GDPR och AI

Det verkar finnas en koppling mellan ändamålen, då båda avser bostadsanpassningsbidrag. Ändamålen avser dock olika typer av ärenden. Det ursprungliga ändamålet handlar om ansökningar om utbetalning av förmånen, medan det nya ändamålet handlar om att identifiera felaktiga utbetalningar och kräva återbetalning.

Uppgifterna har samlats in i ett sammanhang där de registrerade har mycket litet inflytande över behandlingen, eftersom personuppgifterna måste behandlas om den registrerade ska kunna beviljas bidraget. Det råder även ett ojämnt maktförhållande mellan den registrerade och den personuppgiftsansvarige, eftersom den personuppgiftsansvarige är en myndighet. Det är omständigheter som talar mot att det nya ändamålet är förenligt med det ursprungliga ändamålet.

Även de registrerades förväntningar på hur personuppgifterna behandlas har betydelse för bedömningen. Behandling av personuppgifter för att utveckla AI för en annan ärendetyp än vad uppgifterna ursprungligen samlades in för kan ligga utanför vad de registrerade förväntar sig. I detta fallet finns det kopplingar mellan ändamålen, men det kan ifrågasättas om de registrerade förväntar sig att deras personuppgifter ska användas för att träna en AI-modell.

Behandlingen avser känsliga personuppgifter, vilket talar mot att det nya ändamålet är förenligt med det ursprungliga ändamål som uppgifterna samlades in för.

Vilka konsekvenser den nya behandlingen har för de registrerade har betydelse för bedömningen. Såväl konsekvenserna för skyddet av personuppgifter som andra konsekvenser bör beaktas. Att personuppgifterna ska användas för att träna en AI-modell kan antas minska transparensen och göra det svårare för de registrerade att förstå hur personuppgifterna behandlas och iaktta sina rättigheter. Det är en omständighet som talar mot att ändamålen är förenliga med varandra.

Om vidtagna skyddsåtgärder sammantaget anses vara otillräckliga och den personuppgiftsansvarige därför inte kan anses säkerställa en lämplig säkerhetsnivå för den aktuella behandlingen, är det en omständighet som talar mot att det nya ändamålet är förenligt med det ursprungliga ändamålet som uppgifterna samlades in för. Myndigheten har tillämpat behörighetsstyrning. Då det är fråga om en omfattande behandling av känsliga personuppgifter kan det ifrågasättas om denna skyddsåtgärd i sig är tillräcklig.

Det är alltså inte bara ändamålens koppling som är avgörande för bedömningen om de kan anses vara förenliga med varandra, utan även de registrerades situation ska beaktas. I detta fallet finns en relativt stark koppling mellan ändamålen, men flera andra omständigheter talar mot att ändamålen kan anses vara förenliga. Under sådana omständigheter ställs det höga krav på kopplingen mellan ändamålen för att de ska anses vara förenliga med varandra.

Det verkar finnas en tydlig koppling mellan ändamålen eftersom att båda avser elförbrukning.

Uppgifterna har inte samlats in i något sammanhang som innebär att de registrerade är i en utsatt position och det finns inget ojämnt maktförhållande mellan den registrerade och den personuppgiftsansvarige. Detta är omständigheter som talar för att det nya ändamålet är förenligt med det ursprungliga ändamålet. Även de registrerades förväntningar på hur personuppgifterna behandlas har betydelse för bedömningen. Att uppgifterna lämnas ut till en annan verksamhet är en omständighet som kan ligga utanför vad de registrerade förväntar sig. Det är en omständighet som talar mot att ändamålen är förenliga.

Behandlingen avser inte känsliga personuppgifter, vilket talar för att det nya ändamålet är förenligt med det ursprungliga ändamålet som uppgifterna samlades in för.

Vilka konsekvenser den nya personuppgiftsbehandlingen har för de registrerade har betydelse för bedömningen. Såväl konsekvenserna för skyddet av personuppgifter som andra konsekvenser bör beaktas. Att personuppgifterna lämnas ut till en annan verksamhet och ska användas för att träna en AI-modell kan antas minska transparensen och göra det svårare för de registrerade att förstå hur personuppgifterna behandlas och iaktta sina rättigheter. Det talar mot att ändamålen är förenliga. Den färdiga modellen ska dock användas för att optimera elpriserna och leda till lägre elpriser för kunderna, vilket är positivt för de registrerade. Det är en omständighet som talar för att ändamålen är förenliga med varandra.

Om vidtagna skyddsåtgärder sammantaget anses vara otillräckliga och den personuppgiftsansvarige därför inte kan anses säkerställa en lämplig säkerhetsnivå för den aktuella behandlingen, är det en omständighet som talar mot att det nya ändamålet är förenligt med det ursprungliga ändamålet som uppgifterna samlades in för. Elleverantören har vidtagit skyddsåtgärder genom att uppgifterna skickas krypterat till den mottagande verksamheten. Vidare har parterna begränsat varje utlämnande till uppgifter som avser ett avgränsat geografiskt område. Även antalet personuppgifter som lämnas ut har begränsats, och ytterligare uppgifter lämnas endast ut om det skulle behövas för att AI-modellen ska kunna uppnå tillräckligt höga prestanda. På så sätt har parterna försökt leva upp till principen om uppgiftsminimering.

Det är alltså inte bara de olika ändamålens koppling som är avgörande för bedömningen om de kan anses vara förenliga med varandra, utan även de registrerades situation ska beaktas. I detta fallet finns det en relativt stark koppling mellan ändamålen. Några omständigheter talar mot att ändamålen kan anses vara förenliga, medan andra omständigheter talar för. Under sådana omständigheter borde det vara tillräckligt om det finns en medelstark koppling mellan ändamålen för att de ska anses vara förenliga med varandra. Det kan antas att det i detta fallet är fråga om åtminstone en medelstark koppling mellan ändamålen.