ochrona prywatności/danych osobowych - prawne aspekty nowych technologii

Z początkiem ubiegłego miesiąca Grupa Robocza ds. Art. 29 opublikowała Wytyczne w sprawie zautomatyzowanego podejmowania decyzji i profilowania w indywidualnych przypadkach. Objaśniają one znaczenie przepisów art. 21 i 22 RODO i – choć ich tytuł może na to nie wskazywać – stanowią kolejny element ram prawnych dla rozwoju i wykorzystania sztucznej inteligencji. Jednocześnie już teraz pokazują, że ramy te mogą być naprawdę ciasne.

Ogólne rozporządzenie o ochronie danych osobowych (RODO), wchodzące w życie 25 maja 2018 r., nie jest jedyną rewolucją przygotowywaną przez Unię Europejską w zakresie ochrony prywatności. Również projekt rozporządzenia w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej (tzw. rozporządzenie o ePrivacy) wzbudza coraz większe kontrowersje i może wpłynąć na kształt współczesnego internetu.

Wiele startupów oferuje usługi analizy Big Data oparte na algorytmach wykorzystujących uczenie się maszynowe. Wynikami takich analiz mogą być zainteresowane wszystkie podmioty, które profilują swoje produkty lub działania marketingowe. Aby jednak analizy były wiarygodne, konieczne są dane: im więcej, tym lepiej. Algorytmy wykorzystujące uczenie się maszynowe muszą mieć na czym się uczyć. Od zakresu dostarczonych im danych treningowych zależeć będzie celność prognoz dokonywanych później w celach biznesowych. Jeśli algorytm od początku będzie skazany na analizę okrojonej próby obserwacji, rośnie ryzyko, że nietrafnie pogrupuje dane, pominie ważne korelacje lub powiązania przyczynowo-skutkowe albo dopatrzy się ich tam, gdzie ich nie ma. Dopiero szkolenie algorytmu na dużych zestawach danych pozwala zminimalizować ryzyko uchybień w diagnozach i prognozach.

Zawieranie umów w formie elektronicznej nie przestaje budzić wątpliwości (o czym pisaliśmy już na blogu). Lista pytań wydłuża się wraz z niedalekim wejściem w życie unijnego rozporządzenia o ochronie danych osobowych (RODO).

RODO przewiduje, że administrator danych będzie mógł powierzyć przetwarzanie takich danych podmiotowi przetwarzającemu (procesorowi), który z kolei będzie mógł zdać się w tym zakresie na dalszego podwykonawcę (subprocesora). W obu przypadkach, umowy powierzające powinny mieć „formę pisemną, w tym formę elektroniczną”. Czy chodzi tu jednak tylko o taką formę elektroniczną, jaką dopuszcza Kodeks cywilny, tzn. z kwalifikowanymi podpisami elektronicznymi (e-podpisami)? Co najmniej pięć argumentów wskazuje, że nie.

W grudniu 2012 r. zmarła piętnastolatka, która wpadła pod pociąg w berlińskim metrze. Nie wiedząc, czy śmierć córki była samobójstwem czy nieszczęśliwym wypadkiem, jej matka postanowiła zalogować się na konto córki na Facebooku i przeczytać jej wiadomości, licząc, że to pomoże wyjaśnić sprawę.

Po nieudanych próbach odgadnięcia hasła matka zmarłej zwróciła się do Facebooka o udostępnienie danych córki i umożliwienie odczytania jej prywatnych konwersacji. Facebook odmówił dostępu do konta, które zostało przekształcone w konto „upamiętniające”. Zostało ono skutecznie zablokowane, a oś czasu służyła jako miejsce wymiany wspomnień znajomych zmarłej dziewczynki.

10 stycznia 2017 r. Komisja Europejska przedstawiła propozycję działań związanych z europejską gospodarką opartą na danych. Plan jest częścią inicjatywy wspólnego rynku cyfrowego i ma stanowić unijną odpowiedź na nowe wyzwania technologiczne, takie jak internet rzeczy, robotyka, dane tworzone maszynowo i Big Data. Zmiany mają obejmować m.in. zniesienie ograniczeń dla umiejscowienia danych, stworzenie praw ochronnych do danych, ułatwienie przenoszenia danych między usługami, zapewnienie interoperacyjności danych oraz stworzenie reżimu odpowiedzialności za działania maszyn autonomicznych.