Rozporządzenie o ochronie danych osobowych (potocznie zwane RODO) obowiązuje już kilka lat. Regularnie jednak pojawiają się nowe kwestie z nim związane. Jedną z nich jest zautomatyzowane podejmowanie decyzji. Tego typu praktyki stosuje w chwili obecnej bardzo wiele podmiotów. Ze zautomatyzowanym podejmowaniem decyzji spotkamy się w placówkach służby zdrowia czy w bankach. Zautomatyzowane podejmowanie decyzji wykorzystywane jest także w procesach rekrutacji pracowników. Rozwiązanie to jest niezwykle nowoczesne, ale nie zawsze korzystne dla osoby, której dotyczy.
Co o zautomatyzowany podejmowaniu decyzji mówi RODO?
W procesie zautomatyzowanego podejmowania decyzji człowiek nie bierze żadnego udziału. Automatyczne przetwarzanie danych osobowych odbywa się z wykorzystaniem sztucznej inteligencji. Proces ten może, ale nie musi wiązać się z profilowaniem. Przepisy RODO tego nie zabraniają, jednakże regulują pewne kwestie z tym związane. Otóż zgodnie z artykułem 22 ust.1 rozporządzenia o ochronie danych osobowych osobie, której dane mają być przetwarzane przysługuje prawo do tego, aby decyzja nie była podejmowana wyłącznie na podstawie algorytmów. Nie przewidują one bowiem sytuacji wyjątkowych, nie uwzględniają okoliczności, które dla danej sprawy mogą być istotne. Dlatego też uważa się, że podejmowanie decyzji tylko i wyłącznie na podstawie algorytmów może naruszać prawo do prywatności bądź też stać się przyczyną dyskryminacji.
Kiedy dozwolone jest podejmowanie decyzji w oparciu o zautomatyzowane przetwarzanie danych?
Zgodnie z przepisami RODO decyzja oparta na automatycznym przetwarzaniu danych nie może zostać podjęta, jeżeli wywiera ona wpływ na prawa przysługujące osobie, które dane te dotyczą. Są jednak okoliczności, gdy taki sposób podejmowania decyzji jest dopuszczalny. W sytuacji, gdy wydanie decyzji na podstawie zautomatyzowanego przetwarzania jest jedynym sposobem, aby zawrzeć umowę z osobą, której dane te dotyczą, decyzja może zostać podjęta. Jest to możliwe także wtedy, gdy osoba, które dane są przetwarzane udzieliła wyraźnej zgody. Zautomatyzowaną decyzję może zostać podjęta także wtedy, gdy jest to zgodne z prawem Unii Europejskiej prawem polskim. Decyzję musi zostać jednak podjęta w taki sposób, aby chroniła prawa i wolności osoby, której dane dotyczą. Wdrożenie środków służących ochronie praw i wolności jest jednym z obowiązków spoczywających na administratorze danych osobowych. Istotne jest też to, że osoba, wobec której podjęta została zautomatyzowana decyzja ma możliwość jej zakwestionowania. Administrator w takiej sytuacji ma natomiast obowiązek zapewnić osobie tej kontakt z pracownikiem, który podjętą przez robota decyzję zweryfikuje i ewentualnie ją wycofa bądź podtrzyma.
Kamila Janic (Inspektor ochrony danych)