जीडीपीआर आणि बिग डेटा: नेदरलँड्समध्ये एआय प्रशिक्षणासाठी कायदेशीर आधार

तुम्ही जनरल डेटा प्रोटेक्शन रेग्युलेशन (GDPR) अंतर्गत बिग डेटा वापरू शकता आणि एआय मॉडेल्सना प्रशिक्षित करू शकता, परंतु केवळ तेव्हाच जेव्हा तुम्ही सुरुवात करण्यापूर्वी GDPR च्या कलम ६ अंतर्गत एक कायदेशीर आधार नमूद करता आणि ती प्रक्रिया त्या उद्देशासाठी आवश्यक असते. प्रशिक्षणासाठी विद्यमान ग्राहक डेटाचा पुनर्वापर करणे ही एक पुढील प्रक्रिया आहे, जिला GDPR च्या कलम ६(४) ची सुसंगतता चाचणी उत्तीर्ण करणे आवश्यक आहे. डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) यावर देखरेख ठेवते आणि २० दशलक्ष युरो किंवा जागतिक वार्षिक उलाढालीच्या ४% पर्यंत दंड आकारू शकते.

मोठा डेटा संच वैयक्तिक डेटा केव्हा असतो?

जवळजवळ नेहमीच. GDPR च्या कलम 4(1) नुसार, डेटा वैयक्तिक मानला जातो जर तो अशा व्यक्तीशी संबंधित असेल, जिची ओळख तुमच्याद्वारे किंवा इतर कोणाद्वारेही, वापरल्या जाण्याची वाजवी शक्यता असलेल्या सर्व साधनांचा विचार करून, पटू शकते.

त्यामुळे, डिव्हाइस आयडेंटिफायर, लोकेशन ट्रेस, ट्रान्झॅक्शन रेकॉर्ड आणि क्लिकस्ट्रीम हे नावे नसतानाही सामान्यतः वैयक्तिक डेटा असतात. छद्मनामित डेटा, ज्यामध्ये आयडेंटिफायर बदलले जातात परंतु की (key) अजूनही अस्तित्वात असते, तो वैयक्तिक डेटाच राहतो. केवळ अनामिक डेटा, ज्यामध्ये कोणासाठीही पुन्हा ओळख पटवणे वाजवीपणे शक्य नसते, तो GDPR च्या कक्षेबाहेर येतो.

अनामीकरणासाठीचे निकष कठीण आहेत: हॅशिंग, एकत्रीकरण किंवा थेट ओळख काढून टाकल्याने अनेकदा लोकांना पुन्हा ओळखण्यासाठी पुरेशी माहिती शिल्लक राहते. जोपर्यंत दस्तऐवजीकृत पुनर्ओळख विश्लेषण वेगळे काही दर्शवत नाही, तोपर्यंत डेटासेटला वैयक्तिक डेटा माना. युरोपियन डेटा प्रोटेक्शन बोर्ड (EDPB) ने असेही म्हटले आहे की वैयक्तिक डेटावर प्रशिक्षित मॉडेलला आपोआप अनामित मानले जाऊ शकत नाही, कारण त्यातून वैयक्तिक डेटा काढला जाऊ शकतो.

एआय प्रशिक्षणासाठी तुम्ही कोणता कायदेशीर आधार वापरू शकता?

GDPR च्या कलम 6(1) मध्ये सहा आधार सूचीबद्ध आहेत; मोठ्या प्रमाणावरील विश्लेषणासाठी त्यापैकी फक्त तीनच वास्तववादी आहेत. बहुतेक व्यावसायिक परिस्थितीत, लेखी मूल्यांकनाद्वारे समर्थित वैध हितसंबंध हाच आधार असेल.

संमती स्वेच्छेने दिलेली, विशिष्ट, माहितीपूर्ण आणि निःसंदिग्ध असली पाहिजे, आणि ती देण्याइतकीच मागे घेणेही सोपे असले पाहिजे (जीडीपीआर कलम ७). प्रशिक्षण संचासाठी हे आयोजित करणे कठीण आहे, कारण एकदा मॉडेलला प्रशिक्षित केल्यानंतर, संमती मागे घेतल्यास काय करायचे यासाठी तुम्हाला एका मार्गाची आवश्यकता असते.

कराराच्या पूर्ततेसाठीची आवश्यकता मर्यादित असते. व्यक्तीने मागितलेल्या सेवेची वस्तुनिष्ठ आवश्यकता हीच कसोटी आहे; युरोपियन युनियनच्या न्याय न्यायालयाने वर्तणूक-आधारित जाहिरात आणि वैयक्तिकरणापर्यंत हा आधार वाढवण्याचे प्रयत्न फेटाळून लावले आहेत.

