Articolul 22 GDPR dă persoanei vizate dreptul de a nu fi supusă unei decizii bazate exclusiv pe prelucrare automată, inclusiv crearea de profiluri, care produce efecte juridice sau o afectează semnificativ. E articolul care limitează „decizia luată de algoritm, fără om implicat" — tot mai relevant odată cu extinderea instrumentelor de scoring și AI.
Ce prevede articolul?
Regula generală interzice deciziile complet automatizate cu efecte semnificative, cu trei excepții: sunt necesare pentru un contract; sunt autorizate de lege, cu măsuri de protecție corespunzătoare; sau se bazează pe consimțământul explicit al persoanei. În primul și al treilea caz, trebuie să oferi garanții minime: dreptul persoanei la intervenție umană, dreptul de a-și exprima punctul de vedere și dreptul de a contesta decizia. Deciziile automatizate nu se pot baza, în plus, pe categorii speciale de date (Art. 9), decât în situații excepționale, cu garanții adecvate.
Ce înseamnă în practică pentru o firmă?
Relevant pentru scoring de credit automatizat, filtrare automată a CV-urilor la recrutare, stabilirea automată a prețurilor de asigurare sau orice sistem de decizie bazat pe AI, tot mai des folosit de firme mici prin instrumente „gata făcute" de scoring sau evaluare a clienților. Dacă un asemenea sistem ia decizii cu impact real (respingerea unei cereri, un preț diferit, o ofertă de angajare), firma trebuie să ofere o cale prin care persoana poate cere reevaluare umană — nu doar teoretic, ci printr-un proces funcțional, cu un om care poate efectiv schimba rezultatul.
Important de reținut: profilarea în sine (construirea unui profil de comportament sau preferințe) nu e interzisă — devine problematică doar atunci când stă la baza unei decizii exclusiv automate, cu efecte juridice sau la fel de semnificative, fără intervenție umană reală posibilă.
„Intervenția umană" cerută de regulament nu înseamnă doar existența formală a unui om în proces — trebuie ca acel om să aibă efectiv autoritatea și informațiile necesare să reconsidere decizia, nu doar să confirme automat rezultatul algoritmului. O „revizuire umană" care se rezumă la bifarea rezultatului dat de sistem, fără o analiză reală, nu îndeplinește cerința Art. 22.
Exemplu concret
Un algoritm respinge automat o cerere de credit pe baza unui scor calculat de sistem. Persoana are dreptul să ceară intervenția unui om, să-și explice situația și să conteste decizia — nu poate fi refuzată definitiv doar de mașină, fără nicio cale de recurs. Similar, un instrument automat de recrutare care respinge CV-uri pe baza unor cuvinte-cheie trebuie să permită candidatului să ceară o revizuire umană a deciziei.
Greșeli frecvente
- Sisteme complet automatizate, fără nicio opțiune de revizuire umană reală, ci doar formală.
- Neinformarea persoanelor despre existența unui proces decizional automatizat, așa cum cer Articolele 13 și 14.
- Folosirea unor date sensibile în modelele de scoring fără o excepție și garanții solide.
- Cumpărarea unui instrument SaaS de scoring/AI fără să verifici dacă oferă și un mecanism de intervenție umană.
- Lipsa unei explicații inteligibile pentru persoană despre logica generală a deciziei automate, chiar dacă algoritmul exact rămâne un secret comercial.
Ce înseamnă „efect similar semnificativ"?
Termenul acoperă mai mult decât respingerile evidente (credit, angajare). Include și situații precum stabilirea automată a unui preț diferit pentru același produs, în funcție de profilul comportamental al cumpărătorului, sau excluderea automată dintr-o ofertă promoțională pe baza unui scor de risc. Testul practic: dacă decizia automată schimbă real condițiile pe care le primește persoana, probabil se încadrează la Art. 22, chiar dacă nu implică un refuz formal.
Vezi și ghidul GDPR. Folosești un sistem automatizat de decizie sau AI? Verificăm conformitatea lui.
Întrebări frecvente
Un algoritm poate respinge singur o cerere de credit sau angajare?
Doar dacă se aplică o excepție (contract, lege sau consimțământ explicit) și persoana are dreptul la intervenție umană, la a-și exprima punctul de vedere și la a contesta decizia.
Profilarea automată e mereu interzisă?
Nu — e interzisă doar decizia bazată exclusiv pe prelucrare automată cu efecte semnificative, fără garanțiile cerute de Art. 22. Profilarea în sine, cu supraveghere umană, poate fi permisă.