automated-decision-rights

自動意思決定およびプロファイリングに関する権利の管理

概要

GDPR 第 22 条は、データ主体に対し、プロファイリングを含む自動処理のみに基づく決定であって、本人に法的効果をもたらす、または本人に同様の重大な影響を及ぼすものの対象とならない権利を定めています。このスキルでは、自動意思決定の特定、意味のある人間の関与の実施、ロジックの説明、異議申し立ての手続きを扱います。

法的根拠

GDPR 第 22 条 — プロファイリングを含む、自動化された個人に関する意思決定

1. 第 22 条 1 項 — データ主体は、プロファイリングを含む自動処理のみに基づく決定であって、本人に法的効果をもたらす、または本人に同様の重大な影響を及ぼすものの対象とならない権利を有します。

2. 第 22 条 2 項 — 例外：以下のいずれかに該当する場合、第 22 条 1 項は適用されません。

   • (a) データ主体と管理者との間で契約を締結するため、または契約を履行するために必要である
   • (b) データ主体の権利および自由ならびに正当な利益を保護するための適切な措置も定める、連合または加盟国の法律によって認められている
   • (c) データ主体の明示的な同意に基づいている

3. 第 22 条 3 項 — 例外 (a) または (c) が適用される場合、管理者はデータ主体の権利および自由ならびに正当な利益を保護するための適切な措置を講じなければなりません。その措置には、少なくとも以下の権利が含まれます。

   • 管理者による人間の関与を得る
   • 自らの見解を表明する
   • 決定に異議を申し立てる

4. 第 22 条 4 項 — 第 22 条 2 項に基づく決定は、第 9 条 2 項 (a) または (g) が適用され、データ主体の権利および自由ならびに正当な利益を保護するための適切な措置が講じられている場合を除き、第 9 条 1 項に定める特別カテゴリーのデータに基づいてはなりません。

プロファイリングの定義（第 4 条 4 項）

「プロファイリング」とは、自然人に関する特定の個人的側面を評価するために個人データを使用する、あらゆる形式の個人データの自動処理を意味します。具体的には、その自然人の職務上の実績、経済状況、健康、個人的な好み、関心、信頼性、行動、位置、または移動に関する側面を分析または予測することを指します。

自動意思決定およびプロファイリングに関する EDPB ガイドライン（WP251 rev.01）

2018 年 2 月 6 日に採択された第 29 条作業部会（現在の EDPB）のガイドラインは、権威ある解釈を示し、以下を区別しています。

• 単純なプロファイリング：個人を分類するための自動処理（例：マーケティングのセグメンテーション）。法的効果または重大な影響がなければ、第 22 条の対象にならない場合があります。
• プロファイリングに基づく決定：プロファイリングの出力を使用して個人に関する決定を行うこと。法的効果または重大な影響を伴い、かつ完全に自動化されている場合、第 22 条の対象になります。
• プロファイリングを伴う、完全に自動化された決定：第 22 条の全範囲が適用されます。例：融資の却下につながる自動信用スコアリング。

第 22 条の対象となる決定の特定

評価基準

自動処理活動ごとに、以下を評価します。

1. 決定は完全に自動化されていますか？ 決定プロセスに意味のある人間の関与がないことを指します。WP251 rev.01 によれば、人間の関与は単なる追認以上のものでなければなりません。審査担当者には権限と能力があり、自ら決定を下す前に自動処理の出力を実質的に検討する必要があります。

2. 決定は法的効果をもたらしますか？ 例：融資申請の却下、契約の終了、社会保障給付の拒否、入国の拒否。

3. 決定はデータ主体に同様の重大な影響を及ぼしますか？ 例：オンライン信用申請の自動却下、候補者を除外する採用審査の自動化、購買力に重大な影響を及ぼす価格差別、保険料が 20% を超えて増加する自動保険リスク評価。

Meridian Analytics Ltd — 自動処理インベントリ

処理活動	完全に自動化されている	法的または重大な影響	第22条が適用される	例外
オンボーディングにおけるクライアントのリスク評価	はい	はい — サービスへのアクセス可否を決定します	はい	Art. 22(2)(a) — 契約の履行に必要
利用パターンにおける異常検知	はい	いいえ — 人による審査を促すだけです	いいえ	該当なし
請求書の自動処理	はい	いいえ — 管理業務です	いいえ	該当なし
マーケティングセグメントの割り当て	はい	いいえ — 法的または同様に重大な影響をもたらしません	いいえ	該当なし
不正行為の発生確率の評価	はい	はい — アカウントの停止につながる可能性があります	はい	Art. 22(2)(a) — 契約の履行に必要

人による介入の要件

意味のある人間による監視の基準

WP251 rev.01、第21段落に基づき、人による介入は以下のすべての基準を満たす必要があります。

1. 権限：審査担当者は、自動化された決定を変更または覆す組織上の権限を有しています。
2. 能力：審査担当者は、自動化された出力を評価するための技術的理解と専門分野の知識を有しており、モデルの限界やエラー率も把握しています。
3. 真摯な検討：審査担当者は、自動化された推奨を定型的に承認するのではなく、自動化された出力とデータ主体の個別の状況を実際に分析します。

