Fajgielski Paweł, Ocena dopuszczalności zautomatyzowanego podejmowania decyzji (w tym profilowania)

Ocena dopuszczalności zautomatyzowanego podejmowania decyzji (w tym profilowania)

Automatyzacja procesów przetwarzania danych jest zjawiskiem powszechnym. Przepisy dotyczące ochrony danych nie zabraniają tego rodzaju działań. Rozporządzenie o ochronie danych reguluje kwestie podejmowania decyzji w oparciu o zautomatyzowane procesy przetwarzania, w tym profilowanie. Pojęcia przetwarzanie i profilowanie zostały zdefiniowane w art. 4 r.o.d.o.. Przepis art. 22 ust. 1 r.o.d.o. przyznaje osobie, której dane dotyczą, prawo niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli decyzja taka wywołuje względem tej osoby skutki prawne, bądź w podobny sposób istotnie na nią wpływa. Jednak w art. 22 ust. 2 r.o.d.o. przewidziano wyjątki, w których podejmowanie decyzji w oparciu o zautomatyzowane przetwarzanie, w tym profilowanie, jest dopuszczalne. Ponadto przepis art. 22 ust. 3 r.o.d.o. nakazuje administratorowi wdrożenie właściwych środków ochrony praw, wolności i interesów osoby, której dane dotyczą, polegających co najmniej na zagwarantowaniu możliwości uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji. Prawodawca unijny wyłączył możliwość podejmowania decyzji podejmowanych w procesach zautomatyzowanego przetwarzania, w tym profilowania, opartych na szczególnych kategoriach danych (wskazanych w art. 9 ust. 1 r.o.d.o.), z wyjątkiem przypadków, gdy podstawą dopuszczalności tego rodzaju przetwarzania jest zgoda osoby, której dane dotyczą, lub przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa.

Przetwarzanie danych zgodnie z art. 4 pkt 2 r.o.d.o. oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Określenie zautomatyzowane przetwarzanie oznacza przetwarzanie w sposób automatyczny, a więc niewymagający każdorazowego działania osoby. Jest ono najczęściej wykonywane przy wykorzystaniu systemów informatycznych.

W art. 4 pkt 4 r.o.d.o. zdefiniowane zostało pojęcie profilowania, pod którym rozumie się dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się. Profilowanie polega na tworzeniu profilu osobowościowego, który może być wykorzystywany do dokonywania oceny osoby bądź przewidywania jej zachowań.