2 sierpnia upłynął obowiązek posiadania krajowej piaskownicy regulacyjnej dla SI, a w tych piaskownicach można przetwarzać dane zebrane w innym celu

Czym jest piaskownica regulacyjna

To kontrolowane środowisko, w którym system SI jest rozwijany, trenowany, testowany i walidowany przez ograniczony czas, pod nadzorem właściwego organu i zgodnie z uzgodnionym planem. To nie jest strefa wolna od prawa: przepisy nadal obowiązują, ale rozmowa z organem odbywa się przed wprowadzeniem do obrotu, a nie po nim, a uczestnik wychodzi z dokumentacją, którą organ już obejrzał.

Ustęp 3 tego samego artykułu dodaje coś, co często umyka: również Europejski Inspektor Ochrony Danych może ustanowić piaskownicę dla instytucji, organów i jednostek organizacyjnych Unii, wykonując role i zadania właściwych organów krajowych.

Dlaczego dotyczy to osób zajmujących się danymi osobowymi

Z powodu artykułu 59. W piaskownicy dane osobowe zebrane zgodnie z prawem w innych celach mogą być przetwarzane wyłącznie w celu rozwijania, trenowania i testowania określonych systemów SI. To wyraźna podstawa ponownego wykorzystania, a w prawie Unii nie ma ich wiele. Obowiązuje jednak tylko wtedy, gdy spełnione są wszystkie wymienione warunki, a nie niektóre z nich.

System musi służyć istotnemu interesowi publicznemu w jednym z tych obszarów

• Bezpieczeństwo publiczne i zdrowie publiczne, w tym wykrywanie, zapobieganie diagnozie, kontrola i leczenie chorób oraz poprawa systemów opieki zdrowotnej.
• Wysoki poziom ochrony i poprawa jakości środowiska, ochrona różnorodności biologicznej, ochrona przed zanieczyszczeniem, środki zielonej transformacji, środki łagodzenia zmiany klimatu i przystosowania się do niej.
• Zrównoważony charakter energii.
• Bezpieczeństwo i odporność systemów transportowych i mobilności, infrastruktury krytycznej oraz sieci.
• Efektywność i jakość administracji publicznej oraz usług publicznych.

A oprócz tego muszą być spełnione wszystkie pozostałe warunki

• Dane muszą być niezbędne do spełnienia wymogów rozdziału III sekcja 2, a wymogów tych nie można skutecznie spełnić przy użyciu danych zanonimizowanych, syntetycznych lub innych nieosobowych.
• Muszą istnieć skuteczne mechanizmy monitorowania pozwalające wykryć wysokie ryzyko dla praw i wolności osób, których dane dotyczą, w rozumieniu artykułu 35 RODO, oraz mechanizmy reagowania pozwalające je szybko ograniczyć i w razie potrzeby wstrzymać przetwarzanie.
• Dane muszą znajdować się w funkcjonalnie odrębnym, odizolowanym i chronionym środowisku przetwarzania, pod kontrolą potencjalnego dostawcy, dostępnym wyłącznie dla osób upoważnionych.
• Pierwotnie zebrane dane mogą być dalej udostępniane wyłącznie zgodnie z prawem Unii o ochronie danych, a dane osobowe wytworzone w piaskownicy nie mogą jej opuścić.
• Przetwarzanie nie może prowadzić do środków ani decyzji dotyczących osób, których dane dotyczą, ani wpływać na wykonywanie ich praw.

O co pytać teraz

• Czy piaskownica własnego państwa działa i na jakich warunkach można do niej wejść: termin jest w rozporządzeniu, wdrożenie różni się między państwami i trzeba je sprawdzić u własnego organu.
• Czy klient rozważa projekt SI w jednym z pięciu obszarów, bo wtedy piaskownica nie jest ozdobą, lecz najlepiej bronioną drogą.
• Czy ktoś w organizacji już napisał, że będzie trenował na istniejących danych, powołując się na akt o sztucznej inteligencji: to moment, by przeczytać artykuł 59 wiersz po wierszu.