Nyyssölä bloggaa: Profilointi ja automaattinen päätöksenteko – tietosuoja-asetuksen kummajaiset

Kun yritys tutkii digitaalista jalanjälkeämme ja suuntaa meille markkinointiaan, kyse on tietosuoja-asetuksen tarkoittamasta profiloinnista. Samasta asiasta – profiilin luomisesta – on kyse silloin, kun työnantaja lajittelee työpaikkahakemuksia tietokoneohjelman avulla. Tietosuoja-asetus määrää profiloinnin pelisäännöt, mutta ne eivät avaudu lukijalle kovinkaan helposti.

Asetuksen lähtökohtana on, että ihmistä koskevan tiedon käsittelyssä ei voi mennä yksin tekniikka edellä. Kansalaisella on oikeus tietää, eikä hänen tarvitse hyväksyä kaikkea sitä, mikä tietokoneille on mahdollista.

Profiloinnin ohella tietosuoja-asetuksessa puhutaan automaattisesta päätöksenteosta. Yleistyvä päätöksentekotapa – se että koneet päättävät ihmisten asioista – on tietosuoja-asetuksen mörkö.

Selkeä lähtökohta on, että yksilöllä on oikeus olla joutumatta automaattisen päätöksenteon kohteeksi.

Asian tekee vaikeaksi se, että pykäliä kirjoitettaessa profiloinnin ja automaattisen päätöksenteon käsitteet ovat menneet paikoin sekaisin. Joissain kohdin syntyy vaikutelma, että tekstit on haluttukin jättää epämääräisiksi oikeuskäytäntöä odottamaan.

Automaattisesta päätöksenteosta on kyse silloin, kun ihminen ei osallistu asiasta päättämiseen millään tavalla.

Jos ostat lentokentältä matkavakuutuksen ja seurustelet pelkästään automaatin kanssa, kyse on automaattisesta päätöksenteosta tyypillisimmillään. Tai kun tilapäinen likviditeettiongelma pakottaa turvautumaan pikavippiin, jonka tietokone myöntää sinulle tekstiviestisi perusteella.

Profilointi on siis selvästikin eri asia kuin automaattinen päätöksenteko. Siihen ei liity päätöksentekoa välttämättä lainkaan, tai päätöksen tekee ihminen, esimerkiksi työhakemusten osalta työnantajan palveluksessa oleva toimihenkilö.

Profiloinnin käyttöön ei liity myöskään samoja rajoituksia kuin automaattiseen päätöksentekoon. Siitä pitää kuitenkin kertoa niille, joita se koskee. Tiedottamisen voi hoitaa esimerkiksi tietosuojaselosteessa yrityksen verkkosivuilla.

Olennaista on kuvata, mikä profiloinnin merkitys on ja mitä seurauksia sillä on niille, joiden tietoja kulloinkin käsitellään.

Automaattisen päätöksen kohteeksi joutuneella on vielä oikeus riitauttaa päätös ja saada asiansa ihmisen ratkaistavaksi. Eri asia on, muuttuuko esimerkiksi rahoituspäätös sillä, että siitä pääsee keskustelemaan kasvokkain vippiyrittäjän kanssa.