Tiekėjo kontrolinis sąrašas
Paklauskite kiekvieno DI tiekėjo apie šiuos punktus:
- Ar yra duomenų tvarkymo sutartis pagal BDAR 28 straipsnį?
- Kur saugomi duomenys ir kokie yra subrangovai?
- Ar klientų duomenys naudojami DI modelių mokymui?
- Kaip apsaugomi prieigos duomenys ir konfidencialūs laukai?
- Kas komandoje ką mato ir ar tai galima nustatyti kiekvienam asmeniui?
- Ar registruojama, ką DI padarė?
Prieigos teisės: DI neturi rodyti daugiau nei žmogus
Dažnai nepastebimas punktas: DI, kuri žino viską, gali netyčia suteikti informacijos asmenims, kurie neturėtų jos matyti. Todėl DI atsakymams turi būti taikomos tos pačios teisės, kaip ir klausiančiam asmeniui. Asmeninės užduotys, privatūs kalendoriai ir kitų asmenų pašto dėžutės neturi būti įtrauktos į atsakymą kolegoms.
Ko papildomai reikalauja ES DI aktas
Nuo 2025 m. vasario mėn. įmonės, naudojančios DI, privalo užtikrinti pakankamą savo darbuotojų DI kompetenciją (4 straipsnis). Tie, kurie bendrauja su žmonėmis per DI, privalo tai atskleisti (50 straipsnis). Didelės rizikos sistemoms taikoma veiksminga žmogaus priežiūra (14 straipsnis).
JK, JAV ir Kanada
Jungtinėje Karalystėje galioja JK BDAR su labai panašiais principais. JAV nėra vieningo federalinio įstatymo, tačiau yra valstijų įstatymai, tokie kaip Kalifornijos vartotojų privatumo aktas. Kanadoje PIPEDA reglamentuoja asmens duomenų tvarkymą privačiame sektoriuje. Aukščiau pateiktas kontrolinis sąrašas visur yra geras atspirties taškas.
Kas ką daro?
AIRIS paruošia
- Duomenų saugojimas ES: Duomenų bazė yra Frankfurte, failai – ES duomenų centruose. Klientų duomenys nenaudojami DI modelių mokymui.
- Teisės galioja ir AIRIS: AIRIS kiekvienam rodo tik tai, ką jis pats gali matyti. Užduotys ir kalendoriai yra asmeniniai, pašto dėžutės priklauso tik vienai įmonei.
- Protokolas ir patvirtinimai: Kas AIRIS daroma, yra registruojama. Kaip savarankiškai ji dirba, nustatote kiekvienai užduočiai.
- DI kompetencija pagal ES DI aktą: Mokymai su sertifikatu Jūsų komandai.
Jūs sprendžiate
- Kokius duomenis apskritai įtraukti į DI sistemą, sprendžia įmonė, o ne tiekėjas.
- Ypatingoms kategorijoms, tokioms kaip sveikatos duomenys, reikia atskiro patikrinimo.
- Šis vadovas nepakeičia teisinės konsultacijos.
