Stutta svarið
Ákvörðun fellur undir sérreglu persónuverndarlöggjafar þegar þrjú skilyrði fara saman: hún byggist eingöngu á sjálfvirkri vinnslu persónuupplýsinga, hún beinist að einstaklingi og hefur réttaráhrif eða önnur sambærilega veruleg áhrif á hann. Stigagjöf eða reiknilíkan í vinnuferli nægir ekki eitt og sér. Meta þarf hvort manneskja taki raunverulega afstöðu og hvort niðurstaðan ráði til dæmis láni, tryggingu, starfi eða mikilvægri þjónustu.
Mannleg endurskoðun felst ekki í því að starfsmaður ýti aðeins á „staðfesta“. Sá sem endurskoðar ákvörðunina þarf að skilja forsendurnar, skoða gögnin, taka við athugasemdum og hafa vald til að breyta ákvörðuninni. Einstaklingur á jafnframt rétt á marktækum upplýsingum um rökin að baki og afleiðingarnar. Í því felst ekki endilega réttur til frumkóða, en svarið má heldur ekki vera óskiljanleg formúla eða það eitt að „kerfið hafi reiknað þetta út“.
Sé sjálfvirk ákvörðun heimil vegna samnings eða afdráttarlauss samþykkis á einstaklingurinn að minnsta kosti rétt til mannlegrar íhlutunar, til að koma sjónarmiðum sínum á framfæri og til að vefengja niðurstöðuna.
Þriggja þátta prófið
Kjarni reglunnar er í 1. mgr. 22. gr. persónuverndarreglugerðarinnar, sem gildir hér á landi samkvæmt lögum nr. 90/2018:
Skráður einstaklingur skal eiga rétt á því að ekki sé tekin ákvörðun eingöngu á grundvelli sjálfvirkrar gagnavinnslu, þ.m.t. gerðar persónusniðs, sem hefur réttaráhrif að því er hann sjálfan varðar eða snertir hann á sambærilegan hátt að verulegu leyti.
—
Orðalagið vekur þrjár spurningar:
- Er um ákvörðun að ræða? Útreikningur, flokkun eða ráðlegging getur orðið ákvörðun ef niðurstaðan ræður í reynd því sem gert er gagnvart einstaklingnum.
- Er niðurstaðan eingöngu sjálfvirk? Mannleg aðkoma verður að vera raunveruleg, ekki táknræn eða fyrirframgefin staðfesting á niðurstöðu kerfisins.
- Eru áhrifin nægilega mikil? Réttaráhrif geta falist í því að réttindi eða samningsstaða stofnist, breytist eða falli niður. Sambærilega veruleg áhrif geta meðal annars falist í synjun láns, útilokun úr ráðningarferli eða ákvörðun um mikilvæga þjónustu.
Persónuvernd nefnir lánshæfismat, greiðslumat og ráðningar sem dæmi um svið þar sem áhrif geta verið veruleg. Val á almennri auglýsingu eða forgangsröðun efnis fellur hins vegar ekki sjálfkrafa undir 22. gr., nema áhrifin verði sambærilega veruleg.
Manneskja í ferlinu leysir ekki sjálfkrafa úr málinu
Það nægir ekki að nafn starfsmanns standi á síðasta skrefinu. Sjái hann aðeins rauða eða græna merkingu, hafi of skamman tíma eða megi ekki víkja frá niðurstöðu kerfisins er mannlega aðkoman lítils virði.
Raunveruleg mannleg aðkoma er fyrir hendi þegar starfsmaður:
- fær öll gögn og helstu forsendur sem niðurstaðan byggist á;
- hefur þekkingu og tíma til að meta veikleika líkansins og aðstæður málsins;
- kannar ósamræmi, röng gögn og upplýsingar sem líkanið tekur ekki tillit til;
- hlustar á sjónarmið einstaklingsins og tekur við viðbótargögnum; og
- getur fellt ákvörðunina úr gildi, breytt henni eða tekið nýja ákvörðun án þess að þurfa samþykki kerfisins.
