Deciziile automate și profilarea

Deciziile automate sunt hotărâri luate exclusiv de un algoritm, fără intervenție umană reală, care produc efecte juridice sau te afectează semnificativ, precum refuzul unui credit. Profilarea este evaluarea automată a unor aspecte personale. Articolul 22 din GDPR interzice, ca principiu, astfel de decizii, cu trei excepții: contract, lege sau consimțământ explicit. Chiar și atunci ai dreptul la intervenție umană, la exprimarea punctului de vedere și la contestarea deciziei.

Pe scurt

Procesul decizional individual automatizat înseamnă o decizie luată exclusiv de un algoritm, fără intervenție umană reală, care produce efecte juridice sau te afectează într-o măsură similar semnificativă (de exemplu, refuzul automat al unui credit sau eliminarea automată dintr-un proces de recrutare). Articolul 22 din GDPR interzice, ca principiu, astfel de decizii, cu trei excepții: când sunt necesare pentru un contract, când sunt autorizate de lege sau când persoana și-a dat consimțământul explicit. Chiar și atunci, operatorul trebuie să ofere garanții — cel puțin dreptul la intervenție umană, dreptul de a-ți exprima punctul de vedere și dreptul de a contesta decizia.

Cadrul legal

Regula centrală este articolul 22 din Regulamentul (UE) 2016/679 (GDPR), dublat de definiția „creării de profiluri" din articolul 4 punctul 4 și de considerentele 71 și 72.

Art. 22 alin. (1) GDPR — „Persoana vizată are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice care o privesc sau o afectează în mod similar într-o măsură semnificativă."

Sursa: Regulamentul (UE) 2016/679, art. 22 (accesat 2026-09-07)

Excepțiile — alineatul (1) nu se aplică dacă decizia:

• (a) este necesară pentru încheierea sau executarea unui contract între persoana vizată și operator;
• (b) este autorizată prin dreptul Uniunii sau dreptul intern aplicabil operatorului, care prevede și măsuri de protecție;
• (c) are la bază consimțământul explicit al persoanei vizate.

Art. 22 alin. (3) GDPR — În cazurile de la literele (a) și (c), operatorul pune în aplicare măsuri corespunzătoare, „cel puțin dreptul acesteia de a obține intervenție umană din partea operatorului, de a-și exprima punctul de vedere și de a contesta decizia."

Categoriile speciale de date (sănătate, origine etnică, opinii politice, date biometrice etc. — art. 9) nu pot sta la baza unei decizii automate decât în condiții stricte: consimțământ explicit [art. 9 alin. (2) lit. (a)] ori interes public major [lit. (g)], cu măsuri de protecție adecvate (art. 22 alin. (4)).

Definiția profilării:

Art. 4 pct. 4 GDPR — „creare de profiluri" înseamnă orice formă de prelucrare automată folosită pentru a evalua aspecte personale, în special „performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana [...] sau deplasările acesteia."

Obligații de transparență conexe: operatorul trebuie să informeze persoana despre existența unei decizii automate și să ofere „informații pertinente privind logica utilizată", precum și importanța și consecințele preconizate — art. 13 alin. (2) lit. (f), art. 14 alin. (2) lit. (g) și, la cerere, art. 15 alin. (1) lit. (h). Când prelucrarea implică o evaluare sistematică și cuprinzătoare cu efecte semnificative, este obligatorie o evaluare a impactului asupra protecției datelor (DPIA) — art. 35 alin. (3) lit. (a).

Context normativ mai larg (regimuri care se suprapun):

