[RODO – PROFILOWANIE DANYCH – BAZY DANYCH WSPÓŁPRACOWNIKÓW]
Na prostych i oczywistych przykładach każdy przedsiębiorca jest w stanie zrozumieć czym jest profilowanie danych. Najbardziej oczywistym obszarem wykorzystania tej formy przetwarzania danych jest e-handel.
Jednak przypatrując się definicji profilowania zawartej w RODO („profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się„) dochodzę do wniosku, iż w zasadzie każda firma usługowa opierająca się w jakiejś części bądź aspekcie swojej działalności na zewnętrznych współpracownikach, dokonuje profilowania danych.
Biuro tłumaczeń, kancelaria prawna, agencja marketingowa, studio graficzne lub biuro projektowe, które posiadają bazy danych takich współpracowników automatycznie kategoryzowanych według specjalizacji, poziomu stawek, posiadanych uprawnień, lokalizacji oraz jakości rezultatów ich pracy (rankingi) dokonują – w świetle powyższej definicji – profilowania danych.
Każdy program do zarządzania procesem tłumaczeniowym (TMS) zawiera bazy danych tłumaczy zawierające informacje pozwalające na ich kategoryzowanie. Proces ten odbywa się również automatycznie. Każde użycie bazy danych w celu wyłonienia potencjalnych kandydatów do wykonania danego zlecenia, połączone z jednoczesną oceną ich wiarygodności na podstawie historii wykonanych usług (terminowość, punktacja za jakość itp.), stanowić będzie profilowanie będące formą przetwarzania danych. Bez najmniejszych wątpliwości będziemy mieli do czynienia w takiej sytuacji z profilowaniem, jeśli przydzielenie zlecenia odbywać się będzie całkowicie automatycznie.
Nie każde profilowanie danych osobowych będzie objęte zakresem RODO, ale wyłącznie takie, które spełnia łącznie przesłanki dotyczące sposobu przetwarzania danych („dowolna forma automatycznego przetwarzania danych osobowych”) oraz celu wykonywania tych operacji („ocena niektórych czynników osoby fizycznej”). W mojej ocenie istnieje duże i uzasadnione prawdopodobieństwo uznania, iż przetwarzanie danych współpracowników zewnętrznych (freelance)
Profilowanie zostało opisane wprost w następujących przepisach RODO:
- art. 4 pkt 4 – zawarta tam jest definicja profilowania;
- art. 13 ust. 2 pkt f – w zakresie objęcia profilowania obowiązkiem informacyjnym;
- art. 15 ust. 1 lit h – w zakresie prawa do informacji o dokonywanym profilowaniu;
- art. 21 – w zakresie prawa do sprzeciwu względem profilowania
- art. 22 – w zakresie prawa do żądania niepodlegania decyzjom opartym na profilowaniu.
Oprócz tego dodać należy, że do profilowania mają zastosowanie także ogólne zasady RODO – np. prawo do bycia zapomnianym czy prawo do sprostowania.
Należy podkreślić, że RODO nie wprowadza zakazu profilowania, jednakże wprowadza prawa podmiotów danych, których dotyczy profilowanie oraz nakłada obowiązki związane z profilowaniem na administratorów danych.
RODO przewiduje prawo każdej osoby do niepodlegania decyzjom opierającym się wyłącznie na profilowaniu (art. 22), jeżeli decyzja ta wywołuje wobec niej skutki prawne lub wpływa na nią w inny sposób. Od tego prawa przewidziano wyjątki – kiedy decyzja jest niezbędna do zawarcia lub wykonania umowy lub została dozwolona na poziomie prawa powszechnie obowiązującego lub osoba, której dane podlegają profilowaniu wyraziła na to zgodę. Warunkiem koniecznym dla zapewnienia realizacji tego prawa jest, aby osoba której proces ten dotyczy o tym wiedziała. Realizacja tego warunku opiera się bądź to na prawidłowo zrealizowanym obowiązku informacyjnym, bądź uzyskaniu zgody w tym zakresie.
Realizacja tego prawa będzie polegała na złożeniu przez osobę uprawnioną żądania zaniechania podejmowania automatycznych decyzji opartych na profilowaniu. Wniosek taki należy niezwłocznie zrealizować, z wyłączeniem sytuacji, w których prawo to zostało wyłączone – np. poprzez wcześniejsze wydanie zgody.
Należy również zwrócić uwagę na art. 21 RODO, w którym przewidziane zostało prawo sprzeciwu wobec przetwarzania danych – dotyczące również profilowania. Po otrzymaniu sprzeciwu, należy niezwłocznie zaprzestać profilowania – także na potrzeby wewnętrzne, „chyba że wykaże on[administrator] istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.”
Powyższe zasady będą potencjalnie wywoływały daleko idące skutki w zakresie kwestii formalnych związanych z nawiązywaniem współpracy z freelancerami. Wydaje się, iż już sama automatyczna selekcja potencjalnych adresatów zapytań ofertowych może zostać uznana za profilowanie.
Taki współpracownik będzie uprawniony do zadawania pytań według jakich kryteriów przetwarzane są jego dane osobowe. Ma także prawo wiedzieć, że jego dane w ogóle zostały sprofilowanie oraz jakie konsekwencje z tego wynikają, jak również komu informacje o profilu mogą zostać przekazane. Ponadto może wyrazić sprzeciw co do profilowania jego danych.