वैध हितसंबंधांसाठी (जीडीपीआर कलम ६(१)(फ)) तीन लेखी टप्पे आवश्यक आहेत: एक वास्तविक आणि कायदेशीर हितसंबंध, कमी हस्तक्षेप करणारे दुसरे कोणतेही साधन अस्तित्वात नसल्यामुळे असलेली आवश्यकता, आणि संबंधित लोकांचे हक्क व वाजवी अपेक्षा यांच्याशी संतुलन साधणे. युरोपियन कोर्ट ऑफ जस्टिसने पुष्टी केली आहे की व्यावसायिक हितसंबंध हे एक वैध हितसंबंध असू शकते, परंतु केवळ तेव्हाच जेव्हा आवश्यकता आणि संतुलनाच्या कसोट्या प्रत्यक्षात पूर्ण होतात.

विशेष श्रेणी आणि अनुमानित डेटाबद्दल काय?

आरोग्य, वांशिक मूळ, राजकीय मते, धर्म, कामगार संघटनेचे सदस्यत्व, लैंगिक जीवन किंवा लैंगिक प्रवृत्ती यावरील डेटा आणि ओळखीसाठी वापरला जाणारा बायोमेट्रिक किंवा जनुकीय डेटा, केवळ GDPR च्या कलम ९ मधील एका अपवादांतर्गतच प्रक्रिया केला जाऊ शकतो. व्यावसायिक संदर्भात याचा अर्थ सहसा स्पष्ट संमती असा होतो.

विशेष श्रेणीतील डेटा हेतुपुरस्सर गोळा करणे आवश्यक नाही. खरेदी, ठिकाणे किंवा मुक्त-मजकूर क्षेत्रांमधून एखाद्या संरक्षित वैशिष्ट्याचा अंदाज लावता येत असल्यास, अधिक कठोर नियम लागू होतात. विकासादरम्यान अशा वैशिष्ट्यांसाठी पर्यायी म्हणून काम करणारी वैशिष्ट्ये ओळखा.

मॉडेलला प्रशिक्षित करण्यासाठी तुम्ही विद्यमान डेटाचा पुनर्वापर करू शकता का?

केवळ नवीन उद्देश मूळ उद्देशाशी सुसंगत असेल तरच. GDPR च्या कलम 5(1)(b) नुसार, ज्या उद्देशांसाठी डेटा गोळा केला गेला होता, त्या उद्देशांशी विसंगत पद्धतीने त्यावर पुढील प्रक्रिया केली जाऊ शकत नाही.

GDPR च्या कलम 6(4) मधील चाचणीमध्ये उद्देश, संदर्भ आणि संबंधित लोकांच्या वाजवी अपेक्षा, डेटाचे स्वरूप, संभाव्य परिणाम आणि छद्मनामीकरण (pseudonymisation) किंवा एनक्रिप्शन (encryption) यांसारख्या सुरक्षा उपायांमधील संबंध तपासला जातो. जिथे ऑपरेशनल लॉग्स ही चाचणी उत्तीर्ण होतात, तिथे वैद्यकीय किंवा आर्थिक नोंदी अनेकदा अयशस्वी ठरतात. जर ही चाचणी पूर्ण झाली नाही, तर तुम्हाला नवीन कायदेशीर आधाराची आवश्यकता असते आणि सामान्यतः संबंधित लोकांना नवीन माहिती द्यावी लागते.

वैज्ञानिक संशोधन किंवा सांख्यिकीसाठी पुढील प्रक्रिया सुसंगत मानली जाते, जर GDPR च्या कलम ८९ मधील सुरक्षा उपाययोजना लागू असतील. संशोधन म्हणून सादर केलेला व्यावसायिक उत्पादन विकास पात्र ठरत नाही. माहिती गोळा करताना उद्देशांचे प्रामाणिकपणे वर्णन करा; नेदरलँड्समधील गोपनीयता धोरणावरील आमचे मार्गदर्शक हे कसे करावे हे स्पष्ट करते.

न्यूनीकरण, धारणा आणि अचूकता यांचा उपयोग कसा होतो?

GDPR च्या कलम 5(1)(c) नुसार, डेटा केवळ आवश्यकतेपुरता मर्यादित असला पाहिजे. कोणती फील्ड्स आवश्यक आहेत, त्यांच्याशिवाय तुम्ही काय तपासले आणि बाकीची फील्ड्स का वगळली, याचे दस्तऐवजीकरण करून तुम्ही मॉडेल डेव्हलपमेंटशी याचा ताळमेळ साधू शकता.

