Поведінкові характеристики як об’єкт захисту персональних даних у праві Європейського Союзу

Стаття досліджує поведінкові дані та їх правове регулювання у праві Європейського Союзу із застосуванням GDPR та регуляторних норм штучного інтелекту. У роботі ана-лізується концептуальне й правове розмежування між поведінковими характеристиками та біометричними даними та обґрунтовується позиція, що цифрово згенеровані поведінкові дані, як правило, не забезпечують стабільної й однозначної ідентифікації фізичної особи. Відповідно, такі дані не підпадають під суворий режим заборони, передбачений статтею 9(1)(2) GDPR, хоча залишаються персональними даними та мають опрацьовуватися на одній із законних підстав, визначених у статті 6 GDPR.

Дослідження демонструє, що поведінкові характеристики переважно використо-вуються для прогнозування та аналізу патернів, а тому регулюються в межах концепції профайлінгу GDPR, а не режиму спеціальних категорій персональних даних. Поведінкові дані можуть не ідентифікувати особу в певний момент часу, проте набувають іденти-фікаційного характеру через тривале накопичення, поєднання з іншими даними або систем штучного інтелекту.

Таким чином, у роботі обґрунтовується значення AI Act як lex specialis, що до-повнює GDPR шляхом обмеження використання систем ШІ, призначених для суттєвого впливу на поведінку людини або застосування підсвідомих технік, особливо у випадках, коли такі практики можуть спричиняти фізичну чи психологічну шкоду.

Окрім того, в імерсивних або нейроадаптивних середовищах та чи інша особа не спроможна реалістично усвідомити або ефективно контролювати збір і використання поведінкових даних, що підриває саму концепцію поінформованої згоди. Більше того, безперервний моніторинг поведінки з часом може впливати на пізнання, самовира-ження та автономію особи, спричиняючи “охолоджувальний ефект” і самоцензуру на-віть поза межами традиційно “чутливих” сфер. У сукупності це становить перекон-ливий аргумент на користь визнання “інтимних поведінкових даних” або “нейропо-ведінкових даних” як окремої правової категорії, що виходить за межі класичних біо-метричних даних. Так чи інакше, має бути забезпечено дотримання принципів пропорційності, мінімізації даних та людського контролю.