Cunoaște-ți drepturile. Preia controlul înțelegând dreptul tău de a evita procesul decizional individual automat

Procesul decizional automatizat (ADM) are loc când computerele sau algoritmii iau decizii fără implicarea umană. De exemplu, banca ta ar putea folosi un program software pentru a refuza un împrumut, o companie te poate respinge pe baza unui raport de credit negativ sau un algoritm îți poate evalua competențele profesionale.

ADM folosește informații din diferite surse, cum ar fi răspunsuri la sondaje, observații, date despre locația telefonului sau profilurile online pe care le-ai creat. Uneori, acest proces presupune și crearea unui profil digital al tău pe baza datelor disponibile.

În unele cazuri, procesul decizional automat presupune crearea de profiluri, ceea ce înseamnă crearea unui profil digital al tău pe baza datelor. ADM și crearea de profiluri fac parte din lumea (online) în care trăim în prezent, cu beneficiile și riscurile aferente.

Când sunt în joc decizii importante, este esențial să știi că ai dreptul să eviți procesul decizional automatizat. Acest drept îți conferă puterea de a te asigura că deciziile care te privesc nu sunt luate exclusiv de computere, tehnologii AI sau algoritmi.

Ce presupune acest drept

Conform articolului 22 din RGPD, ai dreptul de a nu face obiectul unor decizii bazate exclusiv pe prelucrarea automată a datelor, dacă aceste decizii te afectează în mod semnificativ. „Prelucrarea automată” înseamnă că această activitate este desfășurată fără implicarea umană, iar un „efect semnificativ” al acesteia se referă la consecințele legale sau influențele majore asupra vieții tale, cum ar fi impactul asupra dreptului tău de vot sau respingerea unei cereri de credit online.

Crearea de profiluri și procesul decizional automatizat sunt instrumente des utilizate în diferite sectoare, cum ar fi cel bancar și cel financiar, însă, deși pot fi mai eficiente, acestea sunt adesea mai puțin transparente și îți limitează alegerile și libertatea.

În general, poți alege să nu faci obiectul unei decizii bazate exclusiv pe prelucrare automată, cu excepția cazului în care acest lucru este permis de lege, sub rezerva implementării unor măsuri de siguranță adecvate. Excepțiile includ situații în care decizia este necesară pentru încheierea unui contract sau când ți-ai exprimat consimțământul explicit. În ambele cazuri, drepturile și libertățile tale trebuie protejate și ar trebui să fii informat cu privire la dreptul tău de a obține intervenția umană, care îți permite să îți exprimi punctul de vedere și să contești decizia.

Exemplu

John apelează la o bancă online pentru a cere un împrumut. Își completează datele, iar algoritmul băncii îl informează dacă banca îi va acorda sau nu împrumutul și dacă îi va oferi dobânda sugerată. John trebuie să fie informat că poate să-și exprime opinia, să conteste decizia și să ceară ca decizia luată pe baza unui algoritm să fie revizuită de o persoană.

Diferența dintre ADM și crearea de profiluri

Procesul decizional automatizat și crearea de profiluri sunt concepte diferite. Crearea de profiluri presupune analiza datelor personale pentru a înțelege caracteristicile sau tiparele de comportament, cum ar fi performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, nivelul de încredere și reacțiile. Acest proces clasifică indivizii în categorii pentru a fi supuși unei analize ulterioare sau pentru a prezice acțiunile lor.

Exemplu de creare de profiluri

Faci des cumpărături online, iar platforma de e-commerce îți monitorizează achizițiile, istoricul de navigare și produsele pe care le vizualizezi. Platforma folosește aceste date pentru a crea un profil al obiceiurilor tale de cumpărături. Pe baza acestui profil, platforma te poate clasifica drept „cumpărător frecvent de gadgeturi tehnologice”. În acest caz, crearea de profiluri presupune analiza datelor tale personale pentru a înțelege interesele și comportamentele tale la cumpărături.

Crearea de profiluri nu duce întotdeauna la luarea unor decizii automate importante în ceea ce te privește. Dacă se folosește un proces decizional automatizat, înseamnă că un algoritm îți va recomanda automat gadgeturi noi în funcție de preferințele tale.

Beneficiile și riscurile aplicării unui proces decizional automatizat:

Când este utilizat corect, procesul decizional automatizat oferă beneficii. Ajută companiile să interpreteze datele corect și ia decizii și soluții corecte și consecvente. De exemplu, în domeniul medical, tehnologiile bazate pe machine learning pot fi aplicate pentru a prezice sănătatea pacienților sau pentru a determina dacă un tratament va funcționa în funcție de caracteristicile unui anumit grup.

