Автоматизирано вземане на решения по GDPR: кога алгоритъмът не може да решава сам
Нидерландският надзорен орган наложи на Uber глоба от 824 990 000 евро, като прие, че системата на компанията сама е спирала профилите на шофьори, без човек да преценява случая. Глобата не е окончателна: Uber я обжалва. Ако Вашият ATS сам отсява кандидати, приложението за куриери само блокира профили или системата за бонуси сама решава кой губи пари, правилата за автоматизирано вземане на решения по GDPR засягат и Вас.
Кратък отговор: при автоматизираното вземане на решения по чл. 22 GDPR решението за конкретен човек се основава единствено на автоматизирано обработване, включително профилиране, и поражда правни последствия за него или по подобен начин го засяга в значителна степен. Такова решение е забранено освен в трите изключения по чл. 22, пар. 2: когато е необходимо за договор с човека, когато се основава на изричното му съгласие (в тези два случая администраторът дължи и гаранциите по пар. 3, включително човешка намеса) или когато е разрешено от правото на ЕС или на държава членка, което предвижда и подходящи мерки за защита. Правилото не важи само за работодатели: съображение 71 GDPR дава за пример и автоматичния отказ на онлайн искане за кредит.
По-долу показваме как да проверите дали Вашият HR софтуер или платформа попада под чл. 22 и какво да промените: човешката намеса, уведомлението и оценката на въздействието (DPIA).
Съдържание
- Какво е автоматизирано вземане на решения: трите условия на чл. 22
- Глобата за Uber: какво точно санкционира нидерландският орган
- Работен тест: попада ли Вашият инструмент под чл. 22
- Истинска човешка намеса или формалност
- Кога е допустимо: изключенията и правото на човешка намеса
- Какво да пише в уведомлението по чл. 13
- Какви права имате, ако алгоритъм е решил за Вас
- DPIA при профилиране на служители и куриери
- Алгоритмичното управление на платформите и AI Act
- План за 30 дни за HR и длъжностното лице
- Често задавани въпроси
Какво е автоматизирано вземане на решения и профилиране: трите условия на чл. 22 GDPR
Кратък отговор: чл. 22, пар. 1 GDPR се прилага, когато са налице едновременно три условия: има решение за конкретен човек; то се основава единствено на автоматизирано обработване, включително профилиране; и поражда правни последствия или засяга човека по подобен начин в значителна степен. Липсва ли едно от тях, чл. 22 не се прилага, но останалите правила на GDPR продължават да важат.
„Субектът на данните има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен.“ — чл. 22, пар. 1 от Регламент (ЕС) 2016/679 (GDPR)
Официалното заглавие на чл. 22 е „Автоматизирано вземане на индивидуални решения, включително профилиране“. Профилирането е определено в чл. 4, т. 4 GDPR: автоматизирано обработване, с което се оценяват лични аспекти на човека, изрично и „изпълнението на професионалните задължения“, надеждността, поведението, местоположението или движението му. Рейтингът на шофьор, оценката за „риск от измама“ на куриер и класирането на кандидат по автобиографията са профилиране. Профилирането само по себе си обаче още не е решение и разликата има значение:
| Какво прави системата | Пример | Прилага ли се чл. 22? |
|---|---|---|
| Решава сама: никой не преценява случая, преди да настъпят последиците | Приложението блокира куриер при „съмнение за измама“ | Да, ако решението има правни или подобно значими последици |
| Само оценява (профилиране без решение) | Рейтингът на шофьора се показва в приложението, но сам по себе си не води до последици | Не, но важат всички останали правила на GDPR |
| Подпомага човек, който реално решава | Рекрутерът вижда оценката и цялата кандидатура и при нужда решава различно от системата | Не, ако човешката намеса е реална (вж. по-долу) |
Условие 1: решение за конкретен човек
Не е нужно официално решение със заповед: и оценка, изчислена от трето лице, може да е „решение“ (делото SCHUFA, C-634/21, по-долу).
