die Autoriteit Persoonsgegevens het ook 'n lys gepubliseer van verwerkingsbedrywighede waarvoor 'n assessering altyd in Nederland vereis word, wat gebiede soos grootskaalse profilering, die sistematiese evaluering van werknemers, gesondheidsdataplatforms en die gebruik van kamerastelsels dek. Daardie lys moet die eerste dokument wees wat aan die begin van 'n projek geraadpleeg word, want dit verwyder die argument oor die vraag of 'n assessering nodig is.
Twee punte oor tydsberekening is deurslaggewend. Die assessering moet uitgevoer word voordat die verwerking begin, wat in 'n KI-projek beteken voordat die opleidingsdata saamgestel word, nie voor ontplooiing nie. En waar die assessering 'n hoë oorblywende risiko toon wat u nie kan verminder nie, moet u die toesighoudende owerheid raadpleeg voordat u voortgaan. Om daardie konsultasie oor te slaan, is op sigself 'n oortreding, onafhanklik daarvan of die verwerking wettig blyk te wees.
'n Nuttige assessering vir 'n algoritmiese stelsel gaan verder as die standaard sjabloon. Dit teken aan watter databronne die model voed en op watter basis, wat die model toegelaat word om op sy eie te besluit en wat 'n mens besluit, hoe die uitset aan die betrokke persoon verduidelik word, hoe die opleidingsdata getoets is vir vooroordeel teen beskermde groepe, en wat gebeur as die model verkeerd is. Dit is die vrae wat 'n reguleerder eerste vra.
Hoe die Autoriteit Persoonsgegevens dit afdwing
Die Nederlandse toesighoudende gesag is die Autoriteit Persoonsgegevens, wat die AVG saam met die Nederlandse implementeringswet, die Uitvoeringswet AVG, afdwing. Die bevoegdhede daarvan strek van 'n waarskuwing en 'n berisping tot 'n bevel onderworpe aan 'n boete, 'n tydelike of definitiewe verbod op die verwerking en 'n administratiewe boete. Die regulasie stel die plafonne vas: tot tien miljoen euro of twee persent van die totale wêreldwye jaarlikse omset vir die laer vlak, en tot twintig miljoen euro of vier persent vir oortredings van die basiese beginsels, die wettige gronde, die regte van datasubjekte en die reëls oor internasionale oordragte, watter bedrag ook al hoër is.
Twee afdwingingstemas is sigbaar in die Nederlandse praktyk en albei hou direk verband met groot data. Die eerste is deursigtigheid: 'n aansienlike deel van onlangse optrede het betrekking op privaatheidsverklarings wat nie in verstaanbare taal verduidelik watter data gebruik word, vir watter doel en vir hoe lank nie. Vae doelbeskrywings word as 'n oortreding op sigself behandel, nie as 'n konsepfout nie. Die tweede is algoritmiese toesig. Die owerheid het 'n toegewyde eenheid vir die toesig van algoritmes en publiseer periodieke verslae oor algoritmiese risiko's, wat die moeite werd is om te lees as 'n verklaring van wat dit verwag voordat dit die onderwerp van 'n ondersoek word.
Naas afdwinging is daar die plig om kennis te gee van 'n oortreding. 'n Oortreding van persoonlike data moet sonder onnodige vertraging en, waar moontlik, binne twee-en-sewentig uur nadat dit bewus geword het, aan die owerheid gerapporteer word, tensy die oortreding waarskynlik nie 'n risiko vir individue sal inhou nie; waar die risiko vir individue hoog is, moet hulle ook ingelig word. In 'n KI-omgewing is die assessering moeiliker as wat dit was, want 'n gekompromitteerde opleidingstel of funksieberging raak almal wie se data dit bevat en die gevolge strek tot elke besluit wat die model geneem het. Let daarop dat dit 'n aparte verpligting is van die voorvalrapporteringspligte kragtens die Cyberbeveiligingswet, die Nederlandse implementering van NIS2, wat sedert 15 Augustus 2026 van toepassing is en sy eie kennisgewingstermyne van vier-en-twintig en twee-en-sewentig uur op entiteite binne sy bestek oplê. Ons oorsig van NIS2 en die Nederlandse Wet op Kuberveiligheid verduidelik hoe die twee regimes langs mekaar staan.
