Artikkel 22 i GDPR oppstiller som utgangspunkt et forbud mot visse automatiserte avgjørelser. Virksomheten må identifisere en avgjørelse, undersøke om den utelukkende bygger på automatisert behandling og vurdere om den har rettsvirkning eller på tilsvarende måte påvirker personen betydelig. Når disse tre vilkårene er oppfylt, gjelder forbudet uten at personen først må protestere.
Det rettslige utgangspunktet finnes i GDPR artikkel 22. Retningslinjene WP251rev.01 om automatiserte avgjørelser og profilering, som EDPB har sluttet seg til, gir veiledning om vurderingen. Denne artikkelen viser hvordan virksomheten kan kartlegge beslutningsflyten, finne et eventuelt unntak og kontrollere nødvendige garantier. Den behandler ikke et forslag til regelendring som gjeldende rett.
Finn avgjørelsen, ikke bare modellen
Beskriv hva som faktisk skjer med personen. Et system kan beregne en score, plassere en søker i en kategori eller anbefale en handling. Undersøk hvordan resultatet brukes videre. Det avgjørende er ikke bare hva leverandøren kaller funksjonen, men hvilken rolle den har i den samlede beslutningsprosessen.
Tegn hele flyten fra inngangsdata til konsekvens. Ta med andre systemer, eksterne leverandører og personer som mottar resultatet. En tilsynelatende veiledende vurdering kan i praksis være bestemmende for neste ledd. Omvendt innebærer ikke enhver statistisk beregning en avgjørelse som faller inn under artikkel 22. Dokumenter hvordan resultatet faktisk påvirker behandlingen av personen.
Undersøk om behandlingen er utelukkende automatisert
En menneskelig aktivitet må være reell for å ha betydning i denne vurderingen. Det er ikke tilstrekkelig at en ansatt formelt trykker på en godkjenningsknapp uten mulighet eller grunnlag for å endre resultatet. Undersøk om vedkommende har kompetanse, relevant informasjon, tilstrekkelig tid og myndighet til å gjøre en selvstendig vurdering.
Se på praksis, ikke bare arbeidsbeskrivelsen. En kontrollrolle kan være godt formulert samtidig som systemets grensesnitt bare viser en fargekode og anbefalt svar. Hvis saksbehandleren ikke kan forstå eller utfordre grunnlaget, må virksomheten undersøke om den menneskelige involveringen faktisk endrer beslutningsformen. Registrer hva personen vurderer og hvilke opplysninger som kan føre til et annet resultat.
Vurder rettsvirkning eller tilsvarende betydelig påvirkning
Beskriv konsekvensens art, varighet og betydning for den registrerte. En avgjørelse kan påvirke rettigheter, tilgang til tjenester, økonomi eller andre vesentlige forhold. Vurder også personens situasjon og om resultatet har særlig betydning for vedkommende. Ikke reduser analysen til om systemet teknisk sett sender et formelt vedtak.
Skill betydelig påvirkning fra mindre praktiske tilpasninger. En enkel sortering av ufarlig innhold er ikke automatisk sammenlignbar med en avgjørelse som stenger noen ute fra en viktig mulighet. Samtidig kan flere ledd i en prosess samlet få en betydelig virkning. Begrunnelsen må derfor knyttes til den faktiske konsekvensen og ikke til et generelt utsagn om at algoritmen bare er et hjelpemiddel.
De tre unntakene i artikkel 22 nr. 2
Når vilkårene i nr. 1 er oppfylt, må virksomheten kunne vise til ett av de tre unntakene i nr. 2 før avgjørelsen kan gjennomføres:
- Avgjørelsen er nødvendig for å inngå eller oppfylle en avtale mellom personen og den behandlingsansvarlige.
- Avgjørelsen er tillatt etter relevant unionsrett eller nasjonal rett som den behandlingsansvarlige er underlagt, og denne retten fastsetter egnede tiltak for å verne personens rettigheter, friheter og berettigede interesser.
- Avgjørelsen bygger på personens uttrykkelige samtykke.
Det finnes ikke et eget unntak i artikkel 22 for berettiget interesse. Effektivitet, lavere kostnad eller en formulering i standardvilkårene dokumenterer heller ikke alene at automatiseringen er nødvendig for avtalen. Ved lovhjemmel må den konkrete bestemmelsen identifiseres og garantiene undersøkes. Norsk anvendelse må bygge på det regelverket som faktisk gjelder, ikke på en antakelse om at enhver ny EU-regel automatisk gjelder i Norge.
Hold behandlingsgrunnlag og unntak adskilt
Et unntak fra artikkel 22 erstatter ikke et behandlingsgrunnlag etter artikkel 6. Virksomheten må også oppfylle krav til blant annet formål, dataminimering, riktighet og informasjon. Bruk vurderingen av behandlingsgrunnlag for å begrunne selve behandlingen og dokumenter artikkel 22-vurderingen som et eget ledd.
Ved uttrykkelig samtykke må dere undersøke frivillighet, informasjon og mulighet for tilbaketrekking. Personen må forstå den aktuelle avgjørelsen og dens betydning. Et generelt samtykke til personvernerklæringen er ikke en presis beskrivelse av dette. Se vilkårene for samtykke og vurder hvordan et alternativ eller en tilbaketrekking håndteres i praksis.
