ИИ и персональные данные в Монако: что меняет закон № 1.565
Какой закон регулирует использование ИИ с персональными данными в Монако?
В Монако это закон № 1.565 от 3 декабря 2024 года о защите персональных данных, за соблюдением которого следит Управление по защите персональных данных (APDP). Он требует правового основания, информирования людей, безопасности, реестра обработки и соблюдения прав каждого человека. PRAGMA создаёт свои ИИ-инструменты в этих рамках и показывает это уже на этапе бесплатного аудита.
Подключить ИИ к почте, CRM или договорам означает обрабатывать персональные данные: имена, контакты, переписку, а иногда и чувствительную информацию. В Монако такая обработка подпадает под действие недавно принятого закона. В этой статье кратко изложено, что он требует от компании, на основе официального текста, опубликованного на Legimonaco, а затем объясняется, как PRAGMA применяет его в своих проектах.
Закон № 1.565 от 3 декабря 2024 года вкратце
Закон № 1.565 от 3 декабря 2024 года о защите персональных данных (loi relative à la protection des données personnelles) опубликован в Journal de Monaco 13 декабря 2024 года. Он отменяет закон № 1.165 от 23 декабря 1993 года о защите именной информации, который до этого регулировал данную сферу в Княжестве.
Статья 37 создаёт независимый административный орган, Управление по защите персональных данных (Autorité de Protection des Données Personnelles, APDP), которое контролирует соответствие обработки персональных данных закону. Согласно статье 107, APDP становится правопреемником прежней Комиссии по контролю именной информации (CCIN) во всех её правах и обязанностях. На своём сайте apdp.mc Управление публикует решения, формы и информацию для компаний.
Логика закона близка к GDPR: компания должна быть способна доказать, что соблюдает принципы закона, а не просто выполнять формальности.
Правовое основание для каждой обработки
Статья 5 устанавливает, что обработка законна, только если она отвечает хотя бы одному из требований. Для частной компании чаще всего применяются следующие.
- Согласие человека для одной или нескольких конкретных целей.
- Исполнение договора, стороной которого является человек, или преддоговорных мер, принятых по его просьбе.
- Выполнение юридической обязанности, которая лежит на компании.
- Законный интерес компании или третьего лица, если только над ним не преобладают интересы или основные права человека.
На практике, прежде чем поручать ИИ сортировку писем клиентов или подготовку напоминаний, нужно понимать, на каком основании держится эта обработка и для какой именно цели она ведётся. ИИ, который использовал бы эти данные для другой задачи, не связанной с исходной целью, вышел бы за эти рамки.
Информирование людей и соблюдение их прав
Когда данные собираются непосредственно у человека, статья 11 обязывает в момент сбора предоставить ему ряд сведений: кто является оператором обработки, каковы цели и правовое основание, какие категории данных обрабатываются, сколько они хранятся, кто их получатели и передаются ли данные за пределы Княжества.
Далее закон гарантирует права, которые компания должна уметь обеспечить: доступ к данным с ответом в течение одного месяца после запроса (статья 12), исправление, удаление, ограничение обработки, возражение против обработки и переносимость данных. Статья 19 также даёт право не подвергаться решению, которое порождает юридические последствия или существенно затрагивает человека и принято исключительно на основе автоматизированной обработки, включая профилирование, за исключением случаев, предусмотренных законом.
Для ИИ-инструмента это означает, что все данные конкретного человека нужно уметь быстро найти, исправить или удалить, а в важных решениях обязательно должен участвовать человек.
Безопасность, реестр и утечки данных
Статья 31 требует от оператора и обработчика принимать технические и организационные меры, соответствующие рискам, и среди них прямо называет псевдонимизацию и шифрование. Статья 26 требует, чтобы обработчик предоставлял достаточные гарантии, а его работа регулировалась письменным договором.
Статья 27 обязывает вести письменный реестр операций по обработке: цели, категории людей и данных, получатели, сроки хранения, меры безопасности и передача данных за пределы Княжества. В случае утечки данных статья 32 предусматривает уведомление APDP в кратчайшие сроки и, по возможности, в течение 72 часов, если только утечка не создаёт риска для людей.