Die KI-wet vervang nie die GDPR nie
Die EU-Wet op Kunsmatige Intelligensie reguleer KI-stelsels as produkte: dit klassifiseer hulle volgens risiko en plaas verpligtinge op verskaffers en ontplooiers. Dit bied nie 'n regsbasis vir die verwerking van persoonlike data nie, en voldoening daaraan sê niks oor voldoening aan die AVG nie. Waar 'n KI-stelsel persoonlike data verwerk, is beide stelsels ten volle en parallel van toepassing.
Die tydskedule is belangrik vir beplanning. Die verbod op onaanvaarbare praktyke, die verpligtinge vir algemene KI-modelle en die deursigtigheidspligte vir stelsels wat met mense interaksie het of sintetiese inhoud genereer, is reeds van krag. Die hoërisiko-regime is uitgestel deur die digitale omnibuspakket: die verpligtinge vir hoërisiko-stelsels wat in Aanhangsel III gelys word, geld nou vanaf 2 Desember 2027, en dié vir stelsels wat veiligheidskomponente van gereguleerde produkte onder Aanhangsel I is vanaf 2 Augustus 2028. Die afsonderlike voorstel vir 'n KI-aanspreeklikheidsrichtlijn is teruggetrek, dus word aanspreeklikheid vir skade wat deur 'n KI-stelsel veroorsaak word, steeds beheer deur gewone Nederlandse reëls oor kontrak en onregmatige daad en deur die Europese produkaanspreeklikheidsregime.
Vir 'n datagedrewe organisasie is die praktiese gevolg dat die GDPR-analise vandag die bindende beperking bly, terwyl die KI-wet bepaal watter dokumentasie, toetsing en menslike toesig dieselfde stelsel voor die einde van die dekade sal benodig. Om die twee oefeninge afsonderlik te bou, dupliseer werk; om hulle saam te bou, doen dit nie. Ons gidse tot die EU-KI-wet en tot hoërisiko-KI-stelsels stel die klassifikasie en die verpligtinge in detail uiteen.
Groepseise en skadevergoeding: die siviele kant van die risiko
Regulatoriese boetes is nie die enigste blootstelling nie, en in Nederland is hulle dalk nie die grootste nie. Die Wet ontwikkeling massaschade in collectieve actie (WAMCA) laat 'n stigting of vereniging wat aan streng bestuurs- en befondsingsvereistes voldoen, toe om 'n kollektiewe aksie vir skadevergoeding namens 'n gedefinieerde groep in te stel, met 'n uitsluitingsregime vir mense wat in Nederland woonagtig is. Datagedrewe verwerking is 'n voor die hand liggende teiken: 'n enkele ontwerpbesluit raak elke gebruiker op dieselfde manier, wat presies die homogeniteit is wat 'n kollektiewe aksie nodig het.
Die AVG versterk dit van sy eie kant af. Dit gee enigiemand wat materiële of nie-materiële skade gely het as gevolg van 'n oortreding 'n reg op vergoeding van die beheerder of verwerker, en dit laat 'n niewinsgewende liggaam wat aktief is op die gebied van databeskerming toe om namens datasubjekte stappe te doen, in sommige gevalle sonder 'n mandaat van hulle. Die Hof van Justisie het bevestig dat 'n verbruikersbeskermingsvereniging op daardie basis kan optree.
Daar is 'n beperking, en dit is 'n nuttige een vir verweerders. Die Hof van Justisie het beslis dat 'n oortreding van die AVG nie op sigself 'n reg op vergoeding gee nie: die eiser moet werklike skade en 'n oorsaaklike verband aantoon, hoewel geen drempel van erns op nie-materiële skade van toepassing is sodra dit vasgestel is nie. Individuele toekennings in die Nederlandse praktyk was dus beskeie, maar die rekenkunde van 'n klas van honderdduisende verander die prentjie heeltemal. Ons artikel oor kollektiewe eise in die geval van massaskade beskryf hoe hierdie verrigtinge verloop.