स्टोरेज मर्यादा (कलम ५(१)(इ) GDPR) ट्रेनिंग डेटा, फीचर स्टोअर्स, मॉडेल चेकपॉइंट्स आणि इन्फरन्स लॉग्ज यांना लागू होते, आणि या प्रत्येकाचा स्वतःचा धारणा कालावधी असतो. इन्फरन्स लॉग्ज अनेकदा विसरले जातात आणि त्यांमध्ये ट्रेनिंग सेटपेक्षा जास्त वैयक्तिक डेटा असू शकतो.

अचूकतेमध्ये (कलम ५(१)(डी) जीडीपीआर) मॉडेल आउटपुटचाही समावेश होतो. एखादी व्यक्ती खराब क्रेडिट जोखीम असलेली किंवा संभाव्य फसवणूक करणारी आहे असा निष्कर्ष ही वैयक्तिक माहिती आहे, तो चुकीचा असू शकतो आणि जीडीपीआरच्या कलम १६ अंतर्गत दुरुस्तीच्या अधिकाराच्या अधीन आहे. अशा प्रणाली तयार करा ज्यात असे आउटपुट दुरुस्त केले जाऊ शकते.

डेटा संरक्षण प्रभाव मूल्यांकन केव्हा अनिवार्य आहे?

GDPR च्या कलम ३५ नुसार, जेव्हा डेटा प्रक्रियेमुळे उच्च धोका निर्माण होण्याची शक्यता असते, तेव्हा डेटा संरक्षण प्रभाव मूल्यांकन (DPIA) अनिवार्य आहे. यामध्ये प्रोफाइलिंगचा समावेश आहे, ज्यावर महत्त्वपूर्ण निर्णय आधारित असतात, आणि विशेष श्रेणीतील डेटाच्या मोठ्या प्रमाणावरील प्रक्रियेचाही समावेश होतो, ज्यामध्ये बहुतेक गंभीर बिग डेटा प्रकल्पांचा समावेश होतो.

AP ने अशा प्रक्रिया कार्यांची यादी प्रसिद्ध केली आहे, ज्यासाठी नेदरलँड्समध्ये मोठ्या प्रमाणावरील प्रोफाइलिंग आणि पद्धतशीर कर्मचारी देखरेखीसह DPIA नेहमीच आवश्यक असतो. प्रत्येक प्रकल्पाच्या सुरुवातीला ती यादी तपासा.

प्रक्रिया सुरू होण्यापूर्वी DPIA करा, ज्याचा AI प्रकल्पात अर्थ प्रशिक्षण डेटा संकलित करण्यापूर्वी असा होतो. जर उच्च अवशिष्ट धोका शिल्लक राहिला, तर तुम्ही प्रथम AP चा सल्ला घेतला पाहिजे (कलम ३६ GDPR). अल्गोरिदमसाठी एक उपयुक्त DPIA डेटाचे स्रोत आणि कायदेशीर आधार, मॉडेल स्वतःहून काय ठरवते, आउटपुट कसे स्पष्ट केले जाते, पक्षपाताची चाचणी कशी केली गेली आणि मॉडेल चुकल्यास काय होते, याची नोंद ठेवते.

Autoriteit Personsgegevens कशी अंमलबजावणी करते?

AP हे GDPR आणि डच GDPR अंमलबजावणी कायदा (Uitvoeringswet AVG) यांची अंमलबजावणी करते. ते चेतावणी आणि ताकीद, दंड भरण्याच्या अधीन असलेले आदेश, प्रक्रिया बंदी आणि प्रशासकीय दंड जारी करू शकते.

जीडीपीआरच्या कलम ८३ अंतर्गत, खालच्या स्तरासाठी १० दशलक्ष युरो किंवा जागतिक उलाढालीच्या २% आणि तत्त्वे, कायदेशीर आधार, डेटा धारकांचे हक्क आणि हस्तांतरण नियमांचे उल्लंघन केल्यास २० दशलक्ष युरो किंवा ४% यापैकी जी रक्कम जास्त असेल, तेवढा दंड आकारला जातो. एपी पारदर्शकतेवर विशेष लक्ष देते आणि अल्गोरिदम पर्यवेक्षणासाठी त्यांच्याकडे एक समर्पित विभाग आहे.

