Source: http://www.abi-expert.pl/wydania/styczen-marzec-2018/art,1983,zautomatyzowane-podejmowanie-decyzji-a-profilowanie.html
Timestamp: 2018-08-19 14:55:39
Legal References Found: art. 22
 art. 22
 art. 4
 art. 22
 art. 22
 art. 21
 art. 22
 Art. 22
 art. 22
 art. 29
 art. 29
 art. 29

Document Content:
26-02-2018 Autor: Jacek Saffell
Rodo nie wprowadza zakazu profilowania. Nie zezwala natomiast, by na podstawie profilowania podejmować zautomatyzowane decyzje, wywołujące skutki prawne lub istotnie wpływające na osobę, gdy brakuje innych niż zgoda przesłanek legalizujących tego typu działanie.
Jedną z wyspecjalizowanych operacji, która jeszcze niedawno miała marginalne znaczenie, a obecnie jest wykonywana przez szerokie grono podmiotów zaangażowanych w przetwarzanie danych, jest profilowanie. Profilowanie i szerzej, automatyczne podejmowanie decyzji, ma wiele zalet, jak np. minimalizacja kosztów, zwiększenie wydajności, usprawnienie procedur, ograniczenie wpływu subiektywnych czynników. I choć profilowanie ma coraz szersze zastosowanie, to jednak może pociągać za sobą również wiele negatywnych konsekwencji. Błędy, brak transparentności, dyskryminacja i powielanie niekorzystnych stereotypów to tylko niektóre z nich.
1. Jak rozumieć zawarte w rodo pojęcia?
Przepis rodo, który bezpośrednio porusza kwestię profilowania, to art. 22. Stanowi on, że „osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa”. Przepis ten jest o tyle kłopotliwy, że stawia profilowanie w jednym szeregu z automatycznym podejmowaniem decyzji. Prowadzić to może do niesłusznej konkluzji, jakoby art. 22 wprowadzał ogólny „zakaz profilowania”.
Stanowisko takie pojawia się w niektórych analizach rodo. Żeby uniknąć tej nieprawidłowej konkluzji, należy zauważyć, że w przepisach rodo dokonano rozróżnienia między profilowaniem, jako operacją opisaną w art. 4 pkt 4 rodo, a decyzją opierającą się wyłącznie na zautomatyzowanym przetwarzaniu, np. profilowaniu.
Z art. 22 wynika, że zakaz odnosi się do decyzji podjętych na podstawie zautomatyzowanego przetwarzania, a nie do zautomatyzowanego przetwarzania lub profilowania.
Potwierdza to motyw 71 rodo, który doprecyzowuje to rozróżnienie: „Osoba, której dane dotyczą, powinna mieć prawo do tego, by nie podlegać decyzji – mogącej obejmować określone środki – która ocenia jej czynniki osobowe, opiera się wyłącznie na przetwarzaniu zautomatyzowanym i wywołuje wobec osoby, której dane dotyczą, skutki prawne lub w podobny sposób znacząco na nią wpływa, jak na przykład automatyczne odrzucenie elektronicznego wniosku kredytowego czy elektroniczne metody rekrutacji bez interwencji ludzkiej. Do takiego przetwarzania zalicza się «profilowanie» – które polega na dowolnym zautomatyzowanym przetwarzaniu danych osobowych pozwalającym ocenić czynniki osobowe osoby fizycznej”.
Treść tego motywu, w kontekście art. 22 rodo, powinna rozwiać wszelkie wątpliwości dotyczące rzekomego „zakazu profilowania”. Za powyższym rozumieniem przemawia pierwotny projekt rodo Komisji Europejskiej z 2012 r.: „Każda osoba fizyczna ma prawo nie podlegać środkowi, który wywołuje skutki prawne dotyczące tej osoby fizycznej lub ma istotny wpływ na tę osobę fizyczną, a który opiera się wyłącznie na automatycznym przetwarzaniu danych mającym służyć (…)”.
Jak widzimy, już na najwcześ­niejszym etapie prac nad rodo położono nacisk na zakaz stosowania środków wywołujących skutki prawne (obecnie decyzji), które opierają się wyłącznie na automatycznym przetwarzaniu danych (obecnie również profilowaniu).
Argumentu, który w sposób ostateczny powinien rozwiać możliwe wątpliwości w tym zakresie, doszukać się można w treści art. 21 rodo. Przepis ten uprawnia osoby, których dane dotyczą, do złożenia sprzeciwu wobec profilowania, gdy podstawą takiego profilowania jest jego niezbędny do wykonania zadania realizowanego w interesie publicznym charakter albo gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wymienienie profilowania jako jednego z rodzajów operacji, wobec których istnieje możliwość wniesienia sprzeciwu, jednoznacznie wskazuje, że możliwe jest dokonywanie profilowania na podstawie innych przesłanek niż tylko zgoda osoby, której dane dotyczą.
W art. 22 rodo można się doszukać kolejnej przesłanki, która jeszcze szczegółowiej ogranicza prawo do niepodlegania zautomatyzowanym decyzjom opartym między innymi na profilowaniu. Art. 22 ust. 1 rodo stanowi, że decyzja podjęta w sposób automatyczny musi wywoływać wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływać, by można było mówić o zakazie dokonywania takich operacji bez spełnienia którejś z przesłanek określonych w art. 22 ust. 2 rodo. I choć rodo nie wyjaśnia, czym są skutki prawne lub istotny wpływ na osobę, to należy domniemywać, że dopuszczalne będzie podjęcie zautomatyzowanej decyzji opartej na profilowaniu, gdy ta nie będzie wywoływać skutków prawnych lub w podobny sposób istotnie wpływać.
2. Co zawierają wytyczne Grupy Roboczej art. 29?
Warto na tym etapie wskazać, że efektem prac Grupy Roboczej art. 29 jest dokument wytycznych, który wyjaśnia, czym tak naprawdę jest zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, w tym profilowanie (WP 251). W wytycznych tych Grupa Robocza art. 29 doszła do podobnych wniosków i stwierdziła, że można wyróżnić trzy sposoby na wykorzystanie profilowania:
1. ogólne profilowanie;
2. podejmowanie decyzji opartych na profilowaniu;
3. zautomatyzowane podejmowanie decyzji, w tym profilowanie.
Autor jest starszym specjalistą w Biurze Generalnego Inspektora Ochrony Danych Osobowych.