Tere, Angelina!

Aitäh, et seda teemat käsitled. Saadan AKI selgitused.

Igaks juhuks lisan juurde, et lisaks andmekaitsenõuetele tuleb siin nüüdsest juba mängu ka tehisintellekti määrus. Tehisintellekti määruse rakendamise seaduse eelnõud koostab Justiits- ja Digiministeerium. Kui on selle nurga alt täpsustavaid küsimusi, siis tasub pöörduda ministeeriumi poole.

Kas pood tohib lasta tehisarul analüüsida kõigi kaamerasse jäävate klientide käitumist, et leida võimalikke vargaid?

Isikuandmete kaitse seisukohast ei saa sellele küsimusele vastata ainult selle põhjal, et kasutusele soovitakse võtta tehisaru. Oluline on teada, mida süsteem täpselt analüüsib, milliseid andmeid selleks kasutatakse ja milliseid otsuseid selle pinnalt tehakse. Mõned aastad tagasi arutleti näiteks tehisintellektipõhiste näotuvastuskaamerate kasutuselevõtu üle poevarguste ennetamiseks. Kõigi poekülastajate biomeetriliste andmete skaneerimine selleks, et leida nende hulgast võimalikke vargaid, oleks väga ulatuslik riive.

Teisalt on olemas lahendusi, mis analüüsivad näiteks inimese liikumist või muid nähtavaid tunnuseid ilma inimest tuvastamata. Ka selliste lahenduste puhul on oluline, milliseid tegureid analüüsimisel arvesse võetakse. Süsteem ei tohi hinnanguid anda näiteks inimese rassilisele või etnilisele päritolule viitavate tunnuste alusel. Oht ekslike järelduste tegemiseks on siin igal juhul olemas. Läbi tuleb mõelda, kuidas need riskid maandatakse.

Lisaks andmekaitseküsimuste läbimõtlemisele tuleb tehisaru kasutamisel arvestada ka tehisintellekti määrusest tulenevate nõuetega.

Mille alusel tohib pood seda teha? Kas piisab poe õigustatud huvist või on vaja inimese nõusolekut?

Enne videovalve kasutamist tuleb igal juhul läbi mõelda selle eesmärk ja õiguslik alus. Ka siis, kui tehisaru ei kasutata. Samuti tuleb hinnata, kas sama eesmärki on võimalik saavutada vähem riivavate vahenditega.

Kaupluse videovalve õiguslikuks aluseks saab tõenäoliselt olla õigustatud huvi. Sellele tuginemiseks peab eelnevalt läbi viima õigustatud huvi analüüsi. Kauplus peab oma huve selgelt põhjendama, kaaluma neid inimeste õiguste ja huvidega ning läbi mõtlema vajalikud kaitsemeetmed.

Biomeetrilistele andmetele kehtivad rangemad nõuded ning nende kasutamisel inimese tuvastamiseks õigustatud huvist ei piisa. Nõusolek on üks võimalikest alustest, kuid tavapärase kaupluse videovalve puhul oleks selle kasutamine praktikas keeruline, sest kõigilt kaamera vaatevälja jäävatelt inimestelt ei ole võimalik vabatahtlikku nõusolekut küsida.

Kas enne sellise süsteemi kasutuselevõttu tuleb teha andmekaitsealane mõjuhinnang ehk põhjalik riskianalüüs?

Andmekaitsealase mõjuhinnangu peavad tegema kõik isikuandmete vastutavad töötlejad, kelle isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvestades tekib tõenäoliselt inimestele suur oht. Käitumismustreid analüüsiva süsteemi korral tuleb seetõttu hinnata, millise ulatuse ja riskiga töötlemisega on tegemist. Sellise süsteemi kasutuselevõtul tuleb läbi mõelda ka töötlemise vajalikkus ja proportsionaalsus ning see, kuidas inimesi automaatsest analüüsist teavitatakse.

Kas tavalisest videovalve sildist piisab või peab pood eraldi teatama, et inimese käitumist analüüsib tehisaru?