Наконец, статья 35 требует предварительной оценки воздействия, когда обработка, особенно с применением новых технологий, может создать высокий риск для прав и свобод людей. Поэтому проект ИИ, который оценивает клиентов или составляет их профили, должен поставить этот вопрос с самого начала.
Передача данных за пределы Монако: чувствительный вопрос для ИИ
Многие ИИ-инструменты отправляют данные на серверы за границей. Закон посвящает таким передачам целую главу. Согласно статье 97, передача допускается в страну с надлежащим уровнем защиты, и государства-члены ЕС считаются обладающими таким уровнем. APDP сообщило о публикации министерского постановления, которое устанавливает перечень стран, территорий и международных организаций, признанных обеспечивающими надлежащий уровень защиты.
Для передачи в страну без такого уровня статья 98 требует гарантий, например типовых условий, одобренных APDP, или одобренных обязательных корпоративных правил. Поэтому, прежде чем внедрять ИИ-инструмент, нужно точно знать, куда уходят данные, а не только где находится головной офис поставщика.
Как PRAGMA применяет эти правила
Наши ИИ-инструменты устроены так, чтобы эти обязательства соблюдались по самой их конструкции, а не добавлялись задним числом.
- Одобрение перед каждой отправкой: ИИ-агент готовит сообщение, и ничего не уходит клиенту без согласия сотрудника вашей команды.
- Ограниченный доступ: агент работает только с теми инструментами и делами, которые вы ему открыли, а каждый сотрудник видит то, что нужно для его роли.
- Журналирование: каждый доступ и каждое действие записываются, независимо от того, исходят они от сотрудника или от агента, и их можно просмотреть.
- Хостинг: сегодня ваши инструменты работают на европейских серверах, которые мы администрируем сами. Хостинг в Монако готовится для данных, которые не должны покидать Княжество.
- Ваши данные не используются для обучения внешней модели.
Эти принципы ещё важнее в профессиях, связанных с обязанностью хранить тайну, как показывает наша страница ИИ для family office и профессиональных фирм в Монако. Полное предложение описано на странице ИИ в Монако с PRAGMA.
Эта статья носит общий информационный характер и основана на тексте, опубликованном на Legimonaco, и на материалах сайта APDP. Она не является юридической консультацией: по вашей конкретной ситуации обратитесь к юристу или в APDP.
Частые вопросы
Заменяет ли закон № 1.565 прежний закон об именной информации?
Да. Он отменяет закон № 1.165 от 23 декабря 1993 года о защите именной информации, а APDP становится правопреемником CCIN.
Должна ли небольшая компания в Монако вести реестр обработки данных?
Закон обязывает оператора обработки вести письменный реестр операций по обработке. ИИ-инструмент, который работает с данными клиентов, вносится в этот реестр с указанием цели, данных и мер безопасности.
Можно ли пользоваться ИИ-инструментом, размещённым за пределами Монако?
Да, если передача данных соответствует правилам закона: страна признана обеспечивающей надлежащий уровень защиты или предусмотрены соответствующие гарантии. В PRAGMA ваши инструменты сегодня работают на европейских серверах, которые мы администрируем сами, а хостинг в Монако готовится.
Может ли ИИ самостоятельно принимать решения о клиенте?
Закон даёт каждому право не подвергаться решению с юридическими или иными существенными последствиями, принятому исключительно на основе автоматизированной обработки, за исключением отдельных случаев. В PRAGMA каждую отправку одобряет человек.
Что делать при утечке данных?
Оператор уведомляет APDP об утечке в кратчайшие сроки и, по возможности, в течение 72 часов, если только для людей нет риска. Журналы действий помогают установить, что произошло.
Чтобы проверить ваш ИИ-проект на соответствие этим правилам, опишите в форме обратной связи, о каких данных идёт речь и в каких инструментах они хранятся. Мы вернёмся к вам с бесплатным аудитом и прототипом ещё до любого коммерческого обсуждения.