Tworzenie profili osobowościowych jest dopuszczalne, lecz może się odbywać po spełnieniu określonych warunków.

W opinii dra Wojciecha Rafała Wiewiórowskiego, Generalnego Inspektora Ochrony Danych Osobowych (GIODO), takie działanie musi być zasadne, prowadzone na określonej podstawie prawnej jego, a osoby, których dane są w ten sposób przetwarzane, muszą mieć tego świadomość.

Temat do przemyślenia

GIODO mówił o tym podczas spotkania prasowego, które odbyło się 25 maja 2011 r., wskazując, że temat ten jest obecnie przedmiotem analizy Generalnego Inspektora w kontekście planowanych zmian w przepisach dotyczących ochrony danych osobowych i prawa do prywatności. Dyskusję na temat potrzeby ich wprowadzenia i ewentualnego kształtu GIODO zainicjował w grudniu 2010 r. Od tego czasu odbywają się różnorodne konferencje sektorowe. Jedna z nich była zorganizowana właśnie 25 maja 2011 r. na Uniwersytecie Kardynała Stefana Wyszyńskiego w Warszawie konferencja „Ochrona danych osobowych na rynku finansowym”, podczas której dr Wojciech Rafał Wiewiórowski wygłosił referat zatytułowany „Przetwarzanie danych osobowych gromadzonych przez instytucje finansowe. W jakim stopniu ocena zdolności kredytowej i ryzyka ubezpieczeniowego usprawiedliwia profilowanie osoby?”.

Profilowanie i cel przetwarzania

Podczas spotkania z dziennikarzami GIODO wspomniał, że jego zamierzeniem jest przeanalizowanie – we współpracy ze środowiskiem naukowym i przedstawicielami sektora finansowego – potrzeby dookreślenia kwestii profilowania osób w ustawie o ochronie danych osobowych. Może to być wskazane m.in. dlatego, że często przedsiębiorcy stosujący takie metody nie mają świadomości swoich obowiązków z tym związanych, gdyż nie wiedzą, że jeśli dane, które zebrali w określonym celu, np. realizacji umowy, wykorzystują do tworzenia profilu osobowościowego, to tym samym zmieniają cel ich przetwarzania.

Coraz częściej zdarza się, że różnego rodzaju instytucje z sektora finansowego, np. banki czy ubezpieczyciele, ale także firmy marketingowe, z różnych źródeł pozyskują dane osobowe, które były zebrane zgodnie z prawem dla określonego celu, i dołączają je do innych danych o swoich klientach, tworząc tzw. profil osobowościowy, na podstawie którego wyciągają określone wnioski.

Dr Wojciech Rafał Wiewiórowski wskazywał, że takie działanie może przybierać dwie formy. – Pierwszą formą jest tworzenie profilu konkretnej osoby na potrzeby działalności marketingowej bądź przygotowywania oferty dla klienta albo oceny jego zdolności co do ponoszenia pewnego rodzaju obciążeń. Drugą formą jest przypisywanie do takiego zestawu danych pewnych dodatkowych profili, które statystycznie się sprawdzają – wyjaśniał. – Czyli jeżeli osoba wykazuje jakąś cechę A, to statystycznie powinna wykazywać również cechę B i C - tłumaczył. Inaczej mówiąc, do danych, które są w jakimś stopniu obiektywne, ponieważ albo zostały zebrane zgodnie z prawem, albo przekazane przez osobę, której dotyczą, dołącza się dane, które statystycznie powinny się w stosunku do niej sprawdzać.

GIODO wskazywał, że w ten sposób zmienia się cel przetwarzania danych, a ponadto tworzy zestaw nowych danych osobowych, innych niż te, które sama osoba, której dane dotyczą, podała administratorowi lub których znajomości przez administratora w uzasadniony sposób może się spodziewać.

Profilowanie jako „przetwarzanie wrażliwe”

Profilowanie powinno być więc traktowane jako osobny proces, który należałoby poddać zasadom ochrony danych osobowych.

- Do tej pory, mówiąc o ochronie danych osobowych, z reguły mówiliśmy o ochronie dokumentu, który został gdzieś złożony, bądź o ochronie bazy danych, która gdzieś się znajduje, i w której są składowane określone dane na nasz temat. Tymczasem od kilku lat w organach ochrony danych osobowych, w Komisji Europejskiej coraz bardziej akcentuje się problem tzw. wrażliwego przetwarzania danych osobowych – mówił dr Wojciech Rafał Wiewiórowski.

Należy przez to rozumieć, że ochronie powinny podlegać nie tylko dokumenty czy bazy zawierające dane osobowe, ale również sposób ich przetwarzania.

Wskazywał, że profilowanie - jako tego typu przetwarzanie danych - powinno odbywać się przynajmniej za wiedzą osoby, której dotyczy. - Osoba ta powinna też mieć dostęp do tego, w jaki sposób jej dane są przetwarzane i jakie efekty to przynosi – mówił.

Grupy kapitałowe

Opisywany problem wymaga rozważenia także z jeszcze jednego powodu – przepływu danych osobowych, do jakiego niejednokrotnie dochodzi wewnątrz grup kapitałowych.

W opinii dra Wojciecha Rafała Wiewiorowski, żeby takie działanie było legalne, powinno odbywać się na osobnej podstawie prawnej.

Spotkanie z dziennikarzami było też okazją do omówienia innych zagadnień oraz do indywidualnych wywiadów na ich tematy.