• Regulamentul (UE) 2024/1689 (Regulamentul privind IA). Sistemele IA folosite pentru scoring de credit și pentru recrutare sunt „cu grad ridicat de risc" (Anexa III). Art. 86 instituie un drept distinct la explicația deciziilor individuale, iar art. 14 impune supraveghere umană efectivă. Obligațiile pentru sistemele Anexa III se aplică din 2 decembrie 2027 — termen amânat de la 2 august 2026 prin „Digital Omnibus", Regulamentul (UE) 2026/1744 (în vigoare din 27 iulie 2026). Au rămas la 2 august 2026 doar obligațiile de transparență din art. 50 AI Act; drepturile din art. 86 și cerințele de supraveghere umană din art. 14 urmează calendarul Anexa III (2 decembrie 2027). eur-lex — Reg. 2024/1689; eur-lex — Reg. 2026/1744
• Directiva (UE) 2023/2225 privind creditele de consum (CCD2). Pentru scenariul central de scoring de credit, art. 18 prevede că, atunci când evaluarea bonității implică prelucrare automată, consumatorul are dreptul la intervenție umană, la exprimarea punctului de vedere și la contestarea evaluării — cumulativ cu art. 22 GDPR. Termen de transpunere: 20 noiembrie 2025; aplicare din 20 noiembrie 2026. eur-lex — Dir. 2023/2225
• Directiva (UE) 2024/2831 reglementează managementul algoritmic care afectează lucrătorii de pe platforme.
• România — Legea nr. 190/2018. Autoritatea competentă este ANSPDCP. Pentru relația de muncă, art. 5 condiționează monitorizarea angajaților prin mijloace electronice/video (interes legitim justificat și prevalent, informare prealabilă, consultarea sindicatului/reprezentanților, epuizarea mijloacelor mai puțin intruzive; stocare max. 30 de zile). legislatie.just.ro — Legea 190/2018

Surse: Reg. (UE) 2024/1689, art. 86 și 14; Reg. (UE) 2026/1744 („Digital Omnibus"); Dir. (UE) 2023/2225, art. 18; Legea nr. 190/2018, art. 5 (accesat 2026-09-07)

Explicație detaliată

Când se aplică art. 22: cele trei condiții cumulative

Interdicția din articolul 22 se declanșează doar când sunt îndeplinite simultan trei condiții:

1. există o „decizie" — noțiunea are un domeniu larg și poate include o măsură sau un rezultat care afectează persoana în diverse moduri;
2. decizia este bazată exclusiv pe prelucrare automată — nicio intervenție umană reală în procesul care duce la rezultat;
3. decizia produce efecte juridice sau te afectează „în mod similar într-o măsură semnificativă".

Dacă lipsește una dintre condiții, se aplică regulile generale ale GDPR (temei legal, transparență, principii), dar nu regimul special al art. 22.

Ce înseamnă „exclusiv automatizat" și „intervenție umană semnificativă"

Acesta este punctul unde greșesc cei mai mulți operatori. Potrivit Orientărilor WP251rev.01 ale Grupului de Lucru Articolul 29 (preluate de EDPB), intervenția umană care scoate decizia din sfera art. 22 trebuie să fie semnificativă, nu formală. O persoană care doar „bifează" sau aprobă mecanic rezultatul algoritmului, fără autoritate reală și fără a analiza efectiv datele, nu transformă decizia într-una „ne-automatizată". Intervenția trebuie făcută de cineva cu competența și autoritatea de a modifica decizia, care ține cont și de alți factori.

⚠️ Interpretare (EDPB/WP29, WP251rev.01) — „Pentru ca intervenția să fie semnificativă, ea trebuie realizată de o persoană care are autoritatea și competența de a modifica decizia." Sursa: Orientări privind procesul decizional automatizat și profilarea (WP251rev.01) (accesat 2026-09-07)

Ce înseamnă „efect similar semnificativ"

Efectul juridic este clar (ex. rezilierea unui contract, refuzul unei prestații legale). „Efectul similar semnificativ" acoperă situații fără consecință strict juridică, dar cu impact major asupra persoanei. Considerentul 71 dă exemple explicite: refuzul automat al unei cereri de credit online și practicile de recrutare electronică fără nicio intervenție umană. Alte exemple din practică: decizii care afectează accesul la servicii esențiale, prețuri diferențiate care blochează efectiv accesul, sau publicitatea comportamentală în cazuri limită.

Cele trei „porți" de legalitate

Pentru a folosi legal o decizie exclusiv automatizată cu efect semnificativ, ai nevoie de una dintre cele trei excepții:

• Necesitate contractuală [art. 22 alin. (2) lit. (a)] — automatizarea trebuie să fie realmente necesară, nu doar convenabilă. Dacă scopul poate fi atins printr-o metodă mai puțin intruzivă, excepția nu se aplică.
• Autorizare legală [lit. (b)] — o lege UE sau națională prevede expres atât decizia exclusiv automată, cât și garanțiile. Atenție: în dreptul român nu există, la data redactării, un temei intern care să autorizeze expres decizii exclusiv automate cu garanțiile art. 22 alin. (3). De exemplu, ANAF folosește o analiză de risc (clasa de risc fiscal) doar pentru a selecta contribuabilii la inspecție — decizia de impunere finală este emisă de inspectori umani, deci nu este o decizie „exclusiv automată" în sensul art. 22. Exemplul „verificări antifraudă/fiscale" rămâne așadar ilustrativ; pentru a te baza pe această poartă ai nevoie de un text de lege concret care să prevadă expres decizia automată și garanțiile.
• Consimțământ explicit [lit. (c)] — un consimțământ „întărit", clar și neechivoc, dat printr-o declarație expresă, nu prin simpla continuare a navigării.