Meridian Analytics Ltd における実施

第22条の対象となる決定ごとに、以下を実施します。

1. 審査担当者の指定：自動化された結果を覆す明示的な権限を持つ、訓練を受けたスタッフを（決定の種類ごとに最低2名）割り当てます。
2. 審査インターフェース：以下を表示するダッシュボードを用意します。
   • 自動化された決定と信頼度スコア
   • 主な入力要因と、それぞれが決定に及ぼす影響
   • 類似事例におけるモデルの過去の正確性
   • データ主体のプロフィールの概要
   • 類似する決定に関する覆しの履歴
3. 審査のSLA：第22条の対象となるすべての決定を、自動化された出力から48時間以内に審査します。
4. 覆しの記録：覆した決定はすべて、審査担当者の氏名、日付、理由、代替結果を記録します。
5. 四半期ごとの監査：意味のある人間の関与を検証するため、覆しの割合、審査担当者の関与指標、結果の分布を確認します。

ロジックの説明要件

説明が必要な内容（Art. 15(1)(h)）

データ主体が自動化された意思決定に関するアクセス権を行使した場合、管理者は以下を提供する必要があります。

1. 自動化された決定の有無：プロファイリングを含む自動化された意思決定が行われていることを確認します。
2. 関係するロジックについての意味のある情報：ソースコードやアルゴリズムの重みではなく、技術的な知識がない人にも理解できる機能的な説明を提供します。
   • 使用するデータ入力
   • 入力をどのように重み付けまたは組み合わせるか
   • 結果を決定するしきい値やルール
   • 全般的な正確性とエラー率
3. 重要性と想定される結果：実務上、その決定がデータ主体にとって何を意味するか。

ロジックの説明例 — クライアントのリスクスコアリング

「Meridian Analytics Ltd は、新規クライアントの申請を評価するため、自動リスクスコアリングシステムを使用しています。このシステムでは、以下の要素を評価します。

• 会社登録データ：会社の設立年数、登録管轄区域、申告履歴（全体スコアの約30％を加重）。
• 財務指標：公的情報源から得られる申告収益、信用照会機関のデータ、支払い履歴（約40％を加重）。
• 業界リスク分類：申請者が事業を営むセクターを規制リスク指数に照らして分類したもの（約20％を加重）。
• 行動シグナル：提供情報の一貫性など、申請プロセス自体に見られるパターン（約10％を加重）。

システムは0から100までのリスクスコアを算出します。スコアが35未満の申請は、人間のアナリストによる強化されたデューデリジェンス審査のために自動的にフラグが付けられます。スコアが15未満の申請は自動的に却下され、48時間以内にシニア・コンプライアンス・アナリストによる審査を受けます。

このシステムの全体的な精度は、実際のクライアントの結果に対する四半期ごとの検証に基づき、91.3％です。誤検知率（低リスクのクライアントを誤って高リスクと判定する割合）は6.2％、見逃し率（実際に高リスクのクライアントにフラグを付けられない割合）は2.5％です。

申請が却下またはフラグ付けされた場合、人による審査を求め、自分の見解を述べ、決定に異議を申し立てる権利があります。」

異議申立ての仕組み

ステップ1：異議申立てを受け付ける

1. 参照番号 ADM-YYYY-NNNN を付けて記録します。
2. 異議申立ての対象となる自動決定、データ主体が異議を申し立てる理由、および提供された追加情報を記録します。

ステップ2：人間の審査担当者を割り当てる

1. 当初の自動決定に関与していない審査担当者を割り当てます。
2. 審査担当者は、権限、能力、および独立性を備えていなければなりません。
3. 審査担当者に以下を提供します。
   • 当初の自動決定とその根拠
   • データ主体の異議申立てと裏付け情報
   • 関連する入力データとモデルの出力
   • 類似の異議申立てに関する過去の先例

ステップ3：審査して決定する

1. 審査担当者は、決定の妥当性を真摯に再検討しなければなりません。
2. 審査担当者は以下を行うことができます。
   • 当初の自動決定を維持する（理由を記録すること）
   • 決定を変更する（データ主体に一部または全面的に有利な内容にする）
   • 決定を完全に覆す
3. 審査結果とその理由を詳細に記録します。

ステップ4：結果を伝える

1. 異議申立てから30暦日以内にデータ主体へ通知します。
2. 通知には以下を含める必要があります。
   • 審査の結果
   • 決定の理由
   • 決定が維持された場合：監督機関に苦情を申し立てる権利（第77条）および司法上の救済を求める権利（第79条）
   • 決定が変更または覆された場合：実際に必要となる次の手順

ステップ5：システム全体の見直し

1. モデルのモニタリングを目的として、異議申立ての結果を記録します。
2. 四半期において、いずれかの決定種別の異議申立て率が10％を超えた場合、モデルの見直しを開始します。
3. 決定が覆される割合が15％を超えた場合、モデルの再トレーニングまたは廃止が必要かどうかの評価をデータ保護責任者にエスカレーションします。