Условие 2: единствено автоматизирано обработване
Решаващо е дали човек реално преценява случая, преди последиците да настъпят. Формалното потвърждение от служител не е достатъчно, за да остане решението извън чл. 22.
Условие 3: правни последствия или засягане в значителна степен
Прекратяване на договор, отказ за наемане, спиране на достъп до работа или до доход. Съображение 71 GDPR дава като пример „електронни практики за набиране на персонал без човешка намеса“.
Примери извън трудовите отношения
Чл. 22 не важи само за работодатели и платформи. Примери от GDPR и практиката на СЕС:
- Онлайн кредит. Автоматичният отказ на онлайн искане за кредит е изричният пример в съображение 71 GDPR.
- Кредитна оценка от трето лице. Оценката, на която кредиторът се опира в решаваща степен, сама е решение (делото SCHUFA по-долу).
- Договор за мобилни услуги. Отказ да се сключи договор заради автоматична оценка на кредитоспособността. По такъв случай СЕС тълкува какво трябва да се обясни на човека (делото Dun & Bradstreet Austria, вж. по-долу).
Делото SCHUFA: кога оценката вече е решение
С решение от 7 декември 2023 г. по дело C-634/21 СЕС приема, че автоматизираното изчисляване на вероятностна стойност е „решение“ по чл. 22, пар. 1, когато третото лице, на което тя се предава, се опира в решаваща степен на нея, за да сключи, изпълни или прекрати договор.
Фактите: SCHUFA е германска частна агенция, която изчислява кредитни оценки за банки и други клиенти. Кредитор отказва заем на лице след отрицателна оценка от SCHUFA. Лицето иска достъп до данните си и обяснение как е изчислена оценката. SCHUFA съобщава резултата и общите принципи, но отказва да разкрие отделните фактори и тежестта им, като се позовава на търговска тайна. Надзорният орган на провинция Хесен отказва да се намеси, а Административният съд във Висбаден отправя преюдициално запитване до Съда на ЕС.
Съдът е разглеждал кредитна оценка, но смятаме, че същата логика важи и при подбора на персонал. Ако ATS (система за проследяване на кандидатите) изчислява „съвпадение“ в проценти, а рекрутерът по правило не отваря кандидатурите под определен праг, според нас на практика решава системата, а не рекрутерът. Според нас няма значение дали оценката се изчислява от доставчика на софтуера, или от самия работодател. По наша оценка и предварителен етап, който на практика предопределя изхода, може сам да попадне под чл. 22.
Глобата за Uber: какво точно санкционира нидерландският орган?
Кратък отговор: в решение, което Uber обжалва, нидерландският надзорен орган Autoriteit Persoonsgegevens (AP) прие, че компанията е решавала изцяло автоматично за шофьорите. Според AP при съмнение за измама или при ниски оценки от клиентите профилите им са били деактивирани временно, а при трайно ниски оценки — окончателно, без участие на човек. Шофьорите не са били информирани достатъчно за това.
Производството започва с жалби на 171 френски шофьори, подадени чрез правозащитната организация Ligue des droits de l’Homme (LDH) до френския надзорен орган CNIL. Европейското седалище на Uber е в Нидерландия, затова AP разглежда случая като водещ орган по механизма на обслужване на едно гише. CNIL посочва, че е участвала в проверката и в обсъждането на проекта на решение и че санкцията е наложена на Uber B.V. и на Uber Technologies Inc.
Докато профилът е бил спрян, шофьорът е губел дохода си от платформата. Според CNIL AP е приела деактивирането за автоматизирано индивидуално решение по чл. 22 именно защото в процеса изобщо не е имало човешка намеса. Според EDPB случаят обхваща инциденти от 2018–2022 г., а Uber вече е прекратила нарушенията.
Внимание: решението не е окончателно
Uber обжалва глобата и към октомври 2026 г. няма окончателно съдебно решение (EDPB, 8 октомври 2026 г.). Анализът ни се основава на публичните съобщения на AP, CNIL и EDPB.
За фактите и останалите санкции от същия период вижте нашия преглед на най-големите GDPR глоби за август и септември 2026 г. Тук се занимаваме с друг въпрос: как да разберете дали Вашият софтуер прави същото.
