Sledujete chování zákazníků na vašich internetových stránkách? Ukládáte a třídíte data o nich na základě automatických systémů? Vytváříte si různé kategorie klientů, třeba podle jejich věku?
V tomto článku se zaměříme především na interpretační vodítka vytvořená pracovní skupinou WP29, která se zabývá praktickým výkladem obsahu nařízení.
Firmy těmito metodami zefektivňují nabídku zboží a služeb či snižují náklady při práci s většími objemy dat. Profilování a automatizované rozhodování spolu souvisí a prolínají se, ale jedná se o samostatné instituty s vlastními pravidly. Právě respektování pravidel GDPR využití těchto metod podmiňuje, neboť je s nimi spojeno vyšší riziko v oblasti ochrany práv a zájmů jednotlivců. Jde především o možnou diskriminaci, prohlubování sociálních stereotypů či společenskou segregaci. V praxi o automatizaci mluvíme ve všech případech zpracovávání osobních údajů pomocí počítačů a programů v nich obsažených.
Profilování
„Kdo má informace, má moc, případně zisk.“ A právě ke sběru co největšího množství informací a jejich podnikatelskému využití slouží profilování. Nařízení takto definuje jednu z forem automatizovaného zpracování osobních údajů, na základě kterého dochází k vyhodnocování chování konkrétních osob, a to zejména za účelem rozboru či předvídání jejich pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, místa, kde se nacházejí nebo jejich pohybu.
Při profilování jsou o jednotlivci či skupině lidí shromažďovány nejrůznější (nejen) osobní údaje, jež správce využívá k vytvoření profilu a jeho zařazení do kategorie či skupiny. Jednotlivci v takové skupině pak zpravidla sdílejí podobné znaky či vzorce chování, které umožní předpovídat způsob jejich jednání. Například náchylnost k určitému druhu reklamy.
Typickým příkladem je monitorování chování návštěvníků webových stránek za účelem sledování jejich preferencí tak, aby je mohl obchodník v budoucnu oslovit s nabídkou ušitou právě jim na míru. Profilování se dále uplatňuje při hodnocení pracovního výkonu zaměstnanců či při vyhodnocení ekonomické situace a splátkové poslušnosti klientů finančních institucí, například při poskytování hypotéky či jiného úvěru nebo pojistky.
Se souhlasem i bez
K samotnému profilování správce nepotřebuje vždy souhlas profilované osoby – například v situaci, kdy je toto zpracování nezbytné pro oprávněné zájmy správce. Pochopitelně je v tomto případě třeba brát v potaz povahu, účel a rozsah profilování; není tak vyloučeno, že by souhlas subjektu nakonec nutný byl. Souhlas bude zapotřebí vždy, když předmětem profilování budou citlivé osobní údaje, nebo kdyby se na základě profilování mělo automatizovaně rozhodnout.
Kromě obecných požadavků, které nařízení klade na veškerá zpracování osobních údajů, je třeba ve vztahu k profilování myslet na některé zvláštní povinnosti.
V zájmu zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů by měl správce použít vhodné matematické nebo statistické postupy profilování a zavést opatření, která minimalizují míru chybovosti osobních údajů, případně zajistí jejich opravu. Takto zpracovávané osobní údaje by měl správce náležitě zabezpečit, a to způsobem, kterým se mimo jiné předchází diskriminačním účinkům vůči fyzickým osobám, nebo přijímáním opatření, jež mají takové účinky.
Každý subjekt by měl být také informován o tom, že samotné profilování probíhá, a o jeho možných důsledcích (například zamítnutí půjčky či jiné rozhodnutí). Subjekt by se měl také dozvědět, v čem spočívá logika tohoto automatizovaného zpracování osobních údajů a na jakých principech je založeno.
Kdy nejede přes námitku vlak
Samostatně je pak třeba subjekt informovat o právu podat námitku. Zde se rozlišují dvě roviny. První se vztahuje na případy, kdy dochází k jakémukoli druhu zpracování osobních údajů, které je nezbytné pro splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, jímž je pověřen správce, či pokud je zpracování nezbytné pro účely oprávněných zájmů správce. V případě, že osoba podá námitku, správce musí, chce-li ve zpracování pokračovat, prokázat oprávněné důvody, které převažují nad zájmy a právy namítajícího.
Druhá rovina se týká osobních údajů zpracovávaných pro účely přímého marketingu. Pokud jednotlivec námitku podá, platí absolutní nemožnost osobní údaje pro tento účel dále využívat.
Automatizované individuální rozhodování
Do režimu automatizovaného rozhodování se správce podle článku 22 GDPR dostane tehdy, (1) kdy jsou určitá jeho rozhodnutí založena výhradně na automatizovaném zpracování osobních údajů a (2) tato rozhodnutí zároveň mají vůči subjektu údajů právní účinky nebo se ho významně dotýkají. Důležité je vědět a dále se tomu budeme věnovat podrobněji, že automatizované rozhodování je dovoleno jen v některých případech.
Jak si v praxi automatizované rozhodování představit? Považovat za ně můžeme například ukládání pokut za překročení maximální rychlosti čistě na základě údajů z kamer. Pokud by však řidičovy návyky byly sledovány delší dobu a výše uložené pokuty by závisela na dalších faktorech, jako je počet případů překročení rychlosti nebo jiných dopravních přestupků, už by se mohlo jednat o automatizované rozhodnutí, a to včetně profilování.
