De AI Act bevindt zich in de laatste fase van het wetgevingsproces. De definitieve tekst van de verordening is nog niet gepubliceerd, maar het is inmiddels wel duidelijk in welke risicocategorieën AI-systemen worden ingedeeld en welke verplichtingen voor iedere risicocategorie zullen gelden. Per risicocategorie leggen wij uit aan welke verplichtingen AI-systemen moeten voldoen.

AI-systemen met een onaanvaardbaar risico

Over AI-systemen met een onaanvaardbaar risico kunnen we het kort houden, want die zijn simpelweg verboden. Zodra de AI Act in werking treedt mogen dergelijke systemen niet meer worden verkocht en gebruikt in de EU.

Verplichtingen voor AI-systemen met een beperkt risico

Voor AI-systemen waarmee mensen kunnen interacteren (zoals chatbots) geldt dat mensen moeten weten dat zij interacteren met AI en niet met een persoon. Mensen die interacteren met AI moeten daarover worden geïnformeerd op een duidelijke en begrijpelijke wijze.

Verplichtingen voor AI-systemen met een hoog risico

De AI Act bevat voornamelijk voorschriften voor AI-systemen met een hoog risico. Hieronder bespreken wij de algemene verplichtingen die zullen gelden voor dergelijke systemen.

Een van de belangrijkste verplichtingen voor hoog risico AI-systemen is dat zij transparant moeten zijn. Dat houdt in dat de werking van het systeem begrijpelijk moet zijn voor de aanbieders en gebruikers van het systeem, zodat zij de output van het systeem kunnen interpreteren en uitleggen.

Daarnaast moet in de ontwerp- en ontwikkelingsfase van hoog risico AI rekening worden gehouden met de verplichting om gebeurtenissen automatisch te registreren door middel van logging. Als een gebeurtenis risico’s oplevert voor de gezondheid, veiligheid of rechten van personen of als het systeem ingrijpend wordt gewijzigd, dan moet dat worden geregistreerd. Andere zaken die moeten worden geregistreerd zijn bijvoorbeeld het energieverbruik van het systeem en de duur van elk gebruik van het systeem.

Bovendien moeten hoog risico AI-systemen zo worden ontworpen en ontwikkeld dat daarop menselijk toezicht kan worden uitgeoefend. Menselijk toezicht moet zich richten op het voorkomen en beperken van de risico’s van het AI-systeem. De personen die verantwoordelijk zijn voor het menselijk toezicht moeten met een kritische blik kijken naar de output van het systeem.

Wat betreft beveiliging schrijft de AI Act voor dat hoog risico AI-systemen moeten worden ontworpen en ontwikkeld volgens het principe van security by design. Daarnaast moeten technische maatregelen worden getroffen die het AI-systeem beschermen tegen manipulaties en aanvallen die zijn bedoeld om fouten te creëren of vertrouwelijke gegevens te bemachtigen.

Voordat een hoog risico AI-systeem in de handel wordt gebracht of in gebruik wordt genomen, moet de aanbieder of gebruiker technische documentatie van het AI-systeem opstellen. Die documentatie moet aantonen dat het systeem voldoet aan de voorschriften van de AI Act.

Ook moet een risicomanagementsysteem worden opgezet en uitgevoerd tijdens de gehele levensduur van het hoog risico AI-systeem. Daarvan moet documentatie worden bijgehouden. Risicomanagement bestaat uit:

• Het vaststellen, inschatten en evalueren van de bekende en voorzienbare risico’s van het AI-systeem;
• Het evalueren van opkomende risico’s die zijn vastgesteld door middel van data-analyse;
• Het treffen van passende maatregelen die zijn gericht op het aanpakken van bovenstaande risico’s.

Tot slot moeten hoog risico AI-systemen worden geregistreerd in de openbare EU-databank. Deze registratieverplichting geldt voor zowel aanbieders als gebruikers van hoog risico AI.

Advies over de AI Act nodig?

Wil jij meer weten over de verplichtingen die voor jouw AI-systeem zullen gelden? Of heb je andere vragen over de AI Act? Neem dan contact op met ons via info@privacycoaches.nl.

Artificial Intelligence (AI) heeft de afgelopen jaren een razendsnelle ontwikkeling doorgemaakt. De EU wil deze ontwikkeling in goede banen leiden en is daarom sinds 2021 bezig met het ontwerpen van wetgeving. Op 8 december 2023 heeft de EU een voorlopig akkoord bereikt over de AI Act: de Europese wet die binnenkort eisen zal stellen aan de ontwikkeling en het gebruik van AI.