Garanțiile obligatorii

În cazul contractului și al consimțământului, art. 22 alin. (3) impune minimum: dreptul la intervenție umană, dreptul de a-ți exprima punctul de vedere și dreptul de a contesta decizia. Considerentul 71 adaugă și un drept la explicație a deciziei — deși acesta apare în considerent, nu în corpul articolului, WP29/EDPB îl tratează ca parte a bunelor practici obligatorii („în orice caz"). Operatorul mai trebuie să folosească proceduri statistice adecvate, să corecteze inexactitățile și să prevină efectele discriminatorii. Măsurile nu ar trebui să vizeze copiii.

Profilarea care NU duce la o decizie automată

Atenție la distincție: poți face profilare (de exemplu, segmentare pentru marketing) fără să iei o decizie exclusiv automatizată în sensul art. 22. Într-un asemenea caz nu se aplică regimul special al art. 22, dar profilarea rămâne prelucrare de date supusă tuturor celorlalte reguli GDPR: temei legal, informare, minimizare, dreptul de opoziție (art. 21), în special în marketingul direct.

Regimuri care se suprapun: Regulamentul IA și creditul de consum

Art. 22 GDPR nu este singura sursă de obligații pentru scoring și recrutare — el se cumulează cu regimuri sectoriale mai noi:

• Regulamentul (UE) 2024/1689 (IA), art. 86 și 14. Sistemele IA pentru evaluarea bonității și pentru recrutare/selecție sunt „cu grad ridicat de risc" (Anexa III). Art. 86 dă persoanei afectate de o decizie bazată pe rezultatul unui asemenea sistem, cu efect juridic sau similar semnificativ și impact negativ, dreptul la explicații clare și pertinente privind rolul sistemului IA și principalele elemente ale deciziei — dar numai în măsura în care dreptul nu e deja prevăzut de dreptul Uniunii, deci completează, fără să dubleze, art. 22 și art. 13–15 GDPR. Art. 14 cere ca sistemul să fie proiectat pentru supraveghere umană efectivă: persoana care supraveghează trebuie să înțeleagă limitele sistemului, să conștientizeze automation bias și să poată anula (override) rezultatul — o cerință tehnică ce se suprapune peste „intervenția umană semnificativă" din art. 22. Obligațiile pentru Anexa III se aplică din 2 decembrie 2027, termen amânat de la 2 august 2026 prin „Digital Omnibus", Regulamentul (UE) 2026/1744 (în vigoare din 27 iulie 2026); prin urmare și drepturile din art. 86 și cerințele de supraveghere umană din art. 14 (legate de regimul Anexa III) devin aplicabile la 2 decembrie 2027, în timp ce doar obligațiile de transparență din art. 50 AI Act au rămas la 2 august 2026.
• Directiva (UE) 2023/2225 (credite de consum), art. 18. Pentru creditele de consum, când evaluarea bonității folosește prelucrare automată, consumatorul are dreptul la intervenție umană, la exprimarea punctului de vedere și la contestarea evaluării — o transpunere sectorială a garanțiilor art. 22, aplicabilă și creditorilor din România. Termen de transpunere: 20 noiembrie 2025; aplicare din 20 noiembrie 2026 (inclusiv pentru descoperiri de cont și „cumpără acum, plătește mai târziu"). Practic: un creditor care refuză automat o cerere trebuie să respecte simultan art. 22 GDPR și art. 18 CCD2.