Þetta á bæði við um upphaflegu ákvörðunina og endurskoðun hennar. Að kalla fram sama sjálfvirka svarið aftur er ekki mannleg endurskoðun.
Íslenskt dæmi: sjálfvirk afgreiðsla er ekki alltaf ákvörðun samkvæmt 22. gr.
Í var fjallað um afgreiðslu umsókna um líf- og sjúkdómatryggingar. „Hreinar umsóknir“, þar sem svör kölluðu ekki á frekara áhættumat, fóru sjálfvirkt í útgáfu. Umsóknir með áhættuaukandi svör fóru hins vegar til starfsfólks til ítarlegra mats.
Persónuvernd hafði áður tekið ferlið til athugunar en endurupptók málið að fengnum frekari skýringum og felldi það niður. Um afmörkun 22. gr. sagði:
Að mati stofnunarinnar má líta svo á að umrædd vinnsla hafi ekki falið í sér sjálfvirka ákvörðunartöku sem féll undir 22. gr. laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. jafnframt 71. lið formálsorða reglugerðarinnar. Féll slík vinnsla persónuupplýsinga því utan afmörkunar málsins.
—
Dæmið sýnir að orðið „sjálfvirk“ í verklýsingu sker ekki úr. Hér samþykkti sjálfvirka leiðin umsóknir en mál sem kölluðu á áhættumat fengu mannlega meðferð. Jákvæð niðurstaða fellur þó ekki alltaf utan ákvæðisins; sjálfvirk ákvörðun skilmála eða verðs getur eftir atvikum haft veruleg áhrif.
Einkunn getur sjálf verið ákvörðun þótt annar eigi síðasta orðið
Sjálfvirkri vinnslu er oft skipt milli tveggja fyrirtækja. Annað reiknar einkunn en hitt tekur formlega ákvörðun. Í taldi Evrópudómstóllinn að sjálfvirk lánshæfiseinkunn gæti sjálf verið ákvörðun í skilningi 22. gr. þegar viðtakandi einkunnar byggði ákvörðun sína að verulegu leyti á henni. Formlegt síðasta skref hjá lánveitanda rauf þá ekki keðjuna.
Sama getur átt við þegar ráðningarkerfi raðar umsækjendum, tryggingalíkan flokkar áhættu eða svikavörn lokar á viðskipti. Spurningin er ekki aðeins hver ýtti á síðasta hnappinn heldur hvaða niðurstaða réð ferðinni.
Í íslensku taldi Persónuvernd að upplýsingar um gögn að baki lánshæfismati fullnægðu aðgangsrétti. Nýrri dómar leggja áherslu á vægi einkunnar og skýringu sem gerir einstaklingi kleift að vefengja hana.
Hvenær er sjálfvirk ákvörðun heimil?
Þegar ákvörðun fellur undir 22. gr. er meginreglan sú að hún sé ekki tekin eingöngu sjálfvirkt. Þrjár afmarkaðar leiðir geta þó heimilað vinnsluna:
Samþykki sem falið er í almennum skilmálum nægir ekki. Skilyrðið um að vinnslan sé nauðsynleg vegna samnings er jafnframt þrengra en svo að nægi að hún auðveldi afgreiðslu.
Byggist heimildin á samningsnauðsyn eða afdráttarlausu samþykki segir 3. mgr. 22. gr. beinlínis:
Í þeim tilvikum, sem um getur í a- og c-lið 2. mgr., skal ábyrgðaraðili gagna gera viðeigandi ráðstafanir til að vernda réttindi og frelsi og lögmæta hagsmuni hins skráða, a.m.k. réttinn til mannlegrar íhlutunar af hálfu ábyrgðaraðilans, til að láta skoðun sína í ljós og til að vefengja ákvörðunina.
