Informacijski pooblaščenec (v nadaljevanju IP) je prejel prošnjo za mnenje glede zakonitosti in drugih okoliščin snemanja (i) ustnih obravnav, ki jih agencija vodi v skladu z ZUP z namenom pretvorbe v zapisnik z uporabo umetne inteligence ter (ii) sej sveta agencije ter posvetovalnih svetov.
IP podaja svoje neobvezujoče mnenje:
Menimo, da snemanje obravnav v upravnem postopku (niti s privolitvijo posameznikov) ni dovoljeno, če tega ne ureja zakon (npr. ZUP), lahko pa uradna oseba zapisnik narekuje na elektronski nosilec zvoka, kot to določa deveti odstavek 76. člena ZUP. Pri uporabi umetne inteligence za pretvorbo iz govorjenega v pisano besedilo obstajajo določena tveganja, zato vas napotujemo na uporabo Splošne uredbe (vse določbe glede obveznosti upravljavca ter pravic posameznika) in vnaprej tudi Akta o umetni inteligenci (ta se sicer začne uporabljati šele od leta 2025 dalje, odvisno od poglavja) v delu, ki se nanaša na obveznosti uvajalcev sistema.
Glede snemanja sej organov agencije ali njenih posvetovalnih teles pa poudarjamo, da mora biti snemanje primarno urejeno v aktih zadevne institucije, poteka pa lahko na dveh možnih pravnih podlagah – privolitvi posameznika ali potrebnosti obdelave zaradi izvajanja javnih nalog. IP v pričujočem mnenju pojasnjuje pravila glede pridobivanja privolitve in obveščanja posameznikov o snemanju.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
IP na vaša podvprašanja odgovarja, da privolitev v okviru oblastnega postopka ni ustrezna pravna podlaga za obdelavo osebnih podatkov. Poleg tega, da to izhaja iz določb Splošne uredbe (med drugim iz uvodne določbe 32, 42, 43 in enajstega odstavka 4. člena), takšno možnost izključuje tudi tretji odstavek 6. člena ZVOP-2, ki določa, da se lahko v javnem sektorju obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. Odločanje po ZUP je vsekakor oblastna obveznost javnega sektorja, pri čemer velja takšna nesorazmernost moči udeležencev v odnosu do oblastnega organa, da se privolitev ne more šteti za prostovoljno.
Menimo, da snemanje obravnav v upravnem postopku kot tako ni dovoljeno, če tega ne ureja zakon (npr. ZUP v 201. členu) lahko pa uradna oseba zapisnik narekuje na elektronski nosilec zvoka, kot to določa deveti odstavek 76. člena ZUP. V tem primeru uradna oseba, ki vodi postopek, ob koncu dejanja pozove udeležence, da v elektronski nosilec zvoka izjavijo, da so z vsebino zapisnika seznanjeni, in ali se z njo strinjajo oziroma ali imajo kakšne pripombe.
V zgoraj predvidenem scenariju narekovanja zapisnika v elektronski nosilec zvoka se privolitev posameznikov ne pridobiva, saj obstaja zakonska podlaga za obdelavo osebnih podatkov (točka e prvega odstavka 6. člena Splošne uredbe v povezavi z 9. odstavkom 76. člena ZUP). Privolitev v takšnem primeru zaradi zgoraj navedenega (tretji odstavek 6. člena ZVOP-2) ne bi bila ustrezna pravna podlaga.
Nadalje pa je vprašanje, ali smete iz tako posnetega zapisnika z avtomatsko obdelavo govorjene besede ustvariti zapis v pisani besedi (dobesedni prepis), in sicer s pomočjo umetne inteligence. IP meni, da pravna podlaga za dejanje obdelave same pretvorbe iz ene oblike zapisa v drugo obstaja (pravna podlaga izhaja iz kombinacije devetega in desetega odstavka 76. člena ZUP, iz katerih izhaja, da se iz zapisnika na elektronskem nosilcu zvoka pripravi pisni odpravek zapisnika). V tem smislu je ZUP, tako kot Splošna uredba, tehnološko nevtralen in ne prepoveduje ali zapoveduje uporabe zgolj določenega tipa tehnologije.
