Īsā atbilde
Latvijā automatizētu kredītspējas novērtējumu un finanšu vai parādnieku datu profilēšanu vispirms regulē tieši piemērojamā . papildina Latvijas uzraudzības un procesuālo sistēmu, bet neaizstāj GDPR 22. panta materiālās garantijas. Kredīta gadījumā klāt nāk kredītspējas prasības un noteikumi par datu avotiem, precizitāti, piekļuvi un labošanu.
Profilēšana nav automātiski aizliegta. Tai vajadzīgs tiesisks pamats, noteikts nolūks, samērīgi un precīzi dati, pārredzamība un drošība. Taču personai principā ir tiesības nebūt pakļautai lēmumam, kas balstīts tikai uz automatizētu apstrādi un rada juridiskas vai līdzīgi nozīmīgas sekas. Izņēmums iespējams, ja lēmums vajadzīgs līgumam, atļauts ar tiesību aktu vai balstīts skaidri izteiktā piekrišanā, ievērojot īpašas garantijas.
Ja modelis vai kredītbiroja vērtējums faktiski nosaka, vai persona saņems kredītu, nevar izvairīties no 22. panta, nosaucot rezultātu par “ieteikumu”. CJEU lietā C‑634/21 atzina, ka kredītbiroja automātiski radīts kredītspējas rādītājs var pats būt automatizēts lēmums, ja aizdevējs tam piešķir noteicošu lomu. Savukārt C‑203/22 nostiprina tiesības saņemt saprotamu informāciju par konkrētajā gadījumā izmantoto procedūru un principiem, ne tikai vispārīgu frāzi par “algoritmu”.
Kas ir profilēšana un automatizēts lēmums?
GDPR 4. panta 4. punkts profilēšanu definē kā automatizētu personas datu apstrādi, ko izmanto, lai vērtētu personas aspektus, tostarp ekonomisko situāciju, uzticamību, uzvedību vai paredzētu tās rīcību. Kredītreitings, saistību neizpildes varbūtība, krāpšanas riska rādītājs vai automātiska klienta iedalīšana cenu grupā var būt profilēšana.
Ne katra profilēšana ir GDPR 22. panta lēmums. Šī panta stingrākais režīms iestājas, ja ir trīs elementi: lēmums balstās tikai uz automatizētu apstrādi; tas attiecas uz konkrēto personu; un tas rada juridiskas vai tai līdzīgi nozīmīgas sekas. Kredīta atteikums, būtiski sliktāka procentu likme vai kredītlimita automātiska samazināšana parasti var būt nozīmīga ietekme. Vienkāršs riska signāls, ko kompetents darbinieks patiesi un patstāvīgi izvērtē kopā ar citiem pierādījumiem, var nebūt “tikai automatizēts”. Formāls cilvēka klikšķis bez reālas izvēles to nemaina.
Datu subjektam ir tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, kas attiecībā uz datu subjektu rada tiesiskās sekas vai kas līdzīgā veidā ievērojami ietekmē datu subjektu.
—
Kad automatizēts lēmums tomēr ir atļauts?
GDPR 22. panta 2. punkts paredz trīs pamatus: lēmums ir nepieciešams līguma noslēgšanai vai izpildei; to atļauj ES vai Latvijas tiesību akts, kas nosaka atbilstošas garantijas; vai persona ir devusi nepārprotamu piekrišanu. “Nepieciešams” ir šaurāks jēdziens nekā “ērtāks” vai “lētāks”. Pārzinim jāspēj paskaidrot, kāpēc mērķi nevar saprātīgi sasniegt ar mazāk ierobežojošu procesu.
Līguma un piekrišanas gadījumā obligātais garantiju minimums ir tiesības panākt cilvēka iesaistīšanos, izteikt savu viedokli un apstrīdēt lēmumu. Cilvēkam, kurš pārskata lēmumu, vajadzīga kompetence un reālas pilnvaras rezultātu mainīt. Automatizētu lēmumu nedrīkst balstīt uz īpašu kategoriju datiem, piemēram, veselības vai biometriskiem datiem, izņemot šauri noteiktus gadījumus un ar atbilstošām garantijām.