Работен тест: попада ли Вашият HR или платформен инструмент под чл. 22?
Кратък отговор: задайте за всеки инструмент три въпроса — какво решава, кой може да го промени преди да има последици и какво губи човекът. Ако системата сама отхвърля, блокира или наказва и човекът губи работа, доход или достъп, приемете, че сте в обхвата на чл. 22, докато не докажете обратното. Таблицата по-долу е нашата оценка за типични случаи.
| Сценарий | Единствено автоматизирано? | Засяга в значителна степен? | Нашата оценка |
|---|---|---|---|
| ATS отхвърля автоматично кандидати без определена диплома или с „съвпадение“ под 60% | Да, ако никой не преглежда отхвърлените | Да — отказ за наемане | Висок риск по чл. 22; нужни са изключение и гаранции или реален преглед |
| Точкуване на кандидатите, което рекрутерът вижда заедно с цялата кандидатура | Зависи дали рекрутерът реално преценява и понякога решава различно от системата | Да | Извън чл. 22 само ако преценката е реална и документирана |
| Приложение блокира автоматично куриер при „съмнение за измама“ | Да | Да — губи достъп до поръчки и доход | Висок риск; сходно с практиката, която AP санкционира при Uber (решението не е окончателно) |
| Автоматична оценка на представянето, която директно определя бонуса | Да, ако никой не преразглежда резултата | Вероятно — финансови последици | Висок риск; въведете преглед преди изплащането |
| Алгоритъм разпределя смени или поръчки по рейтинг | Да, ако разпределението се прилага без преглед от човек | Зависи от последиците за дохода | Преценете колко доход губи човекът и за колко време, може ли сам да възстанови рейтинга си и вижда ли защо е класиран по-ниско. Ако разпределението се прилага без преглед от човек и води до трайна загуба на значима част от дохода, приемете, че сте в обхвата на чл. 22 |
| Табло с показатели за продуктивност, по което ръководителят решава сам | Не | — | Извън чл. 22, но остават правното основание, прозрачността и пропорционалността |
Последният ред е важен. Наблюдението без автоматично решение не попада под чл. 22, но и за него има правила. За камерите, имейлите и GPS вижте кога е законно проследяването на служители, а за правното основание при мониторинг в Microsoft 365 — ръководството ни за HR директори. При подбора общите правила са в статията за GDPR при подбор на персонал.
Важно: чл. 22 е забрана с изключения, а не право, което трябва да се упражни
Формулировката звучи като право на човека („има право да не бъде обект“), но СЕС в делото SCHUFA я тълкува като принципна забрана. Тя важи независимо дали засегнатият е поискал нещо. Изключенията и гаранциите към тях са разгледани по-долу. Затова администраторът трябва да провери инструмента преди внедряването, а не да чака жалба.
Какво е истинска човешка намеса и кога тя е само формалност?
Кратък отговор: намесата е истинска, когато човекът има правомощието и компетентността да промени решението, разполага с всички относими данни, има време да ги прегледа и може да действа, преди последиците да настъпят. Служител, който само натиска „потвърди“, не е човешка намеса. Решението остава изцяло автоматизирано. Тук става дума за участието на човек, което поставя решението извън обхвата на чл. 22, пар. 1. Различно е правото на човешка намеса по чл. 22, пар. 3: това е гаранция за засегнатия, когато решението вече е взето на основание договор или изрично съгласие.
Насоките на Работна група „Член 29“ за автоматизираното вземане на индивидуални решения и профилирането (WP251rev.01) изискват надзорът да е реален, а не символичен. Администраторът не може да заобиколи чл. 22, като създаде привидна човешка намеса. Испанският надзорен орган AEPD развива тези критерии в анализ от 4 март 2024 г. и предлага конкретни показатели.
„Служител одобрява всяко блокиране, значи решението не е автоматично“ — не е вярно
Ако служителят вижда само резултата на системата, няма данните, на които той се основава, и на практика никога не го отменя, намесата е формална.
