EU priprema izmjene GDPR-a: Tko će smjeti koristiti vaše podatke za AI?

Pod kojim uvjetima tehnološke kompanije smiju koristiti osobne podatke građana za razvoj umjetne inteligencije? To je pitanje izazvalo spor nakon što je Vijeće Europske unije 21. listopada podržalo prijedlog izmjena GDPR-a, europske uredbe o zaštiti osobnih podataka. Udruga za zaštitu privatnosti (noyb) upozorava na pogodovanje velikim tehnološkim kompanijama, dok Vijeće tvrdi da želi pojednostavniti pravila i zadržati zaštitu građana. Međutim, izmjene još nisu konačno usvojene.

Prijedlog izričito predviđa da tvrtke za razvoj i rad AI-ja mogu obrađivati osobne podatke na temelju takozvanog legitimnog interesa. To znači da za obradu ne moraju uvijek tražiti privolu osobe na koju se podaci odnose, ali moraju poštovati uvjete iz GDPR-a.

Privola nije uvijek potrebna

Legitimni interes već postoji u GDPR-u. Tvrtka se na njega može pozvati ako ima opravdan razlog za obradu podataka, ako je obrada nužna za ostvarenje tog razloga i ako pritom ne prevladavaju prava i slobode pojedinca.

Drugim riječima, nije dovoljno da kompanija kaže kako su joj podaci korisni za poslovanje. Mora procijeniti i kakve posljedice njihovo korištenje ima za ljude čije podatke obrađuje, a posebnu zaštitu imaju djeca.

Prijedlog Vijeća zato ne znači da bi tvrtke automatski smjele koristiti sve osobne podatke čim ih povežu s umjetnom inteligencijom. U popratnom tekstu prijedloga izričito piše da razvoj i rad AI-ja sami po sebi nisu legitiman interes, pa opravdanost obrade treba procijeniti za svaki slučaj posebno, ovisno o tome čemu ona služi.

Zašto kritike?

Noyb smatra da bi posebno izdvajanje AI-ja u GDPR-u ipak olakšalo kompanijama korištenje osobnih podataka i oslabilo zaštitu građana. Udruga upozorava da bi tehnološki divovi mogli dobiti širok prostor za korištenje podataka koje su prikupljali desetljećima. Njezin osnivač Max Schrems prijedlog naziva 'digitalnim izvlaštenjem' Europljana.

Udruga osporava i tvrdnju da bi takva promjena nužno pomogla europskim tvrtkama. Još je u rujnu upozorila da većina njih nema ni količinu podataka ni kapital kojima raspolažu američki tehnološki divovi. Prema toj ocjeni, lakše korištenje podataka najveću bi prednost donijelo kompanijama koje ih već imaju najviše, uglavnom američkim kompanijama.

Građani mogu prigovoriti, ali obrada ne mora stati

Jedna važna promjena odnosi se na mogućnost građana da odbiju takvo korištenje svojih podataka. Raniji prijedlog Europske komisije predviđao je bezuvjetno pravo na prigovor, ali je Vijeće tu formulaciju uklonilo i zamijenilo je upućivanjem na postojeće pravo na prigovor iz GDPR-a. Naime, prema postojećem pravilu, osoba može prigovoriti obradi zbog svoje posebne situacije, ali tvrtka u određenim okolnostima može nastaviti koristiti podatke. Za to mora dokazati uvjerljive legitimne razloge koji prevladavaju nad pravima pojedinca ili pokazati da je obrada potrebna radi pravnih zahtjeva. Sam prigovor, dakle, ne jamči da će korištenje podataka prestati.

Konačna odluka još nije donesena

Europski odbor za zaštitu podataka i Europski nadzornik za zaštitu podataka već su u veljači ocijenili da posebna odredba o legitimnom interesu za AI nije potrebna jer ta mogućnost postoji i danas. U mišljenju o ranijem Komisijinu prijedlogu zatražili su jasnije uvjete i zaštitu građana ako se takva odredba ipak zadrži. Vijeće tvrdi da izmjenama želi smanjiti administrativno opterećenje i olakšati poslovanje, uz očuvanje zaštite osobnih podataka.