brak informacji o profilowaniu

Brak informacji o profilowaniu to naruszenie zasady RODO wymagającej poinformowania odbiorcy o automatycznym podejmowaniu decyzji na podstawie jego danych.

Czym jest brak informacji o profilowaniu

Brak informacji o profilowaniu występuje wtedy, gdy osoba korzystająca z serwisu internetowego, aplikacji, formularza lub innego kanału przetwarzania danych nie otrzymuje jasnego wyjaśnienia, że jej dane mogą być analizowane w sposób automatyczny. Profilowanie polega na wykorzystywaniu informacji o osobie do oceny określonych cech, preferencji, zainteresowań, sytuacji zawodowej, zachowania, wiarygodności albo przewidywanych reakcji. Do takiej analizy mogą być używane między innymi dane podane w formularzu, historia aktywności, sposób korzystania ze strony, informacje o urządzeniu, lokalizacja lub dane wynikające z wcześniejszych kontaktów.

Samo występowanie profilowania nie zawsze oznacza automatyczne podjęcie decyzji wywołującej skutki prawne. Problem pojawia się jednak wtedy, gdy osoba nie została odpowiednio poinformowana o tym, że jej dane są wykorzystywane do tworzenia oceny lub przewidywania określonych zachowań. Informacja powinna być przekazana w sposób zrozumiały, łatwo dostępny i dostosowany do sytuacji, w której zbierane są dane. Nie wystarcza ogólne stwierdzenie, że dane będą przetwarzane zgodnie z przepisami, jeżeli nie wynika z niego, czy stosowane są mechanizmy profilowania.

W praktyce należy wyjaśnić co najmniej sam fakt prowadzenia profilowania, jego cel, rodzaj wykorzystywanych danych oraz ogólny sposób działania takiej analizy. Jeżeli profilowanie wiąże się z automatycznym podejmowaniem decyzji, znaczenie ma również przekazanie informacji o konsekwencjach takiego procesu oraz o dostępnych prawach osoby, której dane dotyczą. Komunikat nie musi ujawniać kodu źródłowego ani szczegółów stanowiących tajemnicę przedsiębiorstwa, ale powinien pozwalać zrozumieć, w jaki sposób analiza może wpłynąć na daną osobę.

Kontekst techniczny i porównanie z innymi procesami - brak informacji o profilowaniu

Profilowanie różni się od zwykłego przechowywania danych, wyszukiwania rekordu czy ręcznego zapoznania się z dokumentacją. W profilowaniu dane są zestawiane, porządkowane lub oceniane po to, aby wyciągnąć wnioski dotyczące konkretnej osoby albo określonej grupy osób. System może na tej podstawie przypisać użytkownika do segmentu, przewidzieć jego zainteresowanie ofertą, ocenić prawdopodobieństwo wykonania określonej czynności albo ustalić kolejność prezentowania treści.

Nie każda automatyzacja jest profilowaniem. Automatyczne wysłanie potwierdzenia formularza, sprawdzenie poprawności adresu poczty elektronicznej lub uporządkowanie zgłoszeń według daty może nie prowadzić do oceny osoby. Profilowanie pojawia się wtedy, gdy system wykorzystuje dane do analizy cech, zachowania lub przewidywanych preferencji. Wątpliwości mogą powstać przy narzędziach marketingowych, systemach rekomendacji, analizie ruchu na stronie, automatycznej ocenie ryzyka oraz mechanizmach personalizacji.

Odrębną kwestią jest zautomatyzowane podejmowanie decyzji. Profilowanie może być jednym z etapów poprzedzających decyzję, ale nie każda analiza prowadzi do decyzji o skutkach prawnych lub podobnie istotnych. Jeżeli jednak decyzja jest podejmowana wyłącznie przez system i może istotnie wpływać na sytuację osoby, zakres obowiązku informacyjnego staje się szerszy. Należy wtedy opisać nie tylko ogólną logikę działania, lecz także możliwe następstwa, sposób zakwestionowania decyzji oraz możliwość uzyskania interwencji człowieka, jeżeli przepisy przyznają takie uprawnienie.

Ważna jest również różnica między informacją rzeczywiście dostępną a informacją jedynie formalnie umieszczoną w polityce prywatności. Długi dokument, w którym wzmianka o profilowaniu została ukryta wśród ogólnych postanowień, może nie zapewniać przejrzystości. Treść powinna wskazywać, jakie działania są podejmowane, w jakim celu, na jakiej podstawie oraz jak można skorzystać z praw związanych z analizą danych.

Typowe problemy i błędy - brak informacji o profilowaniu

Częstym błędem jest całkowite pominięcie profilowania w klauzuli informacyjnej, mimo że na stronie działają narzędzia analizujące aktywność użytkowników. Innym problemem jest używanie bardzo ogólnych określeń, takich jak „analiza danych”, „personalizacja usług” lub „poprawa jakości obsługi”, bez wyjaśnienia, co te pojęcia oznaczają w konkretnym przypadku. Osoba może wówczas nie wiedzieć, czy chodzi o statystyczne badanie ruchu, dobór reklam, tworzenie profilu, czy automatyczną ocenę jej zachowania.

