GDPR és MI-rendelet kötelezettségek vállalkozások számára, ha a két szabályozás átfedi egymást

Talán két éve elkészült az adatvédelmi hatásvizsgálat (DPIA) arra a rendszerre, amellyel a beszállítói auditokat végzik, vagy arra a toborzási rendszerre, amellyel a jelentkezők önéletrajzait szűrik. A dokumentum kész, aláírva, ott lapul a GDPR-mappában a többi irat mellett. Aztán a szoftverszállító egy rutin frissítés keretében gépi tanuláson alapuló funkciót épített be – automatikus beszállítói pontszámot, minőségi kockázat-előrejelzést –, és senki nem kérdezte meg, hogy ezt szeretnék-e. Ez különösen jellemző a magyar autóipari beszállítói láncban: a győri Audi, a kecskeméti Mercedes és a debreceni BMW körüli tier-2 és tier-3 beszállítók egyre gyakrabban használnak MI-alapú beszállítói és minőségi audit eszközöket, amelyek a dolgozók és az alvállalkozói személyzet személyes adatait dolgozzák fel. Most valaki a cégnél felvetette, hogy ez talán már az MI-rendelet hatálya alá esik, és az első kérdés az, hogy nulláról kell-e kezdeni. A válasz többnyire nem. De a GDPR és az MI-rendelet nem ugyanazt kérdezi, és aki a kettőt egy és ugyanazon ügyként kezeli, előbb-utóbb réseket hagy, amelyeket valaki előbb-utóbb megtalál.

GDPR és MI-rendelet: két különböző kérdés

Az általános adatvédelmi rendelet (GDPR) szűken kérdez: jogszerűen, tisztességesen és világosan meghatározott célból dolgozza-e fel a személyes adatokat? Az MI-rendelet (az EU 2024/1689 rendelete) ennél szélesebben kérdez: kockázatot jelent-e a rendszer az emberek egészségére, biztonságára vagy alapvető jogaira, függetlenül attól, hogy egyáltalán személyes adatot dolgoz-e fel? Egy beszállítói audit eszköz, egy toborzási szűrő vagy egy hitelképesség-értékelő modell szinte mindig mindkét kérdés alá esik egyszerre, de a válaszok nem azonosak, és egyetlen dokumentum nem fedi le mindkettőt. A GDPR 2018 óta hatályos Magyarországon, és az MI-rendelet ezen nem változtat – kiegészíti, nem váltja fel a meglévő kötelezettségeket.

22. cikk GDPR és III. melléklet MI-rendelet: két különböző teszt

A GDPR 22. cikke mindenkinek jogot ad arra, hogy ne vessék alá kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntésnek, ha az rá nézve joghatással jár, vagy őt hasonlóképpen jelentősen érinti – jellemzően egy beszállítói minősítés, amelyet emberi közreműködés nélkül generál a rendszer. Az MI-rendelet III. melléklete ezzel szemben bizonyos rendszereket a felhasználási cél alapján sorol a magas kockázatú kategóriába, függetlenül az automatizáltság mértékétől – többek között a toborzást és a jelentkezők kiválasztását, a munkavállalók értékelését, valamint a hitelképesség vizsgálatát. Egy beszállítói audit eszköz, amelynél a minőségbiztosítási vezető minden pontszámot manuálisan jóváhagy, így jellemzően elkerüli a 22. cikk hatályát, mert a döntés nem kizárólag automatizált. Ennek ellenére magas kockázatú rendszer marad a III. melléklet szerint, ha a cél – például munkavállalók értékelése, vagy egy beszállítói minősítés, amely érinti az alvállalkozói személyzet munkakörülményeit – ebbe a kategóriába tartozik, mert a besorolást a cél határozza meg, nem az emberi felügyelet mértéke. „Valaki mindig ellenőrzi” lezárja a 22. cikk szerinti kérdést, de érintetlenül hagyja az MI-rendelet saját követelményeit: kockázatkezelés, műszaki dokumentáció, formalizált emberi felügyelet.

DPIA és FRIA: kiegészítés, nem megismétlés

Az adatvédelmi hatásvizsgálat (DPIA) a GDPR 35. cikke szerint kötelező, ha az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira nézve – ezt a legtöbb személyes adatot feldolgozó MI-rendszer teljesíti. Az MI-rendelet ehhez a 27. cikkben hozzáteszi az alapjogi hatásvizsgálatot (FRIA), amely azonban szűkebb kört érint: elsősorban közjogi szerveket és néhány kulcsfontosságú magánszolgáltatót – bankokat, biztosítókat –, amikor magas kockázatú rendszert vezetnek be. A legtöbb magyar beszállító és KKV, amely beszállítói audit vagy toborzási eszközt szerez be MI-elemekkel, így közvetlenül nem esik a FRIA-kötelezettség alá. A DPIA viszont már ma is releváns, és érdemes úgy felépíteni, hogy bővíthető legyen, ha a FRIA-kötelezettség később mégis vonatkozna a cégre – például mert a rendszer testre szabott továbbfejlesztésével a cég üzemeltetőből szolgáltatóvá válik.

