Profilowanie na Danych Osobowych

• 18.03.2024

• Autor: Patrycja Szarama

• analizy

W dobie cyfrowego świata, gdzie życie przenosi się coraz bardziej do przestrzeni wirtualnej, profilowanie w sieci staje się nieodłącznym elementem codzienności. To proces zbierania, analizy i interpretacji danych o użytkownikach Internetu w celu tworzenia ich wirtualnych profili. Choć ma potencjał ułatwiania dostępu do spersonalizowanych usług czy reklam, rodzi również obawy związane z prywatnością.

Profilowanie w sieci może obejmować śledzenie aktywności online, preferencji zakupowych, a nawet analizę treści udostępnianej w mediach społecznościowych. Dla niektórych może to być narzędzie ułatwiające korzystanie z Internetu, ale dla innych stanowić może zagrożenie prywatności.

Organizacje wykorzystują profilowanie w celu lepszego zrozumienia swoich klientów, dostarczania spersonalizowanych treści czy reklam. Niemniej jednak, istnieje potrzeba zachowania równowagi pomiędzy korzyściami a zagrożeniami. Ochrona danych osobowych oraz transparentność procesów profilowania stają się kluczowe dla zapewnienia bezpieczeństwa użytkowników online.

Z uwagi na wzrost świadomości oraz konieczność zwiększenia ochrony danych osobowych przetwarzanych w sieci, temat profilowania, który nie doczekał się wcześniej regulacji, został zdefiniowany w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ( „RODO”).

Profilowanie, zgodnie z definicją zawartą w RODO, to dowolna forma zautomatyzowanego przetwarzania danych osobowych w celu oceny niektórych czynników danej osoby fizycznej, zwłaszcza do analizy lub prognozy elementów dotyczących pracy tej osoby, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, zachowań, lokalizacji lub przemieszczania się.

Mówiąc o profilowaniu, należy rozróżnić profilowanie zwykłe (z udziałem czynnika ludzkiego) od kwalifikowanego (zautomatyzowanego, kończącego się wydaniem zautomatyzowanej decyzji), które zostało uregulowane przepisami RODO. Profilowanie polegające na zbieraniu danych anonimowych, następnie ich wykorzystywaniu czy analizowaniu nie będzie zatem stanowiło profilowania w myśl RODO. Musimy mieć do czynienia z personalizacją, a więc wykorzystaniem danych osobowych przetwarzanych w sposób  zautomatyzowany do analizy niektórych czynników osobowych, które finalnie doprowadzą do otrzymania spersonalizowanej oferty czy reklamy.

Profilowanie może być dokonywane w różnych celach, począwszy od badań statystycznych przez realizację umowy po cele marketingowe. RODO reguluje wyłącznie sytuacje, w których profilowanie wykorzystywane jest do zautomatyzowanego podejmowania decyzji. Należy zweryfikować, czy profilowanie zmierza do podjęcia decyzji i w rzeczywistości kończy się podjęciem decyzji. Jest to kluczowa informacja, stanowiąca podstawę do zastosowania regulacji z art. 22 RODO.

RODO nakłada na administratorów danych osobowych, szereg obowiązków związanych z profilowaniem.

Obowiązek informacyjny

administrator ma obowiązek udzielić informacji, czy dochodzi do profilowania, jakie są tego konsekwencje oraz czy mamy do czynienia z profilowaniem zautomatyzowanym. Informacja powinna również określać precyzyjnie cel profilowania oraz podstawę prawną.

W przypadku profilowania prowadzonego w sposób zautomatyzowany osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Powyższe nie dotyczy sytuacji, w której decyzja ta:

• jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
• jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą; lub
• opiera się na wyraźnej zgodzie osoby, której dane dotyczą.
  
  

Powyższe wyłączenia dotyczą przetwarzania danych zwykłych. W przypadku, w którym mówimy natomiast o danych szczególnej kategorii, przetwarzanie danych osobowych w drodze profilowania zautomatyzowanego może mieć miejsce gdy:

• jest ono niezbędne ze względów związanych z ważnym interesem publicznym na podstawie  prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do celu lub
• osoba, której dane dotyczą wyraziła zgodę na takie profilowanie
• istnieją właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.

Bezpieczeństwo danych osobowych

administrator jest zobowiązany do zapewnienia odpowiednich środków ochrony danych przetwarzanych w procesie profilowania.

Przejrzystość 

proces profilowania musi być transparentny. Osoba, której dane dotyczą, powinna być w stanie zrozumieć, jakie decyzje są podejmowane na podstawie jej profilu.

Minimalizacja danych osobowych

zgodnie z zasadą minimalizacji danych, administrator powinien ograniczać zbieranie i przetwarzanie danych osobowych do niezbędnego minimum w kontekście celu profilowania.

Prawo do sprzeciwu

RODO przewiduje prawo sprzeciwu wobec profilowania, co oznacza, że osoba, której dane dotyczą może sprzeciwić się przetwarzaniu jej danych w tym celu. Prawo do sprzeciwu odnosi się do każdej formy profilowania (nie tylko zautomatyzowanego).

Prawo dostępu do danych

osoba, której dane dotyczą ma prawo uzyskania dostępu do danych przetwarzanych do celów związanych z profilowaniem. Warto w tym miejscu wspomnieć o decyzji Prezesa Urzędu Ochrony Danych Osobowych z 07.10.2021 r. (ZSPR.440.331.2019.PR.PAM), w której to decyzji stwierdzono, iż profil marketingowy stanowi dane osobowe, z którymi ma prawo zapoznać się osoba, której te dane dotyczą. W konsekwencji Prezes UODO nakazał administratorowi udostępnienie informacji o kategoriach marketingowych (profilu behawioralnym) przypisanych podmiotowi danych na podstawie plików cookies, a także wskazanie jakie informacje dotyczące tej osoby zostały powiązane z informacjami wynikającymi z plików cookies.

Autor

Patrycja Szarama

Radca prawny, Konsultant ds. Danych Osobowych.

Absolwentka Wydziału Prawa Uniwersytetu Gdańskiego. Od 2011 roku Członek Okręgowej Izby Radców Prawnych w Gdańsku. Od 2018 r w ramach pracy własnej kancelarii specjalizuje się w obsłudze podmiotów gospodarczych w zakresie ochrony danych osobowych.
Przeprowadziła wiele audytów w zakresie ochrony danych osobowych, wdrażała RODO, prowadzała szkolenia oraz pełniła funkcję inspektora ochrony danych.
Posiada również doświadczanie w zakresie bieżącej obsługi przedsiębiorstw, w tym w szczególności reprezentowania klientów w sporach sądowych, negocjacjach handlowych, konstruowania wzorów umów i regulaminów oraz nadzorowania inwestycji kapitałowych.