Nařízení (EU) 2016/679 (GDPR) · Kapitola III · Práva subjektu údajů
Čl. 22 · Automatizované individuální rozhodování, včetně profilování
Znění
-
Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká.
-
Odstavec 1 se nepoužije, pokud je rozhodnutí:
a) nezbytné k uzavření nebo plnění smlouvy mezi subjektem údajů a správcem údajů;
b) povoleno právem Unie nebo členského státu, které se na správce vztahuje a které rovněž stanoví vhodná opatření zajišťující ochranu práv a svobod a oprávněných zájmů subjektu údajů; nebo
c) založeno na výslovném souhlasu subjektu údajů.
-
V případech uvedených v odst. 2 písm. a) a c) provede správce údajů vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí.
-
Rozhodnutí uvedená v odstavci 2 se neopírají o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1, pokud se neuplatní čl. 9 odst. 2 písm. a) nebo g) a nejsou zavedena vhodná opatření pro zajištění práv a svobod a oprávněných zájmů subjektu údajů.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Právo nebýt předmětem čistě automatizovaného rozhodnutí s právními nebo obdobně významnými účinky, s výjimkami (smlouva, právní základ, výslovný souhlas) a zárukami včetně lidského zásahu. Podle rozsudku SDEU ve věci C-634/21 SCHUFA (7. 12. 2023) je takovým rozhodnutím už automatizované vyhodnocení úvěruschopnosti (scoring), pokud na něm třetí strana zakládá své rozhodnutí rozhodujícím způsobem. Předobraz čl. 86 AI Actu, který na stejnou situaci míří z procesní strany.
Související ustanovení: čl. 4 bod 4 (profilování); čl. 13 odst. 2 písm. f), čl. 14 odst. 2 písm. g) a čl. 15 odst. 1 písm. h) (informování); čl. 35 odst. 3 písm. a) (DPIA); čl. 9 odst. 1 (zvláštní kategorie)
Související předpisy EU: čl. 86 nařízení (EU) 2024/1689 (právo na vysvětlení u vysoce rizikových systémů)
Judikatura: C-634/21 SCHUFA; C-203/22 Dun & Bradstreet
Obsah výkladu
I.Zákaz, nebo právo?1 II.Co je rozhodnutí založené výhradně na automatizovaném zpracování3 III.Tři výjimky a povinné záruky (odst. 2 a 3)7 IV.Vztah k AI Actu11I. Zákaz, nebo právo?
1 Text zní jako právo („má právo nebýt předmětem”), vykládá se ale jako obecný zákaz s výjimkami. Rozdíl je praktický: při druhém čtení nemusí subjekt nic uplatňovat, správce prostě takové rozhodování nesmí provádět, ledaže spadne pod odstavec 2.
2 Tento výklad zastává i Soudní dvůr ve věci C-634/21 SCHUFA, který o čl. 22 odst. 1 mluví jako o zásadním zákazu, jehož porušení není třeba individuálně namítat.
II. Co je rozhodnutí založené výhradně na automatizovaném zpracování
3 Musí jít o rozhodnutí, musí být založeno výhradně na automatizovaném zpracování a musí mít právní účinky nebo se subjektu obdobně významně dotýkat. Tři podmínky současně.
4 Slovo „výhradně” se obchází nejčastěji. Formální účast člověka, který výstup jen odklikne bez vlastního posouzení a bez pravomoci jej změnit, automatizovanost neruší. Lidský zásah musí být skutečný a smysluplný.
5 Ve věci C-634/21 SCHUFA Soudní dvůr uzavřel, že rozhodnutím podle čl. 22 je už samotné automatizované vytvoření skóre úvěruschopnosti, pokud na něm třetí strana zakládá své rozhodnutí rozhodujícím způsobem. Adresátem povinnosti je tedy i ten, kdo skóre počítá, ne jen ten, kdo podle něj rozhoduje.
6 „Obdobně významný dotyk” nemá pevnou hranici. Zamítnutí úvěru, nepřijetí do zaměstnání, ukončení účtu nebo cenová diskriminace se mu blíží; personalizace pořadí zboží zpravidla ne.
III. Tři výjimky a povinné záruky (odst. 2 a 3)
7 Výjimky jsou nezbytnost pro uzavření či plnění smlouvy, povolení právem Unie nebo členského státu se stanovenými zárukami, a výslovný souhlas. Jiná cesta není.
8 U dvou z nich (smlouva a souhlas) odstavec 3 ukládá zavést vhodná opatření, „alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí”. Tři minimální záruky, které musí být fakticky dostupné, ne jen zmíněné v dokumentu.
9 Odstavec 4 zakazuje opírat taková rozhodnutí o zvláštní kategorie údajů, ledaže se uplatní výslovný souhlas nebo významný veřejný zájem a jsou zavedena vhodná opatření.
10 Na obsah vysvětlení dopadá C-203/22: subjekt má dostat srozumitelný popis postupu a hlavních faktorů, ne zdrojový kód, a obchodní tajemství není důvodem k úplnému odepření.
IV. Vztah k AI Actu
11 Čl. 22 GDPR a čl. 86 AI Actu míří na tutéž situaci z různých stran. GDPR zakazuje takové rozhodování s výjimkami a dává práva k obraně proti němu; AI Act u vysoce rizikových systémů zakládá právo na vysvětlení role systému v rozhodnutí. Použijí se souběžně a jeden druhý nenahrazuje.
12 Praktický důsledek: u téhož nasazení je nutné vést dvě různé analýzy. Jednu podle GDPR (titul, záruky, informování), druhou podle AI Actu (klasifikace rizika, povinnosti role). Splnění jedné neprokazuje splnění druhé.