W wyroku w sprawie SCHUFA Trybunał Sprawiedliwości przyjął szeroką wykładnię całkowicie zautomatyzowanej decyzji, o której mowa w artykule 22 RODO. Wyrok dotyczy scoringu, czyli prawdopodobieństwa spłaty zobowiązania.
Czego dotyczy wyrok TSUE
Wyrok Trybunału Sprawiedliwości w sprawie C‑634/21 (tzw. sprawa SCHUFA) dotyczy podejmowania całkowicie zautomatyzowanych decyzji w rozumieniu art. 22 RODO poprzez wyliczenie scoringu kredytowego.
Zgodnie z wyrokiem scoring to wartość prawdopodobieństwa wyliczona na podstawie danych osobowych dotyczących danej osoby co do zdolności tej osoby do wywiązywania się ze zobowiązań płatniczych w przyszłości, np. spłaty zaciągniętej pożyczki. Prawdopodobieństwo spłacenia zobowiązania jest obliczane automatycznie przez system IT, tj. bez udziału człowieka.
Co istotne, w stanie faktycznym omawianej sprawy scoring nie jest sporządzany przez bank czy inną instytucję pożyczkową, ale przez biuro informacji kredytowej – spółkę SCHUFA Holding AG. Spółka ta nie zawiera umowy o kredyt czy pożyczkę z konsumentem, tylko przekazuje instytucji pożyczkowej obliczoną wartość prawdopodobieństwa, iż dany konsument spłaci zobowiązanie.
Pytanie, które niemiecki sąd krajowy zadał Trybunałowi Sprawiedliwości, dotyczyło tego, czy zautomatyzowane wyliczenie scoringu przez biuro informacji kredytowej stanowi zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach w rozumieniu art. 22 RODO, o ile od scoringu (wartości prawdopodobieństwa) zależy w decydujący sposób, czy bank lub inna instytucja pożyczkowa udzieli kredytu czy pożyczki danemu konsumentowi.
Co stwierdził i co wziął pod uwagę Trybunał Sprawiedliwości
TSUE stwierdził, iż jeżeli od wartości scoringu wyliczanego przez biuro informacji kredytowej zależy, czy instytucja pożyczkowa lub kredytowa udzieli konsumentowi pożyczki czy kredytu, to wyliczenie scoringu przez takie biuro informacji kredytowej (tu: SCHUFA) należy uznać za całkowicie zautomatyzowane decyzje w rozumieniu art. 22 ust. 1 RODO.
W toku postępowania spółka SCHUFA podnosiła, iż nie podejmuje ona całkowicie zautomatyzowanych decyzji, ponieważ to nie ona zawiera umowę z konsumentem, a zatem to nie ona podejmuje decyzję dotyczącą udzielenia kredytu czy pożyczki konsumentowi.
Jednakże Trybunał wziął pod uwagę, iż w praktyce to od wartości wyliczonej przez spółkę SCHUFA zależy, czy dany konsument otrzyma kredyt lub pożyczkę. W związku z tym TSUE stwierdził, iż decyzje SCHUFA wywołują wobec osoby, której dane dotyczą, skutki prawne lub istotnie na nią wpływają w podobny sposób, w rozumieniu art. 22 ust. 1 RODO.
W szczególności Trybunał zwrócił tu uwagę na ryzyko obejścia art. 22 RODO i wystąpienia luki w ochronie prawnej osób, których dane dotyczą. Zdaniem TSUE, gdyby przyjąć zawężającą wykładnię tego przepisu, zgodnie z którą wyliczenie scoringu byłoby jedynie „działaniem przygotowawczym”, a nie decyzją z art. 22 RODO, to osoby fizyczne byłyby pozbawione praw związanych ze zautomatyzowanym podejmowanie decyzji. Chodzi tu w szczególności o:
- prawa do informacji o istotnych zasadach podejmowania zautomatyzowanych decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 15 ust. 1 lit. h RODO);
- obowiązek wdrożenia środków ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, a co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji (art. 22 ust. 3 RODO).
Bowiem gdyby uznać, iż to bank czy instytucja pożyczkowe podejmują całkowicie zautomatyzowaną decyzję, to takie instytucje nie byłyby w stanie dostarczyć konsumentowi powyższych informacji, ponieważ co do zasady nimi nie dysponują, ani wdrożyć odpowiednich środków ochrony.
Praktyczne konsekwencje wyroku
Trybunał przyjął szerokie rozumienie całkowicie zautomatyzowanych decyzji i uznał, iż to pojęcie obejmuje także pewne działania, które nie są podejmowane przez podmiot mający bezpośrednią relację umowną z osobą, której dane dotyczą.
W związku z tym wszystkie podmioty, które stosują profilowanie osób fizycznych lub podejmują całkowicie zautomatyzowane decyzje wobec osób fizycznych, powinny zbadać, czy ich działania kwalifikują się pod art. 22 ust. 1 RODO.
W świetle wyroku w sprawie SCHUFA również podmioty, które nie mają bezpośredniej relacji z konsumentem, ale dokonują automatycznego profilowania osób fizycznych i wynik ich profilowania wywiera skutki prawne lub inaczej istotnie wpływa na osoby fizyczne, są objęte wymogami z art. 22 RODO. Może to dotyczyć w szczególności podmiotów działających w branży finansowej, rekrutacyjnej, a choćby pracodawców, którzy dokonują automatycznej oceny pracy pracowników.
Należy pamiętać, iż w związku ze zautomatyzowanym podejmowaniem decyzji:
- osoba fizyczna powinna otrzymać szczegółowe informacje o takich automatycznych decyzjach w klauzuli informacyjnej (art. 13-14 RODO);
- w przypadku skorzystania z prawa dostępu do danych osoba fizyczna ma prawo otrzymać konkretne informacje dotyczące podejmowanych wobec niej całkowicie zautomatyzowanych decyzji, w tym istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takich decyzji (art. 15 RODO);
- osobie fizycznej przysługują prawa związane z całkowicie zautomatyzowanym podejmowaniem decyzji, w tym prawo do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji (art. 22 ust. 3 RODO).
