IX Forum ABI Expert

DZIEŃ I – 18 MAJA (PONIEDZIAŁEK)

Otwarcie Forum [15.00 – 15.10]

I. Uczenie maszynowe a ochrona danych osobowych: typy uczenia maszynowego i ich charakterystyka względem prawa; uczenie maszynowe i podstawy do przetwarzania danych; potencjalne problemy związane z ograniczeniem przetwarzania lub wykorzystaniem wybranych praw podmiotów danych, w tym prawa do bycia zapomnianym.

II. Modele językowe – ryzyka dotyczące różnych przypadków wdrożenia: klasyfikacja wdrożenia modeli językowych (AI); jak budować hierarchie ryzyk; rodo a akt o sztucznej inteligencji – na co zwrócić uwagę.

III. AI + rodo w zamówieniach publicznych – punkty styku, napięcia i wyzwania: zastosowanie AI w zamówieniach publicznych; ryzyka naruszenia ochrony danych osobowych przy zastosowaniu AI; obowiązki zamawiającego jako administratora; dobre praktyki i rekomendacje.

Przerwa kawowa [16.40 – 17.10]

IV. Inne formy monitoringu w świetle wyzwań technologicznych i ograniczeń prawnych: „otoczenie” prawne stosowania „innych” form monitoringu pracowników; przykładowe rozwiązania techniczne monitorujące pracowników; ryzyka regulacyjne i praktyczne po stronie pracodawców; ryzyka naruszenia praw pracowników.

V. Dane, decyzje, odpowiedzialność. O kulturze, która decyduje o sukcesie projektów technologicznych: projekty oparte na danych a technologia i kultura organizacyjna; wspólne zasady, kompetencje i zaufanie; prawo, bezpieczeństwo i etyka – elementy codziennej pracy z danymi.

VI. Dane osobowe jako informacja publiczna. Istota problemu: praktyka udostępniania danych osobowych jako informacji publicznej; udostępniania danych w ramach informacji publicznej; kwestie kolizyjne.

Kolacja [20.30]

DZIEŃ II – 19 MAJA (WTOREK)

Śniadanie [7.30 – 9.00]

VII. Zarządzanie danymi po Omnibusie cyfrowym i krajowych przepisach – przewodnik dla IOD po nowej mozaice regulacyjnej: akt w sprawie zarządzania danymi (DGA) i przepisy krajowe (ustawa o zarządzaniu danymi); akt w sprawie danych (Data Act) i projekt ustawy o sprawiedliwym dostępie do danych i ich wykorzystywaniu; zmiany zaproponowane w Omnibusie cyfrowym.

VIII. Pomiędzy ustawą o Krajowym Systemie Cyberbezpieczeństwa a projektem Cybersecurity Act 2 (CSA 2): co zmienią przepisy o dostawcach wysokiego ryzyka (HRV – High Risk Vendors) i (HRS – High-Risk Suppliers): od oceny technicznej do oceny geopolitycznej; formalizacja ryzyka dostawcy, nie tylko ryzyka usługi – dostawca jako źródło ryzyka systemowego; vendor-neutrality w sektorach krytycznych ustępuje risk-based exclusion; rozjazd między compliance a procurement.

IX. Bezpieczeństwo danych osobowych wobec cyberzagrożeń: odpowiedzialność za ataki hackerskie; analiza ryzyka; rozliczalność.

X. Narzędzia i systemy IT dla inspektora ochrony danych: narzędzia IT niezbędne do realizacji zadań IOD; systemy IT wspierające współpracę organizacji z IOD; inne systemy lub aplikacje wzmacniające ochronę danych osobowych w organizacji.

Przerwa kawowa [12.00 – 12.30]

XI. Uzasadniony interes w erze nowych technologii: uzasadniony interes jako klauzula generalna w systemie rodo; uzasadniony interes w nowoczesnych technologiach; wytyczne Europejskiej Rady Ochrony Danych (EROD) z października 2024 r.

XII. Nowa architektura ról i rozkładu odpowiedzialności w procesach przetwarzania danych po wyroku C-492/23: wyłączenie odpowiedzialności hosting providerów wobec ich odpowiedzialności na gruncie regulacji rodo; jakie są konsekwencje (nie tylko dla branży online) kwalifikacji operatora internetowej platformy handlowej jako administratora danych osobowych zawartych w ogłoszeniu opublikowanym na jego platformie.

XIII. Odpowiedzialność cywilna za naruszenia ochrony danych osobowych: zasady odpowiedzialności administratora; warunki odpowiedzialności podmiotu przetwarzającego; przegląd orzecznictwa.

XIV. Perspektywy stosowania art. 22 rodo w świetle rozwoju AI: systemy oparte na AI a procesy przetwarzania danych; normatywne warunki zautomatyzowania procesów podejmowania decyzji; dopuszczalność automatyzowania procesów decyzyjnych a ochrona praw podmiotu danych.

Obiad [14.45 – 15.30]

XV. Audyt AI w świetle opinii Europejskiej Rady Ochrony Danych 28/2024, czyli jak być gotowym na kontrolę organu nadzorczego, łącząc wymogi rozliczalności z ramami ISO 23894 oraz wykazując zaangażowanie IOD: jak wykorzystać normę ISO 23894 „Zarządzanie ryzykiem AI” do stworzenia dokumentacji; checklista „red flags” na podstawie opinii Europejskiej Rady Ochrony Danych (EROD); realne punkty styku IOD z zespołami IT – jak IOD może skutecznie weryfikować zabezpieczenia techniczne i brać czynny udział w procesie privacy by design.

XVI. Monitorowanie promptów i odpowiedzi AI zgodnie z rodo i innymi regulacjami prawnymi i wewnętrznymi organizacji: kiedy prompty i outputy są danymi osobowymi oraz jakie ryzyka z tego wynikają; najczęstsze scenariusze ryzyka w promptach i odpowiedziach, przykłady i środki zaradcze; jak legalnie logować i analizować prompty i outputy: podstawa prawna, obowiązek informacyjny, minimalizacja danych, retencja.

Kolacja [18.00]

DZIEŃ III – 20 MAJA (ŚRODA)

Śniadanie [7.30 – 9.00]

XVII. Ochrona danych o wynagrodzeniu za pracę a obowiązki informacyjne w świetle dyrektywy o przejrzystości wynagrodzeń – co wolno pracodawcy? Informacja o wynagrodzeniu za pracę jako dane osobowe i dobro osobiste w świetle dyrektywy o przejrzystości wynagrodzeń; jak pracodawca powinien zrealizować obowiązki informacyjne w zakresie przejrzystości wynagrodzeń; granice ochrony – czy można dowiedzieć się od pracodawcy, ile zarabia współpracownik w pracy.

XVIII. Szczególne kategorie danych osobowych w decyzjach europejskich organów nadzorczych: kiedy dane stają się wrażliwe; przyczyny naruszeń; wysokość kar.

XIX. Backup to nie azyl dla danych osobowych, czyli jak usuwać dane z kopii zapasowych: dlaczego backupy nie są wyjątkiem od rodo; podejście Urzędu Ochrony Danych Osobowych (UODO) oraz Naczelnego Sądu Administracyjnego (NSA); zgodny z rodo model usuwania z backupów.

XX. Zapewnienie ułatwienia wykonywania praw osób, których dane dotyczą, w ramach funkcjonowania modeli i systemów AI: przypomnienie podstawowych zasad; w jaki sposób reagować na żądania podmiotów danych dotyczące praw; odstępstwa od wykonywania praw.

Zakończenie FORUM [12.00]