Profilowanie konsumenta - jak to robić zgodnie z prawem

Profilowanie to działanie umożliwiające zakwalifikowanie konsumenta do określonej kategorii obranej przez administratora. Mogą być one określone w różny sposób i dotyczyć takich właściwości jak płeć, grupa wiekowa, wykonywany zawód, a nawet upodobania muzyczne.

Publikacja: 02.11.2018 05:40

Profilowanie konsumenta - jak to robić zgodnie z prawem

Foto: Adobe Stock

Dzięki profilowaniu administratorzy są w stanie dotrzeć z ofertą jak najbardziej – w ich ocenie – odpowiednią dla konkretnego konsumenta.

Zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46/WE (dalej: RODO lub Rozporządzenie) profilowanie polega na dowolnej formie zautomatyzowanego przetwarzania danych osobowych konsumenta, które umożliwia ich wykorzystanie do oceny niektórych czynników osobowych.

Czytaj też: Przetwarzanie danych osobowych - kryteria profilowania

Ocena konsumenta może dotyczyć między innymi jego sytuacji ekonomicznej, zdrowia, zainteresowań, lokalizacji czy osobistych preferencji, zaś wynikiem dokonanej oceny będzie przypisanie profilowanej osobie określonych cech, właściwości lub umożliwi przewidywanie jego przyszłych zachowań. W praktyce oznacza to, że profilowanie niezbędne jest do prowadzenia działań o charakterze marketingowym przez administratora. Co za tym idzie np. zakład ubezpieczeń składając oferty będzie je konstruował w oparciu o potencjalne preferencje osoby zebrane w oparciu o przekazane przez nią dane osobowe.

Jak przewidzieć przyszłe zachowanie

W rzeczywistości profilowanie konsumenta nie sprowadza się wyłącznie do oceny jego działań w sieci, a do przewidzenia przyszłych zamiarów czy potrzeb konsumenckich. Profilowaniem jest, zatem działanie umożliwiające zakwalifikowanie konsumenta do określonej kategorii obranej przez administratora, kategorie mogą być określone w różny sposób i dotyczyć różnych właściwości np. płci, grupy wiekowej, wykonywanego zawodu. Dzięki profilowaniu administratorzy są w stanie dotrzeć z ofertą jak najbardziej – w ich ocenie – odpowiednią dla danego konsumenta. Z jednej strony mogłoby się wydawać, że profilowanie umożliwia konsumentom szybszy dostęp do produktów czy usług, którymi potencjalnie mogliby być zainteresowani, jednak z drugiej strony może to wiązać się z zaklasyfikowaniem profilu konkretnej osoby do takiej a nie innej grupy i w praktyce uniemożliwić pełne korzystanie z oferty administratora.

Zautomatyzowane profilowanie

Do tego, aby przetwarzanie danych osobowych zakwalifikować jako profilowanie nie ma znaczenia, w jaki sposób są one przetwarzane. Wystarczy, że działanie po stronie profilującego jest wykonywane w sposób zautomatyzowany, czyli na przykład przez system informatyczny, a wyniku tych działań powstaje decyzja o zaadresowaniu takich a nie innych ofert (spersonalizowanych reklam) do określonej osoby.

Analizując sposób działania sklepów internetowych, czy portali społecznościowych profilowanie nie jest niczym nowym, bowiem stanowi ono podstawy marketingu bezpośredniego. Niemniej dopiero od wejścia w życie przepisów RODO znalazło ono swoją legalną definicję w przepisach, a w konsekwencji uszczegółowione zostały prawa i obowiązki zarówno podmiotu profilującego oraz osoby profilowanej, tym bardziej, że z profilowania korzystają w szczególności banki, instytucje finansowe, zakłady ubezpieczeń, czy branża reklamowa.

Kiedy administrator musi powiadomić konsumenta

Przed wejściem w życie RODO profilowanie było kwalifikowane, jako przetwarzanie danych osobowych, co nie wiązało się z żadnymi szczególnymi obowiązkami po stronie administratora. Obecnie administrator powinien przekazać konsumentowi informacje o zamiarze jej profilowania podczas pozyskiwania od niej danych osobowych, (art. 13 ust. 2 lit. f) RODO), jak również na każde żądanie tej osoby (art. 15 ust. 1 lit. h) RODO).

Rozporządzenie nie jest skonstruowane w sposób precyzyjny i pozostawia pole do interpretacji przepisów, a z kolei nowa ustawa o ochronie danych osobowych w znacznej mierze odwołuje się do rozporządzenia. Wobec tego powstają wątpliwości, w którym momencie właściciele stron internetowych mogą gromadzić dane o osobach z nich korzystających?

W mojej ocenie z uwagi na brak innej podstawy prawnej do tego typu czynności dopiero po uzyskaniu zgody od podmiotu danych, co potwierdza aktualna praktyka rynkowa. Aby skorzystać z usług dostępnych na stronach internetowych użytkownik zobowiązany jest zaakceptować regulamin strony internetowej, który co do zasady wskazuje na zbieranie przez właściciela danych i informacje o ewentualnym profilowaniu użytkowników, w celu dostarczenia spersonalizowanych reklam. Podkreślić należy, że szczegółowo kwestie te najprawdopodobniej zostaną uregulowane w rozporządzeniu o prywatności łączności elektronicznej, która na tę chwilę pozostaje w fazie konsultacji, a najprawdopodobniej będzie stanowiło lex specialis względem RODO.

Podmiot dokonujący profilowania powinien wykonać je w oparciu o zgodę osoby, której dane dotyczą lub jeśli przepisy prawa na to pozwalają.