Wat is het doel van de AI Act?

AI heeft veel nuttige toepassingen, maar helaas zijn er ook risico’s voor de gezondheid, veiligheid en rechten van burgers. Privacyschendingen, discriminerende algoritmen en softwarefouten bij zelfrijdende auto’s kunnen veel schade aanrichten. De AI Act heeft als doel om AI veiliger en transparant te maken.

Wie moet zich aan de AI Act houden?

De AI Act bevat regels voor aanbieders en gebruikers van AI. Aanbieders zijn bedrijven die AI-systemen verkopen aan of laten gebruiken door anderen in de EU. Oftewel: ontwikkelaars en verkopers van AI.

Gebruikers zijn personen, bedrijven en organisaties die AI-systemen gebruiken voor het uitvoeren van werkzaamheden. Denk bijvoorbeeld aan een onderneming die een AI-systeem gebruikt voor procesautomatisering, marketing of klantenservice.

Welke regels gelden voor mijn AI?

Dat hangt af van de risico’s van jouw AI-systeem. De AI Act maakt namelijk onderscheid tussen verschillende risicocategorieën en de verplichtingen verschillen per categorie. Kort gezegd: hoe hoger de risico’s, hoe strenger de regels.

Welke risicocategorieën zijn er?

1. Onaanvaardbaar risico: deze AI-systemen vormen zo’n groot risico voor mens en maatschappij dat ze verboden zijn. Voorbeelden hiervan zijn:

• Emotieherkenning op de werkvloer en in het onderwijs;
• Manipulatie van iemands gedrag;
• Ongerichte verzameling van gezichtsopnames vanaf het internet of camerabeelden om gezichtsherkenningsdatabases samen te stellen;
• Social credit scoring op basis van iemands gedrag en eigenschappen;
• Uitbuiting van iemands kwetsbaarheid (waaronder leeftijd, fysieke of geestelijke vermogens, of sociale of economische situatie).

2. Hoog risico: dit zijn AI-systemen die worden gebruikt in producten met strenge veiligheidseisen, zoals medische hulpmiddelen, motorvoertuigen, vaartuigen en vliegtuigen.

Daarnaast vallen bepaalde AI-systemen die worden gebruikt in een aantal specifieke sectoren (zoals onderwijs, werkgelegenheid, sociale zekerheid en krediet) ook binnen deze categorie. Denk bijvoorbeeld aan AI die besluiten neemt over het functioneren van werknemers. Of AI die iemands kredietwaardigheid beoordeelt. Voor deze systemen gelden de meeste regels.

3. Beperkt risico: dit zijn AI-systemen die geen onacceptabel of hoog risico voor mens en maatschappij vormen. Denk aan AI-systemen die:

• Interacteren met mensen, zoals chatbots;
• Emoties herkennen;
• Mensen indelen op basis van biometrische kenmerken, of;
• Beeld- of geluidsmateriaal genereren of bewerken.

Voor systemen met een beperkt risico gelden aanzienlijk minder verplichtingen. Wel gelden er nog wat extra regels voor general-purpose AI: AI-systemen die zijn ontworpen om een breed scala aan intelligente taken uit te voeren, zoals ChatGPT.

4. Laag risico: dit zijn alle AI-systemen die niet binnen een van de bovenstaande categorieën vallen. Voor deze systemen geeft de AI Act geen verplichtingen.

Ben jij een aanbieder of gebruiker van AI? Dan zul je dus eerst moeten inventariseren welke AI-systemen jouw onderneming gebruikt, om vervolgens te onderzoeken binnen welke risicocategorieën die systemen vallen. Benieuwd naar de specifieke verplichtingen die voor jouw AI-systeem zullen gelden? Hou dan onze website in de gaten, want dat leggen wij binnenkort uit!

Juridisch advies over de AI Act

Weet jij niet zeker onder welke risicocategorie jouw AI-systeem valt? Of heb je andere vragen over de AI Act? Neem dan contact op met ons via info@privacycoaches.nl en wij helpen je hiermee!

