Grupa Robocza Art. 29 na początku października 2017 r. wydała wytyczne w sprawie profilowania. Sprawdź, jakie kwestie zostały w nich poruszone. Dowiedz się, jak Grupa Robocza Art. 29 odnosi się m.in. do profilowania dzieci czy praw osób, które podlegają profilowaniu.
Zgodnie z motywem 71 ogólnego rozporządzenia o ochronie danych (RODO) – jak również art. 4 ust. 4 RODO – profilowanie polega na dowolnym zautomatyzowanym przetwarzaniu danych osobowych pozwalającym ocenić czynniki osobowe osoby fizycznej, a w szczególności analizować lub prognozować aspekty dotyczące efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą – jeśli wywołuje skutki prawne względem tej osoby lub w podobny sposób znacząco na nią wpływa.
Profilowanie to przetwarzanie danych. Zgodnie z RODO przetwarzaniem danych osobowych jest bowiem każda operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany.
3 października 2017 r. Grupa Robocza Art. 29 zrzeszająca organy ochrony danych z Unii Europejskiej przyjęła wytyczne dotyczące profilowania. Dokument składa się z pięciu rozdziałów, w których kolejno omawiane są zagadnienia dotyczące:
1) definicji profilowania,
2) przepisów szczególnych dotyczących automatycznego podejmowania decyzji w indywidualnych przypadkach, w tym profilowania – co wprost koresponduje z art. 29 RODO,
3) ogólnych przepisów dotyczących profilowania i automatycznego podejmowania decyzji,
4) profilowania dzieci oraz
5) oceny wpływu na proces ochrony danych osobowych.
W załącznikach z kolei przedstawiono katalog dobrych praktyk w omawianym zakresie.
W swoich wytycznych Grupa Robocza Art. 29 podkreśla, że samo profilowanie czy też automatyczne podejmowanie decyzji, o czym mowa w art. 22 RODO, może być pozytywnym bodźcem wpływającym na mechanizmy gospodarczo-społeczne poprzez optymalizację różnorakich zasobów czy też czasu.
Odnosząc się do przytoczonej powyżej definicji profilowania zawartej w RODO, wskazano, że mechanizm profilowania składa się z trzech elementów:
1) forma przetwarzania jest zautomatyzowana,
2) profilowanie musi dotyczyć danych osobowych,
3) celem profilowania są indywidualne cechy osoby fizycznej.
Jednocześnie należy podkreślić, że przepisy regulujące profilowanie nie odnoszą się wyłącznie do w pełni automatycznego przetwarzania danych, chodzi również o jakąś jego część. Grupa Robocza Art. 29 posługuje się tu przykładem brokera.
|
PRZYKŁAD Broker zbiera z różnych źródeł informacje o określonych osobach, następnie informacje te kompiluje i tworzy profile osobowe, które mogą być modyfikowane według przyjętych kategorii. Następnie sprzedaje tak sprofilowane dane różnym firmom, uwzględniając w profilu oczekiwania marketingowe tych firm. Proces ten może odbywać się zatem w całości automatycznie, ale niekoniecznie dlatego, że zautomatyzowanie może dotyczyć również jakiejś jego części. Bez względu na to, wątpliwości nie powinien budzić fakt, że będzie tu chodziło o profilowanie w rozumieniu RODO. |
Profilowanie to nie to samo co automatyczne podejmowanie decyzji w określonych przypadkach, o czym mowa w art. 22 RODO. Proces zautomatyzowanego podejmowania decyzji polega na całkowitym wykluczeniu z niego udziału człowieka. Ogólne rozporządzenie o ochronie danych (RODO) wyłącznie warunkowo pozwala na to, aby osoba, której dane dotyczą, podlegała decyzji podjętej w sposób opisany powyżej, wywołującej względem niej skutki prawne lub też inaczej, istotnie na tę osobę wpływającej. Dotyczy to trzech przypadków, gdy decyzja jest:
Ostatni przypadek z praktycznego punktu widzenia może nieść za sobą najwięcej wątpliwości. Grupa Robocza Art. 29 sugeruje w tym przypadku rozumienie „wyraźnej zgody” jako konkretnego oświadczenia, a nie jakiegokolwiek zachowania czy też okazania woli człowieka. Wydaje się zatem, że w tego typu przypadkach zgody nie należy interpretować rozszerzająco, co mogłaby sugerować definicja legalna zgody zawarta w art. 4 ust. 11 RODO. Tym samym omawiany proces charakteryzuje się podejmowaniem decyzji za pomocą odpowiednich środków technicznych, bez jednoczesnego udziału człowieka.
|
PRZYKŁAD Automatyczne wystawianie mandatów za przekroczenie prędkości wyłącznie na podstawie danych pochodzących z fotoradarów – Grupa Robocza Art. 29 podkreśla, że proces ten nie jest tym samym co profilowanie, pomimo że w pewien sposób może się z nim pokrywać. |
Grupa Robocza Art. 29 zwraca uwagę na ograniczenie możliwości profilowania dzieci. Odwołuje się w tym miejscu do motywu 71 RODO, z którego wprost wynika, że profilowanie, którego częścią będzie proces automatycznego podejmowania decyzji, nie powinno dotyczyć dzieci. Jednocześnie też Grupa Robocza Art. 29 podkreśla istotę motywu 38 RODO. Wynika z niego konieczność szczególnej ochrony przetwarzania danych osobowych dzieci, zwłaszcza gdy chodzi o tworzenie profili osobowych dzieci lub profili użytkownika aplikacji skierowanych przede wszystkim do dzieci. Grupa Robocza Art. 29 dopuszcza jednak tę metodę w przypadkach, w których będzie chodziło o bezpieczeństwo i dobro dziecka.
Grupa Robocza Art. 29 mogłaby bardziej zdecydowanie wypowiedzieć się na temat profilowania dzieci do celów marketingowych. O ile słusznie zauważono, że dzieci korzystając z narzędzi, gier i aplikacji online, są bardziej podatne na reklamy behawioralne kierowane względem nich, o tyle wydaje się, że za mało mocno wybrzmiewa zalecenie odnośnie do powstrzymania się od profilowania dzieci w tego typu celach.
W odniesieniu do praw osoby, której dane dotyczą, poddawanej profilowaniu Grupa Robocza Art. 29 bardzo stanowczo akcentuje prawo do informacji wypływające wprost z motywu 60 RODO, ze szczególnym uwzględnieniem poinformowania o fakcie profilowania oraz o konsekwencjach takiego profilowania. Spełnienie tego obowiązku względem osoby, której dane dotyczą, ma zapewnić rzetelny i przejrzysty proces przetwarzania danych osobowych tej osoby.
Grupa Robocza Art. 29 podkreśla też wagę prawa dostępu do danych, w tym szczegółowego pozyskania informacji o:
Grupa Robocza Art. 29 przypomina także o prawie do sprostowania, usuwania i ograniczenia przetwarzania danych osobowych. Realizowanie tych praw odnosi się zarówno do tzw. danych wejściowych, jak i wyjściowych w ramach budowania profilu osobowego i ma zapewnić poprawność wykorzystywanych danych osobowych.
Z wideoszkolenia dowiesz się m.in.:
Szkolenie prowadzi Agnieszka Wachowska, radczyni prawna, Co-Managing Partners, Szefowa zespołu IT-Tech w TKP
© Portal Poradyodo.pl