„Шофьорът може да подаде жалба след блокирането, значи има човешка намеса“ — не е вярно
Възможността за оспорване по чл. 22, пар. 3 е допълнителна гаранция, а не заместител на преценката. AEPD подчертава, че процедурата трябва да позволява намеса, преди решението да се приложи спрямо човека. Ако профилът остава спрян до разглеждането на жалбата, шофьорът губи дохода си точно за времето, в което намесата трябваше да го предпази.
„Един служител може да преглежда всички случаи“ — не е вярно
Натовареността също е критерий. AEPD дава пример: ако служителят трябва да преглежда всеки ден 100 доклада по 100 страници, той би трябвало да чете по 21 страници в минута. Това е невъзможно и при такъв обем прегледът съществува само на хартия.
Петте признака на реалната намеса
Обобщаваме насоките WP251rev.01 и анализа на AEPD в пет признака: (1) правомощие и компетентност да отмени или промени резултата; (2) обучение за възможностите и ограниченията на системата; (3) независимост — човекът не е под натиск да потвърждава системата; (4) средства: навременен достъп до данните и време за реалистичен брой случаи; (5) намеса, преди решението да се приложи спрямо човека. AEPD предупреждава и за пристрастието към авторитета на системата: човекът рядко или никога не поставя под съмнение автоматичния резултат. Затова препоръчваме да измервате колко често прегледът променя решението на системата. Ако делът е близо до нула, прегледът вероятно е формален.
Кога е допустимо: изключенията по чл. 22, пар. 2 и правото на човешка намеса
Кратък отговор: изцяло автоматизирано решение със значими последици е допустимо само ако е необходимо за договор със засегнатия, разрешено е от правото на ЕС или на държава членка или се основава на изричното му съгласие. При договора и съгласието администраторът трябва да осигури поне човешка намеса, възможност човекът да изрази гледната си точка и да оспори решението. Отделно е нужно правно основание по чл. 6, а при данни по чл. 9 важат и ограниченията на чл. 22, пар. 4.
„В случаите, посочени в параграф 2, букви а) и в), администраторът прилага подходящи мерки за защита на правата и свободите и легитимните интереси на субекта на данните, най-малко правото на човешка намеса от страна на администратора, правото да изрази гледната си точка и да оспори решението.“ — чл. 22, пар. 3 GDPR
| Изключение | Какво изисква | Практическа бележка за работодатели и платформи |
|---|---|---|
| Б. „а“ — необходимо за договор | Решението да е необходимо за сключването или изпълнението на договора | „Необходимо“ не значи „по-удобно“. Ако същата цел се постига с човешки преглед на сигналите, необходимостта трудно се доказва. Задължителни са гаранциите по пар. 3. |
| Б. „б“ — разрешено от правото на ЕС или на държава членка | Изрична правна норма с подходящи мерки за защита | Позовавайте се на това изключение само ако можете да посочите конкретната норма, която разрешава решението и предвижда мерки за защита. Без такава норма проверете дали са налице условията на б. „а“ или „в“. Ако не са, решението трябва да остане за човек. |
| Б. „в“ — изрично съгласие | Изрично, свободно, информирано съгласие, което може да се оттегли | Поради неравнопоставеността в трудовите отношения съгласието на работника рядко е свободно (Насоки 05/2020 на EDPB относно съгласието; вж. и съгласието по GDPR). Гаранциите по пар. 3 са задължителни. |
Чл. 22, пар. 4 добавя още едно ограничение. Решенията по изключенията не могат да се основават на специалните категории данни по чл. 9, пар. 1 (здраве, синдикално членство, биометрични данни за идентификация и др.), освен при изрично съгласие (чл. 9, пар. 2, б. „а“) или по причини от важен обществен интерес на основание правото на ЕС или на държава членка (б. „ж“) и при подходящи мерки за защита. Система, която отчита отсъствията по болест при автоматичната оценка на представянето, трябва да се проверява и по това правило.
