Profilowanie, które prowadzi do automatycznych poważnych decyzji

Prawidłowe odczytanie regulacji art. 22 RODO prowadzi do wniosku, że RODO nie zakazuje profilowania. Zakazane jest jedynie wykorzystanie profilowania do procesu, który spełnia następujące trzy warunki:

  • proces opiera się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych konkretnej osoby,
  • proces ten prowadzi do podjęcia decyzji wobec tej osoby,
  • decyzja ta wywołuje wobec tej osoby skutki prawne lub inne podobnie istotne skutki.

Trzeba zatem wyjaśnić, co oznaczają pojęcia „skutki prawne” oraz „inne podobnie istotne skutki”.

W świetle RODO zakazane jest profilowanie, które prowadzi do:

automatycznego podejmowania decyzji, które wywołują skutki prawne – chodzi tu o takie sytuacje, w których profilowanie wprost prowadzi do zmiany treści umowy w zależności od tego, kto miałby ją podpisać; przykładem mogą być automatyczne:

  • ustalenie wyższej (lub niższej) składki ubezpieczeniowej,
  • odmowa udzielenia kredytu,
  • sprzedaż tego samego produktu za wyższą (lub za niższą, np. z rabatem) cenę;
  • automatycznego podejmowania decyzji, które prowadzą do podobnych skutków – tutaj chodzi przede wszystkim o sytuacje, które mogą prowadzić do dyskryminacji; są to przykładowo:
  • blokowanie ofert zakupu domów w danej dzielnicy osobom innej rasy niż biała,
  • oferowanie tych samych produktów po różnych cenach w zależności od lokalizacji odbiorcy albo w zależności od „historii” użytkownika (np. niższa cena dla nowych klientów, a wyższa dla osób, które odwiedziły już kiedyś daną stronę www).

Żaden z powyższych zakazów nie obejmuje zwykłego profilowania, które prowadzi do wyświetlania komunikatu reklamowego (banera, wiadomości e-mail itd.) naj­lepiej dopasowanego do preferencji użytkownika (przy założeniu, że dobór reklamy do użytkownika nie powoduje dyskryminacji). Z powyższego płynie więc wniosek, że
zwykłe profilowanie, jakie stosuje większość firm w branży e-commerce, nie jest wprost przez RODO zakazane.

Dodatkowo istnieją dwie furtki, które spowodują, że wykorzystanie skutków profilowania będzie możliwe nawet w powyżej wymienionych sprawach.

Jeśli do procesu podejmowania decyzji zostanie dodany czynnik ludzki – wtedy decyzja nie będzie już podejmowana automatycznie. Profilowanie może pozostać automatyczne, jednak ostatecznie podejmowana decyzja już taka nie będzie. Trzeba jednak pamiętać, że chodzi tu o rzeczywisty wkład człowieka  w podejmowanie decyzji. Nie wystarczy „posadzenie przy komputerze człowieka”, jeśli jego rolą będzie klika­nie jedynie w to, co podpowie mu system.

Przykład zastosowania czynnika ludzkiego, który spowoduje, że profilowanie będzie dozwolone: W syste­mie do e-mail marketingu istnieje mechanizm anty­spamowy, którego zadaniem jest wyłapywanie kont (adresów e-mail) podejrzanych o bycie źródłem spamu. Mechanizm ten na podstawie analizy wielu czynników może zablokować konkretne konto, uniemożliwić dalsze wysyłanie wiadomości e-mail z tego adresu, a następnie w ogóle usunąć to konto z sytemu. Narzędzie to będzie dozwolone, jeśli mechanizm antyspamowy spowoduje jedynie blokadę „podejrzanego” konta, a następnie użytkownik zostanie poproszony o wyjaśnienia, a ostateczną decyzję o ewentualnym usunięciu konta z systemu podejmie człowiek na podstawie powyższych wyjaśnień. Wówczas decyzja wywołująca skutki prawne (decyzja o usunięciu konta) nie zostanie podjęta automatycznie, lecz podejmie ją człowiek.

Jeśli poprosi się obserwowanych użytkowników o zgodę na profilowanie. Zgoda ta nie musi być pisemna, ale musi być wyraźna i świadoma.