Pirms sistēmas ieviešanas var būt vajadzīgs datu aizsardzības ietekmes novērtējums. GDPR 35. pants to īpaši saista ar sistemātisku un plašu personisko aspektu vērtēšanu, kas balstīta automatizētā apstrādē un ir pamats lēmumiem ar juridisku vai līdzīgi nozīmīgu ietekmi. Novērtējumam jāaptver ne tikai kiberdrošība, bet arī nepareizu datu, diskriminācijas, nesamērīgas ietekmes un kļūdainu korelāciju riski.
Kādas ir informācijas un skaidrojuma tiesības?
GDPR 13. un 14. pants prasa jau datu iegūšanas laikā informēt par automatizētu lēmumu, tostarp profilēšanu, un sniegt jēgpilnu informāciju par izmantoto loģiku, nozīmi un paredzamajām sekām. GDPR 15. panta 1. punkta h) apakšpunkts dod līdzīgu piekļuves tiesību pēc personas pieprasījuma.
[Personai sniedz] jēgpilnu informāciju par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu.
—
Tas nenozīmē automātiskas tiesības saņemt programmas pirmkodu. Tomēr nepietiek arī ar abstraktu apgalvojumu, ka sistēma “izmanto statistiskus modeļus”. Pieprasījumā var prasīt: kuri personas dati izmantoti; no kurienes tie iegūti; kuri galvenie faktori un to mijiedarbība ietekmēja konkrēto rezultātu; kāds bija rezultāta diapazons un sekas; kā labot nepareizu ievadi; un kā lēmumu nodot cilvēka pārskatīšanai.
CJEU skaidroja, ka informācijai jāļauj personai saprast un apstrīdēt faktisko automatizētā lēmuma procedūru un principus. Komercnoslēpums nav vispārēja atteikuma atslēga. Ja atklāšana var skart trešo personu datus vai aizsargātu noslēpumu, informāciju var nodot uzraudzības iestādei vai tiesai, kas līdzsvaro intereses; pārzinis nevar vienkārši slēpt visu modeli.
Ko maina kredītspējas un kredītbiroju noteikumi?
Patērētāju tiesību aizsardzības likuma 8. pants prasa kredīta devējam pirms līguma pietiekami pārbaudīt spēju atmaksāt kredītu. Jāvērtē ienākumi, izdevumi un saistības, un kredītu drīkst piešķirt tikai tad, ja saistības, visticamāk, tiks izpildītas.
Ja kredīta pieteikums tiek noraidīts, kredīta devējs nekavējoties informē patērētāju par šādu noraidījumu un attiecīgā gadījumā arī par to, ka lēmuma pieņemšanas process ir automatizēts.
—
Šis paziņojums papildina, nevis sašaurina GDPR. Ja atteikums balstīts datubāzes informācijā, patērētājam bez maksas jānorāda arī datubāzes izmantošanas rezultāts un izmantotā datubāze. Persona var pēc tam prasīt piekļuvi un labojumu gan kredīta devējam, gan attiecīgā gadījumā kredītinformācijas birojam.
Kredītinformācijas biroju likums ierobežo avotus un nolūkus, prasa parāda datu aktualizēšanu un nosaka rakstiska iebilduma procesu. Kamēr parādu izskata, ierakstā jābūt strīda atzīmei. Ja kļūda apstiprinās, birojs datus labo vai dzēš un informē lietotājus, kas tos saņēmuši iepriekšējos 12 mēnešos. Kļūdains parāda ieraksts modeļa ievadē nav “algoritma viedoklis”; tas ir labojams personas datu precizitātes jautājums.