Decyzja o przedstawieniu konkretnej treści

Z profilowaniem immanentnie związane jest podejmowanie zautomatyzowanych decyzji przez przedsiębiorców wobec klientów. Wynika to z tego, że np. decyzja o przyznaniu takich a nie innych warunków kredytu przy zawieraniu umowy na odległość wykonywana jest przez system informatyczny bez udziału osób po stronie przedsiębiorcy. Zatem przedstawienie określonej oferty konsumentowi, może być wynikaniem zautomatyzowanej decyzji lub decyzji, w której udział bierze czynnik ludzki (np. agent przedstawia konkretną ofertę ubezpieczenia w oparciu opozyskane od klienta dane).

Uprawnienia konsumenta wynikające z profilowania

W myśl Rozporządzenia osoba profilowana ma trzy zasadnicze uprawnienia związane z jej profilowaniem:

- może żądać od administratora niezwłocznego sprostowania jej danych,

- wnieść sprzeciw lub

- zażądać od administratora jej danych osobowych, aby zaprzestał w jej przypadku podejmowaniu zautomatyzowanych decyzji.

Powyższe uprawnienia przysługują konsumentom, których dotyczą przez cały okres posiadania ich danych przez administratora, o czym powinny być zawiadomione w sposób jasny i odrębny od innych informacji przekazywanych przez administratora.

Prawo do sprostowania danych przysługuje osobie, której dotyczą i polega na żądaniu wprowadzenia stosownych modyfikacji zgodnych ze stanem faktycznym dotyczącym tej osoby przez administratora. Osoba dokonując sprostowania może być podczas następnego profilowania zakwalifikowana przez algorytm do innej kategorii, co może w przyszłości skutkować konstruowaniem dla niej innych ofert.

Prawo do wniesienia sprzeciwu w zakresie marketingu bezpośredniego przysługuje każdej osobie, której dane są profilowane. W praktyce oznacza to, że administrator jest zobowiązany do zaprzestania przetwarzania danych do tych celów, czyli np. nie może więcej wysyłać nam wiadomości elektronicznych o swoich produktach czy usługach.

Z kolei zgodnie z art. 22 ust. 1 Rozporządzenia osoba, której dane dotyczą posiada prawo, aby nie podlegać decyzji, które opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób na nią wpływa. Przy czym to uprawnienie nie ma zastosowania, gdy decyzja taka jest niezbędna do zawarcia, czy wykonania umowy między tą osobą a administratorem; bądź opiera się na wyraźnej zgodzie osoby, której dane dotyczą; lub jest dozwolona prawem. Zgodnie z RODO sprzeciw może zostać złożony za pośrednictwem zautomatyzowanych środków wykorzystujących specyfikacje techniczne, czyli np. Internetu.

Wyżej wskazane uprawnianie powinny być złożone bezpośrednio administratorowi. W razie braku zaprzestania profilowania osoba, która złożyła żądanie może złożyć zawiadomienie o naruszeniu jej praw przez administratora bezpośrednio do Urzędu Ochrony Danych Osobowych. Pamiętać należy, że administrator może pozostawić dane osobowe, co do których został wniesiony sprzeciw jedynie w celach objętych sprzeciwem.

Juditha Majcher, doktorantka w Instytucie Nauk Prawnych PAN

Bez względu na podstawę prawną do profilowania administrator zobowiązany jest do wdrożenia środków technicznych i organizacyjnych zapewniających właściwe i bezpieczne przetwarzanie danych osobowych w związku z profilowaniem. Rozporządzenie nakłada na administratorów obowiązki wynikające z profilowania, do których należy zaliczyć w szczególności obowiązek informacyjny, czyli przekazanie osobom profilowanym jasnej i zrozumiałej dla nich informacji o profilowaniu ich danych osobowych. Forma przekazania informacji o profilowaniu, czy podejmowaniu zautomatyzowanych decyzji nie została określona, ani na gruncie regulacji unijnych ani na gruncie regulacji polskich. Co za tym idzie przyjąć należy, że przedsiębiorcy mają względną swobodę w tym zakresie, o ile nie naruszają powszechnie obowiązujących przepisów np. ustawy o świadczeniu usług drogą elektroniczną. Administrator przekazując informacje o profilowaniu powinien wskazać jego cel. Kolejnym obowiązkiem jest wdrożenie odpowiednich zabezpieczeń uniemożliwiających wyciekom danych, czy doprowadzenia do sytuacji, w której może dojść do dyskryminacji z uwagi np. na ich pochodzenie rasowe lub etniczne, poglądy polityczne, stan zdrowia czy orientacje seksualną. Skoro administrator ma wprowadzić mechanizm zabezpieczający to do tego będzie potrzebował procedur umożliwiających okresową weryfikację ich poprawności działania. Oceniając skutki RODO wskazać należy na istotne zwiększenie ochrony konsumentów i nałożenie nowych obowiązków na przedsiębiorców. Niemniej prawne uregulowanie kwestii związanych z profilowaniem i zautomatyzowanymi decyzjami było konieczne. ?

Prawo karne
CBA zatrzymało znanego adwokata. Za rządów PiS reprezentował Polskę
Spadki i darowizny
Poświadczenie nabycia spadku u notariusza: koszty i zalety
Podatki
Składka zdrowotna na ryczałcie bez ograniczeń. Rząd zdradza szczegóły
Ustrój i kompetencje
Kiedy można wyłączyć grunty z produkcji rolnej
Sądy i trybunały
Sejm rozpoczął prace nad reformą TK. Dwie partie chcą odrzucenia projektów