Surse: Reg. (UE) 2024/1689, art. 86; Reg. (UE) 2026/1744 („Digital Omnibus"); Dir. (UE) 2023/2225, art. 18 (accesat 2026-09-07)

Situații transfrontaliere și operatori din afara UE

Art. 22 se aplică și când decizia automată vine de la un operator fără sediu în UE: potrivit art. 3 alin. (2) GDPR, regulamentul se aplică prelucrărilor legate de oferirea de bunuri/servicii către persoane aflate în UE ori de monitorizarea comportamentului acestora. Astfel, o platformă din afara UE care face scoring sau recrutare vizând persoane din România datorează garanțiile art. 22. Consecințe:

• Reprezentant în UE — operatorul din afara UE trebuie, de regulă, să desemneze un reprezentant [art. 27], care poate fi interpelat de autoritate și persoane.
• Transferuri de date — dacă datele ajung într-o țară terță, sunt necesare garanțiile din cap. V [art. 44–49]: decizie de adecvare, clauze contractuale standard sau altă bază.
• Competența ANSPDCP — mecanismul ghișeului unic [art. 56] funcționează doar între autorități când operatorul are un sediu în UE; când operatorul nu are niciun sediu în UE, se aplică regula generală, iar ANSPDCP este competentă pentru persoanele vizate din România.

Aspecte practice

Scenarii frecvente în afaceri

• Scoring de credit / finanțare. Un algoritm calculează un scor de bonitate care decide, în fapt, acordarea creditului. Chiar dacă un angajat „validează" rezultatul, dacă validarea e formală, ești sub art. 22. Vezi și cauza SCHUFA (blocul de jurisprudență): și furnizorul scorului poate răspunde.
• Filtrarea automată a candidaților (e-recruiting). Sistemele care resping automat CV-uri pe baza unor criterii, fără ca un recrutor să analizeze efectiv candidatul respins, sunt exemplul-tip din considerentul 71. Riscul de discriminare (gen, vârstă, etnie) este ridicat.
• Marketing profilat și prețuri dinamice. Profilarea pentru publicitate este, de regulă, permisă cu temei legal și informare, dar devine problematică dacă produce efecte semnificative (ex. excluderea de la o ofertă esențială). În marketingul direct, persoana are drept de opoziție necondiționat (art. 21).
• Management algoritmic (platforme, muncă). Suspendarea automată a unui cont sau alocarea automată a sarcinilor intră sub art. 22 și, suplimentar, sub Directiva (UE) 2024/2831.
• Angajați „clasici" monitorizați și evaluați automat. Scoring de performanță, sancționare sau concediere „asistată de algoritm": dacă decizia e exclusiv automată cu efect semnificativ (sancțiune, tăiere de salariu, concediere), se aplică integral art. 22 (garanțiile alin. 3 + DPIA art. 35). Suplimentar, în România art. 5 din Legea nr. 190/2018 condiționează monitorizarea prin mijloace electronice/video: interes legitim justificat și prevalent, informare prealabilă completă, consultarea sindicatului sau a reprezentanților salariaților înainte de introducerea sistemului, epuizarea mijloacelor mai puțin intruzive și stocare de maximum 30 de zile.

Checklist de conformitate

1. Cartografiază deciziile automate: unde iei decizii fără intervenție umană reală? Ce efecte au?
2. Verifică dacă intervenția umană este semnificativă — nu doar o bifă. Documentează cine, cu ce competență și pe baza căror informații revizuiește.
3. Identifică temeiul dintre cele trei porți (contract / lege / consimțământ explicit). Consimțământul trebuie să fie explicit și separat.
4. Implementează garanțiile art. 22 alin. (3): buton/procedură clară pentru intervenție umană, exprimarea punctului de vedere, contestare — plus explicația deciziei.
5. Informează transparent (art. 13–15): menționează existența deciziei automate și „logica" implicată, în politica de confidențialitate.
6. Nu folosi categorii speciale (art. 9) fără temeiul întărit din art. 22 alin. (4).
7. Fă un DPIA (art. 35) înainte de lansare pentru evaluări sistematice cu efecte semnificative.
8. Testează pentru bias periodic; păstrează un jurnal al deciziilor și al contestațiilor.

Cum dovedești o intervenție umană „semnificativă" (anti-automation bias)

„Automation bias" este tendința persoanei de a valida mecanic rezultatul algoritmului. Ca să demonstrezi că intervenția nu e pur formală (art. 22, Orientările WP251rev.01), operaționalizează criterii verificabile:

1. Autoritate și competență reală — cel care revizuiește are puterea și pregătirea de a infirma decizia, nu doar de a o aproba; e independent de „proprietarul" procesului.
2. Înțelegerea sistemului — recenzentul cunoaște capacitățile și limitele algoritmului și are acces la datele de intrare și la ceilalți factori relevanți.
3. Timp și substanță — un timp minim rezonabil de analiză per caz și examinarea efectivă a dosarului, nu o bifă în câteva secunde.
4. Documentare — semnătură cu dată/oră și motivarea deciziei, mai ales când recenzentul se abate de la recomandarea algoritmului.
5. Monitorizarea ratei de infirmare (override rate) — o rată de infirmare aproape nulă e un semnal de alarmă că intervenția e formală; urmărește-o și investighează.
6. Audit periodic de bias — verifică dacă anumite grupuri sunt sistematic dezavantajate; corectează inexactitățile.

