Оформление договора на обучение искусственного интеллекта с использованием персональных данных клиентов в Республике Беларусь

Правовая основа

В Республике Беларусь отношения, связанные с обработкой персональных данных, регулируются Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных». Договор на обучение искусственного интеллекта с использованием персональных данных клиентов представляет собой комплексный правовой институт, затрагивающий как договорное право, так и законодательство о защите персональных данных.

1. Ключевые требования к обработке персональных данных

1.1. Согласие субъекта персональных данных

Согласно Закону № 99-З «О защите персональных данных», обработка персональных данных осуществляется на основании согласия субъекта персональных данных или иных законных оснований. Согласие должно быть:

• Добровольным и осознанным;
• Конкретным — должно чётко определять, какие именно данные обрабатываются и для каких целей;
• Информированным — субъект должен быть уведомлён о цели обработки, объёме данных, сроках хранения и правах на отзыв согласия.

Важно: Согласие на обработку персональных данных для обучения ИИ должно отдельно оговаривать цель «обучение (тренировка) моделей искусственного интеллекта», поскольку это специфическая цель, которая может не охватываться общим согласием, данным, например, для оказания услуг клиенту.

1.2. Правовые основания обработки

Помимо согласия, обработка может осуществляться на основании:

• Договора, стороной которого является субъект персональных данных;
• Законодательных актов;
• Жизненно важных интересов субъекта;
• Иных оснований, предусмотренных Законом № 99-З.

2. Структура договора на обучение ИИ с использованием персональных данных

Договор целесообразно оформить как договор возмездного оказания услуг (глава 39 Гражданского кодекса Республики Беларусь, ст. 733 и далее) либо как смешанный договор, включающий элементы оказания услуг и лицензионных/обязательственных отношений.

2.1. Существенные условия договора

В соответствии со ст. 402 Гражданского кодекса Республики Беларусь (ГК РБ), существенными условиями договора являются:

1. Условия о предмете договора — чёткое описание услуги по обучению/тренировке модели ИИ на предоставленных данных;
2. Условия, прямо названные в законе как существенные для данного вида договора;
3. Условия, относительно которых по заявлению одной из сторон должно быть достигнуто соглашение.

2.2. Рекомендуемые условия договора

А. Предмет договора

• Описание задачи обучения ИИ (тип модели, целевая функция, ожидаемые результаты);
• Объём и формат предоставляемых персональных данных;
• Способ передачи данных (защищённый канал, шифрование и т.д.).

Б. Порядок обработки персональных данных

• Цель обработки — обучение модели искусственного интеллекта;
• Категории персональных данных, подлежащих обработке;
• Срок обработки и хранения данных;
• Меры по обеспечению безопасности персональных данных (технические, организационные);
• Обязательство не использовать данные для иных целей, кроме оговоренных;
• Обязательство анонимизировать / деперсонализировать данные, если это возможно без ущерба для цели обучения.

В. Права и обязанности сторон

• Исполнитель обязан:
  • Обрабатывать данные исключительно в целях, предусмотренных договором;
  • Обеспечить конфиденциальность и безопасность данных;
  • Уничтожить данные по окончании обучения или по требованию заказчика;
  • Соблюдать требования Закона № 99-З «О защите персональных данных».
• Заказчик обязан:
  • Предоставить данные, в отношении которых получено надлежащее согласие субъектов (или иное законное основание);
  • Уведомить субъектов о передаче их данных третьему лицу для обработки (если применимо);
  • Гарантировать наличие правовых оснований для передачи данных.

Г. Ответственность сторон

• Ответственность за нарушение законодательства о защите персональных данных:
  • Административная ответственность по ст. 23.7 Кодекса Республики Беларусь об административных правонарушениях — штраф до 50 базовых величин за умышленные незаконные сбор, обработку, хранение или предоставление персональных данных;
  • Уголовная ответственность по ст. 2031 Уголовного кодекса Республики Беларусь — за умышленные незаконные сбор, предоставление информации о частной жизни и (или) персональных данных без согласия, повлёкшие существенный вред;
• Возмещение убытков в соответствии с ст. 14 ГК РБ;
• Санкции за нарушение сроков, качества обучения модели и т.д.

Д. Конфиденциальность

• Условие о неразглашении персональных данных и результатов обучения;
• Срок действия обязательства по конфиденциальности (может превышать срок действия договора).

Е. Порядок уничтожения данных

• Сроки уничтожения персональных данных по завершении обучения;
• Порядок подтверждения уничтожения (акт об уничтожении).

3. Дополнительные документы

Помимо самого договора, необходимо оформить:

1. Согласие субъектов персональных данных на обработку их данных для целей обучения ИИ — отдельный документ или пункт в клиентском соглашении/политике конфиденциальности;

2. Политика обработки персональных данных — документ, разрабатываемый оператором персональных данных в соответствии с Законом № 99-З;

3. Акт приёма-передачи данных — фиксирующий объём и формат переданных данных;

4. Акт об уничтожении персональных данных — по завершении обучения модели.

4. Особые рекомендации

5. Источники правового регулирования

1. Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» — основной нормативный правовой акт, регулирующий обработку персональных данных.

2. Гражданский кодекс Республики Беларусь от 7 декабря 1998 г. № 218-З:

   • Статья 2 — основные начала гражданского законодательства (принципы свободы договора, добросовестности и разумности);
   • Статья 402 — существенные условия договора;
   • Статья 733 и далее — договор возмездного оказания услуг.

3. Кодекс Республики Беларусь об административных правонарушениях от 6 января 2021 г. № 91-З:

   • Статья 23.7 — нарушение законодательства о защите персональных данных.

4. Уголовный кодекс Республики Беларусь от 9 июля 1999 г. № 275-З:

   • Статья 2031 — незаконные действия в отношении информации о частной жизни и персональных данных.

Вывод

Оформление договора на обучение искусственного интеллекта с использованием персональных данных клиентов в Республике Беларусь требует комплексного подхода, сочетающего нормы договорного права и законодательства о защите персональных данных. Ключевыми элементами являются: получение надлежащего согласия субъектов данных, чёткая регламентация порядка обработки и уничтожения данных, обеспечение их безопасности и установление ответственности за нарушение. Рекомендуется также минимизировать использование персональных данных путём их анонимизации/деперсонализации, где это технически возможно.