Když firma provozuje aplikaci, ve které jsou osobní údaje, má povinnosti podle GDPR. To platí bez ohledu na to, jestli aplikaci postavil dodavatelský tým za milion, nebo váš marketingový manažer pomocí Lovable za jedno odpoledne.
Tento text shrnuje, co po vás může Úřad pro ochranu osobních údajů chtít a proč se tyto požadavky u aplikací postavených pomocí AI plní hůř než jinde. Nejde o právní poradenství, ale o praktický přehled toho, co v takových aplikacích běžně chybí.
Co jsou osobní údaje ve vaší aplikaci
Většina lidí si pod osobními údaji představí jméno a rodné číslo. Rozsah je ale širší. Osobním údajem je jakákoli informace, podle které lze konkrétního člověka identifikovat, ať už sama o sobě, nebo ve spojení s dalšími údaji.
V typické aplikaci postavené pomocí AI to znamená e-mailové adresy, telefonní čísla, adresy, čísla objednávek navázaná na zákazníka, IP adresy v záznamech, obsah zpráv, nahrané dokumenty, fotografie, čísla dokladů nebo historii chování v aplikaci. Často také údaje, o kterých nevíte, že se ukládají, protože se ukládají automaticky.
Pět věcí, které po vás mohou chtít
1. Záznamy o činnostech zpracování
Jde o přehled toho, jaké údaje zpracováváte, proč, na jakém právním základě, jak dlouho je uchováváte a komu je předáváte. Tento dokument si vedete sami a na vyžádání jej předkládáte.
U aplikace postavené pomocí AI je hlavní překážkou to, že jej nemáte z čeho sestavit. Nikdo neví, co přesně systém ukládá.
2. Doklad o technických a organizačních opatřeních
GDPR vyžaduje, abyste přijali opatření přiměřená riziku. Patří mezi ně šifrování, řízení přístupů, zálohy, schopnost obnovit provoz a pravidelné testování účinnosti.
Tady se to nejčastěji láme. Aplikace, ve které si zákazník změnou čísla v adrese zobrazí cizí objednávku, nemá správně nastavené řízení přístupů. Stejně je na tom aplikace, do které se pět lidí přihlašuje jedním sdíleným heslem.
3. Smlouvy se zpracovateli
Každá služba, která pro vás zpracovává osobní údaje, je zpracovatelem a potřebujete s ní smlouvu. Může jít o hosting, databázi, e-mailovou službu, platební bránu nebo AI službu, přes kterou aplikace posílá text ke zpracování.
Poslední bod bývá u aplikací postavených pomocí AI opomíjený. Pokud aplikace posílá obsah zákaznických zpráv nebo dokumentů do jazykového modelu, předáváte osobní údaje třetí straně a musíte to ošetřit a popsat.
4. Schopnost vyřídit žádost subjektu údajů
Člověk má právo vědět, jaké údaje o něm máte, dostat jejich kopii, nechat je opravit a za určitých podmínek také smazat. Lhůta je zpravidla jeden měsíc.
Praktický test je jednoduchý. Kdyby vám dnes přišla žádost o výmaz, dokážete ji splnit? Ne částečně, ale opravdu: v databázi, zálohách, záznamech, exportech i e-mailech, které aplikace odeslala. Většina aplikací postavených pomocí AI nemá pro výmaz žádnou funkci, protože nikdo neřekl, že ji má mít.
5. Ohlášení porušení zabezpečení do 72 hodin
Když dojde k úniku nebo ztrátě osobních údajů, máte zpravidla povinnost ohlásit událost dozorovému úřadu do 72 hodin od okamžiku, kdy se o ní dozvíte. V závažnějších případech ji musíte oznámit i dotčeným lidem.
Klíčové slovo je „dozvíte“. Aplikace, která nezaznamenává, kdo se k čemu dostal, vám neumožní zjistit ani to, jestli k úniku došlo, ani koho se týkal. Bez záznamů nedokážete ohlášení naplnit konkrétními informacemi.
Kdy se úřad začne zajímat
ÚOOÚ nechodí kontrolovat náhodně vybrané malé firmy. Nejčastější spouštěče vypadají takto:
- Stížnost. Podá ji například zákazník, jehož žádosti o výmaz jste nevyhověli, nebo bývalý zaměstnanec.
- Ohlášený incident. Ohlásíte únik a úřad se následně zeptá na zbytek.
- Medializace. O úniku se začne psát a úřad zareaguje.
- Podnět od obchodního partnera. Větší klient s vlastním compliance procesem zjistí, jak to u vás vypadá.
Většina těchto spouštěčů má společné to, že nezačínají u úřadu. Začínají u nespokojeného člověka.
Proč je to u AI aplikací horší
Klasický dodavatelský projekt má zadání, dokumentaci a někoho, kdo za technickou stránku odpovídá. Když se zeptáte, kde jsou data uložená, dostanete odpověď.
Aplikace postavená pomocí AI vzniká rychle a bez této vrstvy. Není zadání, není popis datové struktury ani seznam služeb, kterými data protékají. Chybí přesně ty podklady, ze kterých se plnění GDPR skládá. Údaje se přitom zpracovávají úplně stejně jako kdekoli jinde.
Není to tím, že by AI nástroje byly nebezpečné. Jde o to, že přeskakují dokumentační část, kterou GDPR předpokládá.
Kde začít
- Napište seznam osobních údajů, které aplikace sbírá. Z hlavy, na papír, za deset minut. Na to, co nevíte, se zeptejte toho, kdo aplikaci stavěl.
- Vypište všechny služby, kterými data protékají. Hosting, databáze, e-maily, platby, AI služby a analytika.
- Zkuste si projít žádost o výmaz nanečisto. Vyberte jednoho zákazníka a zjistěte, kolik míst byste museli projít.
- Ověřte, zda se zaznamenávají přístupy k datům. Pokud ne, nemáte jak zjistit, že se něco stalo.
Když se u kteréhokoli kroku zaseknete, máte odpověď na otázku, jestli je čas začít situaci řešit.