CJEU vērtēja kredītbiroja automātiski aprēķinātu maksātspējas varbūtību. Tiesa secināja, ka rādītāja izveide ietilpst 22. panta automatizēta lēmuma jēdzienā, ja trešā persona — piemēram, aizdevējs — tam piešķir noteicošu lomu līguma nodibināšanā, izpildē vai izbeigšanā. Tādēļ atbildību nevar sadalīt tā, ka birojs apgalvo “mēs tikai rēķinām”, bet aizdevējs — “mēs tikai sekojam rādītājam”.
Kā rīkoties, ja automatizēts rezultāts šķiet nepareizs?
Vispirms rakstiski jāpieprasa lēmuma statuss: vai tas bija tikai automatizēts, kādas sekas radīja un kas ir pārzinis. Tad jāprasa izmantotie personas dati, avoti, jēgpilna informācija par loģiku, nozīme un paredzamās sekas. Vienlaikus jānorāda konkrētas kļūdas — piemēram, samaksāts parāds, sajaukta persona, nepareizi ienākumi vai novecojis saistību statuss — un jālūdz labošana.
Ja piemērojams 22. pants, jālūdz cilvēka iesaistīšanās, jāizsaka savs viedoklis un jāapstrīd rezultāts. Ja apstrāde balstīta uz leģitīmajām interesēm vai publisku uzdevumu, jāapsver arī GDPR 21. panta iebildums. Pārzinim tad apstrāde jāpārtrauc, ja vien tas nepierāda pārliecinošus leģitīmus iemeslus, kas prevalē pār personas interesēm un tiesībām, vai vajadzību aizstāvēt juridiskas prasības.
Ja atbilde nav pietiekama, persona var iesniegt sūdzību . Atsevišķi var būt vajadzīgs vērsties PTAC par patērētāja kredīta pienākumu vai kredītinformācijas biroja procedūras pārkāpumu. Iestādes izvēle ir atkarīga no tā, vai problēma ir personas datu apstrāde, kreditēšanas pienākums vai abi.
Ko parādīja Legalcode pārbaude?
EU kolekcija atrada GDPR, EDPB automatizēto lēmumu vadlīnijas un abas nozīmīgās CJEU kredītvērtēšanas lietas ar pilnu tekstu. Tomēr precīzs CELEX lietas numurs brīvā teksta laukā abām lietām deva nulli, lai gan MCP pats ieteica identisku citation filtru, kas uzreiz atrada pareizo nolēmumu. Par šo pretrunu atvērta .
Latvijas DVI kolekcija ir daudz nopietnāks ierobežojums. Tajā ir tikai četras angļu valodas lapas par ES, Šengenas un vīzu informācijas sistēmām un vispārīgām datu subjekta tiesībām. Tajā nav automatizētu finanšu lēmumu vai profilēšanas materiāla un nav pārstāvēts DVI plašais latviešu saturs. Par šo pārklājuma trūkumu atvērta . Tādēļ nacionālās DVI vadlīnijas šim jautājumam nevar uzskatīt par pilnīgi pārbaudītām Legalcode kolekcijā.
Secinājums
- Profilēšanai vajadzīgs GDPR tiesiskais pamats, pārredzamība, precīzi un samērīgi dati un atbilstoša risku kontrole.
- Tikai automatizēts lēmums ar juridisku vai līdzīgi nozīmīgu ietekmi principā ir aizliegts, izņemot 22. pantā paredzētos gadījumus un garantijas.
- Personai jāsaņem jēgpilna informācija par konkrētā lēmuma loģiku, nozīmi un sekām un jāspēj panākt reālu cilvēka pārskatīšanu.
- Noteicošs kredītbiroja rādītājs var pats būt 22. panta lēmums; nosaukums “ieteikums” nav izšķirošs.
- Latvijas kredīta likums papildus prasa kredītspējas pārbaudi un paziņojumu par automatizētu noraidījumu, bet kredītbiroju likums dod piekļuves, iebilduma un labošanas mehānismu.
- Legalcode EU materiāls ir saturiski spēcīgs, bet precīzu lietu numuru meklēšana un DVI nacionālās guidance pārklājums pašlaik ir nepilnīgi.
Avoti
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.