Vendar pa uporaba določene vrste tehnologije prinaša tudi specifične vrste tveganj. Pri uporabi umetne inteligence, kjer prihaja do obdelave osebnih podatkov (in v vašem primeru bi se Splošna uredba v celoti uporabljala) morate biti pozorni na različna tveganja in obveznosti, ki jih imate po Splošni uredbi. Predvsem želimo izpostaviti spoštovanje vseh splošnih načel pri obdelavi osebnih podatkov, pravice posameznikov (pravica do informacij, dostopa do osebnih podatkov, izbrisa, ugovora), morebitno pogodbeno obdelavo (če bi za katero koli fazo obdelave osebnih podatkov uporabili zunanjega ponudnika), varnost osebnih podatkov glede na tveganja in vprašanje iznosa osebnih podatkov. Posebej je treba nasloviti tudi vprašanje, na katerih podatkih bi se sistem umetne inteligence učil in ali se bo nadalje učil na podatkih, ki jih je zajel z zvočnim snemanjem in nadaljnjo obdelavo. Predvsem je pri tem vprašljiva pravna podlaga ter načelo omejitve namena. Pri uvajanju umetne inteligence bi morali torej zadostiti vsem obveznostim po Splošni uredbi, izhajajoč med drugim iz tveganja, ki ga takšna tehnologija predstavlja na varstvo pravic in svoboščin posameznikov.
Sicer pa je bil 12. 7. 2024 v Uradnem listu EU objavljen Akt o umetni inteligenci[1], za katerega vam svetujemo, da ga preučite z vidika uvajalca umetnointeligenčnega sistema, četudi se Akt začne uporabljati šele v razponu od leta 2025 do 2027 (odvisno od poglavja in dela Akta). Izpostavljamo predvsem obveznost zagotavljanja transparentnosti, bistvenega pomena na splošno (konkretno pa tudi v vseh fazah upravnega in drugih pravnih postopkov), pa je prisotnosti človeka (angl. human in the loop), četudi to za vaš konkretni primer ne bi bila izrecno predvidena obveznost.
Za konec tega dela naj navedemo še, da IP pri uvajanju vseh tehnologij priporoča (vsaj v primerno prilagojeni obliki) izvedbo ocene učinka v zvezi z varstvom podatkov.
Glede na vaš opis in postavljena vprašanja IP predvideva, da ste v grobem že seznanjeni s sorodnimi mnenji IP glede snemanja sej različnih institucij. Eno tovrstnih mnenj je na primer mnenje IP št. 07120-1/2024/107 z dne 18. 3. 2024 (dostopno TUKAJ).
na:) ter 07120-1/2023/64 z dne 17. 2. 2023 (dostopno TUKAJ ). Iz mnenj IP izhaja, da mora biti snemanje sej primarno urejeno v aktih institucije (npr. v poslovniku), možni pa sta dve pravni podlagi – privolitev posameznikov ali potrebnost obdelave zaradi izvajanja javnih nalog v skladu s točko e prvega odstavka 6. člena Splošne uredbe. V večini primerljivih primerov pride v poštev predvsem privolitev posameznikov, ki mora biti v vsakem primeru prostovoljna, specifična, informirana ter nedvoumna in se lahko kadarkoli prekliče. Privolitev mora biti podana vnaprej (pred samim snemanjem), lahko pa se jo poda tudi za več sej vnaprej, na primer za seje v tekočem letu. IP je tudi zapisal, da če so določbe poslovnika o snemanju sej in uporabi posnetkov dovolj natančne in brez omejitev dostopne tistim, ki se sej udeležujejo (če gre za javne seje javnosti), bi lahko šteli, da je privolitev v obdelavo osebnih podatkov, kot jo za določene namene ureja poslovnik, podana z udeležbo na seji. Če privolitve ne boste urejali na ta način (torej z dejanjem udeležbe kot izrazom privolitve po tem, ko so bile podane vse potrebne informacije v poslovniku), temveč z vsakokratnim pridobivanjem pisnih privolitev, je to prav tako ustrezno.
Menimo, da se lahko informacije o obdelavi osebnih podatkov poda bodisi v poslovniku (če je ta javno objavljen oziroma brez omejitev dostopen udeležencem sej) bodisi v obrazcu privolitve ali na podobnem dokumentu. Navedeno izhaja tudi iz zgoraj navedenega mnenja IP št. 07120-1/2024/107 z dne 18. 3. 2024. Poudarjamo, da morajo biti prisotni na seji vsekakor obveščeni o snemanju, še preden se to začne, pri čemer lahko zadošča navedba v poslovniku, če so za to izpolnjeni pogoji (dostopnost, jasnost itd.). Vendar vam kot dobro prakso vsekakor svetujemo, da pred snemanjem posamezne seje vizualno ali z besedilno napovedjo ponovno kratko opozorite na zvočno snemanje in namene snemanja.
Če nameravate uporabiti sisteme umetne inteligence pri pretvarjanju besedila v zapis tudi v opisanem primeru snemanja sej, veljajo že zgoraj navedena opozorila oziroma obveznosti upravljavcev osebnih podatkov oziroma, v skladu z Aktom o umetni inteligenci, uvajalcev sistemov umetne inteligence.
Vir: Informacijski pooblaščenec