Wie is die beheerder wanneer die data van oral af kom
Grootdataprojekte bly selde binne een organisasie. Data word verryk deur 'n makelaar, aangebied deur 'n wolkverskaffer, skoongemaak deur 'n analitiese agentskap en ingevoer in 'n model wat deur 'n verskaffer verskaf word, en elkeen van daardie verhoudings moet korrek gekarakteriseer word, want die toewysing van rolle bepaal wie watter verpligting dra en wie aan die reguleerder verantwoording doen.
'n Beheerder bepaal die doeleindes en middele van die verwerking; 'n verwerker tree slegs op volgens die beheerder se gedokumenteerde instruksies. Waar twee of meer partye gesamentlik die doeleindes en middele bepaal, is hulle gesamentlike beheerders en moet hulle hul onderskeie verantwoordelikhede in 'n reëling uiteensit, veral vir die verskaffing van inligting en vir die hantering van versoeke van individue, wat in elk geval hul regte teen enigeen van hulle kan uitoefen. Die etiket wat in die kontrak gebruik word, is nie deurslaggewend nie: wat saak maak, is wie eintlik besluit hoekom en hoe die data verwerk word. 'n Verskaffer wat die reg voorbehou om jou data te gebruik om sy eie produk te verbeter, het in daardie mate 'n beheerder vir sy eie doeleindes geword, wat die ooreenkoms dit ook al noem.
Twee klousules in verskafferkontrakte verdien besondere aandag in 'n KI-konteks. Die eerste is die een wat die verskaffer toelaat om kliëntinhoud te gebruik vir opleiding of vir diensverbetering; indien dit teenwoordig is, maak jy persoonlike data aan 'n ander beheerder bekend en benodig jy 'n basis en 'n kennisgewing vir daardie bekendmaking. Die tweede is die subverwerkerklousule, want modelverskaffers staatmaak gereeld op verdere verskaffers en op infrastruktuur buite die Europese Ekonomiese Gebied, wat die oordragreëls in werking stel. 'n Verwerkingsooreenkoms wat die vereiste onderwerp dek, maar nie beskryf wat werklik met die data gebeur nie, is van min nut in 'n ondersoek.
Laastens, onthou dat die aanspreeklikheidsbeginsel die bewyslas op die beheerder plaas. Dit is nie genoeg om voldoenend te wees nie; jy moet dit kan demonstreer, met rekords, assesserings en ooreenkomste wat ooreenstem met die stelsels soos hulle werklik gebou is.
Wat om in plek te stel voordat die volgende projek begin
Nakoming vir groot data word reeds in die ontwerpfase gebou, want die regulasie vereis databeskerming deur ontwerp en by verstek: toepaslike tegniese en organisatoriese maatreëls moet in die verwerking self geïntegreer word, en slegs die persoonlike data wat vir elke spesifieke doel nodig is, mag by verstek verwerk word. Aanpassing is duur en gewoonlik onvolledig.
Vyf dinge maak die verskil in die praktyk. Hou 'n rekord van verwerkingsaktiwiteite wat eintlik die datavloei agter elke model beskryf, eerder as die departemente wat dit besit. Besluit en skryf die wettige basis vir elke verwerkingsoperasie neer, insluitend die verdere verwerking betrokke by opleiding, en hou die wettige belangebepaling daarmee saam. Voer die impakbepaling uit voordat die data saamgestel word, en raadpleeg die toesighoudende owerheid waar die oorblywende risiko hoog bly. Stel 'n dataverwerkingsooreenkoms in plek met elke verskaffer wat die data aanraak, insluitend die verskaffers van die model of die platform, en kyk wat hulle toegelaat word om met jou data te doen vir hul eie doeleindes; die vereistes word uiteengesit in ons gids tot die dataverwerkingsooreenkoms . En kyk waarheen die data gaan: oordragte buite die Europese Ekonomiese Gebied benodig 'n oordragmeganisme kragtens Hoofstuk V van die regulasie en 'n oordrag-impakbepaling, en die posisie van individuele derde lande kan verander.
