Zezwolenie w prawie krajowym na zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach (art. 22 ust. 2 lit. b) RODO)

Z samego brzmienia art. 22 ust. 2 lit. b) RODO wynika, że prawo krajowe, które zezwala na zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, powinno przewidywać odpowiednie środki ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą.

W świetle motywu 71 RODO środki takie powinny obejmować w szczególności spoczywający na administratorze obowiązek stosowania odpowiednich procedur matematycznych lub statystycznych, wdrożenia właściwych środków technicznych i organizacyjnych celem zmniejszenia ryzyka błędów do minimum i ich skorygowania, zabezpieczenia danych osobowych w sposób uwzględniający potencjalne ryzyko dla interesów i praw osoby, której dane dotyczą, oraz zapobiegnięcia w szczególności skutkom w postaci dyskryminacji względem niej. Środki te obejmują ponadto co najmniej prawo osoby, której dane dotyczą, do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania podjętej wobec niej decyzji.

Zgodnie z utrwalonym orzecznictwem Trybunału każde przetwarzanie danych osobowych powinno z jednej strony być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, a z drugiej strony, zważywszy zwłaszcza na przewidzianą w art. 5 ust. 1 lit. a) zasadę zgodności przetwarzania z prawem, spełniać jeden z warunków zgodności przetwarzania z prawem wymienionych w art. 6 owego rozporządzenia (wyrok z dnia 20 października 2022 r., Digi, C-77/21). Administrator musi być w stanie wykazać przestrzeganie tych zasad, zgodnie z zasadą odpowiedzialności określoną w art. 5 ust. 2 tego rozporządzenia (zob. podobnie wyrok z dnia 20 października 2022 r., Digi, C-77/21).

Tak więc w przypadku gdy prawo państwa członkowskiego zezwala, zgodnie z art. 22 ust. 2 lit. b) RODO, na przyjęcie decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, przetwarzanie to powinno nie tylko spełniać warunki określone w tym ostatnim przepisie i w art. 22 ust. 4 tego rozporządzenia, lecz również spełniać wymogi określone w art. 5 i 6 tego rozporządzenia. W związku z tym państwa członkowskie nie mogą przyjmować na podstawie art. 22 ust. 2 lit. b) RODO przepisów, które zezwalają na profilowanie z naruszeniem wymogów ustanowionych w tych art. 5 i 6 zgodnie z ich wykładnią dokonaną w orzecznictwie Trybunału.

Co się tyczy w szczególności warunków zgodności z prawem przewidzianych w art. 6 ust. 1 lit. a), b) i f) RODO, które mogą znaleźć zastosowanie w przypadku takim jak rozpatrywany w postępowaniu głównym, państwa członkowskie nie są uprawnione do ustanowienia dodatkowych zasad stosowania tych warunków, ponieważ takie uprawnienie jest, zgodnie z art. 6 ust. 3 tego rozporządzenia, ograniczone do podstaw, o których mowa w art. 6 ust. 1 lit. c) i e) wspomnianego rozporządzenia. Ponadto, co się tyczy w szczególności art. 6 ust. 1 lit. f) RODO, państwa członkowskie nie mogą, na podstawie art. 22 ust. 2 lit. b) tego rozporządzenia, odstąpić od wymogów wynikających z orzecznictwa Trybunału wypływającego z wyroku z dnia 7 grudnia 2023 r., SCHUFA Holding (C-26/22 i C-64/22), w szczególności określając w sposób ostateczny wynik wyważenia rozpatrywanych praw i interesów (zob. podobnie wyrok z dnia 19 października 2016 r., Breyer, C-582/14).

W świetle całości powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 22 ust. 1 RODO należy interpretować w ten sposób, że zautomatyzowane wyliczenie przez biuro informacji kredytowej wartości prawdopodobieństwa opartej na danych osobowych dotyczących danej osoby w zakresie jej zdolności do wywiązywania się ze zobowiązań płatniczych w przyszłości stanowi „zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach” w rozumieniu tego przepisu, jeżeli od tej wartości prawdopodobieństwa zależy w decydujący sposób, czy strona trzecia, której wspomnianą wartość prawdopodobieństwa przekazano, nawiąże, wykona lub zakończy stosunek umowny z tą osobą.

Wyrok TSUE z dnia 7 grudnia 2023 r., C-634/21

Standard: 84222 (pełna treść orzeczenia)