Ryzyko powstaje także wtedy, gdy dokumentacja opisuje wyłącznie dane zbierane bezpośrednio od użytkownika, a pomija dane uzyskane z innych źródeł. Profil może być tworzony na podstawie historii wizyt, identyfikatorów urządzenia, aktywności w kilku kanałach lub informacji połączonych z wcześniejszymi zgłoszeniami. Jeżeli taki sposób wykorzystania danych nie został przedstawiony, osoba może nie mieć pełnego obrazu procesu.

Nieprawidłowości dotyczą również rozbieżności między dokumentacją a faktycznym działaniem systemu. Polityka prywatności może nie być aktualizowana po wdrożeniu nowego narzędzia analitycznego, zmianie dostawcy technologii lub dodaniu funkcji rekomendacji. W konsekwencji opis nie odpowiada rzeczywistym przepływom danych. Weryfikacji wymagają między innymi skrypty strony, ustawienia systemów marketingowych, formularze, reguły automatyzacji oraz dokumentacja dostawców.

Błędem bywa też mylenie zgody na pliki cookie z pełną informacją o profilowaniu. Zgoda może dotyczyć określonego rodzaju technologii lub celu przetwarzania, natomiast informacja o profilowaniu powinna objaśniać sam mechanizm analizy i możliwe konsekwencje. W zależności od podstawy prawnej i rodzaju danych konieczne może być zastosowanie dodatkowych rozwiązań, takich jak możliwość sprzeciwu, ograniczenia przetwarzania, żądania dostępu do danych lub zakwestionowania wyniku automatycznej oceny.

Warto odróżnić błąd prawny od problemu technicznego, który uniemożliwia właściwe przekazanie informacji. Nieczytelny komunikat, niedziałający odnośnik do polityki prywatności, wersja mobilna bez pełnej treści albo formularz, który nie pokazuje wymaganych objaśnień, mogą sprawić, że użytkownik faktycznie nie ma dostępu do informacji. Ocena powinna obejmować zarówno treść dokumentów, jak i sposób ich prezentowania na konkretnych urządzeniach.

Kiedy warto skorzystać z pomocy serwisu - brak informacji o profilowaniu

Do serwisu warto zgłosić się wtedy, gdy brak informacji o profilowaniu może wynikać z problemu technicznego ze stroną, formularzem, panelem administracyjnym, systemem zgłoszeń albo urządzeniem używanym do obsługi witryny. Dotyczy to sytuacji, w których nie wyświetla się komunikat prywatności, odnośnik prowadzi do błędnej strony, formularz nie zapisuje ustawień użytkownika lub część treści jest niewidoczna po aktualizacji systemu. Pomoc techniczna nie zastępuje analizy prawnej, ale może pomóc ustalić, czy deklarowane ustawienia są prawidłowo wdrożone i czy urządzenie lub oprogramowanie działa zgodnie z konfiguracją.

Przed zgłoszeniem dobrze jest przygotować adres strony, opis czynności prowadzących do problemu, rodzaj używanego urządzenia, nazwę przeglądarki oraz informację, czy błąd występuje stale, czy tylko w określonych warunkach. Przydatne mogą być zrzuty ekranu pokazujące brak komunikatu, nieaktywny przycisk, niewłaściwe przekierowanie albo różnicę między widokiem na komputerze i urządzeniu mobilnym. Nie należy jednak przekazywać serwisowi haseł, pełnych baz danych ani danych osób, jeżeli do diagnozy wystarczy opis objawu.

Jeżeli problem dotyczy laptopa, można skorzystać z usługi, w ramach której wykonywana jest darmowa diagnoza LAPTOPA. Pozwala to sprawdzić, czy źródłem trudności jest awaria sprzętu, błędna konfiguracja, uszkodzenie systemu, problem z przeglądarką lub nieprawidłowe działanie konkretnego programu. W przypadku dokumentacji prywatności i procesów profilowania należy zachować rozdział między naprawą techniczną a decyzją o tym, jakie informacje powinny zostać przekazane użytkownikom.

Jeżeli po naprawie nadal nie wiadomo, jakie dane są analizowane, w jakim celu działa profilowanie lub jakie prawa przysługują osobie, potrzebna może być dodatkowa konsultacja z osobą odpowiedzialną za ochronę danych albo prawnikiem. Serwis techniczny może pomóc w sprawdzeniu działania urządzenia i oprogramowania, natomiast ocenę zgodności procesu z RODO należy oprzeć na rzeczywistych funkcjach systemu, podstawie prawnej oraz kompletnej treści obowiązku informacyjnego.