Profilowaniu podlegamy każdego dnia. Wchodząc na portale społecznościowe, pewnie nie raz zauważyłeś trafnie spersonalizowane reklamy. Śledzenie użytkowników w sieci to skarbnica wiedzy dla reklamodawców. Dzięki temu firmy podejmują decyzje np. o wysokości ceny i jakości produktu względem konkretnych osób. Czy wiesz, że po wejściu w życie przepisów RODO, masz prawo nie zgodzić się na profilowanie Twoich danych?

Sprawdź Rejestry RODO z LOG System

Co to jest profilowanie danych?

Profilowanie to zjawisko, którego istotą jest zbieranie informacji o użytkowniku na podstawie jego zachowań w sieci. W ten sposób firmy zdobywają szerokie spektrum danych na temat tego, gdzie pracujemy i spędzamy wakacje, w jakim wieku są nasze dzieci, co kupujemy najczęściej i jakie miejsca odwiedzamy. Profilowanie pozwala firmom wysnuć wnioski na temat posiadania określonych cech. Przykładem mogą być aplikacje bankowe, które dokonują wstępnej weryfikacji wiarygodności potencjalnych kredytobiorców.

Spersonalizowane reklamy to działania kampanii np. Google Ads czy remarketingu, które mają być interesujące dla konkretnego profilowanego. To istotne działanie dla organizacji sprzedających produkty i usługi. Czasem mogącym przesądzić o wygranej w wyścigu o konsumentów. Nikogo nie dziwi fakt, że obecnie profilowanie wykorzystywane jest w skali globalnej przez brokerów baz danych. To oni sprzedają pozyskane informacje do firm, które pragną docierać do wszystkich zainteresowanych ich produktem.

Nowa definicja profilowania w świetle RODO

Nowa definicja profilowania, zgodnie z art. 4 pkt 4 RODO, brzmi:

„(…) dowolna forma zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się”.

Zgodnie z Rozporządzeniem, profilowaniem jest zarówno złożone działanie, jak i zwykła klasyfikacja osób ze względu na ich wiek, płeć czy wzrost. Poza tym RODO wskazuje dwie kategorie profilowania:

• pierwsza, bazująca na analizie prawdziwych informacji o konkretnej osobie,
• druga, polega na wytworzeniu nowych informacji na podstawie pozyskanych danych.

Warto pamiętać, że w drugim przypadku zawsze istnieje ryzyko na przypisanie błędnych cech do podmiotu. To powoduje wówczas wykluczenie dostępu danej osoby do konkretnych produktów. Zatem, przed wyborem kategorii profilowania danych dobrze jest zadać sobie pytanie, jakiego efektu oczekujemy.

Dodatkowo w świetle RODO należy zwrócić uwagę, że kategorie profilowania mogą przybierać różne formy:

• zwykłą – decyzja podjęta z udziałem człowieka,
• zautomatyzowaną – proces przeprowadzony w pełni przez programy.

Obowiązki Administratorów Danych Osobowych (ADO)

Obowiązek informacyjny

Administratorzy Danych Osobowych (ADO) są zobowiązani, aby poinformować osoby o profilowaniu, jego konsekwencjach oraz formie (czy jest zautomatyzowana). Komunikat musi być jasny i przekazany precyzyjnie. Obowiązek informacyjny funkcjonuje bez względu na podstawę prawną przetwarzania. Zarówno w przypadku danych zwykłych, jak i szczególnych kategorii, brzmi tak samo.

W sytuacji, gdy profilowanie nie jest niezbędne do wykonania umowy, nie jest dokonywane na podstawie zgody, brak jest podstawy prawnej oraz gdy decyzje są zależne od szczególnej kategorii danych (art.22 ust. 1 i 4), należy przekazać dodatkowo:

• na jakich zasadach podejmowane są decyzje,
• jakie skutki prawne one niosą oraz w jaki sposób będzie wpływać na podmiot.

Zgoda na profilowanie – RODO

Kolejnym obowiązkiem ADO jest umożliwienie konsumentom wniesienia sprzeciwu wobec profilowania, zarówno tego z czynnikiem ludzkim, jak i zautomatyzowanego (art. 21 ust. 1 i 2). Sprzeciw dotyczy przetwarzania danych w celu marketingowym, jaki i profilowania z tym samym celem. W klauzuli informacyjnej należy dokładnie sprecyzować cel przetwarzania, w zależności czy dane będą zbierane bezpośrednio od osoby, której dotyczą (art. 13 ust. 1c), czy w inny sposób (art. 14 ust. 1 c).

Według art. 22 ust. 1 RODO mamy prawo, by nie podlegać decyzji podjętej na podstawie profilowania. Jeśli bazuje ona wyłącznie na informacjach zdobytych podczas zautomatyzowanego przetwarzania i implikuje dla nas skutki prawne, możemy zgłosić pełnomocny sprzeciw. Wyjątkiem jest, jeżeli decyzja:

• jest niezbędna do zawarcia lub wykonania umowy z administratorem,
• jest dozwolona prawem Unii,
• opiera się na wyraźnej zgodzie osoby, której dane dotyczą.

Dostęp do przetwarzanych danych

Administratorzy mają również obowiązek udzielić dostępu do przetwarzanych danych, osobie której dotyczą (art. 15 RODO). W praktyce oznacza to, że gdy wpłynie wniosek o dostęp do danych, firma jest zobowiązana udzielić informacji, które zostały podane w klauzuli informacyjnej.

Zgodność z RODO najważniejsza

Na polskim rynku usług profilowanie danych konsumentów odbywa się od dawna. Unijne przepisy stosowane od 25 maja 2018 roku nie tylko uregulowały to zjawisko, ale też określiły dokładne warunki stosowania. Istnieje duże prawdopodobieństwo, że ten rok minie pod znakiem licznych kontroli, czy organizacje przystosowały się do Rozporządzenia. Podmioty zajmujące się profilowaniem danych, w celu zapewnienia zgodności z RODO, powinny zadbać nie tylko o formalności, ale rzeczywiście umożliwić użytkownikom sieci świadomy wybór. Jest on możliwy tylko dzięki jasnej komunikacji.

Sprawdź Rejestry RODO z LOG System

Źródło: https://www.politykabezpieczenstwa.pl/pl/a/profilowanie-zmiany-wprowadzane-przez-rodo-i-ich-wplyw-na-branze-e-commerce