Dirbtinio intelekto ir automatizuoto sprendimų priėmimo privatumo politika

Dirbtinio intelekto ir automatizuoto sprendimų priėmimo privatumo politika apibrėžia privalomus privatumo reikalavimus dirbtinio intelekto, profiliavimo, vertinimo balais, rekomendavimo, sprendimų priėmimo paramos ir automatizuoto sprendimų priėmimo veikloms, susijusioms su asmenį identifikuojančia informacija (AII). Jos taikymo sritis apima DI palaikomas sistemas, taikomąsias programas, modelius, paslaugas, darbo eigas, sprendimų priėmimo variklius, analizės modelius ir automatizuoto sprendimų priėmimo procesus, kurie naudoja, išveda, generuoja, atskleidžia ar kitaip tvarko AII PIMS taikymo srityje. Ji taip pat apima AII, naudojamą mokymui, testavimui, validavimui, derinimui, stebėsenai, produkcinės aplinkos išvedimui, išvesties peržiūrai, veiklos matavimui, incidento tyrimui ir modelio eksploatacijos nutraukimui. Politika taikoma duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstuose, įskaitant su DI susijusius tiekėjus, duomenų tvarkytojus, subtvarkytojus, duomenų bendrinimo gavėjus ir tarptautinio perdavimo kelius. Politikos tikslas – užtikrinti, kad DI, profiliavimo ir automatizuoto sprendimų priėmimo veiklos, susijusios su AII, būtų identifikuotos, dokumentuotos, įvertintos pagal riziką, skaidrios, užginčijamos, stebimos ir kontroliuojamos per PIMS, nekuriant dubliuojančių DI skirtų valdysenos artefaktų. Joje aiškiai nustatyta, kad ji nesukuria išsamios DI valdysenos sistemos, DI valdymo sistemos, DI apskaitos, modelių apskaitos, modelių rizikos registro, sąžiningumo registro, algoritmų registro, DI incidentų registro, DI komiteto, modelio savininko vaidmens, DI sistemos savininko vaidmens, teisinės konsultacijos darbo eigos ar atskiros DI patvirtinimo formos. Vietoj to joje reikalaujama su DI susijusias privatumo prievoles pagrįsti esamais kanoniniais įrodymų objektais: REG02, REG04, REG06, REG07, REG08, REG09, REG10 ir REG12. Operaciniu požiūriu politika reikalauja, kad procesų savininkai / verslo savininkai nustatytų, ar naujos arba iš esmės pakeistos sistemos, darbo eigos ar verslo procesai naudoja DI, profiliavimą, vertinimą balais, rekomendavimą, sprendimų priėmimo paramą ar automatizuotą sprendimų priėmimą, susijusį su AII, ir šį nustatymą įrašytų REG02. Prieš pradedant su DI susijusį AII tvarkymą, politika reikalauja dokumentuoti tvarkymo tikslą, AII kategorijas, duomenų subjektų kategorijas, duomenų šaltinius, numanomų ar išvestinių duomenų kategorijas, išvesties kategorijas, gavėjų kategorijas, teisinį pagrindą ir saugojimo sąsają. Profiliavimui, vertinimui balais, rekomendavimui, sprendimų priėmimo paramai ar automatizuotam sprendimų priėmimui, naudojamam produkcinėje aplinkoje, REG02 ir REG04 turi būti dokumentuojamas sprendimo kontekstas, numatomas poveikis duomenų subjektams, žmogaus dalyvavimas ir teisių įgyvendinimo kelias. Rizikos valdysena yra esminė šios politikos dalis. Prieš pradedant arba iš esmės keičiant su DI susijusį AII tvarkymą, privatumo vadovas / PIMS vadovas turi atlikti pirminį privatumo rizikos vertinimą ir REG04 įrašyti DPIA sprendimą. Kai tvarkymas apima profiliavimą, automatizuotus sprendimus, plataus masto vertinimą, specialių kategorijų duomenis, duomenis apie nusikalstamas veikas, pažeidžiamus duomenų subjektus, darbuotojų vertinimą, vaikus, elgsenos stebėseną, vietos duomenis, biometrinius duomenis, didelio poveikio vertinimą balais ar reikšmingą poveikį, duomenų apsaugos pareigūnas / privatumo konsultantas turi peržiūrėti privatumo riziką ir REG04 įrašyti konsultaciją. Jei po suplanuoto rizikos tvarkymo lieka didelė liekamoji privatumo rizika, aukščiausioji vadovybė prieš naudojimą produkcinėje aplinkoje turi ją patvirtinti, atmesti arba pareikalauti papildomo tvarkymo, o sprendimas turi būti įrašytas REG04 ir REG12. Politika taip pat nustato skaidrumo, prasmingos informacijos, minimizavimo, teisių tvarkymo, stebėsenos, tiekėjų ir įgyvendinimo kontrolės priemones. Privatumo pranešimo turinyje turi būti aprašytas su DI susijęs tikslas, duomenų kategorijos, išvesties kategorijos, gavėjų kategorijos, teisių įgyvendinimo kelias ir kontaktinis kelias, o pranešimo versijos turi būti įrašytos REG07. Žmogaus atliekamos peržiūros, prieštaravimo ir sprendimo užginčijimo keliai yra privalomi su DI susijusiems sprendimams, turintiems teisinį, tinkamumo, prieigos, darbo santykių, finansinį, švietimo, paslaugų, saugos ar panašiai reikšmingą poveikį. Tiekėjai ir duomenų tvarkytojai turi būti valdomi per REG08, o tarptautiniai duomenų perdavimai nukreipiami per REG09. Stebėsenos kriterijai turi apimti įvesties pakeitimus, išvesties pakeitimus, teisių klausimus, neigiamus privatumo rezultatus, neautorizuotą naudojimą ir skundų tendencijas, o aktyviam didelio poveikio su DI susijusiam AII tvarkymui turi būti atliekama ketvirtinė peržiūra; neatitiktys arba korekciniai veiksmai registruojami REG12.