वैयक्तिक डेटा उल्लंघनाची माहिती AP ला विनाकारण विलंब न करता आणि शक्य असल्यास ७२ तासांच्या आत (कलम ३३ GDPR) आणि धोका जास्त असल्यास संबंधित लोकांना (कलम ३४ GDPR) कळवणे आवश्यक आहे. हे १५ ऑगस्ट २०२६ पासून लागू असलेल्या डच सायबर सुरक्षा कायद्यांतर्गत (Cyberbeveiligingswet) घटना नोंदवण्यापेक्षा वेगळे आहे; NIS2 आणि डच सायबर सुरक्षा कायद्याबद्दल आमचे विहंगावलोकन पहा.

एआय कायदा जीडीपीआरची जागा घेतो का?

नाही. युरोपियन युनियनचा एआय कायदा एआय प्रणालींचे नियमन धोक्याच्या वर्गानुसार करतो, परंतु वैयक्तिक डेटावर प्रक्रिया करण्यासाठी कायदेशीर आधार देत नाही. जेव्हा एखादी एआय प्रणाली वैयक्तिक डेटावर प्रक्रिया करते, तेव्हा दोन्ही नियम समांतरपणे लागू होतात.

अस्वीकार्य पद्धतींवरील बंदी, सामान्य-उद्देशीय एआय मॉडेल्ससाठीचे नियम आणि पारदर्शकतेची कर्तव्ये आधीपासूनच लागू आहेत. उच्च-जोखमीच्या प्रणालींसाठीची बंधने एआय सर्वसमावेशक नियमन (ईयू) २०२६/१७४४ द्वारे पुढे ढकलण्यात आली, जे २७ जुलै २०२६ रोजी अंमलात आले. एआयमुळे झालेल्या नुकसानीची जबाबदारी डच करार आणि अपकृत्य कायदा तसेच उत्पादन दायित्वाच्या नियमांनुसार नियंत्रित राहते. ईयू एआय कायदा आणि उच्च-जोखमीच्या एआय प्रणालींवरील आमचे मार्गदर्शक पहा.

सामूहिक दाव्यांमध्ये काय धोका असतो?

GDPR च्या कलम ८२ नुसार, उल्लंघनामुळे भौतिक किंवा अभौतिक नुकसान झालेल्या कोणालाही नुकसान भरपाईचा दावा करता येतो. एखादी संस्था किंवा संघटना WAMCA (डच नागरी संहितेचे कलम ३:३०५अ) अंतर्गत नुकसानीसाठी सामूहिक दावा दाखल करू शकते, ज्यामध्ये नेदरलँड्समध्ये राहणाऱ्या लोकांसाठी यातून बाहेर पडण्याचा पर्याय उपलब्ध आहे.

युरोपियन युनियनच्या न्याय न्यायालयाने असे मत मांडले आहे की केवळ उल्लंघनामुळे नुकसान भरपाईचा हक्क निर्माण होत नाही: दावा करणाऱ्याला नुकसान आणि त्याचे कारण सिद्ध करावे लागते, जरी अमूर्त नुकसानीसाठी गंभीरतेची कोणतीही मर्यादा लागू होत नाही. नेदरलँड्समध्ये वैयक्तिक नुकसान भरपाईची रक्कम माफक आहे, परंतु लाखो लोकांचा समूह हे चित्र बदलतो. मोठ्या प्रमाणात नुकसान झाल्यास सामूहिक दाव्यांवरील आमचा लेख पहा.

जेव्हा डेटा अनेक पक्षांकडून येतो, तेव्हा नियंत्रक कोण असतो?

नियंत्रक उद्देश आणि साधने निश्चित करतो; प्रोसेसर केवळ लेखी सूचनांनुसारच कार्य करतो (कलम 4(7) आणि (8) GDPR). संयुक्त नियंत्रकांनी कलम 26 GDPR अंतर्गत व्यवस्थेमध्ये त्यांच्या जबाबदाऱ्या स्पष्ट करणे आवश्यक आहे.

करारातील लेबल निर्णायक नसते. जो पुरवठादार स्वतःचे उत्पादन सुधारण्यासाठी तुमचा डेटा वापरण्याचा अधिकार राखून ठेवतो, तो त्या मर्यादेपर्यंत स्वतःच्या उद्देशांसाठी नियंत्रक असतो. पुरवठादारांच्या करारांमधील प्रशिक्षण कलम आणि उप-प्रक्रियाकर्ता कलम तपासा, कारण युरोपियन आर्थिक क्षेत्राबाहेर हस्तांतरणासाठी GDPR च्या प्रकरण V अंतर्गत हस्तांतरण यंत्रणा आवश्यक असते. डेटा हाताळणाऱ्या प्रत्येक पुरवठादारासोबत डेटा प्रक्रिया करार करा.

