Automatyczna decyzja o pracowniku: granice profilowania w RODO

Teza. Automatyczna punktacja nie zawsze jest zakazana, ale decyzja oparta wyłącznie na algorytmie, wywołująca istotne skutki dla człowieka, wymaga odrębnej oceny prawnej.

Analiza procesu, nie nazwy narzędzia

System może porządkować CV, wskazywać anomalie w czasie pracy lub rekomendować decyzje o premii. Przed oceną zgodności trzeba opisać, jakie dane trafiają do narzędzia, jaki wynik ono zwraca oraz kto faktycznie podejmuje decyzję. Samo zastosowanie modelu statystycznego nie przesądza o wystąpieniu decyzji, o której mowa w art. 22 RODO. Znaczenie mają automatyczny charakter procesu i jego prawne lub podobnie istotne skutki dla osoby.

Czy człowiek rzeczywiście decyduje

Jeśli kierownik jedynie automatycznie zatwierdza wynik bez analizy, formalne podpisanie decyzji nie zawsze oznacza rzeczywisty udział człowieka. Kontrola powinna umożliwiać ocenę danych, zakwestionowanie rekomendacji i zmianę wyniku z uzasadnionych przyczyn. Dobrze zaprojektowana procedura jasno określa, kto odpowiada za weryfikację i jak dokumentuje odstępstwa. Pozorna kontrola może zwiększać ryzyko prawne, zamiast je ograniczać.

Znaczący skutek dla pracownika

Decyzja dotycząca zatrudnienia, awansu, istotnej części wynagrodzenia lub ograniczenia dostępu do pracy może mieć znaczenie dla art. 22. Nie każda drobna sugestia organizacyjna osiąga jednak wymagany próg. Analiza wymaga uwzględnienia skali i konsekwencji decyzji. W szczególności ocenę należy odnieść do konkretnej osoby i rzeczywistych skutków, a nie tylko do tego, jak dostawca nazwał moduł programu.

Podstawa prawna, wyjątki i zabezpieczenia

Art. 22 RODO przewiduje zasadę dotyczącą decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu oraz określone wyjątki. Ich stosowanie wymaga analizy przesłanek i przewidzianych zabezpieczeń, a nie domniemania, że zgoda pracownika zawsze wystarcza. W relacji zatrudnienia swoboda zgody może budzić szczególne wątpliwości. Trzeba też osobno rozważyć dane szczególnych kategorii i przepisy prawa pracy.

Przejrzystość i możliwość zakwestionowania wyniku

Osoba, której dotyczy proces, powinna otrzymywać informacje wymagane przez RODO w zakresie mającym zastosowanie do konkretnego sposobu przetwarzania. Znaczenie ma zrozumiałe wyjaśnienie roli automatyzacji, kategorii danych i możliwych konsekwencji. Procedura rozpoznawania zastrzeżeń nie może być czystą formalnością. Dobrą praktyką jest również sprawdzanie jakości danych wejściowych, bo wadliwe rekordy mogą prowadzić do systematycznie błędnych ocen.

Audyt algorytmu w realiach firmy

Przy wdrożeniu warto przeprowadzić analizę ryzyka, a w razie spełnienia przesłanek — ocenę skutków dla ochrony danych. Należy sprawdzić uprzedzenia danych treningowych, zakres dostępu, retencję, jakość dokumentacji i warunki umowy z dostawcą. Odpowiedzialność pracodawcy nie znika przez stwierdzenie, że mechanizm jest „czarną skrzynką”. Jeśli nie da się rzetelnie wyjaśnić istotnego procesu, może to świadczyć o konieczności jego przeprojektowania.

Przykład

System przyznaje kandydatom punktację i automatycznie odrzuca wszystkie CV poniżej progu. Trzeba sprawdzić, czy decyzja ma istotny skutek, jaka jest jej podstawa prawna i czy istnieje realna możliwość ludzkiej interwencji.

Najczęstszy błąd

Zakładanie, że samo kliknięcie zatwierdzenia przez menedżera zawsze wyłącza zastosowanie art. 22 RODO.

Lista kontrolna

1. Opisz dane wejściowe i faktyczną ścieżkę decyzji.
2. Oceń wagę skutków dla pracownika.
3. Zbadaj podstawę i wymagane zabezpieczenia.
4. Zapewnij realną kontrolę i procedurę zastrzeżeń.

Konkluzja

Ocena danego przypadku wymaga odniesienia do rzeczywistych dokumentów i obowiązującego stanu prawnego. Przed podjęciem decyzji należy sprawdzić wyjątki, charakter czynności oraz rozkład odpowiedzialności; ogólna analiza nie zastępuje interpretacji konkretnego stanu faktycznego.

Źródła pierwotne

Art. 5, 13–15 i 22 RODO oraz odpowiednie przepisy prawa pracy. Urzędowy tekst aktu.