Przykład

W momencie gdy ktoś zakłada profil w portalu, który pośredniczy w rezerwacji noclegów turys­tycznych, można wyświetlić komunikat, iż historia przeglądania ofert noclegów oraz historia dokonywanych rezerwacji jest analizowana przez właściciela portalu, a następnie na tej podstawie konstruowane są poszczególne kolejne oferty wyświetlane w tymże portalu. Historia przeglądania i rezerwacji wpływa na wysokość oferowanych cen w ten sposób, że dla stałych klientów, ceny te są znacznie niższe. W komu­nikacie podany jest link do regulaminu, który szczegółowo określa zasady przyznawania rabatów. Jeśli użytkownik zaakceptuje powyższy komunikat (np. checkboxem lub kliknięciem w odpowiedni przycisk) – wówczas oznaczać to będzie zgodę na profilowanie. Jeśli użytkownik odmówi takiej zgody – właściciel portalu nie powinien stosować wobec niego profilowania prowadzącego do automatyczynych zmian cen w ofertach opartych na „historii użytkownika”.


Automatyczne podejmowanie decyzji jest też dozwo­lone, jeśli jest konieczne do wykonania umowy. Przykładowo, ktoś mógłby oferować usługę telewizji online, której program automatycznie dostosowywałby się do preferencji abonentów. Do realizacji takiej usługi niezbędne byłoby profilowanie konsumentów. Wówczas mogłoby ono być dokonywane bez dodatkowej zgody.

Co ważne, zgoda na profilowanie, o której wspomniano powyżej, nie oznacza, że użytkownika przed uzyskaniem zgody trzeba szczegółowo poinformować o stosowanym przez siebie algorytmie czy wszystkich szczegółach profilowania. Jedną z naczelnych zasad RODO jest nakaz przetwarzania danych osobowych w sposób rzetelny i przejrzysty dla osoby, której dotyczą. Komunikaty, które przekazuje się użytkownikom, powinny być w świetle RODO zrozumiałe, w łatwo dostępnej formie, pisane jasnym i prostym językiem. Jeśli zatem poprosi się o zgodę na profilowanie w ten sposób:

Zgadzam się na przetwarzanie danych o tym, jakie produkty i kiedy kupuję w sklepie xyz.pl, po to, by xyz.pl oferował mi w przyszłości produkty najbardziej dopasowane do moich preferencji,

to będzie to odpowiednia forma odebrania zgody na „zwykłe” profilowanie do celów marketingowych.

Warto też wiedzieć, że zgoda na przetwarzanie danych osobowych według RODO nie musi być oświadczeniem (ani pisemnym, ani elektronicznym), ale może być to każde wyraźne działanie, które potwierdza, że dany użytkownik przyzwala na przetwarzanie jego danych. Marketerzy (we współpracy z prawnikami) mają tu więc pole do popisu: jak wymyślić przyjazną, dogodną formę wyrażenia zgody, która nie będzie checkboxem ze skomplikowaną formułką prawną, ale będzie dostatecznie wyraźna, niezaprzeczalna, a jednocześnie przejrzysta dla użytkownika?

Przy tworzeniu mechanizmu odbierania zgody na przetwarzanie danych osobowych według RODO warto zwrócić uwagę na dwie ważne kwestie.

Czego nie robić przy zbieraniu zgód na przetwarzanie danych osobowych na gruncie RODO:

  • Nie używać skomplikowanych formułek prawnych, powtarzać tekstu ustawy, odwoływać do tytułów ustaw i numerów dzienników ustaw (powinny zniknąć obecnie często stosowane przy checkboxach teksty: zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, Dz. U. z 2014 r., poz. 1182).
  • Nie używać skomplikowanych zwrotów informatycznych i technicznych, w szczególności nazw algorytmów czy nazw administratorów cookies. Opisy wykorzystania plików cookies, które są naszpikowane słowami serwis, administrator, urządzenie końcowe, przekierowania, parametry itp. nie są napisane językiem prostym i jasnym dla przeciętnego użytkownika internetu.