Zacznijmy od tego czym w ogóle jest profilowanie. Art. 4 pkt 4 RODO zawiera definicję legalną. Wskazuje on iż „profilowanie” oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.
W praktyce profilowanie często wykorzystywane jest więc np. przez reklamodawców, którzy na podstawie naszych wcześniejszych wyszukiwań lub np. „polubień” na portalach społecznościowych są w stanie przewidzieć nasze zainteresowania konsumenckie i dopasować konkretny, reklamowany produkt a także przez banki przy udzielaniu kredytów.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Takie dane o nas są niezwykle cenne a ich pozyskanie przez osoby niepożądane może wiązać się z nieprzyjemnymi konsekwencjami. Z tego względu RODO zwraca szczególną uwagę na ich ochronę. Rozporządzenie wskazuje, że zautomatyzowane podejmowanie decyzji i profilowanie oparte na szczególnych kategoriach danych osobowych powinny być dozwolone wyłącznie przy zachowaniu szczególnych warunków.
Kwestię profilowania reguluje art. 22 RODO. Wskazuje on, że osoba, której dane dotyczą ma prawo nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa chyba że decyzja ta:
a) jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
b) jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą;
lub c) opiera się na wyraźnej zgodzie osoby, której dane dotyczą.
Zobacz: RODO w firmie
Profilowanie w ogóle nie będzie mogło dotyczyć danych wrażliwych, a więc pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, danych genetycznych, danych biometrycznych, danych dotyczących zdrowia, seksualności lub orientacji seksualnej danej osoby.
Podstawa prawna:
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).