GDPR og automatiserte avgjørelser

Du fylte ut skjemaet, trykket send, og svaret kom før du rakk å legge fra deg telefonen. Ingen har snakket med deg. Ingen har lest noe du skrev. En modell har regnet på opplysninger den hentet inn selv, og konkludert.

Det er lovlig. Men det er ikke uten videre uten grenser. Personvernforordningen har en egen bestemmelse om avgjørelser som treffes helt av maskiner, og den gir deg noen rettigheter du kan bruke – forutsatt at du vet hva de faktisk går ut på.

Retten i artikkel 22

Personvernforordningen artikkel 22 gir den registrerte rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, når avgjørelsen har rettsvirkning for vedkommende eller på tilsvarende måte påvirker vedkommende i betydelig grad.

Et avslag på en kredittsøknad er et skoleeksempel på en slik avgjørelse. Det avgjør om du får kjøpe boligen, om du får abonnementet, om delbetalingen går gjennom.

To ord bærer hele bestemmelsen.

i beslutningen. Har en saksbehandler faktisk vurdert saken og hatt reell myndighet til å konkludere annerledes, er avgjørelsen ikke helautomatisert – selv om et system leverte grunnlaget. En pro forma-godkjenning der noen bare trykker på en knapp, er derimot ikke en reell menneskelig vurdering.

merkbare følger for deg, og ved kreditt er den normalt oppfylt.

Hvilke avgjørelser som i praksis tas av maskiner og hvilke som går til saksbehandler, er tema i artikkelen om automatisk eller manuell vurdering.

Unntakene, og hvorfor de som regel gjelder

Retten er ikke absolutt. Artikkel 22 gjør unntak blant annet når den automatiserte avgjørelsen er nødvendig for å inngå eller oppfylle en avtale mellom deg og den behandlingsansvarlige.

Nettopp det unntaket gjør at automatisert kredittvurdering er tillatt. Skal en nettbutikk tilby faktura i kassen, eller en bank behandle tusenvis av søknader, er automatisering en forutsetning for at tjenesten i det hele tatt kan leveres på den måten den tilbys.

Poenget for deg er ikke å forsøke å stanse automatikken. Det er å bruke garantiene som følger med den.

Garantiene: menneskelig inngripen, ditt syn, og innsigelse

Når en avgjørelse treffes automatisk innenfor unntaket, skal det være innført egnede tiltak for å verne dine rettigheter. Artikkel 22 nevner tre konkrete garantier: retten til menneskelig inngripen fra den behandlingsansvarlige,

avgjørelsen**.

Dette er den praktiske kjernen. Du kan be om at et menneske ser på saken. Du kan legge frem opplysninger maskinen ikke hadde. Og du kan bestride resultatet.

Hva som skiller en reell vurdering fra en formalitet

Grensen mellom automatisert og manuell behandling er ikke alltid tydelig utenfra. Får du beskjed om at «saken er sett på», har du sjelden mulighet til å kontrollere hva det innebar.

Tre kjennetegn skiller en reell menneskelig vurdering fra en formalitet. Personen som ser på saken må ha myndighet til å konkludere annerledes enn systemet. Vedkommende må ha tilgang til opplysningene som ble brukt, og til det du selv har lagt frem. Og vurderingen må faktisk kunne endre utfallet – ikke bare bekrefte det som allerede er registrert.

Får du et svar som kommer på minuttet og gjentar det første avslaget ordrett, uten å nevne opplysningene du sendte inn, er det grunn til å be om en presisering av hvem som vurderte saken og hva som ble vurdert. Det koster ingenting å spørre, og svaret er nyttig hvis saken senere skal klages inn.

Det norske tillegget: finansavtaleloven § 5-3

Ved kredittsøknader kommer en norsk regel i tillegg, og den er mer konkret enn artikkel 22.

Der artikkel 22 gir deg en prosessuell rettighet – at et menneske skal kunne se på saken – gir § 5-3 tredje ledd deg innhold: resultatet av databasesøket og opplysninger om hvilken database som ble brukt.

Det siste er mer verdt enn det høres ut som. Vet du hvilket kredittopplysningsforetak kreditor slo opp i, vet du også hvor du skal be om innsyn og kreve retting hvis noe der er galt.

Men ingen rett til å få vite hvorfor

Her stopper det, og her tar mange feil.

Grunnen er at en fullstendig forklaring av vektingen ville gjort modellen mulig å tilpasse seg. Hvordan et scorekort er bygget opp, er derfor beskrevet i prinsipper og ikke i tall – også på dette nettstedet.

Behandlingsgrunnlaget er interesseavveining, ikke samtykke

En seiglivet misforståelse er at kredittvurdering hviler på et samtykke du en gang ga, og at du kunne trukket det tilbake.

Behandlingsgrunnlaget for kredittvurdering er normalt en interesseavveining: kredittyteren har en berettiget interesse i å vite om du kan betale, og den interessen veier tyngre enn ulempen for deg, gitt at behandlingen holder seg innenfor det loven tillater. Samtykke er ikke grunnlaget, og et samtykke ville uansett vært dårlig egnet – et samtykke skal kunne trekkes tilbake fritt, og en kredittvurdering du kan avlyse underveis ville ikke hatt noen funksjon.

Det samme gjelder på den andre siden av bordet: utlevering av kredittopplysninger krever saklig behov etter kredittopplysningsloven § 14, ikke samtykke.

Konsekvensen er praktisk. Du kan ikke stanse en kredittvurdering ved å nekte, og du får ikke medhold i en klage som bygger på at du aldri samtykket. Du kan derimot klage på at behandlingen gikk lenger enn den hadde lov til.

Slik ber du om menneskelig vurdering

Be skriftlig, og be om konkrete ting. En henvendelse som fungerer, inneholder gjerne fire punkter:

1. Hva du ber om. At avgjørelsen ble truffet automatisk, og at du ber om at den vurderes på nytt av en person.
2. Opplysningene etter § 5-3 tredje ledd. Om avslaget bygger på databasesøk, resultatet av søket, og hvilken database som ble brukt.
3. Ditt eget syn. Opplysninger maskinen ikke hadde: fersk inntekt, oppsagte kredittrammer, et krav som er gjort opp, dokumentasjon på fast stilling.
4. En frist. Be om svar innen en rimelig frist, og oppgi hvordan du vil kontaktes.

Hvor du klager

To spor, med hver sin adresse. Mener du at personopplysningene dine er behandlet i strid med reglene – uriktige opplysninger, oppslag uten saklig behov, manglende gjenpartsbrev – er Datatilsynet riktig instans, med Personvernnemnda som klageinstans. Mener du at selve kredittavtalen eller behandlingen av søknaden var i strid med finansavtaleloven, er det kredittyteren du klager til først, og deretter Finansklagenemnda.

Oversikten over hvem som behandler hva står i artikkelen om tilsyn og klageorganer, og grensen for hva som er et ulovlig oppslag i artikkelen om ulovlig kredittvurdering.