Изключенията по чл. 22 не заместват правното основание по чл. 6. И в делото SCHUFA Съдът посочва, че дори при валидно изключение трябва да се проверят и общите условия на GDPR за обработването. Затова двете проверки се правят отделно; за основанията вижте 6-те правни основания по чл. 6 GDPR.
Какво трябва да пише в уведомлението по чл. 13: логика, значение, последици
Кратък отговор: когато използвате решения по чл. 22, информацията по чл. 13, пар. 2, б. „е“ GDPR трябва да каже, че такива решения има, и да даде съществена информация за използваната логика, значението и предвидените последствия за човека. Същото важи при данни от други източници (чл. 14, пар. 2, б. „ж“) и при искане за достъп (чл. 15, пар. 1, б. „з“).
„з) съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.“ — чл. 15, пар. 1, б. „з“ GDPR
Делото Dun & Bradstreet Austria: правото на обяснение и колко подробно трябва да е то
С решение от 27 февруари 2025 г. по дело C-203/22 СЕС приема, че администраторът трябва да опише процедурата и принципите, които действително е приложил, така че човекът да разбере кои негови данни са използвани и как. Самото предоставяне на алгоритъма не е достатъчно сбито и разбираемо обяснение: човекът трябва да може да разбере решението и да го оспори. Според Съда може да е уместно да се посочи и доколко промяна в данните би довела до друг резултат. Ако администраторът смята, че информацията съдържа търговска тайна или данни на трети лица, той я предоставя на надзорния орган или на съда, които преценяват какво да се разкрие. Национално правило, което по принцип изключва достъпа заради търговска тайна, е несъвместимо с GDPR.
Фактите: Мобилен оператор в Австрия отказва да сключи с клиентка договор с месечна вноска от 10 евро. Причината е автоматична оценка на Dun & Bradstreet Austria, според която кредитоспособността ѝ е недостатъчна. Тя иска да разбере логиката на оценката, а дружеството се позовава на търговска тайна. Австрийски съд установява с окончателно решение, че Dun & Bradstreet е нарушило GDPR, а съдът по изпълнението пита Съда на ЕС какво точно трябва да се разкрие.
Изводът за HR политиката и за общите условия на платформите е, че общата формула „използваме автоматизирани системи за качество на услугата“ не изпълнява чл. 13. Препоръчваме уведомлението да съдържа поне следното:
- Кои решения са автоматизирани — например временно спиране на профила, отхвърляне на кандидатура, изчисляване на бонус.
- Кои данни влизат в оценката — оценки от клиенти, процент отказани поръчки, сигнали за измама, данни за местоположение.
- Как данните влияят на резултата — например рейтинг под определен праг за определен период води до предупреждение, а след това до спиране. Полезно е да посочите и каква промяна би довела до друг резултат.
- Последиците за човека — колко дълго трае спирането, губи ли се достъп до поръчки, засяга ли се плащането.
- Как се оспорва — канал, срок за отговор, кой преглежда и с какви правомощия.
- Правното основание и изключението по чл. 22, пар. 2, на което се позовавате.
Как да вградите тези елементи в общата информация за обработването, описваме в статията за политиката за поверителност по GDPR.
Какви права имате, ако алгоритъм е решил за Вас?
Кратък отговор: като служител, куриер, шофьор или кандидат можете да поискате информация за автоматизираното решение. Когато то се основава на договор или на изричното Ви съгласие, имате право и на човешка намеса, да изразите гледната си точка и да оспорите решението. При нарушение можете да подадете жалба до КЗЛД. Ако решението попада под чл. 22, пар. 1 и не е налице изключение по пар. 2, то изобщо не е допустимо.
- Поискайте информация. По чл. 15, пар. 1, б. „з“ GDPR администраторът трябва да потвърди дали спрямо Вас има автоматизирано решение и да даде съществена информация за логиката, значението и последиците му. Срокът за отговор е един месец и може да се удължи с още два месеца при сложни искания (чл. 12, пар. 3).
- Поискайте човешка намеса. Когато решението се основава на договор или на изричното Ви съгласие, администраторът трябва да осигури поне правото на човешка намеса от своя страна (чл. 22, пар. 3).
