Gdy algorytm odmawia kredytu

Czy decyzja była wyłącznie automatyczna

Art. 22 RODO dotyczy określonej kategorii decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę. Wykorzystanie modelu scoringowego samo w sobie nie przesądza o zastosowaniu przepisu, jeżeli w procesie istnieje rzeczywista, istotna kontrola człowieka. Należy ustalić, jaki był przebieg procedury i czy udział człowieka miał realne znaczenie.

Wyjątki i gwarancje

Rozporządzenie przewiduje wyjątki, na przykład w określonych przypadkach związanych z umową, zgodą lub prawem. W odpowiednich sytuacjach administrator musi zapewniać dodatkowe gwarancje, w tym możliwość uzyskania interwencji ludzkiej, przedstawienia własnego stanowiska i zakwestionowania decyzji. Ocena wymaga ustalenia podstawy prawnej i zgodności całego procesu z zasadami ochrony danych.

Prawo dostępu do informacji

Osoba może żądać informacji o przetwarzaniu danych i, w zakresie przewidzianym w RODO, istotnych informacji o zasadach podejmowania decyzji automatycznej. Nie oznacza to automatycznego uprawnienia do poznania całego kodu programu lub tajemnicy przedsiębiorstwa. Kluczowe jest uzyskanie informacji pozwalających zrozumieć wpływ przetwarzania na decyzję w konkretnej sprawie.

Jak złożyć skuteczny wniosek

Wniosek warto skierować do administratora danych z dokładnym wskazaniem decyzji i pytaniami o podstawę przetwarzania, źródła danych, udział człowieka, kryteria istotne dla wyniku i dostępne środki ochrony. Należy zachować korespondencję i rozróżnić prawa wynikające z RODO od odrębnych praw konsumenckich i bankowych.

Przykład

Bank odmawia finansowania po automatycznej analizie wniosku. Klient pyta administratora o rzeczywisty udział człowieka, sposób przetwarzania i dostępne gwarancje.

Nie każda automatyzacja podlega art. 22 RODO

Należy rozróżnić użycie algorytmu jako narzędzia pomocniczego od decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Sam fakt obliczenia punktowego wyniku ryzyka kredytowego nie odpowiada jeszcze automatycznie na pytanie o zakres stosowania art. 22 RODO. Kluczowe jest ustalenie, kto realnie podejmuje decyzję, czy człowiek ma rzeczywistą możliwość ją zmienić oraz czy wynik systemu faktycznie determinuje odmowę.

Wyjątki i gwarancje ochrony

Art. 22 RODO przewiduje odrębne warunki dopuszczalności określonych automatycznych decyzji, m.in. w związku z niezbędnością do zawarcia lub wykonania umowy, upoważnieniem prawnym bądź wyraźną zgodą w przewidzianych przypadkach. Tam, gdzie rozporządzenie tego wymaga, administrator powinien zapewnić odpowiednie środki ochrony, w tym możliwość uzyskania interwencji ludzkiej, wyrażenia stanowiska i zakwestionowania decyzji. Prawa te nie oznaczają automatycznego uzyskania kredytu. Trzeba także analizować obowiązki informacyjne i podstawę przetwarzania wykorzystywanych danych.

Orzecznictwo TSUE i scoring

W sprawie C-634/21, SCHUFA, TSUE analizował znaczenie zautomatyzowanego ustalania wartości prawdopodobieństwa dotyczącej zdolności kredytowej, jeśli podmioty trzecie przypisują tej wartości decydującą rolę. Praktyczne zastosowanie wyroku wymaga ustalenia relacji między dostawcą scoringu a kredytodawcą i rzeczywistego wpływu wyniku na decyzję. Nie można redukować problemu do hasła „każdy scoring jest zakazany”; należy zbadać konstrukcję procesu decyzyjnego oraz jego przesłanki prawne.

Scoring a faktyczna odmowa kredytu

Bank może korzystać z narzędzi statystycznych do analizy ryzyka, ale trzeba ustalić, czy wynik automatyczny jedynie wspiera ocenę, czy rzeczywiście przesądza o odmowie. Art. 22 RODO dotyczy określonych decyzji opartych wyłącznie na automatycznym przetwarzaniu i wywołujących skutki prawne lub podobnie istotny wpływ. Formalna możliwość kliknięcia przez pracownika „zatwierdź” nie musi oznaczać realnej kontroli człowieka. Analiza wymaga poznania roli scoringu w całym procesie.

Przykład błędnej informacji o zobowiązaniu

System odrzuca wniosek, ponieważ w danych wejściowych figuruje nieaktualne zadłużenie. Klient powinien ustalić źródło informacji i możliwości jej sprostowania oraz zakwestionowania przetwarzania zgodnie z właściwymi przepisami. Nie każde negatywne rozstrzygnięcie podlega identycznej procedurze, a prawo do określonych gwarancji nie oznacza obowiązku udzielenia kredytu. Istotne jest oddzielenie błędu danych od legalności samego automatycznego modelu decyzji.

Znaczenie rzeczywistej kontroli człowieka nad scoringiem

Bank może posługiwać się algorytmiczną oceną ryzyka, ale trzeba ustalić, czy wynik automatycznej punktacji stanowi jedynie wsparcie pracy analityka, czy praktycznie przesądza o odmowie. Podpis pracownika pod decyzją nie oznacza rzeczywistego udziału człowieka, jeśli nie ma on możliwości jej zmiany po analizie okoliczności klienta. Przy ocenie art. 22 RODO znaczenie ma więc architektura procesu i stopień wpływu automatycznego wyniku na decyzję. W sprawie SCHUFA, C‑634/21, TSUE analizował właśnie rolę zautomatyzowanego scoringu w decyzjach podejmowanych przez inne podmioty. Osoba zainteresowana powinna uzyskać informacje pozwalające ustalić, kto jest administratorem danych i jakie prawa przysługują jej wobec konkretnej operacji, bez zakładania, że RODO automatycznie gwarantuje przyznanie kredytu.

Podstawa prawna i dalsza lektura

Art. 12–15 i 22 rozporządzenia (UE) 2016/679 (RODO).. Tekst urzędowy. Powiązana strona: AI / cyberbezpieczeństwo. Pozostałe publikacje WILIŃSKI LEGAL. Stan prawny należy sprawdzić z uwzględnieniem zmian obowiązujących w dniu zdarzenia.