Hoe houd ik een geautomatiseerde beslissing GDPR-conform?
het heygrc team
Als een beslissing over een persoon volledig door een algoritme wordt genomen en deze een juridisch of vergelijkbaar significant effect op hen heeft (bijvoorbeeld het weigeren van een terugbetaling, lening of account), beperkt GDPR Art. 22 dit: in de regel heeft de persoon het recht om niet onderworpen te worden aan een volledig geautomatiseerde beslissing van die aard. Waar een dergelijke beslissing toch is toegestaan (bijvoorbeeld omdat deze noodzakelijk is voor een contract of gebaseerd is op de uitdrukkelijke toestemming van de persoon), vereist Art. 22(3) waarborgen, waaronder een manier om menselijke tussenkomst te verkrijgen, een mening te uiten en de uitkomst aan te vechten. In beide gevallen: laat de geautomatiseerde tak niet het laatste woord zijn. Leid deze beslissingen door naar een pad waar een persoon deze kan beoordelen.
Bepaal of Art. 22 van toepassing is
Twee voorwaarden moeten waar zijn om de regel van toepassing te laten zijn: de beslissing is volledig geautomatiseerd (geen betekenisvolle menselijke betrokkenheid) en deze heeft een juridisch of vergelijkbaar significant effect op de persoon. Een prijsindicatie is dat niet; het automatisch weigeren van een terugbetaling, lening of account kan dat wel zijn, afhankelijk van hoe materieel het effect is. Als beide voorwaarden waar zijn, is een volledig geautomatiseerde definitieve beslissing wat Art. 22 beperkt.
Voeg een menselijke review toe aan het significante pad
Voor de beslissingen die in aanmerking komen, moet de geautomatiseerde stap de zaak doorgeven in plaats van af te ronden. Stuur de zaak naar een wachtrij waar een persoon actie op kan ondernemen, en maak van de menselijke review een echte stap, geen rubberstempel. Waar de beslissing onder een van de toegestane grondslagen van Art. 22 valt, kan de persoon ook zijn mening uiten en de uitkomst aanvechten, en verwacht betekenisvolle informatie over hoe de beslissing tot stand is gekomen. Het pad moet dus kunnen uitleggen waarom de beslissing is genomen.
export async function decideRefund(req: RefundRequest) { const score = await risk.score(req)- if (score < 0.2) return { status: "rejected", reason: "auto" }+ if (score < 0.2) return queueForReview(req, "low-score") return queueForReview(req)}Het geval met een lage score gaat nu naar menselijke review in plaats van een definitieve geautomatiseerde afwijzing, wat een significante beslissing vereist onder Art. 22.