Op 21 september 2023 heeft de rechtbank Den Haag geoordeeld dat het Uitvoeringsinstituut Werknemersverzekeringen (UWV) een schadevergoeding van € 500,- moet betalen vanwege een datalek. Het UWV stuurde brieven naar een verkeerd adres. Deze post bevatte onder andere medische gegevens met betrekking tot de arbeidsongeschiktheid van de betreffende vrouw.

De achtergrond van het geschil

In totaal stuurde het UWV vijf brieven naar het oude adres van de vrouw. De brieven bevatten informatie over haar psychische problemen en termijnen waaraan zij moest voldoen. Omdat ze die brieven niet ontving, overschreed ze de gestelde termijnen. Uiteindelijk ontving het UWV de brieven ongeopend retour.

Voorafgaand aan de rechtszaak hebben de partijen zelf nog geprobeerd een passende oplossing te vinden. Nadat de vrouw door het UWV op de hoogte was gesteld van het datalek vroeg zij het instituut om een schadevergoeding. Het UWV erkende aansprakelijk te zijn en bood een vergoeding van € 250,- aan.

Dat bedrag stond volgens de vrouw niet in verhouding tot de angsten die zij heeft doorstaan vanwege het datalek. Zij deed daarom een tegenvoorstel van € 3.000,- maar daarmee ging het UWV niet akkoord. De vrouw besloot naar de rechter te stappen.

De hoogte van de schadevergoeding

De vrouw onderbouwt haar vordering van € 3.000,- met een rapport van haar psycholoog. Daaruit volgt dat het datalek een belangrijke stressfactor is geweest die haar gezondheidstoestand negatief beïnvloedde en het herstel van haar arbeidsongeschiktheid belemmerde. Het overschrijden van de termijnen uit de brieven zorgde ervoor dat ze spanning en angst ervaarde bovenop haar bestaande psychiatrische klachten.

Volgens het UWV is de aangeboden schadevergoeding hoog genoeg, omdat de brieven ongeopend waren geretourneerd. De medische gegevens van de vrouw konden dus niet door een onbekende zijn ingezien. Ook is niet gebleken dat de gegevens door een onbekende zijn gebruikt.

Die laatstgenoemde omstandigheden wegen volgens de rechter niet zwaar. Dat later blijkt dat de brieven niet zijn geopend, doet namelijk niet af aan de angsten die de vrouw inmiddels al had doorstaan. De rechter oordeelt uiteindelijk dat een schadevergoeding van € 500,- passend is, met name vanwege de impact die het datalek heeft gehad op de psychische problemen van de vrouw.

Datalekken en immateriële schadevergoedingen

Beide partijen in deze zaak waren van mening dat de vrouw immateriële schade had geleden door het datalek en dat het UWV die schade moet vergoeden. De rechter hoefde daarom alleen te oordelen over de hoogte van de schadevergoeding.

Benieuwd naar de omstandigheden waarin een immateriële schadevergoeding kan worden toegekend aan slachtoffers van een datalek? Lees dan ook onze blog over immateriële schadevergoeding naar aanleiding van een datalek bij de Hogeschool Arnhem-Nijmegen.

Juridisch en strategisch advies bij een datalek

Bij een datalek komt veel kijken: denk aan communicatie (intern en/of extern), een melding bij de Autoriteit Persoonsgegevens en de afweging of sprake is van een hoog risico.

Kun je daarbij wel wat juridisch, strategisch en vooral praktisch advies gebruiken? Neem dan contact met ons op.

Toestemming als AVG-grondslag

Het verwerken van informatie over personen mag alleen als daar een grondslag voor is. Een van de mogelijke grondslagen is wanneer de betrokkene (degene wiens persoonsgegevens worden verwerkt) hiervoor toestemming geeft aan de verwerkingsverantwoordelijke. Die laatste is de organisatie onder wiens verantwoordelijkheid de persoonsgegevens worden verwerkt.

4 vereisten voor geldige toestemming

Om te kunnen spreken van geldige toestemming moet volgens de Algemene verordening gegevensbescherming (AVG) aan 4 eisen worden voldaan.

1. Allereerst moet de betrokkene zijn toestemming vrijelijk. Hiervan is sprake als de betrokkene zich niet gedwongen voelt om toestemming te geven.

Wanneer het weigeren of intrekken van toestemming nadelige gevolgen heeft voor de betrokkene en hij er alleen daarom voor kiest zijn toestemming te geven, is er dus geen sprake van een vrije keuze. In de relatie werkgever – werknemer is deze grondslag daarom vaak niet geschikt.