Skill garantiene etter hvilket unntak som brukes
For avgjørelser som bygger på avtalenødvendighet eller uttrykkelig samtykke, krever artikkel 22 nr. 3 minst mulighet for menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sitt synspunkt og til å bestride avgjørelsen. Lag en konkret prosess som gjør disse mulighetene reelle og tilgjengelige for den registrerte.
For lovtillatte avgjørelser etter nr. 2 bokstav b skal den hjemlende retten fastsette egnede garantier. Ikke presenter nr. 3 som om det er ordlydens identiske rettslige grunnlag for alle tre unntakene. Identifiser kravene i den konkrete loven og hvordan de oppfylles. Et internt skjema kan støtte gjennomføringen, men kan ikke erstatte manglende lovhjemmel eller lovbestemte garantier.
Særlige kategorier har en ytterligere begrensning
Artikkel 22 nr. 4 begrenser bruk av særlige kategorier opplysninger i avgjørelser som omfattes av nr. 2. Slike avgjørelser kan ikke bygge på disse opplysningene med mindre artikkel 9 nr. 2 bokstav a eller g får anvendelse, og egnede tiltak for å verne personens rettigheter, friheter og berettigede interesser er på plass. Andre unntak i artikkel 9 er ikke i seg selv tilstrekkelige for denne kombinasjonen.
Bokstav a gjelder uttrykkelig samtykke innenfor vilkårene i bestemmelsen; bokstav g gjelder viktige allmenne interesser på det rettslige grunnlaget og med garantiene bestemmelsen krever. Les dette sammen med vurderingen av særlige kategorier. Kartlegg også om systemet utleder slike opplysninger fra andre felter, slik at analysen ikke bare ser etter et eksplisitt helsefelt.
Arbeidsark for beslutningsflyten
| Spørsmål | Dokumentasjon som bør foreligge |
|---|---|
| Avgjørelse | Hva som avgjøres om personen og hvem som er ansvarlig |
| Automatisering | Hvilke ledd som er automatiske og faktisk menneskelig rolle |
| Virkning | Rettslig eller tilsvarende betydelig konsekvens |
| Unntak | Konkret vurdering av nr. 2 bokstav a, b eller c |
| Grunnlag | Artikkel 6 og eventuelle tilleggsvilkår |
| Særlige kategorier | Vurdering av artikkel 22 nr. 4 og artikkel 9 |
| Garantier | Gjennomføring av rettigheter og relevant lovkrav |
| Informasjon | Hva personen får vite før og etter avgjørelsen |
| Kontroll | Datakvalitet, feil, endringer og oppfølging |
Arbeidsarket bør knyttes til en bestemt versjon av prosessen. Hvis modellen eller saksbehandlerens rolle endres, kan den tidligere vurderingen bli misvisende. Oppgi derfor hvilke forutsetninger konklusjonen bygger på og hvem som skal varsles når disse endres.
Gjør informasjonen forståelig for den berørte
Vurder informasjons- og innsynspliktene etter artikkel 13, 14 og 15, herunder relevant informasjon om logikken og betydningen og de forventede konsekvensene av behandlingen der bestemmelsene krever det. En ren teknisk beskrivelse av modelltypen hjelper lite dersom personen ikke forstår hvilke opplysninger som påvirker resultatet.
Bruk innsynsprosessen til å finne nødvendige kilder og sikre et forståelig svar. Informasjonen må være konkret nok til at personen kan ivareta sine interesser. Samtidig må virksomheten vurdere andre berørtes rettigheter og legitime beskyttelsesbehov på riktig grunnlag. Et generelt utsagn om forretningshemmeligheter bør ikke automatisk tømme svaret for mening.
Hypotetisk eksempel: søknader avvises før en ansatt ser dem
En tenkt virksomhet bruker et system som avviser bestemte søknader automatisk. Ansatte vurderer bare søknadene som passerer filteret. Prosesskartet viser derfor at den menneskelige vurderingen ikke omfatter personene som allerede er avvist. Virksomheten må analysere denne avgjørelsen og konsekvensen separat.
Hvis den endrer prosessen slik at en kvalifisert saksbehandler vurderer relevante opplysninger før avgjørelsen, må involveringen være reell. Det holder ikke å flytte en bekreftelsesknapp. Hvis avgjørelsen fortsatt omfattes av artikkel 22, må et gyldig unntak og nødvendige garantier dokumenteres. Eksemplet avgjør ikke på forhånd hvilket unntak en bestemt virksomhet kan bruke.
Kontroller datakvalitet og behovet for DPIA
Feil eller utdatert informasjon kan få alvorlige følger når avgjørelser gjennomføres automatisk. Undersøk kilder, korrigering og håndtering av bestridte opplysninger. Knytt dette til riktighet i dataflyten. En korrigert opplysning må kunne påvirke den videre vurderingen, ikke bare lagres i en kommentar som modellen aldri leser.
Vurder behovet for personvernkonsekvensvurdering ut fra artikkel 35 og den konkrete risikoen. En DPIA er ikke en dispensasjon fra artikkel 22. Også der artikkel 22 ikke gjelder, kan profilering og annen behandling kreve grundig risikovurdering og nødvendige tiltak. Dokumenter begge spørsmålene og behold skillet mellom dem.