Czym jest zautomatyzowane podejmowanie decyzji w GDPR?

Zautomatyzowane podejmowanie decyzji (ADM) zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO) jest definiowane jako każda decyzja podjęta bez interwencji człowieka za pomocą środków technologicznych, takich jak algorytmy czy sztuczna inteligencja. Przykłady obejmują zautomatyzowane rekomendacje produktów oraz algorytmiczne wykrywanie oszustw w bankowości. Zgodnie z Artykułem 22 RODO, osoby fizyczne („osoby, których dane dotyczą”) posiadają prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, zwłaszcza jeśli takie decyzje wywołują wobec nich skutki prawne lub w podobny sposób istotnie na nie wpływają.

Trzy główne podstawy, na których ADM jest dozwolone:

• Wykonanie umowy: ADM jest niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a przedsiębiorstwem.
• Zezwolenie prawne: ADM jest dozwolone prawem Unii lub państwa członkowskiego, na przykład w celu monitorowania unikania opodatkowania.
• Wyraźna zgoda: Osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie.

Zaobserwowano następujące implikacje prawne i praktyczne:

• Przedsiębiorstwa wdrażające ADM muszą zapewnić zabezpieczenia, takie jak znacząca interwencja człowieka, możliwość wyrażenia własnego stanowiska przez osoby fizyczne oraz prawo do zakwestionowania decyzji.
• Zakres „istotnego wpływu” jest interpretowany szeroko i może obejmować wpływ na zdolność kredytową, możliwości zatrudnienia czy dostęp do usług publicznych.
• Systemy ADM stały się przedmiotem kontroli regulacyjnej w zakresie przejrzystości, stronniczości algorytmicznej oraz adekwatności mechanizmów zgody użytkownika.
• Najnowsze badania empiryczne wskazują, że wiele organizacji nie posiada odpowiednich procesów, aby w pełni przestrzegać Artykułu 22, w szczególności w zakresie dostarczania wyjaśnień i skutecznych procedur odwoławczych.

Podsumowując, RODO ogranicza ADM, które wywołuje istotne skutki, chyba że spełnione są rygorystyczne warunki prawne i wdrożone są wyraźne zabezpieczenia. Literatura podkreśla bieżące wyzwania w operacjonalizacji tych zabezpieczeń i zapewnieniu znaczącego nadzoru ludzkiego.