- Изразете гледната си точка. Опишете писмено обстоятелствата, които системата не е отчела, например технически проблем или неверен сигнал за измама.
- Оспорете решението. Правото на оспорване е част от същите гаранции по чл. 22, пар. 3. Пазете копие от искането и датата на подаването му.
- Подайте жалба до КЗЛД. Ако смятате, че правата Ви са нарушени, имате право на жалба до надзорния орган (чл. 77 GDPR). Как се подава, описваме в статията за жалбата до КЗЛД.
Ако системата не решава, а само наблюдава работата Ви, вижте Следят ли ме на работа? Правата на служителя при мониторинг.
DPIA при профилиране на служители и куриери: кога е задължителна?
Кратък отговор: чл. 35, пар. 3, б. „а“ GDPR изрично изисква оценка на въздействието при систематична и подробна оценка на лични аспекти, която се основава на автоматично обработване, включително профилиране, и служи за основа на решения с правни или подобно сериозни последици. По наша оценка автоматичното деактивиране на профили, автоматичното точкуване на кандидати и автоматичната оценка на представянето обикновено отговарят на това описание.
И извън тази хипотеза насоките на Работна група „Член 29“ за DPIA (WP248 rev.01) изброяват девет критерия за висок риск. Сред тях са оценяването или точкуването и автоматизираното вземане на решения с правни или подобно значими последици. Когато са изпълнени два критерия, обикновено е нужна DPIA. Проверете и списъка на КЗЛД по чл. 35, пар. 4 GDPR. Как се провежда самата оценка, описваме в ръководството си за DPIA.
Опишете решението
Какво решава системата, за кого, по кои данни и с какви последици. Отбележете дали резултатът се прилага автоматично.
Определете кога и как се намесва човек
Кой преглежда, преди или след настъпването на последиците, с какви данни, колко случая на ден. Запишете етапа и степента на участие в DPIA.
Проверете грешките и пристрастията
Колко неверни сигнала за измама дава моделът, засяга ли определени групи по-често, как се коригира.
Решете и документирайте
Изключение по чл. 22, пар. 2, гаранции по пар. 3, текст на уведомлението, срок за повторна оценка.
Ако използвате генеративен AI за оценка на кандидати или служители, вижте и особеностите на DPIA за ChatGPT, Copilot и Gemini.
Алгоритмичното управление на платформите и AI Act: какво идва след GDPR
Кратък отговор: GDPR не е единственото правило. Директива (ЕС) 2024/2831 за труда чрез платформи въвежда специални изисквания за автоматизираните системи за наблюдение и вземане на решения и трябва да се транспонира до 2 декември 2026 г. AI Act класифицира системите за подбор и управление на персонала като високорискови. Към октомври 2026 г. задълженията за тях се прилагат от 2 декември 2027 г., след изменението с Регламент (ЕС) 2026/1744.
Директивата въвежда специални правила за алгоритмичното управление: ограничения на обработването на лични данни, прозрачност, човешки надзор и човешки преглед. След транспонирането на Директива (ЕС) 2024/2831 (срок 2 декември 2026 г.) само човек ще може да решава дали да ограничи, спре или прекрати договора или профила на лице, което работи чрез платформа. Препоръчваме платформите да възложат тези решения на човек още сега: националните закони за транспониране ще трябва да го изискват, а чл. 22 GDPR и днес не допуска изцяло автоматизирано спиране на профил, което засяга човека в значителна степен, извън изключенията по пар. 2.
По Регламент (ЕС) 2024/1689 (AI Act), приложение III, т. 4, високорискови са системите за подбор на персонал и за решения в трудовите отношения — включително за повишаване, прекратяване, разпределяне на задачи и наблюдение на представянето. Връзката между двата регламента разглеждаме в единната програма за GDPR и AI Act.
Важно: човешкият надзор по AI Act не изключва чл. 22 GDPR
Изпълнението на изискванията на AI Act не доказва само по себе си, че решението не е „единствено автоматизирано“ по GDPR. Проверката по чл. 22 се прави отделно за всяко решение.
