Automatiserte beslutninger: hva GDPR artikkel 22 krever

Tre vilkår må være oppfylt samtidig

Bestemmelsen stiller tre vilkår som må være oppfylt samtidig. Det må foreligge en avgjørelse, den må være basert utelukkende på automatisert behandling, og den må ha rettsvirkning for eller i betydelig grad påvirke den det gjelder. Profilering er nevnt som eksempel på automatisert behandling, ikke som et eget forbud. Dette er ett av flere temaer i guiden om regler for nettsider og netthandel.

Ordet utelukkende gjør mye av arbeidet. Så snart et menneske faktisk vurderer saken før avgjørelsen tas, faller den normalt utenfor artikkel 22. EDPB presiserer i retningslinjene WP251 at den menneskelige vurderingen må være reell. En saksbehandler som godkjenner en ferdig beregnet konklusjon uten å kunne endre den, utgjør ingen menneskelig vurdering.

Det andre vilkåret er effekten. Automatisering som sorterer e-post eller foreslår produkter, rammes sjelden. Det gjør derimot avgjørelser som gir avslag, setter en pris eller bestemmer en kredittramme. Definisjonene i artikkel 4 avklarer hva som regnes som personopplysninger og profilering, og er nyttige når dere skal vurdere om behandlingen omfattes.

Unntakene: avtale, lov og uttrykkelig samtykke

Forbudet i nr. 1 er ikke absolutt. Nr. 2 lister tre unntak: avgjørelsen er nødvendig for å inngå eller oppfylle en avtale, den er tillatt i unionsretten eller nasjonal rett, eller den bygger på uttrykkelig samtykke. Unntakene er snevre, og dere må kunne vise hvilket av dem som faktisk gjelder.

Samtykke må være uttrykkelig og kan trekkes tilbake. Er avgjørelsen nødvendig for en avtale, må dere begrunne hvorfor en manuell vurdering ikke er et reelt alternativ. Bygger den på lov, må hjemmelen finnes i loven og inneholde egnede tiltak. Behandlingsgrunnlaget etter artikkel 6 må uansett være på plass.

Nr. 3 krever beskyttelse når et unntak brukes. Den registrerte skal ha rett til menneskelig inngripen, kunne si sin mening og bestride avgjørelsen. Nr. 4 forbyr i utgangspunktet avgjørelser basert på særlige kategorier av opplysninger, som helse eller etnisitet, med mindre vilkårene i artikkel 9 er oppfylt og det er innført egnede tiltak.

Profilering i markedsføring og netthandel

Datatilsynet peker på at persontilpasset markedsføring normalt faller utenfor artikkel 22, fordi en automatisk avgjørelse om hvilken annonse som vises, sjelden har stor nok innvirkning. Unntaket er markedsføring som treffer sårbare personer med reelle konsekvenser, for eksempel spillreklame rettet mot personer med spilleproblem.

I netthandel er de tydelige tilfellene automatisk kredittvurdering, automatisk avvisning av en kunde og prising basert på profil. Felles for dem er at de treffer enkeltpersoner med en konsekvens de merker, og at de ofte skjer uten at kunden får vite hvorfor.

Profilering bygger nesten alltid på sporing. Reglene om informasjonskapsler og samtykke avgjør hva dere kan samle inn, mens artikkel 22 avgjør hva dere kan bruke opplysningene til. Det er to separate vurderinger, og begge må være på plass.

Slik kartlegger dere egne beslutninger

Start med et beslutningskart. List opp systemene som fatter eller foreslår avgjørelser om personer: kredittvurdering, svindelkontroll, prissetting, tilgangskontroll. Noter hvilke opplysninger som brukes, hvem som rammes og hvilken konsekvens avgjørelsen har. Erfaringsmessig er kartet kortere enn fryktet, men ett eller to systemer krever handling.

Test deretter om avgjørelsen er utelukkende automatisert. Ser en navngitt person på saken, har vedkommende kompetanse til å vurdere den, og kan vedkommende i praksis komme til et annet resultat? Er svaret nei, er behandlingen automatisert uansett hva leverandøren kaller den. Skriv ned vurderingen, slik at den kan vises frem senere.

Bruker dere en leverandør til scoring eller kredittvurdering, trenger dere databehandleravtale etter artikkel 28. Avtalen bør også si hvordan leverandøren bistår ved innsyn og innsigelser mot enkeltavgjørelser, ikke bare noe om sikkerhet og lagring.

Rettigheter, informasjon og konsekvensvurdering

De registrerte må få vite at automatisert behandling brukes, hvordan logikken virker og hvilke konsekvenser den kan få. Forklaringen skal være forståelig for en kunde, ikke en kopi av leverandørens tekniske dokumentasjon. En kort tekst i personvernerklæringen er bedre enn en lang som ingen leser.

Rettighetene i nr. 3 må være mulige å bruke. Det betyr en faktisk kanal for å be om menneskelig vurdering, og en rutine for hvem som svarer og hvordan saken dokumenteres og tas vare på. En e-postadresse ingen følger opp, oppfyller ikke kravet.

Systematisk og omfattende profilering kan utløse krav om konsekvensvurdering etter artikkel 35. Vurderingen skal beskrive nødvendighet, risiko og tiltak, og oppdateres når systemet eller bruken endres.

Nettsaga bygger nettsider der personvern, samtykke og informasjonstekst er en del av løsningen fra starten. Vil du se hvordan det ser ut i praksis, kan du book en demo.

Vanlige spørsmål

Gjelder artikkel 22 alle automatiske avgjørelser?

Nei. Bare avgjørelser som er utelukkende automatiserte og som har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker den det gjelder. Intern sortering og produktanbefalinger faller normalt utenfor.

Er profilering forbudt etter GDPR artikkel 22?

Ikke i seg selv. Profilering er en form for behandling som kan omfattes når den ligger til grunn for en automatisert avgjørelse med betydelig effekt. Markedsføring som bare tilpasser hvilken annonse som vises, rammes sjelden.

Hva regnes som reell menneskelig vurdering?

At en person med kompetanse faktisk går gjennom saken og har myndighet til å endre resultatet. En formell godkjenning av en ferdig beregnet konklusjon er ikke nok.

Kan vi bruke samtykke som grunnlag?

Ja, hvis samtykket er uttrykkelig, frivillig og kan trekkes tilbake. Samtykke stiller samtidig krav til at det kan dokumenteres og følges opp i praksis.

Må vi gjøre konsekvensvurdering?

Ikke alltid, men systematisk og omfattende profilering er et typisk tilfelle der det kan være påkrevd etter artikkel 35. Vurderingen bør dokumenteres skriftlig.