2. Ten tweede moet de betrokkene specifiek met de verwerking van zijn persoonsgegevens instemmen. Dit betekent dat de verwerkingsverantwoordelijke per keer voor één bepaald doel toestemming mag vragen.

Wanneer de verwerkingsverantwoordelijke de persoonsgegevens voor verschillende doelen wil gebruiken, moet hij voor ieder doel dus afzonderlijk toestemming vragen. Algemene toestemming verzoeken is ook niet toegestaan.

3. Ten derde moet de betrokkene vooraf geïnformeerd worden (het transparantiebeginsel). De verwerkingsverantwoordelijke moet de betrokkene tenminste informeren over de identiteit van de organisatie die de gegevens verwerkt, het doel van iedere beoogde verwerking, de soorten persoonsgegevens die worden verwerkt en het recht van de betrokkene om de gegeven toestemming weer in te trekken.

Deze informatie moet in eenvoudige, duidelijke taal en op een overzichtelijke manier worden opgesteld, zodat de betrokkene daadwerkelijk begrijpt waarvoor hij toestemming geeft. Lees hier meer over het transparantiebeginsel.

4. Als laatste moet de betrokkene zijn toestemming ondubbelzinnig. Hij moet door middel van een duidelijke, actieve handeling verklaren dat hij toestemming verleent. Het aanvinken van een vakje door de betrokkene zélf is een voorbeeld van ondubbelzinnige toestemming.

Het gebruik van op voorhand aangekruiste vakjes of het niet reageren op een verzoek tot toestemming door de betrokkene geldt níet als ondubbelzinnige toestemming.

Toestemming voor het verwerken van bijzondere persoonsgegevens

Sommige persoonsgegevens (zoals iemands etnische afkomst, politieke opvattingen, genetische gegevens of seksuele gerichtheid) bevatten gevoelige informatie. Deze bijzondere persoonsgegevens mogen daarom alleen worden verwerkt op basis van uitdrukkelijke toestemming.

Naast de bovengenoemde eisen voor gewone toestemming moet de betrokkene een expliciete verklaring van toestemming geven. Voorbeelden hiervan zijn: een (ondertekende) verklaring op papier of per e-mail, het invullen van een elektronisch formulier, het uploaden van een gescand ondertekend document of een elektronische handtekening.

Bewijs en de mogelijkheid van intrekken

Voor zowel gewone als bijzondere persoonsgegevens geldt dat de verwerkingsverantwoordelijke moet kunnen aantonen dat er geldig toestemming is verleend. Om dit te bewijzen is het daarom nuttig om bijvoorbeeld de toestemming te loggen.

Daarnaast moet de betrokkene zijn verleende toestemming voor ieder type persoonsgegevens te allen tijde weer kunnen intrekken, waarna gegevens niet langer mogen worden verwerkt. Alle verwerkingsactiviteiten die voorafgaand aan de intrekking hebben plaatsgevonden blijven geldig.

Toestemming verleend door kinderen

 Kinderen zijn zich mogelijk minder bewust van de risico’s en gevolgen van een gegevensverwerking. Voor verwerking van persoonsgegevens van kinderen jonger dan 16 jaar geldt daarom dat alleen de ouders of verzorgers toestemming mogen geven. De verwerkingsverantwoordelijke moet dan ook controleren of de toestemming daadwerkelijk is verleend door een persoon met ouderlijke verantwoordelijkheid voor het kind.

Hulp nodig bij de AVG?

Wil jij weten of je aan alle vereisten van toestemming voldoet of heb je hulp nodig met het inrichten van het toestemmingsvereiste? Neem dan contact met ons op via info@privacycoaches.nl en wij helpen je hiermee!

Op 4 oktober 2023 heeft de rechtbank Gelderland geoordeeld dat de Hogeschool Arnhem-Nijmegen (HAN) een schadevergoeding van € 300,- moet betalen aan een oud-student. Zijn persoonsgegevens, waaronder medische gegevens met betrekking tot zijn studievertraging, waren in handen van een hacker gekomen.

