Profilowanie RODO definiuje wprost w art. 4 pkt 4: to dowolna forma zautomatyzowanego przetwarzania danych osobowych, która służy ocenie czynników osobowych człowieka, na przykład jego preferencji, wiarygodności czy sytuacji ekonomicznej. Samo profilowanie nie jest zakazane, ale wymaga podstawy prawnej i konkretnych obowiązków informacyjnych wobec osoby, której dane dotyczą.
Spis treści
Czym jest profilowanie danych osobowych?
Zgodnie z art. 4 pkt 4 RODO profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu tych danych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów jej pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.
Elementy definicji profilowania
Z tej definicji wynikają dwie przesłanki, które muszą wystąpić łącznie. Po pierwsze, przetwarzanie danych musi mieć charakter zautomatyzowany, czyli odbywać się choćby częściowo z użyciem zautomatyzowanych narzędzi – udział człowieka w procesie nie wyklucza profilowania (wymóg „wyłącznie” zautomatyzowanego przetwarzania dotyczy dopiero decyzji z art. 22 RODO). Po drugie, celem tego przetwarzania musi być ocena konkretnych czynników osobowych, a nie jedynie techniczne uporządkowanie danych. Samo alfabetyczne posortowanie listy klientów nie jest jeszcze profilowaniem, bo nie służy ocenie żadnej cechy osobowej, ale przypisanie klientowi kategorii „zamożny” na podstawie historii jego zakupów już nim jest.
Profilowanie danych a zautomatyzowane podejmowanie decyzji
Profilowanie danych jako metoda przetwarzania i zautomatyzowane podejmowanie decyzji z art. 22 RODO to dwa różne, choć powiązane zagadnienia.
Profilowanie a zautomatyzowane podejmowanie decyzji
Art. 22 ust. 1 RODO daje osobie prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli decyzja ta wywołuje skutki prawne lub w podobny sposób istotnie na nią wpływa, na przykład automatyczna odmowa kredytu bez udziału pracownika banku. Samo profilowanie, które służy jedynie lepszemu dopasowaniu treści czy oferty i nie prowadzi do takiej wiążącej decyzji, nie podlega tym dodatkowym ograniczeniom, choć nadal musi mieć własną podstawę prawną z art. 6 RODO.
Profilowanie w marketingu
Najczęstszym praktycznym zastosowaniem profilowania jest marketing: personalizacja treści na stronie, dobór reklam pod konkretne zainteresowania czy scoring klientów według prawdopodobieństwa dokonania zakupu. To wciąż profilowanie w rozumieniu art. 4 pkt 4 RODO, nawet jeśli nie wiąże się z żadną wiążącą decyzją wobec konkretnej osoby.
Czy profilowanie danych osobowych jest dozwolone?
Profilowanie jest dozwolone, jeśli administrator dysponuje dla niego jedną z podstaw prawnych przewidzianych w art. 6 RODO. W praktyce najczęściej sprowadza się to do czterech scenariuszy.
Zgoda na profilowanie
Najczęstszą podstawą, zwłaszcza przy profilowaniu marketingowym, jest zgoda osoby, której dane dotyczą. Żeby taka zgoda była skuteczna, musi spełniać te same wymogi co każda prawidłowa zgoda na przetwarzanie danych osobowych – musi być dobrowolna, konkretna, świadoma i jednoznaczna, a jej wycofanie musi być równie proste jak jej udzielenie.
Inne podstawy prawne profilowania
Poza zgodą, profilowanie może opierać się na niezbędności do zawarcia lub wykonania umowy, na przykład gdy ocena zdolności kredytowej jest elementem samej usługi, na obowiązku prawnym ciążącym na administratorze, gdy przepis prawa wymaga takiego przetwarzania (art. 6 ust. 1 lit. c RODO), albo na prawnie uzasadnionym interesie administratora, o ile nie przeważa nad nim interes lub prawa podstawowe osoby profilowanej.
Profilowanie danych zwykłych a wrażliwych
Zasady opisane powyżej dotyczą profilowania opartego na danych zwykłych, takich jak historia zakupów, aktywność na stronie czy dane kontaktowe. Inaczej wygląda sytuacja, gdy profil budowany jest na danych szczególnych kategorii z art. 9 ust. 1 RODO, a więc na informacjach o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych lub światopoglądowych, przynależności do związków zawodowych, seksualności lub orientacji seksualnej, a także na danych genetycznych i biometrycznych przetwarzanych w celu jednoznacznej identyfikacji osoby.
