Status firmy windykacyjnej wykorzystującej własne modele sztucznej inteligencji
Firma windykacyjna, która prowadzi działalność wykorzystując własne modele sztucznej inteligencji, może być uznana za administratora, jeśli samodzielnie decyduje o celach i sposobach przetwarzania danych.
W ostatnim czasie jedna z firm windykacyjnych wykorzystująca własne modele sztucznej inteligencji spytała Prezesa UODO, jaki jest jej status w rozumieniu RODO.
W odpowiedzi organ nadzorczy, zastrzegając, że wiążące stanowisko może zająć jedynie w decyzji administracyjnej wydanej po przeprowadzeniu postępowania administracyjnego bądź kontrolnego, w toku którego zostaną ustalone wszystkie okoliczności sprawy, udzielił kierunkowych wskazówek.
Kryteria wyznaczania administratora
Zaznaczył, że definicja „administratora” zawarta w art. 4 pkt 7 RODO ma przede wszystkim znaczenie funkcjonalne. To, jaki podmiot pełni funkcję administratora, w każdym przypadku wynika z okoliczności faktycznych. Administratorem jest więc ten podmiot, który zgodnie z zakresem przysługujących mu kompetencji i zadań bierze udział w procesach przetwarzania, wykonuje operacje na danych osobowych, decydując o ich celach i sposobach.
Pomocne wytyczne i opinia EROD
Jak wskazuje Europejska Rada Ochrony Danych (EROD) w Wytycznych 07/2020 dotyczących pojęć administratora i podmiotu przetwarzającego zawartych w RODO (wersja 2.0, przyjęta 7 lipca 2021 r.) „częściej ma jednak miejsce sytuacja, w której przepisy prawa, zamiast bezpośrednio wyznaczyć administratora danych lub określić kryteria jego wyznaczania, ustalają zadanie lub nakładają na kogoś obowiązek gromadzenia i przetwarzania niektórych danych. W takim przypadku określenie, kto jest administratorem, wynika z prawa. Administratorem będzie zazwyczaj administrator wyznaczony przez prawo do realizacji tego celu, tego zadania publicznego”. EROD zaznacza też, że „pojęcie administratora jest pojęciem funkcjonalnym, opiera się ono raczej na analizie okoliczności faktycznych niż analizie formalnej”, czyli „rola administratora nie wynika z charakteru podmiotu przetwarzającego dane, ale z jego konkretnych działań w określonym kontekście”.
Stosownie zaś do wyroku NSA z 30.01.2002 r., sygn. akt II SA 1098/01 „administratorem jest ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych”.
Należy wziąć również pod uwagę przyjętą 17 grudnia 2024 r. opinię EROD 28/2024 w sprawie niektórych aspektów ochrony danych związanych z przetwarzaniem danych w kontekście modeli AI. Oceniając, jakie mechanizmy sztucznej inteligencji będą mogły mieć zastosowanie, należy przede wszystkim uwzględnić wprowadzane obecnie do polskiego porządku prawnego rozporządzenie 2024/1689, czyli akt w sprawie sztucznej inteligencji.
Potrzebne przeprowadzenie oceny skutków dla ochrony danych
Istotne jest także przeprowadzenie oceny skutków dla ochrony danych, o której mowa w art. 35 ust. 1 RODO. Co ważne, nie jest ona tożsama z dokonaniem oceny wynikającej z art. 27 aktu w sprawie sztucznej inteligencji – tj. oceny skutków systemów AI wysokiego ryzyka dla praw podstawowych – choć te dwie oceny mogą ze sobą być połączone. Ma to niezwykle istotne znaczenie przy przetwarzaniu danych szczególnych kategorii (art. 9 RODO) oraz danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Wprowadzanie takich rozwiązań – ze względu na rodzaj przetwarzania, w szczególności z użyciem nowych technologii, którego charakter, zakres, kontekst i cele z dużym prawdopodobieństwem mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych – implikuje zasadność przeprowadzenia testu prywatności i oceny skutków dla ochrony danych.
Przeprowadzenie oceny skutków dla ochrony danych ułatwia zbadanie ryzyk oraz wykazanie zgodności z zasadami dotyczącymi przetwarzania danych osobowych wynikającymi z art. 5 RODO oraz spełnienia warunków przetwarzania danych osobowych określonych w art. 6 ust. 3 tego rozporządzenia, a także pozwala ocenić, czy przyjmowane rozwiązania przewidują jednocześnie odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.
Firma windykacyjna, która prowadzi działalność wykorzystując własne modele sztucznej inteligencji, samodzielnie określając kryteria profilowania, parametry analityczne, zakres i sposób wykorzystywania danych, sposób wykorzystania wyników generowanych przez modele sztucznej inteligencji, może spełniać przesłanki administratora danych osobowych określone w art. 4 pkt 7 RODO, jeśli samodzielnie decyduje o celach i sposobach przetwarzania danych. Jeżeli wykorzystuje dane do rozwijania własnych modeli AI, realizuje własny cel przetwarzania, co stanowi okoliczność przemawiającą za przypisaniem jej statusu administratora danych (w określonych przypadkach także współadministratora w rozumieniu art. 26 RODO).
Właściwie przeprowadzona ocena skutków dla ochrony danych z pewnością przyczyni się do zapewnienia, aby wdrażane rozwiązania odpowiadały zasadzie zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych oraz rozliczalności oraz prawidłowego określenia ról podmiotów biorących udział w procesach przetwarzania danych.