Aceste criterii se aliniază și cu cerința de supraveghere umană din art. 14 din Regulamentul (UE) 2024/1689 pentru sistemele IA cu risc ridicat.

Cât de real e riscul de sancțiune în România (ANSPDCP)

La data redactării, nu există o decizie publică a ANSPDCP dedicată exclusiv art. 22 (decizii automate/profilare). Asta nu înseamnă absența riscului: ANSPDCP sancționează pe temeiul art. 83 GDPR (amenzi de până la 20 mil. euro sau 4% din cifra de afaceri mondială) coroborat cu Legea nr. 190/2018, iar motivele frecvente în practica sa (lipsa măsurilor tehnice/organizatorice, prelucrări fără temei, nerespectarea drepturilor persoanelor vizate, supraveghere fără informare) acoperă exact tipul de nereguli întâlnite la deciziile automate. Practic, un scoring sau o filtrare automată fără temei valid, fără informare și fără cale de contestare se încadrează direct în tiparul sancționat.

Microîntreprinderi, PFA și instrumente SaaS „la cheie"

Nu există un prag de mărime care să scutească un operator mic de regimul art. 22. Derogarea din art. 30 alin. (5) (sub 250 de angajați) privește doar registrul evidenței activităților și nu se aplică prelucrărilor cu risc ridicat, sistematice sau repetate — cazul profilării cu efecte semnificative. Reguli practice pentru cine folosește un SaaS de scoring/recrutare:

• Cine decide scopurile și mijloacele (microîntreprinderea, PFA, start-up-ul) este operator [art. 4 pct. 7] și răspunde integral pentru garanțiile art. 22 alin. (3), DPIA (art. 35) și transparență — chiar dacă logica algoritmică e a furnizorului.
• Furnizorul SaaS este de regulă împuternicit [art. 28] și trebuie legat printr-un contract de prelucrare care să asigure transparența logicii și posibilitatea intervenției umane; dacă furnizorul controlează el însuși scopurile/logica, poate deveni operator asociat [art. 26], răspunderea fiind atunci comună.
• Nu poți „externaliza" răspunderea: dacă furnizorul refuză să dezvăluie datele de intrare ori mecanismul de contestare, operatorul mic rămâne cel care încalcă art. 22 față de persoana vizată.

Greșeli frecvente

• „Avem un om în proces" — dar omul doar aprobă automat. Aceasta nu este intervenție semnificativă.
• Bazarea pe „interesul legitim" pentru o decizie exclusiv automatizată cu efect semnificativ — art. 22 cere una dintre cele trei excepții specifice, nu temeiurile generale din art. 6.
• Consimțământ „ascuns" în termeni și condiții — trebuie să fie explicit și distinct.
• Lipsa unei căi reale de contestare (formular care nu ajunge nicăieri).
• Ignorarea Regulamentului privind IA pentru scoring/recrutare (obligații suplimentare de supraveghere umană și management al riscului).

Întrebări frecvente

Orice profilare este interzisă de GDPR? Nu. Profilarea în sine este permisă dacă are un temei legal și respectă principiile GDPR. Interzisă ca principiu este doar decizia bazată exclusiv pe prelucrare automată (inclusiv profilare) care produce efecte juridice sau te afectează similar semnificativ — și doar în lipsa uneia dintre cele trei excepții (contract, lege, consimțământ explicit).

Dacă un angajat „aprobă" decizia algoritmului, mai intră sub art. 22? Depinde de cât de reală este intervenția. Dacă persoana doar bifează mecanic rezultatul, decizia rămâne „exclusiv automatizată". Intervenția trebuie să fie semnificativă: făcută de cineva cu autoritatea și competența de a schimba decizia, care analizează efectiv cazul.

Ce drepturi am dacă am fost respins automat la un credit sau la un job? Ai dreptul să obții intervenție umană, să îți exprimi punctul de vedere, să contești decizia și să primești o explicație a acesteia, precum și informații despre logica folosită (art. 22 alin. 3 și considerentul 71, coroborate cu art. 13–15).