एक संस्था म्हणून तुम्ही काय तपासले पाहिजे?

• तुम्ही सुरुवात करण्यापूर्वी, प्रशिक्षणासह प्रत्येक प्रक्रियेसाठीचा कायदेशीर आधार नोंदवून ठेवला आहे का?
• विद्यमान डेटाचा पुनर्वापर GDPR च्या कलम 6(4) अंतर्गत सुसंगत आहे की नाही हे तुम्ही तपासले आहे का?
• प्रशिक्षण डेटा संकलित करण्यापूर्वी DPIA केले जाते का?
• तुमचे पुरवठादार करार त्यांना तुमच्या डेटावर प्रशिक्षण घेण्याची परवानगी देतात का?
• प्रशिक्षण डेटा, चेकपॉइंट्स आणि इन्फरन्स लॉग्ससाठी धारणा कालावधी निश्चित केले आहेत का?
• व्यक्तींबद्दलच्या मॉडेलच्या निष्कर्षांमध्ये सुधारणा करता येते का?

ज्या व्यक्तीचा डेटा वापरला जातो, त्या व्यक्तीने काय तपासले पाहिजे?

• तुमच्या डेटाचा वापर विश्लेषणासाठी किंवा एआय प्रशिक्षणासाठी केला जातो, असे गोपनीयता विवरणात स्पष्टपणे नमूद केले आहे का?
• संस्था कोणत्या कायदेशीर आधारावर अवलंबून आहे, आणि तुम्ही आक्षेप घेऊ शकता किंवा संमती मागे घेऊ शकता का?
• तुमच्याबद्दल काढलेल्या निष्कर्षांमध्ये प्रवेश मिळवण्याची आणि ते दुरुस्त करण्याची विनंती तुम्ही करू शकता का?
• तुमच्याबद्दल एखादा महत्त्वाचा निर्णय केवळ स्वयंचलित यंत्रणेद्वारे घेण्यात आला आहे का?
• तुम्ही संस्थेकडे किंवा एपीकडे तक्रार दाखल केली आहे का?

GDPR आणि AI प्रशिक्षणाच्या बाबतीत आम्ही तुमच्यासाठी काय करू शकतो?

आयटी वकील म्हणून आम्ही संस्थांना डेटा-आधारित प्रकल्पांवर सल्ला देतो; तसेच जनरल डेटा प्रोटेक्शन रेग्युलेशनचा आमचा आढावा आणि नेदरलँड्समधील GDPR आणि AI वरील आमचा लेख पहा.

• आम्ही कायदेशीर आधार आणि वैध हितसंबंधांचे मूल्यांकन निवडतो आणि त्याची नोंद करतो.
• आम्ही विद्यमान डेटाच्या पुनर्वापरासाठी सुसंगतता चाचणी करतो.
• आम्ही डीपीआयएचा मसुदा तयार करून त्याचे पुनरावलोकन करतो आणि एपीसोबत पूर्व सल्लामसलत हाताळतो.
• आम्ही पुरवठादार करार आणि डेटा प्रक्रिया करारांचे, प्रशिक्षण कलमांसहित, पुनरावलोकन करतो.
• आम्ही उद्देशांचे अचूक वर्णन करणारी गोपनीयता विधाने तयार करतो.
• आम्ही AP चौकशीमध्ये आणि वैयक्तिक किंवा सामूहिक दाव्यांमध्ये तुमचे प्रतिनिधित्व करतो.

सारांश

• मोठे डेटा संच हे जवळजवळ नेहमीच वैयक्तिक डेटा असतात; छद्मनामित डेटा GDPR च्या कक्षेत राहतो.
• दस्तऐवजीकृत तीन-टप्प्यांच्या मूल्यांकनासह, वैध हितसंबंध हा एआय प्रशिक्षणाचा सामान्य आधार असतो.
• प्रशिक्षणासाठी डेटाचा पुनर्वापर करण्यासाठी GDPR च्या कलम 6(4) ची सुसंगतता चाचणी किंवा नवीन आधार आवश्यक आहे.
• डीपीआयए (DPIA) सहसा आवश्यक असतो आणि प्रशिक्षण डेटा संकलित करण्यापूर्वी तो करणे अनिवार्य आहे.
• एआय कायदा जीडीपीआरच्या सोबतच लागू होतो, त्याच्या जागी नाही.

सतत विचारले जाणारे प्रश्न