A NAIH továbbra is a GDPR felügyeleti hatósága marad

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) Magyarország GDPR szerinti felügyeleti hatósága, és ez a szerep az MI-rendelettel nem változik: egy személyes adatot feldolgozó MI-rendszer – beszállítói audit eszköz, toborzási szűrő, hitelképesség-értékelő modell – továbbra is a NAIH GDPR szerinti felügyelete alá tartozik, függetlenül attól, hogyan alakul a magyar piacfelügyeleti kijelölés az MI-rendelet szerint. Az MI-rendelet 70. cikke alapján Magyarországnak ki kell jelölnie a piacfelügyeleti hatóságokat a rendelet szélesebb, a személyes adatoktól független alkalmazására is – ezt az ütemtervet és a szankciórendszert korábbi, magyar KKV-knak szóló bevezető cikkünkben már bemutattuk, itt nem ismételjük meg. A kijelölés pontos állása egyelőre nem tekinthető megerősítettnek: a NAIH plauzibilis jelölt a GDPR szerinti szerepe miatt, de ezt nem tekintjük megerősített ténynek, és javasoljuk, hogy az aktuális állapotot közvetlenül a NAIH honlapján ellenőrizzék. A gyakorlat szempontjából ez azt jelenti, hogy a NAIH már ma is felügyeli a személyes adatokat az MI-rendszerekben, függetlenül attól, hogyan oszlik meg végül a 70. cikk szerinti hatáskör.

Mit érdemes ellenőrizni, ha a szállító MI-t épít a rendszerbe

Sok magyar beszállító és KKV rendelkezik kész DPIA-val azokhoz a rendszerekhez, amelyeket SaaS-ként szerzett be – beszállítói audit platform, toborzási rendszer, HR-rendszer –, mert ezt a szállító adatfeldolgozói átvilágítás keretében már 2018-ban megkövetelte. A kérdés most az, hogy ez a dokumentáció még mindig megfelel-e annak, amit az eszköz ténylegesen csinál:

• Épített-e be a szállító az elmúlt évben MI-alapú funkciót a már használt eszközbe, anélkül hogy ezt formálisan adatkezelési változásként értékelték volna?
• Lefedi-e a meglévő DPIA az új funkciót is, vagy csak az eredeti, MI nélküli adatkezelést írja le?
• A rendszer által hozott döntés kizárólag automatizált-e a GDPR 22. cikke szerint, vagy a felhasználás célja alapján – beszállítói minősítés, munkavállalói értékelés, hitelképesség – az MI-rendelet III. melléklete alá esik, függetlenül az emberi beavatkozás mértékétől?
• „Alkalmazóként” viszonyul-e a cég ehhez a rendszerhez (kész, harmadik féltől származó eszközt vezet be), vagy közelebb áll a „szolgáltató” szerephez, mert az MI-funkciókat testre szabatja?
• Rendelkezik-e a szállító MI-rendelet szerinti megfelelőségi dokumentációval, vagy egyelőre csak általános biztosítékot kaptak alátámasztás nélkül?

Általános tájékoztatás, nem jogi tanácsadás

A fentiek általános, tájékoztató jellegű információk, nem az Ön cégének konkrét helyzetére szabott jogi tanácsadás. A GDPR és az MI-rendelet együttes alkalmazása az adatkezelés pontos céljától, a cég szerepétől az adott rendszerrel szemben, és attól függ, mit szállít ténylegesen a beszállító – olyan részletektől, amelyeket egyetlen cikk nem tud lefedni. A Komplya ennél a tartalomtípusnál egyértelműen megkülönbözteti, mi jogilag ellenőrzött, és mi még munkaanyag, hogy ezzel a különbséggel a fejükben tudjanak dolgozni az anyaggal.

A leggyorsabb út a világos válaszhoz, ha végigmegy a cégnél használt MI-rendszereken egyenként, és megnézi, melyik milyen személyes adatot dolgoz fel. Töltse ki a rövid kérdőívet a cégében használt MI-ről, és áttekintést kap arról, hol fedi egymást a GDPR szerinti dokumentációja azzal, amit az MI-rendelet most megkövetel.