Что произошло. Австрийский оператор мобильной связи отказал клиентке в заключении договора стоимостью €10 в месяц, поскольку автоматизированная оценка кредитоспособности, проведённая Dun & Bradstreet Austria, признала её кредитоспособность недостаточной. Австрийский суд окончательным решением установил, что компания нарушила Общий регламент по защите данных (GDPR), не предоставив ей «содержательную информацию о применённой логике» автоматизированного решения. Суд, исполнявший это решение, обратился в Суд Европейского союза с вопросом о том, что на практике требует эта обязанность. Решение было вынесено 27 февраля 2025 года (пресс-релиз Суда ЕС № 22/25).
Что постановил Суд. Контролёр должен описать фактически применённую процедуру и принципы, чтобы человек мог понять, какие его персональные данные использовались и каким образом. Может быть уместно объяснить, в какой мере изменение учитываемых данных привело бы к иному результату. Простое сообщение алгоритма не является достаточно кратким и понятным объяснением. Если контролёр утверждает, что информация содержит коммерческую тайну или данные третьих лиц, он должен предоставить её компетентному надзорному органу или суду, который сопоставит интересы и решит, какую часть информации можно раскрыть человеку. Национальное правило, исключающее доступ в общем порядке всякий раз, когда затрагивается коммерческая тайна, несовместимо с GDPR.
Контекст. Это решение развивает выводы по делу SCHUFA (C-634/21, декабрь 2023 года), в котором Суд постановил, что автоматизированная оценка сама по себе может представлять собой «автоматизированное решение» по смыслу статьи 22 GDPR. Вместе эти два решения придают праву оспаривать автоматизированные решения конкретное содержание: во-первых, правила распространяются на скоринговые оценки; во-вторых, человек имеет право на объяснение, позволяющее ему оспорить решение.
Почему это важно для государственного управления. Дело касалось частной компании, но те же положения GDPR обязательны для государственных органов, использующих автоматизированную оценку рисков при назначении пособий, налогообложении или иммиграционных процедурах. Задокументированные провалы автоматизированного управления — от скандала с пособиями по уходу за детьми в Нидерландах до Robodebt — отчасти были связаны с тем, что люди не могли выяснить, почему их отметили как подозрительных. Стандарт объяснения, ориентированный на то, что могло бы изменить результат, ближе к тому, что нужно заявителю для обжалования, чем описание модели.
За чем следить. За тем, как национальные суды и органы по защите данных применяют критерий «понять и оспорить»; за тем, как органы рассматривают заявления о коммерческой тайне; и за взаимодействием с положением статьи 86 Закона ЕС об ИИ, которое предоставляет лицам, затронутым некоторыми решениями на основе ИИ высокого риска, отдельное право на объяснение, когда эти правила вступят в силу.