Profilarea și decizia automată nu sunt identice
Profilarea folosește prelucrarea automată pentru evaluarea unor aspecte personale. O decizie poate utiliza un profil fără să fie exclusiv automată, iar o decizie automată poate avea consecințe diferite în funcție de serviciu și context.
Evaluarea sistematică și cuprinzătoare, bazată pe prelucrare automată și folosită pentru decizii cu efecte juridice sau similare semnificative, este un caz expres de DPIA. Separat, articolul 22 RGPD privește deciziile bazate exclusiv pe prelucrare automată cu astfel de efecte, cu condițiile și excepțiile sale.
De la sursă la efectul asupra persoanei
Inventariem sursele și variabilele, felul în care sunt actualizate și dacă reflectă corect situația persoanei. Datele colectate pentru alt scop, informațiile deduse și variabilele care pot aproxima caracteristici sensibile necesită atenție distinctă.
Examinăm consecința unui rezultat nefavorabil, existența unei alternative și rolul persoanei care verifică scorul. Intervenția umană trebuie să fie reală: cu acces la informații relevante și autoritate de a schimba rezultatul, nu doar de a confirma automat recomandarea.
Informații necesare pentru o analiză verificabilă
Solicităm descrierea logicii și a utilizării, categoriile de date, regulile decizionale și explicația rolurilor. Nu este suficient să știm numele produsului; trebuie înțeles modul în care organizația îl configurează și îi folosește rezultatele.
- Sursele, actualizarea datelor și tratarea informațiilor lipsă sau eronate.
- Pragurile, efectele rezultatului și operațiunile realizate de oameni.
- Informarea și procedura de solicitare a explicațiilor sau contestare.
- Verificările de calitate, erori și diferențe de tratament.
Garanții conectate la decizia reală
Raportul poate recomanda eliminarea unor variabile, verificarea datelor, revizuirea cazurilor neclare și un mecanism funcțional de contestare. Sunt analizate temeiurile și condițiile aplicabile deciziilor automate, nu doar acuratețea statistică a instrumentului.
Documentăm consecințele erorilor și riscul rezidual, precum și responsabilul pentru verificările periodice. O schimbare a pragurilor, datelor de intrare sau efectului scorului poate cere reexaminarea evaluării. DPIA nu este o permisiune generală pentru a lua decizii automate despre persoane.
De la analiză la acțiune
Riscuri și măsuri de luat în calcul
Măsurile de mai jos sunt exemple de analizat în context. Adecvarea și eficacitatea lor se verifică pentru prelucrarea concretă.
Date vechi sau incorecte duc la refuzul unui serviciu.
Măsură posibilăActualizare, verificare și mecanism practic de corectare.
Variabile aparent neutre produc efecte discriminatorii.
Măsură posibilăAnaliza relevanței, a diferențelor de tratament și a alternativelor.
Contestarea nu ajunge la cineva care poate schimba decizia.
Măsură posibilăRevizuire competentă și traseu documentat de soluționare.
Scenariu ilustrativ
Cum se aplică în practică
Un serviciu online folosește un scor pentru a respinge automat cereri, pe baza istoricului și unor date primite de la parteneri.
Ce analizăm
Evaluarea urmărește calitatea surselor, efectul refuzului, explicarea criteriilor relevante și posibilitatea reală de contestare.
Direcția posibilă
Sistemul poate necesita validarea datelor, revizuirea cazurilor cu incertitudine și schimbarea regulilor sau a modului de luare a deciziei.
Exemplu ipotetic, pentru explicarea metodei. Nu descrie un client sau un rezultat contractual.
Răspunsuri utile
Întrebări frecvente
Orice segmentare de marketing intră sub articolul 22?
Nu automat. Articolul 22 privește decizii bazate exclusiv pe prelucrare automată cu efecte juridice sau similare semnificative. Segmentarea poate implica profilare și alte obligații chiar dacă nu îndeplinește aceste condiții.
O persoană care confirmă scorul elimină caracterul automat?
Nu dacă verificarea este formală. Se analizează influența efectivă a persoanei, competența și autoritatea sa, precum și posibilitatea de a lua în calcul informații suplimentare și de a schimba rezultatul.
Trebuie publicat codul sursă al algoritmului?
Transparența nu se reduce la publicarea codului. Se verifică obligațiile de a furniza informații semnificative privind logica, importanța și consecințele prelucrării, într-o formă inteligibilă, ținând cont de drepturile și interesele relevante.
DPIA este utilă și pentru un sistem bazat pe reguli simple?
Da, dacă prelucrarea îndeplinește condițiile de risc ridicat. Efectele asupra persoanelor contează și când instrumentul folosește praguri sau reguli simple, fără inteligență artificială.
Surse oficiale și repere de lucru
- Regulamentul general privind protecția datelor — text oficial în română
- ANSPDCP — Decizia nr. 174/2018, operațiuni pentru care DPIA este obligatorie
- Ghidul privind evaluarea impactului, WP248 rev.01, aprobat de EDPB
Prezentare informativă publicată de DPIA, prin GLOBUS FINTECH CAPITAL S.R.L.. Concluziile pentru o organizație se stabilesc după analiza documentelor și a prelucrării efective. Domeniul, calendarul și costul colaborării se agreează înainte de începerea lucrului.