Andmetöötlus peab olema läbipaistev. Inimene peab saama aru, et tema kohta andmeid töödeldakse, mis eesmärgil seda tehakse ja millised on tema õigused. Selleks peab tal olema võimalik tutvuda ka täpsemate andmekaitsetingimustega. Videovalve puhul tuleb inimesele enne kaamera vaatevälja jõudmist anda nõutud põhiteave, sealhulgas videovalve eesmärk, õiguslik alus, vastutava töötleja andmed ja viide andmekaitsetingimustele. Täpsemad selgitused võib anda andmekaitsetingimustes.

Kas selline käitumise hindamine on profileerimine? Millised õigused on inimesel, kelle käitumise süsteem kahtlaseks märgib?

See, kas inimese käitumise hindamine liigitub profileerimiseks, sõltub sellest, kuidas konkreetne süsteem töötab ja mida selle analüüsi põhjal inimese kohta hinnatakse.

Igal inimesel on õigus küsida enda kohta käivaid andmeid, sealhulgas ka kaamerasalvestisi. Samuti tutvuda andmekaitsetingimustega ning küsida muid selgitusi oma andmete töötlemise kohta. Ehk siis inimene saab küsida, mille põhjal tema kohta järeldusi tehti ning sõltuvalt asjaoludest saab ta esitada ka vastuväiteid ning omapoolseid selgitusi.

Kas pood võib ühendada kaamerapildi ostutšeki, iseteeninduskassa, kliendikaardi või makseandmetega?

Erinevate andmete ühendamiseks peab kauplusel olema kindel eesmärk ja õiguslik alus. Samuti peab selline andmete ühendamine olema eesmärgi saavutamiseks vajalik ja proportsionaalne. Mida rohkem erinevaid andmeid omavahel seotakse, seda põhjalikumalt tuleb hinnata, kas selline töötlemine on põhjendatud ning kas sama eesmärki oleks võimalik saavutada vähem riivaval viisil.

Kas süsteem võib jälgida sama inimest mitme kaamera vahel või tunda ta ära järgmisel poekülastusel?

Sama inimese jälgimine mitme kaamera vahel või tema äratundmine järgmisel poekülastusel on inimese jaoks oluliselt ulatuslikum andmetöötlus kui tavapärane videovalve. Kui inimese kordumatuks tuvastamiseks kasutatakse biomeetrilisi andmeid, kehtivad andmetöötlusele rangemad nõuded. Kõigi poekülastajate biomeetriliste andmete lausaline skaneerimine võimalike varaste leidmiseks oleks väga ulatuslik riive ning sellise lahenduse puhul ei oleks see proportsionaalne.

Kas Andmekaitse Inspektsioon on Prisma või teiste Eesti poekettide tehisarupõhist videovalvet kontrollinud? Kas olete saanud selle kohta kaebusi või leidnud rikkumisi?

Kas AKI teab, millised Eesti poeketid selliseid süsteeme kasutavad või katsetavad?

Konkreetselt tehisaru kasutamise kohta Eesti poekettide videovalves ei ole inspektsioonile kaebusi esitatud. Kaamerate kasutamisega seotud küsimused on seevastu ühed sagedasemad ning ka poekettide videovalve kohta on meile kaebusi esitatud. Need on puudutanud näiteks kaamerate kasutamist töösuhetes, konkreetsete kaamerate asukohti ja nende vaatevälja. Vajadusel oleme selliseid juhtumeid kontrollinud.

Inspektsioonil ei ole täielikku ülevaadet sellest, millised Eesti poeketid tehisarul põhinevaid süsteeme kasutavad või katsetavad. Selliste süsteemide kasutamisest ei ole ettevõtetel üldist kohustust inspektsioonile eraldi teada anda. Andmekaitsenõuete järgimise eest vastutab eelkõige ettevõte, kes süsteemi kasutab. Enne sellise lahenduse kasutuselevõttu peab ettevõte hindama, kas kavandatav andmetöötlus on andmekaitsenõuetega kooskõlas, ning rakendama vajalikud meetmed inimeste õiguste kaitseks.

Loodan, et minu selgitustest on teema käsitlemisel abi.

Heade soovidega

Maire Iro
Avalike suhete nõunik
[email protected]

5385 4644, 627 4136

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube