क्या हुआ। एक ऑस्ट्रियाई मोबाइल ऑपरेटर ने एक ग्राहक को €10 प्रति माह के अनुबंध से वंचित कर दिया, क्योंकि Dun & Bradstreet Austria द्वारा किए गए स्वचालित ऋण-मूल्यांकन में उसकी ऋण-योग्यता अपर्याप्त आंकी गई थी। ऑस्ट्रियाई अदालत ने अंतिम निर्णय में पाया कि कंपनी ने स्वचालित निर्णय में शामिल तर्क के बारे में उसे ‘सार्थक जानकारी’ देने में विफल रहकर सामान्य डेटा संरक्षण विनियमन का उल्लंघन किया था। उस निर्णय को लागू करने वाली अदालत ने यूरोपीय संघ के न्यायालय से पूछा कि व्यवहार में इस दायित्व के तहत क्या अपेक्षित है। निर्णय 27 February 2025 को सुनाया गया (CJEU press release No 22/25).
न्यायालय ने क्या कहा। नियंत्रक को वास्तव में लागू की गई प्रक्रिया और सिद्धांतों का वर्णन करना होगा, ताकि व्यक्ति समझ सके कि उसके कौन-से व्यक्तिगत डेटा इस्तेमाल किए गए और कैसे। यह बताना उचित हो सकता है कि विचाराधीन डेटा में बदलाव से किस हद तक अलग परिणाम निकलता। किसी एल्गोरिदम की केवल जानकारी देना पर्याप्त रूप से संक्षिप्त और सुबोध स्पष्टीकरण नहीं है। यदि नियंत्रक का दावा है कि जानकारी में व्यापार-रहस्य या तीसरे पक्ष का डेटा शामिल है, तो उसे यह जानकारी सक्षम पर्यवेक्षी प्राधिकरण या अदालत को देनी होगी, जो हितों का संतुलन करके तय करेगी कि व्यक्ति को कितना देखने दिया जा सकता है। व्यापार-रहस्य दाँव पर होने पर सामान्य रूप से पहुँच को बाहर रखने वाला कोई राष्ट्रीय नियम GDPR के अनुरूप नहीं है।
संदर्भ। यह निर्णय SCHUFA (C-634/21, December 2023) पर आधारित है, जिसमें न्यायालय ने माना था कि स्वचालित स्कोर स्वयं GDPR के अनुच्छेद 22 के तहत एक ‘स्वचालित निर्णय’ हो सकता है। दोनों निर्णय मिलकर स्वचालित निर्णयों को चुनौती देने के अधिकार को ठोस रूप देते हैं: पहला, स्कोरिंग इन नियमों के दायरे में आती है; दूसरा, व्यक्ति को ऐसा स्पष्टीकरण पाने का अधिकार है जिससे वह चुनौती दे सके।
लोक प्रशासन के लिए यह क्यों महत्त्वपूर्ण है। मामला एक निजी कंपनी से जुड़ा था, लेकिन GDPR के यही प्रावधान उन सार्वजनिक निकायों पर भी लागू होते हैं जो लाभ, कर या आव्रजन के मामलों में स्वचालित जोखिम-स्कोरिंग का इस्तेमाल करते हैं। स्वचालित प्रशासन की दर्ज विफलताओं—नीदरलैंड के बाल-देखभाल लाभ मामले से लेकर Robodebt तक—में लोगों का यह न जान पाना भी एक कारण था कि उन्हें क्यों चिह्नित किया गया। परिणाम में क्या बदलाव लाता, इस पर केंद्रित स्पष्टीकरण का मानदंड, किसी मॉडल के वर्णन की तुलना में अपीलकर्ता की ज़रूरत के अधिक अनुकूल है।
किस पर नज़र रखें। राष्ट्रीय अदालतें और डेटा-संरक्षण प्राधिकरण ‘समझने और चुनौती देने’ की कसौटी को कैसे लागू करते हैं; प्राधिकरण व्यापार-रहस्य के दावों से कैसे निपटते हैं; और EU AI Act के अनुच्छेद 86 के साथ इसका क्या संबंध है, जो उन नियमों के लागू होने के बाद कुछ उच्च-जोखिम वाले AI निर्णयों से प्रभावित लोगों को स्पष्टीकरण का एक अलग अधिकार देता है।