Deși aceste tehnici pot fi utile, pot apărea riscuri:

• crearea de profiluri invizibile: uneori, crearea de profiluri se întâmplă în fundal și este posibil să nu știi acest lucru
• utilizarea informațiilor tale într-un mod surprinzător: informațiile tale personale ar putea fi utilizate în moduri/în scopuri la care nu te aștepți.
• procesul este dificil de înțeles: poate fi greu să înțelegi cum funcționează aceste decizii automate și cum te pot afecta pe termen lung
• efecte negative: deciziile luate de aceste sisteme te pot afecta negativ.

Ce trebuie să faci dacă suspectezi că faci obiectul unui proces decizional automatizat

Dacă suspectezi că faci obiectul unui proces decizional automatizat și te îngrijorează impactul potențial asupra drepturilor și intereselor tale, iată câțiva pași pe care îi poți lua:

Pasul 1: Verifică dacă informațiile tale au fost folosite în luarea de decizii automate

• Exercită-ți dreptul de acces. Trimite o cerere de acces pentru a afla ce face operatorul cu datele tale personale și pentru a confirma dacă datele tale cu caracter personal au fost utilizate pentru ADM.
• Solicită mai multe detalii de la operatorul de date. Informează operatorul că dorești să afli detalii care confirmă temeiul legal al prelucrării, implementarea ADM și raționamentul, semnificația și consecințele prelucrării automate.

Acest pas te ajută să înțelegi dacă datele tale au jucat un rol în procesul decizional automatizat și îți oferă informațiile de care ai nevoie pentru a decide ce să faci în continuare.

Dacă crezi că ai făcut obiectul unui proces decizional automatizat ilegal, îi poți solicita operatorului să nu mai utilizeze ADM. Alternativ, poți depune o plângere la autoritatea pentru protecția datelor.

Pasul 2: Exercită-ți dreptul de a beneficia de garanții privind utilizarea legitimă a ADM

Dacă ADM este utilizat în mod legal, ai dreptul să soliciți restricționarea prelucrării datelor și aplicarea unor garanții în cazul tău.

Centrul European pentru Drepturi Digitale (NOYB) îți recomandă să soliciți confirmarea faptului că datele tale sunt utilizate în scopuri de ADM, precum și aplicarea unor garanții specifice.

Un exemplu de cerere ar putea fi după cum urmează: „În conformitate cu articolul 22 din Regulamentul UE 2016/679, solicit intervenția umană în legătură cu decizia în cauză, dreptul de a-mi exprima punctul de vedere, capacitatea de a contesta decizia și motivele pe care se bazează aceasta și o explicație cu privire la decizie.”

Trimite solicitarea prin e-mail și specifică numele tău sau un alt element de identificare utilizat de operatorul de date (de exemplu, un nume de utilizator al contului). În plus, include informații care îl ajută să îți identifice contul. Nu uita să incluzi data la care trimiți solicitarea pentru a te asigura că operatorul stabilește termenul corect pentru a-ți răspunde.

La ce să te aștepți:

Odată ce operatorul primește solicitarea ta, are la dispoziție o lună pentru a răspunde. În cazuri complexe sau când este vorba de solicitări multiple, acest termen poate fi prelungit o singură dată, dar numai cu maximum două luni.

Dacă există neclarități, operatorul datelor poate cere informații suplimentare pentru a-ți confirma identitatea. Cu toate acestea, astfel de solicitări ar trebui limitate la informațiile necesare pentru verificare.

Dacă operatorul datelor îți respinge cererea fără o explicație satisfăcătoare, te taxează pentru cererea trimisă sau nu răspunde în termenul permis (o lună sau termenul prelungit, maximum trei luni în total), ai dreptul să depui o plângere la autoritatea pentru protecția datelor din țara ta.

În SUA. Privacy Protection Agency din California (CPPA) a publicat un set de proiecte de lege în noiembrie 2023 privind utilizarea datelor oamenilor în tehnologiile care stau la baza proceselor decizionale automatizate (ADMT*). Conform acestor norme propuse, companiile care utilizează informații personale în cadrul sistemelor folosite în procesele decizionale automatizate trebuie să comunice în mod clar consumatorilor cum sunt utilizate informațiile lor și să îi informeze cu privire la dreptul lor de a renunța. Dacă notificarea inițială nu este suficientă pentru clienți, mai multe informații trebuie puse la dispoziție printr-un hyperlink care să explice de ce informațiile sunt importante pentru sistemele companiei. De asemenea, informațiile suplimentare trebuie să includă o descriere a evaluării tehnologiei în ceea ce privește fiabilitatea sau acuratețea acesteia și rezultatul acestor informații. Procedura oficială de reglementare este programată să înceapă în 2024.

Surse: Comisia Europeană, noyb.eu, iapp.org