GDPR-rekordbírság: érzelmes bank, érzéketlen hatóság
Két és félszeresére nőtt az új magyar GDPR-bírságrekord! A 250 millió forintos büntetést a Budapest Bankra szabta ki NAIH. Egyben ez az első ítélet, amelyet érzelmeket is tesztelő, viselkedésalapú mesterséges intelligencia jogszerűtlen felhasználása miatt hozott meg a hatóság.
Az ügy háttere
A kiemelkedő összeg mellett már a háttere miatt is érdekes az ügy, hiszen a bank az ügyfélkezelésben nálunk még gyerekcipőben járó, mesterséges intelligenciával vezérelt szoftveres megoldást alkalmazott az ügyfelek érzelmi állapotának automatizált felmérésére-feldolgozására. A panaszok és az ügyfélelvándorlás megelőzése érdekében csatasorba állított beszédjel-felismerő és -értékelő rendszer az ügyfelek aktuális hangulata alapján válogatta ki, hogy szerinte kit kell visszahívni.
Az intelligens rendszerek ilyen célú felhasználása ugyanakkor etikailag is megkérdőjelezhető, rejtett előítéleteket tartalmazhat, ez pedig egyéb adatokkal párosítva diszkriminatív lehet az ügyfelekkel szemben. A NAIH, mivel az számos ponton sérti a GDPR szabályait, a bírság mellett utasította a bankot az érzelmi állapotok elemzésének abbahagyására. Az indoklásban szerepel, hogy a pénzintézet nem tüntette fel tájékoztatójában, hogy az adatkezelésnek többek közt ügyfélmegtartó szerepe is van, így tiltakozni sem lehetett ellene. Emellett az érdekmérlegelési tesztben nem vizsgálták az érintettek jogait-szabadságait, nem részletezték, mit is jelent a hangulatelemzés, sőt, hatásvizsgálatukban sem javasolnak megoldást a nem kis kockázat csökkenésére.
A határozat kiemeli, hogy minden adatkezelésnek kizárólag a szükséges mértékűre kell korlátozódnia, megfelelő tájékoztatással az érintettek részére, a pontos következmények megjelölésével. A döntés ellen a bank fellebbezett, így az még nem jogerős.
Megjegyzendő, hogy az EU-s mesterséges intelligenciáról szóló rendelettervezetének 52. cikke is hasonlóan „gondolkodik”: az érzelemfelismerő rendszerek esetében szigorú tájékoztatási kötelezettségeket állapít meg, amelyek megszegésekor magas, tiltott gyakorlatoknál akár 30 millió eurós bírsággal kell számolni.
A legjobb megelőzés az alapos felkészülés
Az eset furcsasága, hogy éppen egy olyan intézmény hibázott nagyot, amelynél az ügyféllétszám, a szolgáltatás bizalmi jellege, illetve a cég pénzügyi méretei okán is egyébként kiemelt adatvédelmi felkészülést feltételeznénk.
Számunkra, adatvédelmi tanácsadók, illetve partnereink számára az eset tanulsága mindenesetre az lehet, hogy bár mindig, de az ilyen, újdonságnak, különlegességnek számító, bonyolult esetekben, üzleti számítás ide vagy oda, különösképpen nem maradhat ki az alapos GDPR-értékelés és az érintettek tájékoztatása sem.
Ugyanilyen fontos a hatásvizsgálat és az érdekmérlegelési teszt megfelelő elvégezése, illetve az adatkezelés céljának és jogalapjának precíz meghatározása.
Másrészt, az ilyen adatkezelések (hiányosságainak) hasznosságát is érdemes átgondolni, hiszen a NAIH vizsgálatából kiderül, hogy még csak nem is működött jól a hangelemző szoftver – vagyis a kockázat messzemenően meghaladhatta a nyereséget.
Nem várok a bírságra, tanácsot kérek!
Ha az Ön cége is a bevált gyakorlatokon túlmutató, nagyobb horderejű vagy komplexebb üzleti döntést tervez, vagy bármely okból bizonytalan a jó adatvédelmi megoldásban, a fenti gombra kattintással visszahívást kérve ne késlekedjen igénybe venni sokéves tapasztalatra épülő tanácsadási üzletágunk szakértelmét. Ezen túlmenően saját adatvédelmi tanácsadót (DPO) is tudunk delegálni, aki napra készen, teljes körűen, helyben is menedzselheti vállalata GDPR-megfelelését. Ha pedig a rossz gyakorlatokra is kíváncsi, és tud a más hibájából tanulni, tekintsen bele a Crosssec Solutions gdprbirsagok.hu weboldalába, ahol naprakész adatbázist és rövid összefoglalót vezetünk az összes, nyilvánosságra hozott hazai GDPR büntetésről.