Právní účinky a jiný obdobný významný dopad
Druhý znak automatizovaného rozhodnutí, totiž jeho právní účinky vůči konkrétní osobě, by dle pracovní skupiny byly naplněny třeba v případě automaticky vygenerovaného rozhodnutí, jež by zamezilo jednotlivci překročit státní hranice, zamítlo nárok na sociální dávky či automaticky ukončilo poskytování mobilních služeb při nezaplacení účtu.
O „obdobném významném dopadu“ mluvíme například ve chvíli, kdy dojde k automatickému zamítnutí žádosti o úvěr, aniž by se na takovém rozhodnutí podílel zaměstnanec banky, který by data sám vyhodnotil. Jako jiný příklad je uváděno automatické – na základě přednastaveného systému učiněné – odmítnutí uchazeče o práci v rámci on-line náboru potenciálních zaměstnanců, aniž by se na tomto kroku podílel člověk. WP29 tento významný dopad za určitých okolností spatřuje i v jiných případech.
Příkladem může být situace, kdy se banka rozhodne snížit kreditní limit určité osobě, a to ne na základě její splátkové historie, ale například dle splátkové historie všech osob žijících v určité oblasti a nakupujících ve stejných obchodech.
Široce a neohraničeně koncipovaná kategorie obdobného významného dopadu bude v praxi činit nemalé výkladové potíže, bude tak třeba počkat si na některé z prvních rozhodnutí, která napoví, jaké faktory budou soudy a úřady v případě posuzování hodnotit.
Přítomnost lidského faktoru
WP29 automatizované rozhodování stanovuje jako vytváření rozhodnutí výhradně za pomoci výpočetních systémů, zcela bez zásahu člověka. Právě absence lidského faktoru je z pohledu ochrany práv a zájmů subjektů nejrizikovější, neboť o jejich záležitostech rozhoduje de facto přednastavený počítač s nulovým zohledňováním těch aspektů, které do programu nejsou zaneseny, a přesto mohou v konkrétním případě hrát roli.
O jinou situaci by se jednalo, pokud by se pomocí automatizace například vytvořilo doporučení ke schválení/zamítnutí takové žádosti, kterou by dále přezkoumal nebo finální rozhodnutí učinil člověk. Zde je potřeba dávat si pozor, aby lidský zásah nebyl pouze formální za účelem vyhnutí se přísnějšímu režimu automatizovaného rozhodování. Musí tak být proveden osobou, která k němu bude kompetentní a bude mít možnost finální rozhodnutí ovlivnit.
Kdy smíte automatizovaně rozhodovat?
Pokud některá z vašich činností naplňuje oba znaky automatizovaného rozhodování, je třeba si uvědomit, že je to zakázáno, pokud nespadáte pod jednu z následujících výjimek. Kdy je automatizované rozhodování povoleno?
(a) Je nezbytné k uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů.
Automatizované rozhodování může být v některých případech vhodným nástrojem pro větší stálost v rozhodování shodných případů, pro snížení výskytu pochybení ze strany člověka, zneužití pravomocí či diskriminace. Nutnost použití automatizace může vycházet i z nepraktičnosti či nemožnosti zakomponování lidského faktoru do procesu například z důvodu velkého množství zpracovávaných dat.
(b) Je povoleno právem Unie nebo členského státu, které zároveň stanoví vhodná ochranná opatření.
(c) Je založeno na výslovném souhlasu subjektu údajů.
Souhlas bude muset být zcela explicitně vyjádřen – problematice souhlasů jsme věnovali tento článek.
V případě automatizovaného rozhodování bude muset správce přijmout vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektů údajů. Nařízení za tím účelem uvádí, že jednotlivým osobám musí být umožněno uplatnit vůči správci právo na lidský zásah, na vyjádření svého názoru a právo napadnout takové rozhodnutí.
Správce by tak měl v rámci své organizace vytvořit pracovní pozici, která se bude danou problematikou zabývat a do jinak automatizovaného procesu vnese nařízením požadovanou míru lidského faktoru zmírňující rizika automatizace. Rovněž by měl subjektům využití zmíněných práv co nejvíce usnadnit a poskytnout jim k tomu například přehledný on-line formulář.
Skutečnost, že u správce dochází k automatizovanému rozhodování, dále zpřísňuje některé jeho další povinnosti, podobně jako v případě profilování. V rámci informační povinnosti správce je ten kromě obecně vyžadovaných náležitostí povinen poskytnout jednotlivcům smysluplné informace týkající se použitého postupu, významu a předpokládaných důsledků této automatizace pro jejich osobu. Srozumitelně by měli být schopni vysvětlit, jakým způsobem bylo konkrétní rozhodnutí vytvořeno a jaká data byla jeho základem. Určitě ale není žádoucí osobu zavalit komplexním popisem celého procesu a algoritmů, a odhalit tak například i své obchodní tajemství.
WP29 dále doporučuje systém pro automatizovaná rozhodnutí pravidelně testovat a zkoušet za účelem odhalení případných nedostatků a nesprávných rozhodnutí způsobujících například diskriminaci.
Pomocník, který není zadarmo
Automatizace může firmě značně ulehčit práci a zvýšit zisk, ale není to zadarmo. Především problematika profilování je zcela nově takto komplexně upravena a mnohé společnosti budou muset své postupy zásadně přepracovat.
Mnohé instituty a požadavky jsou pro tuto chvíli stále nejasné, a proto bude třeba počkat na jejich zpřesnění ať už některým z dalších výkladových stanovisek, či prvními rozhodnutími v dané věci.
Mgr. Eva Škorničková