Profilowanie oparte na danych szczególnych kategorii
Przetwarzanie danych wrażliwych jest co do zasady zakazane, a wyjątki wymienia zamknięty katalog z art. 9 ust. 2 RODO. Profilowanie oparte na takich danych wymaga więc dwóch podstaw jednocześnie: ogólnej podstawy z art. 6 ust. 1 RODO oraz jednego z wyjątków z art. 9 ust. 2 RODO. W praktyce komercyjnej najczęściej wchodzi w grę wyraźna zgoda osoby, której dane dotyczą (art. 9 ust. 2 lit. a RODO), a więc zgoda dalej idąca niż zwykła zgoda na profilowanie – musi wprost wskazywać, że obejmuje dane wrażliwe, i nie może wynikać z samego kontekstu ani z domyślnie zaznaczonego pola. Prawnie uzasadniony interes administratora, na którym często opiera się profilowanie marketingowe danych zwykłych, nie jest podstawą przewidzianą w art. 9 ust. 2 RODO i nie legalizuje profilowania danych wrażliwych.
Jeszcze ostrzej wygląda to przy zautomatyzowanych decyzjach. Art. 22 ust. 4 RODO dopuszcza decyzję opartą wyłącznie na zautomatyzowanym przetwarzaniu danych szczególnych kategorii tylko wtedy, gdy osoba wyraziła na to wyraźną zgodę albo gdy jest to niezbędne ze względów związanych z ważnym interesem publicznym na podstawie przepisu prawa, a administrator w obu przypadkach wdrożył odpowiednie środki ochrony praw, wolności i prawnie uzasadnionych interesów tej osoby. Niezbędność do zawarcia lub wykonania umowy, która przy danych zwykłych wystarcza, tu nie ma zastosowania – nawet jeśli ocena jest elementem samej usługi.
Dane wrażliwe wywnioskowane z danych zwykłych
Najczęstsza pułapka polega na tym, że administrator zbiera wyłącznie dane zwykłe, ale w wyniku profilowania tworzy informacje o charakterze wrażliwym – na przykład z historii zakupów w aptece internetowej wnioskuje o stanie zdrowia, z listy odwiedzanych stron o przekonaniach religijnych lub politycznych, a z lokalizacji o uczęszczaniu do konkretnej placówki medycznej. Taki wniosek, przypisany do konkretnej osoby, jest już przetwarzaniem danych szczególnych kategorii w rozumieniu art. 9 RODO, choćby żadna z danych wejściowych sama w sobie wrażliwa nie była. Potwierdził to TSUE w wyroku z 4 lipca 2023 r. w sprawie C-252/21 (Meta Platforms przeciwko Bundeskartellamt), uznając, że już samo zbieranie informacji o odwiedzaniu stron lub aplikacji jednoznacznie powiązanych z kategoriami z art. 9 RODO, na przykład aplikacji randkowych, jest przetwarzaniem danych wrażliwych – niezależnie od tego, czy administrator faktycznie wyciąga z nich dalsze wnioski.
Administrator musi więc oceniać nie tylko to, jakie dane zbiera, ale również to, jakie informacje o osobie powstają w wyniku ich analizy – i dla tych informacji także mieć podstawę z art. 9 ust. 2 RODO. Jeśli jej nie ma, profil trzeba zaprojektować tak, by nie generował kategorii wrażliwych, na przykład wyłączając z segmentacji produkty, treści i lokalizacje, które takie wnioski umożliwiają. Odpowiedzialność za to spoczywa na administratorze także wtedy, gdy segmentację wykonuje zewnętrzne narzędzie reklamowe lub analityczne – korzystanie z gotowych „grup odbiorców” dostawcy nie zwalnia z obowiązku sprawdzenia, na jakich kryteriach zostały one zbudowane.