Este suficient consimțământul din termeni și condiții? Nu. Art. 22 cere consimțământ explicit — o manifestare de voință clară, separată și neechivocă. Un consimțământ „împachetat" în termenii generali nu este valabil pentru decizii automate.

Pot folosi date despre sănătate sau etnie într-o decizie automată? Doar excepțional: art. 22 alin. (4) permite categoriile speciale (art. 9) doar cu consimțământ explicit ori interes public major și cu măsuri de protecție adecvate. În rest, este interzis.

Cine e răspunzător dacă folosesc un scor de la un furnizor extern? Potrivit cauzei SCHUFA (C-634/21), și furnizorul care generează scorul poate răspunde în temeiul art. 22, dacă terțul se bazează în mod decisiv pe acel scor. Nu poți „externaliza" răspunderea doar pentru că decizia formală o iei tu.

Unde depun o plângere în România? La ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), www.dataprotection.ro.

Se aplică art. 22 dacă decizia vine de la o firmă din afara UE? Da. Potrivit art. 3 alin. (2) GDPR, dacă firma oferă bunuri/servicii sau monitorizează comportamentul persoanelor aflate în România, datorează garanțiile art. 22, indiferent de sediu. Ea trebuie, de regulă, să aibă un reprezentant în UE (art. 27), iar transferurile de date către țări terțe cer garanțiile din cap. V (art. 44–49). ANSPDCP rămâne competentă pentru persoanele vizate din România.

Sunt o microîntreprindere/PFA și folosesc un instrument SaaS de scoring — cine răspunde? Tu, ca operator. Nu există prag de mărime care să scutească de art. 22 sau de DPIA (art. 35); derogarea art. 30 alin. (5) pentru sub 250 de angajați nu acoperă profilarea cu risc ridicat. Furnizorul SaaS este de obicei împuternicit (art. 28) — sau operator asociat (art. 26) dacă îi controlează logica — dar răspunderea față de persoana vizată pentru garanții rămâne a ta.

Practică și opinii

Jurisprudența CJUE — cauza SCHUFA (C-634/21)

Prin hotărârea din 7 decembrie 2023, Curtea de Justiție a Uniunii Europene a dat prima interpretare majoră a articolului 22 GDPR. Curtea a stabilit că generarea automată a unui scor de bonitate de către o agenție de credit constituie ea însăși un „proces decizional individual automatizat" în sensul art. 22 alin. (1), atunci când un terț (banca) „se bazează în mod decisiv" pe acel scor pentru a decide acordarea creditului.

Punctele-cheie ale hotărârii:

• Interdicție de principiu, nu doar un drept invocabil la cerere: prelucrarea este în principiu interzisă dacă nu se încadrează într-o excepție.
• Noțiunea de „decizie" are un domeniu larg.
• O interpretare restrictivă (scorul = simplu act pregătitor) ar crea o lacună de protecție și ar permite eludarea art. 22.
• Se confirmă obligațiile de transparență din art. 13(2)(f), 14(2)(g) și 15(1)(h).

Sursa: CJUE, C-634/21, SCHUFA Holding (Scoring), 7 decembrie 2023 (accesat 2026-09-07)

Jurisprudența CJUE — cauza Dun & Bradstreet (C-203/22)

Prin hotărârea din 27 februarie 2025 (C-203/22, CK împotriva Dun & Bradstreet Austria, EU:C:2025:117), CJUE a clarificat pentru prima dată conținutul concret al „informațiilor pertinente privind logica utilizată" din art. 15 alin. (1) lit. (h) GDPR, ducând mai departe linia SCHUFA. Aspecte esențiale:

• „Logica utilizată" înseamnă o explicație concisă, transparentă, inteligibilă și ușor accesibilă a procedeului și principiilor prin care datele au dus la rezultat (de ex. scorul), astfel încât persoana să înțeleagă ce date au fost folosite și cum — pentru a putea verifica corectitudinea și a contesta decizia.
• Nu este suficientă comunicarea formulei matematice complexe sau enumerarea seacă a tuturor etapelor; o „complexitate" ininteligibilă nu satisface obligația. Dar nici nu se cere dezvăluirea integrală a algoritmului.
• Dacă operatorul invocă un secret comercial sau date ale terților, nu poate refuza pur și simplu accesul: trebuie să transmită informațiile pretins protejate autorității de supraveghere sau instanței competente, care realizează ea însăși punerea în balanță, caz cu caz. O normă națională care exclude categoric accesul când ar fi afectat un secret comercial este contrară GDPR.

