Samtycket kan användas som grund för behandling av personuppgifter både i utvecklingen och användningen av system för artificiell intelligens. En individ kan ge sitt samtycke till att personuppgifter som gäller hen behandlas för ett eller flera ändamål. Ett sådant samtycke ska vara en frivillig, specificerad, medveten och entydig viljeyttring med vilken personen godkänner behandlingen av sina personuppgifter.
Den personuppgiftsansvarige, dvs. den organisation som utvecklar eller använder ett system för artificiell intelligens, ska kunna påvisa att det finns ett lagenligt samtycke. Samtycket ska också när som helst kunna återkallas gratis och lika enkelt som det har kunnat ges. Efter att samtycket har återkallats ska behandlingen av personuppgifter som behandlats på basis av samtycket avslutas och uppgifterna raderas. Återkallandet av samtycket måste kunna genomföras effektivt även i system för artificiell intelligens. Om det till exempel inte tekniskt går att genomföra samtycket, kan samtycke inte användas som en behandlingsgrund.
Dataombudsmannen betonar att det kan vara administrativt arbetsamt att välja samtycke som grund för behandling av personuppgifter i utvecklingsskedet av ett system för artificiell intelligens, i synnerhet om man behandlar ett stort antal personuppgifter.
Avtal kan användas som behandlingsgrund både i utvecklingen och användningen av system för artificiell intelligens. När en individ är part i ett avtal kan personuppgifter som gäller hen behandlas om det är nödvändigt för att avtalet ska kunna verkställas.
Rättslig förpliktelse kan användas som behandlingsgrund både i utvecklingen och användningen av ett system för artificiell intelligens, om behandlingen av personuppgifter är nödvändig för att den personuppgiftsansvarige, dvs. den organisation som utvecklar eller använder systemet för artificiell intelligens, ska kunna fullgöra sin rättsliga förpliktelse.
Skydd av vitala intressen kan användas som behandlingsgrund vid utveckling och användning av ett system för artificiell intelligens endast om det är nödvändigt för att skydda den registrerades eller en annan persons vitala intressen. Behandlingen av personuppgifter kan tjäna ett livsviktigt intresse till exempel i humanitära nödsituationer, såsom naturkatastrofer eller epidemier.
För att detta krav ska uppfyllas måste till exempel livsfaran i det aktuella fallet vara tillräckligt konkret. Behandlingsgrunden kan därför mycket sällan tillämpas i praktiken.
Personuppgifter får behandlas i samband med utveckling eller användning av ett system för artificiell intelligens när det allmänna intresset eller utövandet av offentlig makt som tillhör den personuppgiftsansvarige förutsätter det. En uppgift av allmänt intresse eller offentlig makt måste ha anförtrotts genom lag eller någon annan rättslig bestämmelse. Med personuppgiftsansvarig avses en organisation som utvecklar eller använder ett system för artificiell intelligens.
Personuppgifter får behandlas i samband med utveckling eller användning av ett system för artificiell intelligens, ifall det är nödvändigt för att tillgodose det berättigade intresset hos den personuppgiftsansvarige eller en tredje part. Med personuppgiftsansvarig avses den organisation som utvecklar eller använder ett system för artificiell intelligens.
Ett berättigat intresse kan finnas till exempel när det finns en betydelsefull relation mellan individen, dvs. den registrerade och organisationen, dvs. den personuppgiftsansvarige. Så är fallet till exempel om individen är kund hos organisationen. Personuppgifter får dock inte behandlas om individens intressen eller rättigheter åsidosätter organisationens intressen.
Europeiska dataskyddsstyrelsen har beskrivit omständigheter som ska beaktas när förekomsten av ett berättigat intresse bedöms.
Utvärderingens tre skeden är:
1. Identifiering och beskrivning av berättigat intresse. För att ett berättigat intresse ska kunna användas som behandlingsgrund måste alla följande förutsättningar uppfyllas.
- Det berättigade intresset är lagenligt.
- Det berättigade intresset är tydligt och grundligt uttryckt.
- Det berättigade intresset är verkligt och existerar (grundar sig inte på antagande).
2. Bedömning av det planerade behovet av behandling av personuppgifter
- Främjar de planerade behandlingarna det berättigade intresset?
- Finns det alternativa genomförandesätt som kräver mindre behandling av personuppgifter?
3. Att väga frågan om det berättigade intresse som eftersträvas åsidosätter individens intressen och rättigheter (s.k. balanstest). Bedömningen ska göras från fall till fall och i den ska särskilt följande beaktas:
Risker för individens rättigheter och intressen som utvecklingen eller användningen av ett system för artificiell intelligens kan medföra.
Konsekvenser för individen som behandlingen av personuppgifter kan ha i samband med utveckling eller användning av system för artificiell intelligens. Konsekvenserna kan vara av olika typ och de kan vara positiva eller negativa.
Typ av personuppgifter som behandlas, sammanhanget mellan behandlingsåtgärderna samt eventuella följder av behandlingen av personuppgifterna för individen.
En organisation som planerar att använda ett berättigat intresse som grund för behandling av personuppgifter i utvecklingen eller användningen av ett system för artificiell intelligens har nytta av att bekanta sig med dataskyddsstyrelsens utlåtande (på engelska på dataskyddsstyrelsens webbplats): Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models