Smart Recruitment AI

Artykuł 22

Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, w tym profilowanie

1. Osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa.
2. Ust. 1 nie ma zastosowania, jeżeli ta decyzja:
   1. jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
   2. jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą; lub
   3. opiera się na wyraźnej zgodzie osoby, której dane dotyczą.
3. W przypadkach, o których mowa w ust. 2 lit. a) i c), administrator wdraża właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, a co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji.
4. Decyzje, o których mowa w ust. 2, nie mogą opierać się na szczególnych kategoriach danych osobowych, o których mowa w art. 9 ust. 1, chyba że zastosowanie ma art. 9 ust. 2 lit. a) lub g) i istnieją właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.

(71) Osoba, której dane dotyczą, powinna mieć prawo do tego, by nie podlegać decyzji – mogącej obejmować określone środki polegające na ocenie aspektów osobistych jej dotyczących – która opiera się wyłącznie na zautomatyzowanym przetwarzaniu i która wywołuje skutki prawne wobec tej osoby lub w podobny sposób istotnie na nią wpływa. Przetwarzanie takie obejmuje automatyczną odmowę udzielenia kredytu online lub rekrutację elektroniczną bez jakiejkolwiek interwencji ludzkiej. Takie przetwarzanie powinno jednak być dozwolone, jeżeli jest wyraźnie dopuszczone prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, w tym do celów monitorowania i zapobiegania oszustwom i uchylaniu się od podatków, zgodnie z przepisami, standardami i rekomendacjami instytucji Unii lub krajowych organów nadzorczych, oraz do celów zapewnienia bezpieczeństwa i niezawodności usług świadczonych przez administratora, lub jeżeli jest niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem, lub jeżeli osoba, której dane dotyczą, wyraziła na nie wyraźną zgodę. W każdym przypadku przetwarzanie takie powinno podlegać właściwym zabezpieczeniom, które powinny obejmować szczególne poinformowanie osoby, której dane dotyczą, oraz prawo do uzyskania interwencji ludzkiej, prawo do wyrażenia własnego stanowiska, prawo do uzyskania wyjaśnień co do decyzji podjętej w wyniku takiej oceny oraz prawo do zakwestionowania takiej decyzji. Środek taki nie powinien dotyczyć dziecka.

W celu zapewnienia rzetelnego i przejrzystego przetwarzania wobec osoby, której dane dotyczą, z uwzględnieniem specyfiki i kontekstu przetwarzania danych osobowych, administrator powinien zastosować odpowiednie procedury matematyczne lub statystyczne na potrzeby profilowania, wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające w szczególności korektę czynników, które powodują niedokładności danych osobowych, i maksymalne zmniejszenie ryzyka błędów, zabezpieczyć dane osobowe w sposób uwzględniający potencjalne zagrożenia dla interesów i praw osoby, której dane dotyczą, oraz zapobiegający m.in. skutkom o charakterze dyskryminacyjnym wobec osób fizycznych ze względu na pochodzenie rasowe lub etniczne, poglądy polityczne, wyznanie lub przekonania, przynależność do związków zawodowych, stan zdrowia, orientację seksualną lub tożsamość płciową lub skutkom skutkującym środkami mającymi taki efekt. Zautomatyzowane podejmowanie decyzji i profilowanie nie powinno opierać się na szczególnych kategoriach danych osobowych, o których mowa w art. 9 ust. 1, chyba że zastosowanie ma art. 9 ust. 2 lit. a) lub g) i wdrożono właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.