Pirmsskolas skolotāja Anna vēlas sagatavot pārsteigumu vecākiem - animētu video, kurā viņas grupiņas bērni attēloti kā pasaku tēli. Lai to izveidotu, Anna augšupielādē bērnu fotogrāfijas mākslīgā intelekta (MI) rīkā. Savukārt ikdienas darba atvieglošanai viņa citā rīkā ievieto bērnu un vecāku vārdus, uzvārdus un adreses, lūdzot sakārtot šo informāciju tabulā. Anna zina, ka vecāki ir piekrituši bērnu fotografēšanai un fotogrāfiju publicēšanai iestādes tīmekļvietnē, tāpēc pieņem, ka šos datus drīkst izmantot arī izvēlētajos rīkos. Vai viņas pieņēmums ir pareizs?
Atļauja fotografēt un publicēt bērna attēlu nav vispārēja atļauja jebkādai šī attēla izmantošanai. Piekrišana attiecas uz konkrētiem nolūkiem, par kuriem vecāki ir informēti. Tādēļ piekrišana fotografēšanai un attēlu publicēšanai iestādes tīmekļvietnē automātiski nenozīmē, ka tos var lejuplādēt arī MI rīkā.[1] Arī iestādes vadītāja atļauja izmantot rīku pati par sevi neaizstāj personas datu apstrādes tiesisko pamatu.[2]
Personas datu apstrāde notiek jau tad, kad identificējama bērna fotogrāfija vai bērnu un vecāku dati tiek augšupielādēti rīkā, pat ja iegūto rezultātu nepublicē.[3] Tāpēc Annai vēl pirms datu ievadīšanas jāpārliecinās, ka iestāde ir izvērtējusi konkrētā rīka izmantošanu šādam uzdevumam.
Iestādei:
jānosaka apstrādes nolūks un tiesiskais pamats;
jāizvērtē, kādi dati patiešām nepieciešami;
jānodrošina atbilstoša informēšana.
Atgādinām, ka piekrišana NAV vienīgais iespējamais tiesiskais pamats, taču arī saņemta piekrišana neatbrīvo no pārējo datu aizsardzības prasību ievērošanas.
Pirms datu augšupielādes jāizvērtē arī pats pakalpojums. Iestādei jānoskaidro, vai pakalpojuma sniedzējs saglabā ievadīto informāciju, izmanto to savu modeļu apmācībai, nodod citiem un kā nodrošina tās dzēšanu. Jāizvērtē pakalpojuma sniedzēja loma un piemērojamās prasības, tostarp nepieciešamība noslēgt datu apstrādes līgumu, ja tas apstrādā datus iestādes vārdā. Ja dati tiek nosūtīti ārpus Eiropas Ekonomikas zonas, jāievēro arī šādai nosūtīšanai noteiktās prasības.[4] Tas, ka rīks ir populārs un viegli pieejams, nenozīmē, ka tajā pilnīgi droši var ievadīt personas datus.
Vai Anna savu ieceri var īstenot, neievadot personas datus? Lai ar MI rīka palīdzību izveidotu tabulu, viņa var ievadīt izdomātus datus vai lūgt rīkam sagatavot tukšu tabulas paraugu. Īstos datus pēc tam var ievadīt iestādes apstiprinātajā vidē. Savukārt radošam video var izvēlēties ilustrācijas vai izdomātus tēlus, neaugšupielādējot bērnu fotogrāfijas.
Iestādei jānosaka, kurus rīkus darbinieki drīkst izmantot un kādus datus tajos atļauts ievadīt, kā arī šī kārtība jāizskaidro darbiniekiem. Ja konkrētais rīks un tā izmantošana nav izvērtēta, Annai pirms personas datu ievadīšanas jāvēršas pie iestādes vadības vai datu aizsardzības speciālista.[5]
MI rīki piedāvā arvien jaunas iespējas, un populārās idejas bieži gribas izmēģināt arī pašiem. Tomēr, pirms sekot kādam “trendam”, jāpadomā, kādus personas datus ievadām rīkā un kas ar tiem notiks tālāk. Arī tad, ja iecere ir tikai iepriecināt vecākus vai atvieglot ikdienas darbu, vispirms jāizvērtē, vai to var īstenot bez bērnu un vecāku personas datu ievadīšanas.
Būsim pateicīgi, ja skaidrojuma kvalitātes novērtēšanas nolūkos aizpildīsiet šo aptauju - https://www.visidati.lv/aptauja/10413182/.
ATSAUCES
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (turpmāk – Datu regula) 4. panta 11. punkts, 5. panta 1. punkta “b” apakšpunkts un 6. panta 1. punkta “a” apakšpunkts.
Datu regulas 5. panta 1. un 2. punkts, 6. panta 1. punkts un 13. pants.
Datu regulas 4. panta 1. un 2. punkts.
Datu regulas 24., 28. un 32. pants un V nodaļa.
Datu regulas 24. un 29. pants un 32. panta 4. punkts.