Ocena skutków dla ochrony danych
Profilowanie danych wrażliwych z reguły uruchamia obowiązek przeprowadzenia oceny skutków dla ochrony danych z art. 35 RODO. Art. 35 ust. 3 lit. a RODO wymaga jej przy systematycznej, kompleksowej ocenie czynników osobowych opartej na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która jest podstawą decyzji wywołujących skutki prawne lub w podobny sposób znacząco wpływających na osobę, a lit. b – przy przetwarzaniu na dużą skalę danych szczególnych kategorii. Profilowanie znajduje się też w wykazie rodzajów operacji wymagających DPIA, ogłoszonym przez Prezesa UODO na podstawie art. 35 ust. 4 RODO (pozycja „ocena lub punktowa ocena osób fizycznych, w tym profilowanie i prognozowanie”), więc przy danych wrażliwych ocenę skutków należy traktować jako punkt wyjścia, a nie opcję. Jeśli z oceny wynika wysokie ryzyko, którego administrator nie jest w stanie zminimalizować, przed rozpoczęciem przetwarzania konieczna jest jeszcze uprzednia konsultacja z Prezesem UODO na podstawie art. 36 RODO.
Jakie obowiązki ma administrator przy profilowaniu klienta?
Administrator, który profiluje klientów, musi poinformować ich o tym już w momencie zbierania danych – w ramach informacji o celach i podstawie prawnej przetwarzania (art. 13 ust. 1 lit. c RODO) oraz o prawie sprzeciwu (art. 21 ust. 4 RODO). Jeżeli profilowanie prowadzi do zautomatyzowanej decyzji, o której mowa w art. 22 ust. 1 i 4 RODO, informacja musi dodatkowo obejmować zasady podejmowania takiej decyzji, a także jej znaczenie i przewidywane konsekwencje dla osoby, której dane dotyczą (art. 13 ust. 2 lit. f RODO), również na każde późniejsze żądanie (art. 15 ust. 1 lit. h RODO). Niezależnie od podstawy prawnej, każdej osobie przysługuje też prawo sprzeciwu wobec profilowania na potrzeby marketingu bezpośredniego z art. 21 RODO, po którym administrator musi bezwzględnie zaprzestać takiego przetwarzania – to jedno z kilku uprawnień, obok prawa dostępu do danych czy ich sprostowania, jakie przysługują Ci w RODO niezależnie od tego, na jakiej podstawie administrator przetwarza Twoje dane.
Gdy firma wykorzystuje profilowanie klientów, łatwo o wątpliwości dotyczące prawidłowości podstawy prawnej czy kompletności klauzul informacyjnych. W przypadku jakichkolwiek niejasności związanych z weryfikacją tych procesów warto postawić na indywidualne doradztwo RODO, które pozwala szybko rozstrzygnąć trudne kwestie i bezpiecznie dostosować mechanizmy analityczne do wymogów prawa.
Najczęstsze błędy w rozumieniu relacji CRA i RODO
Traktowanie zgłoszenia z CRA jako zwolnienia z obowiązków RODO. Zgłoszenie do CSIRT i ENISA nie zastępuje zawiadomienia administratora przez procesora ani zgłoszenia do Prezesa UODO.
Automatyczne zrównywanie podatności z naruszeniem – albo odwrotnie. Kwalifikacja wymaga odniesienia do art. 4 pkt 12 RODO. Motyw 68 CRA opisuje aktywnie wykorzystywaną podatność jako sytuację, w której producent ustalił, że doszło do naruszenia bezpieczeństwa użytkowników wskutek działania złośliwego podmiotu. Jeżeli taki system przetwarza dane osobowe, w praktyce trzeba założyć, że doszło do nieuprawnionego dostępu, chyba że producent lub analiza własna to wykluczy.
Pomijanie sankcji za spóźnione zgłoszenie. Naruszenie obowiązków z art. 33 i art. 34 RODO mieści się w progu kar z art. 83 ust. 4 lit. a) RODO – do 10 mln EUR lub 2% rocznego światowego obrotu.
Podsumowanie
Relacja pomiędzy aktem o cyberodporności a RODO nie polega na zastępowaniu jednego reżimu drugim, lecz na ich równoległym stosowaniu. CRA poprawia dopływ informacji o bezpieczeństwie produktów cyfrowych także tam, gdzie RODO nie daje administratorowi narzędzi, ale decyzja o zgłoszeniu naruszenia pozostaje po jego stronie. Doświadczenia z wdrożeń prowadzonych przez Ratio-Go pokazują, że najsłabszym ogniwem nie jest termin, lecz droga informacji od dostawcy do osoby oceniającej naruszenie.
