Profilowanie jako sposób przetwarzania danych osobowych – jak to wygląda w świetle rozporządzenia RODO?

W dniu 25 maja 2018 już powszechnie obowiązujące stanie się rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, zwane potocznie rozporządzeniem ogólnym o ochronie danych albo RODO. Po tej dacie przestaje obowiązywać obecna ustawa o ochronie danych osobowych, a RODO będzie stosowane wprost przez wszystkie podmioty, przetwarzające dane osobowe (pracowników, klientów, pacjentów itp.) na terenie Unii Europejskiej.

RODO wskazuje, jakiego rodzaju operacje na danych stanowią operacje przetwarzania tych danych. Jedną z tego typu operacji na danych osobowych, która stanowi przetwarzanie danych, jest profilowanie. A skoro profilowanie jest przetwarzaniem danych osobowych, to dla podmiotu, który profiluje dane, rodzi to szereg określonych w RODO obowiązków, np. poinformowania osoby, której dane dotyczą, że są one profilowane, prowadzenia rejestru naruszeń danych osobowych, wprowadzenia w podmiocie instytucji Inspektora Ochrony Danych itp.

Profilowanie jako przetwarzanie danych osobowych

Samo profilowanie danych osobowych odbywa się na masową skalę już od dawna. Dopiero od 25 maja 2018 stanie się ono jednak jednym z prawnie unormowanych sposobów przetwarzania danych osobowych. Samo profilowanie, jakkolwiek tajemniczo brzmi, nie jest czymś specjalnie skomplikowanym. O co zatem w profilowaniu chodzi? Najlepiej pokazać to na konkretnym przykładzie.

Wyobraź sobie, że interesuje Cię zakup pewnych, precyzyjnie określonych butów. W poszukiwaniu tych butów przeglądasz strony internetowe – odwiedzasz stronę producenta, strony sklepów internetowych i stacjonarnych, poszukując wymarzonego obuwia. Po jakimś czasie orientujesz się, że wchodząc nawet na zupełnie innego rodzaju strony internetowe, dotyczące czegoś zupełnie innego niż obuwie, na stronach tych wyświetlają Ci się reklamy dokładnie tych butów, jakich szukasz. Jak to możliwe? Właśnie na podstawie profilowania – dzięki m.in. „śledzeniu” odwiedzanych przez Ciebie stron reklamodawca wie, czego w danej chwili szukasz, a więc jest w stanie „podsunąć Ci pod nos” akurat tę reklamę, która z największym prawdopodobieństwem skusi Cię do kliknięcia w nią. Zjawisko to bardzo łatwo zauważyć, korzystając z wyszukiwarki Google, ale nie tylko z niej. Jeśli w wyszukiwarce gogle szuka się określonego przedmiotu czy informacji, to na innych stronach internetowych, które wyświetlają reklamy Google, reklamy te będą spersonalizowane – dostosowane do zainteresowań osoby korzystającej z wyszukiwarki. Jeśli chorujesz i szperasz w internecie w poszukiwaniu sposobów leczenia, możesz mieć pewność, że Google czy inne wyszukiwarki „podsuną ci” reklamy odpowiednich specyfików. Jeśli chcesz schudnąć i szukasz sposobów na to – pewnym jest, że korzystając z internetu trafisz na szereg reklam środków odchudzających. Dzieje się tak dlatego, że wyraziłaś zgodę na pliki cookies, gromadzące o Tobie wiele informacji, które w świetle RODO mogą być danymi osobowymi.

Profilowanie to również proces, jaki przeprowadza np. ubezpieczyciel czy bank. Jeśli bank „widzi”, że nie masz na koncie odpowiednich środków pieniężnych, to zamiast lokaty zaproponuje Ci kredyt, a nie lokatę. Dzięki profilowaniu bank jest w stanie dokonać oceny wiarygodności kredytowej kontrahenta.

Wchodzisz do supermarketu, a na Twojej komórce pojawia się prośba o wystawienie opinii o miejscu, w którym aktualnie się znajdujesz. Ubezpieczasz samochód, a ubezpieczyciel na podstawie historii kierowcy widzi, czy i jak wysokie jest ryzyko, że kierowca ten jest porywczy, jeździ nieprzepisowo, ma na koncie szereg zdarzeń drogowych. Profilowanie – czy tego chcemy, czy nie, to już proces głęboko związany z codziennym życiem.

Takie tworzenie profilu osoby na podstawie jej cech i zachowań ma miejsce już od dawna, jednakże dopiero z wejściem w życie RODO będzie traktowane jako osobna kategoria przetwarzania danych osobowych.

Zgodnie z art. 4 ust. 4 RODO profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Ważne jest, że osoba, której dane dotyczą, ma w świetle przepisów RODO dostęp do swojego profilu, a nawet może nie wyrazić zgody na profilowanie. Można się jedynie domyślać, że niewiele osób z tej możliwości skorzysta – wszak profilowanie to niekoniecznie coś złego. W wielu przypadkach ułatwia ono życie, ważne jedynie, aby odbywało się zgodnie z określonymi w RODO zasadami i z poszanowaniem praw i wolności osoby, której dane osobowe dotyczą.

Więcej na ten temat w naszym szkoleniu: szkolenie RODO ochrona danych osobowych – kompleksowe omówienie RODO i nowych zasad ochrony danych osobowych. Szkolenie zawiera całościowe omówienie zmian w przetwarzaniu danych osobowych, zasady ich przetwarzania, prawa i obowiązki administratora danych, inspektora ochrony danych oraz osób, których dane osobowe dotyczą. Poszczególne lekcje zawierają szereg przydatnych wzorów do pobrania – wszelkie niezbędne zgody na przetwarzanie danych osobowych, oświadczenia, rejestry naruszeń, rejestry czynności przetwarzania, umowy powierzenia przetwarzania danych osobowych i wiele więcej.

Po ukończeniu szkolenia otrzymasz od nas stosowny certyfikat oraz zaświadczenie na druku MEN, które wyślemy Ci w ciągu 2 dni od zakończenia szkolenia. Zapoznaj się z zakresem szkolenia – być może jest ono właśnie dla Ciebie.