Maak bowenal seker dat die mense wat die modelle bou en die mense wat die risiko beoordeel, aan dieselfde dokument werk. Die fondamente van die regulasie self word opgesom in ons oorsig van die Algemene Verordening oor Databeskerming , en die spesifieke vrae wat ontstaan deur persoonlike data in 'n KI-stelsel te plaas, van outomatiese besluitneming tot die regte van die mense wat geraak word, word in ons gepaardgaande artikel oor AVG en KI in Nederland behandel.
'n Paar algemene vrae
Watter wettige basis moet ons gebruik vir die opleiding van 'n KI-model
In die meeste kommersiële omgewings is die antwoord wettige belange, ondersteun deur 'n skriftelike assessering wat die belang, die noodsaaklikheid en die balanseringsoefening dek. Toestemming is verkieslik waar die data sensitief is of die gebruik die betrokke mense sou verras, maar dit moet werklik vry en herroepbaar wees, wat moeilik is om vir 'n opleidingstel te organiseer. Noodsaaklikheid vir 'n kontrak dek amper nooit modelontwikkeling nie, want die opleiding is nie wat die kliënt gevra het nie. Watter grond jy ook al kies, teken dit aan voordat die verwerking begin: die keuse van 'n basis retrospektief word as geen basis hoegenaamd beskou nie.
Is die AVG steeds van toepassing as ons die data eers anoniem maak
Slegs indien die anonimisering werklik werk. Data is anoniem wanneer heridentifikasie nie meer redelikerwys vir enigiemand moontlik is nie, met inagneming van al die middele wat waarskynlik gebruik sal word en ander datastelle wat daarmee gekombineer kan word. Die verwydering van name, die vervanging van identifiseerders met hashes of die samevoeging tot klein groepies voldoen gewoonlik nie aan daardie standaard nie, en die resultaat is gepseudoniemiseerde data, wat ten volle onderhewig bly aan die regulasie. Waar anonimisering die basis is om 'n projek as buite die bestek te beskou, moet daardie gevolgtrekking getoets en gedokumenteer word, en hersien word wanneer die datastel verander.
Kan ons op die navorsingsuitsondering staatmaak om kliëntdata te hergebruik
Selde. Verdere verwerking vir wetenskaplike of statistiese doeleindes word as versoenbaar met die oorspronklike doel beskou, maar die uitsondering is gemik op navorsing wat volgens erkende metodologiese standaarde uitgevoer word en onderhewig is aan waarborge soos pseudonimisasie en toegangsbeperkings. Produkontwikkeling of modelverbetering wat deur 'n kommersiële party vir eie voordeel uitgevoer word, word nie navorsing nie, want dit behels datawetenskap. Indien die versoenbaarheidstoets nie op sy eie meriete nagekom word nie, benodig jy 'n nuwe wettige basis en, in die meeste gevalle, nuwe inligting vir die betrokke individue.
Wat gebeur as iemand toestemming terugtrek nadat 'n model opgelei is
Terugtrekking tree in werking vir die toekoms en maak nie vroeëre verwerking terugwerkend onwettig nie, maar dit beteken wel dat die data nie meer op daardie basis gebruik mag word nie. Prakties vereis dit die vermoë om die individu uit die opleidingstel en uit funksiebergings en logboeke te verwyder, en om die model weer op te lei of andersins te verseker dat dit nie meer daardie persoon se data weerspieël waar dit so bewys kan word nie. Dit is een van die redes waarom toestemming 'n moeilike basis vir modelopleiding is, en dit is 'n vraag wat die moeite werd is om in die ontwerpfase te beantwoord eerder as nadat die eerste versoek arriveer het.
Hoe Law and More kan help
Law and More adviseer Nederlandse en internasionale organisasies oor die databeskermingskant van analise en KI: die keuse en dokumentasie van 'n wettige basis, die uitvoering van wettige belange-assesserings en impakstudies, die opstel van privaatheidsverklarings en verwerkingsooreenkomste wat ondersoek deurstaan, die reaksie op die Autoriteit Persoonsgegevens, en die verdediging van eise wat deur individue of verteenwoordigende stigtings ingestel word. As u 'n datagedrewe projek beplan of 'n reguleerder reeds met u in verbinding was, is ons bly om die lêer saam met u te bekyk.
Hoe Law & More kan jou hiermee help, word op ons verduidelik IT-prokureur bladsy.