—
Þegar heimildin er sett í lög þarf löggjafinn sjálfur að tryggja viðeigandi verndarráðstafanir. Í leiðbeiningum Persónuverndar er lögð áhersla á fjögur réttindi þegar sjálfvirk ákvarðanataka er heimil:
Einstaklingar eiga alltaf rétt á að:
- Fá mannlega íhlutun
- Koma sjónarmiðum sínum á framfæri
- Fá útskýringu á ákvörðuninni
- Mótmæla ákvörðuninni
—
Gæta þarf sérstakrar varúðar um upplýsingar um heilsufar, stjórnmálaskoðanir, lífkenni og aðra sérstaka flokka persónuupplýsinga. Þær má almennt ekki leggja til grundvallar nema sérstök heimild og viðeigandi vernd séu fyrir hendi.
Rétturinn til skýringar gerir endurskoðunina raunhæfa
Einstaklingur getur ekki vefengt niðurstöðu sem hann fær enga skýringu á. Samkvæmt h-lið 1. mgr. 15. gr. nær aðgangsrétturinn meðal annars til eftirfarandi:
hvort fram fari sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs, sem um getur í 1. og 4. mgr. 22. gr. og, a.m.k. í þeim tilvikum, marktækar upplýsingar um þau rök sem þar liggja að baki og einnig þýðingu og fyrirhugaðar afleiðingar slíkrar vinnslu fyrir hinn skráða.
—
Í taldi Evrópudómstóllinn að lýsa þyrfti beittri aðferð og meginreglum á gagnorðan og skiljanlegan hátt. Flókin formúla eða tæmandi tæknilýsing er ekki sjálfkrafa gagnleg skýring; sýna má hvernig önnur gildi hefðu breytt niðurstöðu.
Viðskiptaleynd fellir ekki réttinn niður. Upplýsingar sem kunna að fela í sér slíka leynd eða gögn annarra ber að leggja fyrir lögbært eftirlitsyfirvald eða dómstól til hagsmunamats. Almenn tilvísun til leyndar réttlætir ekki synjun allra skýringa.
Hvað á að biðja um í mannlegri endurskoðun?
Í beiðni skal tilgreina ákvörðun, dagsetningu og áhrif og óska eftir:
- staðfestingu á því hvort niðurstaðan hafi verið tekin eingöngu eða að verulegu leyti með sjálfvirkri vinnslu;
- upplýsingum um hvaða persónuupplýsingar og meginviðmið voru notuð og hvaðan gögnin komu;
- skiljanlegri skýringu á því hvernig þau gögn leiddu til niðurstöðunnar og hvaða frávik hefðu getað breytt henni;
- leiðréttingu rangra eða úreltra gagna;
- endurskoðun hjá starfsmanni í tilgreindu hlutverki sem hefur heimild til að taka nýja ákvörðun;
- tækifæri til að koma sjónarmiðum og viðbótargögnum á framfæri; og
- rökstuddri niðurstöðu endurskoðunarinnar.
Ábyrgðaraðili skal almennt svara innan mánaðar. Við synjun ber að greina ástæður og benda á rétt til kvörtunar og annarra réttarúrræða.
Samanburðartafla: hvenær reynir líklega á 22. gr.?
Sama tækni getur fallið innan eða utan ákvæðisins eftir gögnum, mannlegri aðkomu og afleiðingum fyrir einstaklinginn.
Niðurstaða
Hvort ákvörðun telst sjálfvirk ræðst ekki af því hvort fyrirtæki kallar kerfið „ráðgjöf“, „áhættumat“ eða „ákvörðunarstuðning“. Meta þarf raunverulegt vægi niðurstöðunnar, mannlegu aðkomuna og áhrifin á einstaklinginn. Formleg staðfesting starfsmanns nægir ekki ef sjálfvirka einkunnin ræður í reynd.
Raunveruleg mannleg endurskoðun sameinar þrennt: skiljanlega skýringu, tækifæri til að leiðrétta gögn og koma sjónarmiðum á framfæri og starfsmann sem getur tekið nýja ákvörðun. Án þess verður rétturinn aðeins hnappur í sama sjálfvirka ferlinu.
Heimildir
- , einkum 12., 15. og 22. gr. persónuverndarreglugerðarinnar.
- .
- .
- .
- .
- .
- .
- .
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.