План за 30 дни: какво да направят HR и длъжностното лице по защита на данните
Кратък отговор: съставете опис на инструментите, които решават за хора; за всеки определете дали попада под чл. 22; въведете реален преглед преди последиците; пренапишете уведомлението и проведете DPIA. Документирайте всяка стъпка: по принципа на отчетността (чл. 5, пар. 2 GDPR) администраторът трябва да може да докаже, че спазва правилата.
- Опис на системите (седмица 1). Отговорник: длъжностното лице по защита на данните с ИТ отдела. Документ: таблица с всеки инструмент — ATS, приложение за куриери, система за оценка на представянето, разпределяне на смени — какво решава и с какви последици. Пазете я към регистъра на дейностите по обработване и я обновявайте при всяка нова система.
- Класификация по чл. 22 (седмица 1–2). Отговорник: юрисконсултът или външният адвокат. Документ: кратко писмено становище за всеки инструмент по трите условия и за приложимото изключение по пар. 2.
- Човешката намеса (седмица 2–3). Отговорник: ръководителят на HR или на операциите. Документ: вътрешна процедура — кой преглежда, с какви правомощия, в какъв срок и преди кои последици. Записвайте колко решения на системата са променени при прегледа.
- Уведомление (седмица 3). Отговорник: длъжностното лице. Документ: нова версия на информацията по чл. 13 и 14 с шестте елемента по-горе. Пазете архив на предходните версии с датите им.
- DPIA (седмица 3–4). Отговорник: длъжностното лице с ръководителя на звеното, което използва системата. Документ: оценка на въздействието с описание на човешката намеса и на мерките срещу грешки. Преглед — поне веднъж годишно и при всяка промяна на модела.
- Договор с доставчика (седмица 4). Отговорник: юрисконсултът. Документ: анекс към договора по чл. 28 GDPR, с който доставчикът се задължава да предоставя информацията за логиката на системата, необходима за чл. 13 и чл. 15. Вж. договора за обработване на лични данни.
Добра практика: тествайте канала за оспорване
Подайте пробно оспорване от името на служител или куриер и измерете колко време отнема до решение на човек. Ако междувременно профилът остава спрян, преразгледайте процедурата, преди да я провери надзорен орган.
Случаят Uber не означава, че алгоритмите са забранени. Правилата за автоматизирано вземане на решения по GDPR изискват друго: човек с реална власт над резултата, ясно обяснение към засегнатия и документирана оценка на риска, преди системата да започне да решава кой ще има достъп до работа и доход. Дали решението на AP ще бъде потвърдено, ще реши съдът, но изискванията на чл. 22 и чл. 13 важат още сега.
Опишете ситуацията си
Ще я обсъдим с вас и ще предложим подходящо решение. Първоначалната консултация е безплатна.
Често задавани въпроси
Какво е решение, основано единствено на автоматизирано обработване?
Това е решение за конкретен човек, при което никой не преценява реално случая, преди решението да породи последици. Ако служител само потвърждава резултата на системата, без правомощие и данни да го промени, решението остава изцяло автоматизирано. Чл. 22 GDPR се прилага, когато такова решение поражда правни последствия или засяга човека в значителна степен.
Какви са примерите за автоматизирано вземане на решения?
Автоматичен отказ на онлайн искане за кредит, кредитна оценка, на която кредиторът се опира в решаваща степен (делото SCHUFA, C-634/21), и отказ на договор за мобилни услуги заради автоматична оценка на кредитоспособността (по такъв случай, C-203/22, СЕС тълкува какво трябва да се обясни на човека). В трудовите отношения това са например ATS, който сам отхвърля кандидати, приложение, което само блокира куриер, или система, която сама определя бонуса, когато никой не преглежда резултата реално.
Забранено ли е да използвам ATS за подбор на кандидати?
Не. Забранено е системата сама да отхвърля кандидати без реален човешки преглед, освен ако не е налице изключение по чл. 22, пар. 2 GDPR и съответните гаранции. Ако рекрутерът вижда цялата кандидатура, може да не се съгласи с оценката на системата и на практика понякога го прави, решението не е единствено автоматизирано. Документирайте как става прегледът.