Impact asupra „dreptului la explicație": hotărârea consolidează un drept efectiv la explicație inteligibilă a deciziilor automate, conectând art. 15 alin. (1) lit. (h) cu garanțiile art. 22 alin. (3) și confirmând că secretul comercial nu poate anula dreptul de acces, ci doar deplasa arbitrajul către autoritate/instanță.

Sursa: CJUE, C-203/22, Dun & Bradstreet Austria, 27 februarie 2025 (EU:C:2025:117) (accesat 2026-09-07)

Opinie de specialitate

⚠️ Interpretare (EDPB/WP29, Orientările WP251rev.01, rev. 6 februarie 2018) — Interdicția art. 22 reflectă efectul potențial advers al deciziilor pur automate asupra persoanelor; garanțiile-cheie sunt informarea (inclusiv „informații semnificative despre logica implicată" și consecințele preconizate), dreptul la intervenție umană și dreptul de a contesta decizia. Operatorii sunt încurajați să adopte măsuri suplimentare: audituri pentru bias și proceduri de corectare a erorilor. Sursa: Article 29 Working Party — Guidelines on Automated individual decision-making and Profiling (WP251rev.01) (accesat 2026-09-07)

⚠️ Observație doctrinară — Există o tensiune între textul art. 22 (care enumeră garanțiile fără „dreptul la explicație") și considerentul 71 (care îl prevede expres, „în orice caz"). În practică, cea mai sigură abordare pentru operatori este să ofere o explicație inteligibilă a deciziei, tratând-o ca parte a garanțiilor obligatorii.

Referințe

1. Regulamentul (UE) 2016/679 (GDPR) — art. 22 (proces decizional individual automatizat, inclusiv crearea de profiluri), art. 4 pct. 4 (definiția profilării), art. 9 (categorii speciale), art. 13–15 (transparență), art. 35 (DPIA), considerentele 71–72. eur-lex.europa.eu — text consolidat RO
2. CJUE, cauza C-634/21, SCHUFA Holding (Scoring), hotărârea din 7 decembrie 2023 — scoringul de credit ca proces decizional automatizat. curia.europa.eu
3. CJUE, cauza C-203/22, Dun & Bradstreet Austria, hotărârea din 27 februarie 2025 (EU:C:2025:117) — conținutul „informațiilor pertinente privind logica utilizată" [art. 15 alin. (1) lit. (h)] și arbitrajul acces vs. secret comercial. curia.europa.eu
4. Grupul de Lucru Articolul 29 / EDPB — Orientări privind procesul decizional individual automatizat și crearea de profiluri (WP251rev.01), rev. 6 februarie 2018. ec.europa.eu/newsroom/article29
5. Regulamentul (UE) 2024/1689 (Regulamentul privind inteligența artificială — AI Act) — sisteme IA cu grad ridicat de risc (scoring de credit, recrutare), art. 86 (dreptul la explicație), art. 14 (supraveghere umană); aplicare Anexa III din 2 decembrie 2027 (termen amânat de la 2 august 2026 prin Reg. (UE) 2026/1744). eur-lex.europa.eu
6. Regulamentul (UE) 2026/1744 („Digital Omnibus on AI") — act modificator al AI Act; amână obligațiile pentru sistemele cu grad ridicat de risc din Anexa III de la 2 august 2026 la 2 decembrie 2027 (și pe cele din Anexa I la 2 august 2028); obligațiile de transparență din art. 50 rămân aplicabile din 2 august 2026. În vigoare din 27 iulie 2026. eur-lex.europa.eu
7. Directiva (UE) 2023/2225 privind creditele de consum (CCD2) — art. 18: evaluarea bonității, dreptul la intervenție umană și la contestarea evaluării automate; transpunere până la 20 noiembrie 2025, aplicare din 20 noiembrie 2026. eur-lex.europa.eu
8. Directiva (UE) 2024/2831 privind îmbunătățirea condițiilor de muncă în cadrul muncii pe platforme — managementul algoritmic și deciziile automate în relația de muncă. eur-lex.europa.eu
9. Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR în România — ANSPDCP ca autoritate de supraveghere; art. 5 (prelucrarea datelor angajaților prin monitorizare la locul de muncă). legislatie.just.ro
10. ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal. dataprotection.ro