GDPR · Artikel 22
Automatiske individuelle afgørelser, herunder profilering
Udløses, når der træffes afgørelser alene baseret på automatisk behandling (inkl. profilering) med retsvirkning eller væsentlig påvirkning.
Kildebaseret regelgrundlag vedligeholdt af Aske.
Hvad er kravet?
Udgangspunktet (stk. 1): En person har ret til IKKE at være genstand for en afgørelse, der ALENE er baseret på automatisk behandling (herunder profilering), når afgørelsen har retsvirkning eller på tilsvarende vis betydeligt påvirker personen. Sådanne rent automatiske afgørelser er som udgangspunkt ikke tilladt, MEDMINDRE en af undtagelserne i stk. 2 gælder: (a) afgørelsen er nødvendig for en kontrakt, (b) den er hjemlet i EU-ret/national ret med passende beskyttelsesforanstaltninger, eller (c) den bygger på den registreredes udtrykkelige samtykke. Ved undtagelse (a) og (c) skal den dataansvarlige som minimum sikre ret til menneskelig indgriben, til at fremkomme med synspunkter og til at bestride afgørelsen (stk. 3). Afgørelser efter stk. 2 må ikke baseres på særlige kategorier af personoplysninger (art. 9, stk. 1), medmindre art. 9, stk. 2, litra a) eller g) finder anvendelse, og der er passende beskyttelsesforanstaltninger (stk. 4).
Typisk faldgrube
Typisk fejl: at antage at "der er jo et menneske i processen", selvom mennesket ikke reelt vurderer sagen og ikke har myndighed eller indsigt til at ændre afgørelsen — så betragtes afgørelsen fortsat som "alene baseret på automatisk behandling" (jf. WP251-vejledningen). En anden faldgrube er at anvende profilering med retsvirkning uden gyldig undtagelse (kontrakt, lovhjemmel eller udtrykkeligt samtykke) eller uden at etablere de påkrævede garantier (menneskelig indgriben, synspunkter, bestridelse).
Hvem og hvor?
Roller: idriftsaetter
Sektorer: alle
Hvornår?
Gælder fra: 2018-05-25 (GDPR anvendes fra 25. maj 2018, jf. art. 99, stk. 2 — verificeret på EUR-Lex)
Håndhævelse: 2018-05-25 (Datatilsynet fører tilsyn fra samme dato; ingen særskilt senere håndhævelsesdato)
Tilsynsmyndighed
Datatilsynet
Officielle kilder
Vis det anvendte kildecitat
Artikel 22 — Automatiske individuelle afgørelser, herunder profilering 1. Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende. 2. Stk. 1 finder ikke anvendelse, hvis afgørelsen: a) er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig b) er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser eller c) er baseret på den registreredes udtrykkelige samtykke. 3. I de tilfælde, der er omhandlet i stk. 2, litra a) og c), gennemfører den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side, til at fremkomme med sine synspunkter og til at bestride afgørelsen. 4. De afgørelser, der er omhandlet i stk. 2, må ikke baseres på særlige kategorier af personoplysninger, jf. artikel 9, stk. 1, medmindre artikel 9, stk. 2, litra a) eller g), finder anvendelse, og der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.