Достатъчно ли е служител да потвърждава решенията на системата?
Не, ако потвърждението е формално. Според насоките WP251rev.01 и анализа на испанския орган AEPD намесата е реална, когато човекът има правомощие и компетентност да промени решението, разполага с всички относими данни, има време за преглед и действа, преди последиците да настъпят. Следете колко често прегледът променя резултата на системата.
Трябва ли да разкрия алгоритъма на служителите си?
Не самия алгоритъм, а съществена информация за логиката, значението и последиците от решението. По решението на СЕС по дело C-203/22 администраторът обяснява разбираемо процедурата и принципите, които действително е приложил. Ако смята, че информацията е търговска тайна, я предоставя на надзорния орган или на съда, които преценяват какво да се разкрие.
Окончателна ли е глобата за Uber?
Не. Uber обжалва глобата от 824 990 000 евро и към октомври 2026 г. няма окончателно съдебно решение според съобщението на EDPB от 8 октомври 2026 г. Общите изисквания на чл. 22 и чл. 13 GDPR следват от регламента и от практиката на СЕС по делата C-634/21 и C-203/22 и се прилагат независимо от изхода на делото. Дали Uber ги е нарушила, ще реши съдът.
Каква глоба се предвижда за нарушение на чл. 22 GDPR?
Нарушенията на правата на субектите на данни по чл. 12–22 GDPR, включително чл. 13 и чл. 22, се наказват с глоба или имуществена санкция до 20 000 000 евро, а за предприятие — до 4% от общия му годишен световен оборот за предходната финансова година, като се прилага по-високата сума (чл. 83, пар. 5, б. „б“ GDPR). Липсата на задължителна DPIA е в по-ниската граница по чл. 83, пар. 4, б. „а“: до 10 000 000 евро или до 2% от оборота.
Нужна ли е DPIA за автоматично оценяване на служители?
Обикновено да. Чл. 35, пар. 3, б. „а“ GDPR изисква оценка на въздействието при систематична и подробна оценка на лични аспекти, основана на автоматично обработване, включително профилиране, когато тя служи за решения с правни или подобно сериозни последици. Проверете и списъка на КЗЛД и критериите за висок риск в насоките WP248 rev.01.
Какво променя Директивата за платформения труд?
Директива (ЕС) 2024/2831 въвежда специални правила за автоматизираните системи за наблюдение и вземане на решения при работа чрез платформи: ограничения на обработваните данни, прозрачност, човешки надзор и човешки преглед. След транспонирането само човек ще може да решава дали да ограничи, спре или закрие профила на лице, което работи чрез платформа. Срокът за транспониране е 2 декември 2026 г.
Какви права имам, ако алгоритъм е решил за мен?
Поискайте от администратора информация по чл. 15, пар. 1, б. „з“ GDPR: има ли автоматизирано решение, каква е логиката му и какви са последиците за Вас. Когато решението се основава на договор или на изричното Ви съгласие, имате право на човешка намеса, да изразите гледната си точка и да оспорите решението (чл. 22, пар. 3). Ако смятате, че правата Ви са нарушени, можете да подадете жалба до КЗЛД.
Решава ли Вашият софтуер вместо човек?
Преглеждаме системите за подбор, оценка на представянето и управление на куриери и шофьори по чл. 22 и чл. 13 GDPR. Посочваме къде е нужна реална човешка намеса и какво да промените в уведомленията и в DPIA. Изискванията на чл. 22 важат още сега, а срокът за транспониране на Директивата за платформения труд изтича на 2 декември 2026 г.
- Класификация на всеки инструмент по трите условия на чл. 22
- Процедура за реален човешки преглед преди последиците
- Текст на уведомлението за логиката и последиците
- DPIA и анекс към договора с доставчика на системата
Получавайте нови статии директно в пощата си
Практически анализи по GDPR и киберсигурност. Без спам.
Можете да се отпишете по всяко време. Политика за поверителност
Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.