Het recht op schadevergoeding bij een datalek

Op grond van de Algemene verordening gegevensbescherming (AVG) kan een schadevergoeding worden toegekend als de AVG is geschonden. Met betrekking tot datalekken eist de AVG dat organisaties passende beveiligingsmaatregelen treffen. Dit betekent dat het beveiligingsniveau afgestemd moet zijn op de risico’s die een specifieke verwerking van persoonsgegevens met zich meebrengt. Als dat niet gebeurd is, levert dat dus een schending van de AVG op.

Daarnaast moet degene die een schadevergoeding eist daadwerkelijk schade hebben geleden door het datalek. Het kan dan gaan om financiële schade en/of immateriële schade.

Bij een datalek bestaat de immateriële schade van de betrokkene in ieder geval uit het kwijtraken van de controle over de eigen persoonsgegevens. Het feit dat niet te achterhalen is waar de gegevens circuleren is al eerder door de rechter aangemerkt als schade. Het is daarnaast niet zo dat immateriële schade alleen kan worden vergoed wanneer de door de betrokkene geleden schade een bepaalde mate van ernst bereikt. Lees daarvoor onze blog over massaschadeclaims.

Wél moet de betrokkene het bestaan van immateriële schade bewijzen. Dat is alleen anders als de aard en de ernst van de schending van de AVG met zich meebrengen dat nadelige gevolgen zodanig voor de hand liggen dat schade zonder verder bewijs kan worden aangenomen.

Factoren die bijdragen aan immateriële schade

In de zaak tussen de hogeschool en de oud-student oordeelde de rechtbank dat de beveiligingsmaatregelen ten tijde van het datalek niet passend waren. De hacker gebruikte namelijk een veelvoorkomende hackmethode waartegen de hogeschool bestand had moeten zijn. Bovendien heeft de hogeschool niet inzichtelijk gemaakt welke specifieke maatregelen zij had getroffen op de plek waar de gegevens van de oud-student werden bewaard. Ook heeft zij niet bewezen waarom beveiligingsmaatregelen zoals versleuteling en pseudonimisering niet passend waren.

Daarnaast oordeelde de rechtbank dat de oud-student immateriële schade heeft geleden door het datalek. Het lekken van de algemene persoonsgegevens (bestaande uit naam, adres, woonplaats, e-mailadres en telefoonnummer) is vervelend, maar heeft volgens de rechtbank niet tot schade geleid. Het lekken van de medische gegevens daarentegen wél.

De factoren die voor de rechtbank bijdroegen aan het oordeel dat sprake is van immateriële schade zijn:

• de zorgvuldigheid waarmee de oud-student met zijn medische gegevens omging;
• de deuk die zijn vertrouwen in het delen van bijzondere persoonsgegevens heeft opgelopen;
• de gevoelens van boosheid, spanning, vernedering en angst die hij ervaarde na het incident, en;
• zijn zorgen over wat er met de gegevens kan worden gedaan als iemand ze in handen krijgt.

Tot slot oordeelde de rechtbank dat alleen al het kunnen inzien van de medische gegevens door de hacker schade oplevert. Dat niet duidelijk is of de hacker ook iets met de gegevens heeft gedaan, doet daar niet aan af.

Vergelijkbare rechtszaken

Eerder waren er ook al rechtszaken waarin immateriële schade bij een datalek werd gevorderd. In een rechtszaak uit 2022 werd een verzoek om immateriële schadevergoeding – voor het kwijtraken van een dossier met daarin medische en andere persoonsgegevens dat per post was verzonden – afgewezen. Volgens de rechtbank was niet gebleken dat de gegevens bij een onbekende derde waren aangekomen, omdat de eiseres wiens gegevens in het dossier stonden geen phishingmails of andere verdachte berichten had ontvangen en er geen identiteitsfraude had plaatsgevonden met de gegevens.

In een andere rechtszaak uit 2022 werd een verzoek om immateriële schadevergoeding – voor het per ongeluk verzenden van een bestand met daarin gevoelige financiële gegevens en andere persoonsgegevens aan ongeveer 1100 personen – wel toegewezen. Doordat de gegevens waren verstuurd aan een aanzienlijke groep mensen was niet te achterhalen waar de gegevens circuleerden.

Hulp nodig bij (het voorkomen van) een datalek?

Kan jouw organisatie hulp gebruiken op het gebied van datalekken? Wij geven je juridisch en strategisch advies. Bij het voorkomen van een datalek, maar ook als zich een datalek heeft voorgedaan. Neem contact met ons op en we vertellen je graag wat we voor jou kunnen betekenen.