10 kw. Profilowanie nie takie straszne?

Hasło profilowanie w połączeniu z RODO budzi na rynku dreszczyk emocji. Cała branża marketingowa i cały e-commerce rozmyślają, jak to będzie z tym profilowaniem. Czy po 25 maja będzie można śledzić aktywność użytkownika w Internecie i tworzyć na tej podstawie jego profil, a potem wykorzystać go jako bazę treści reklamowych? Czy informacje dane na temat konkretnego użytkownika będzie można dowolnie łączyć, zbierać, wiązać z dodatkowymi danymi statystycznymi i tworzyć indywidualną ofertę?

Rozwój technologii i specjalistycznego oprogramowania pozwalają na masowe zbieranie i zestawianie informacji o danej osobie. Dziś adres e-mail, numer telefonu czy nazwisko są jedynie pobocznymi danymi kontaktowymi, a całe zainteresowanie i uwaga skupiają się na analizie lub przewidywaniu preferencji, zachowań i postaw. Cel wydaje się słuszny – dopasowanie treści, oferty i reklamy do upodobań i zainteresowań użytkownika. Jeśli jestem kobietą, która lubuje się w drogiej biżuterii, po co mam tracić czas na przeglądanie w newsletterze plastikowych korali czy bransoletek? Ale pod tym pozornym ułatwieniem i wygodą często kryje się ryzyko bycia podmiotem automatycznej decyzji, która może prowadzić do nieusprawiedliwionego pozbawienia lub ograniczenia dostępu do dóbr i usług. Ryzyko to jest o tyle istotne, że jego świadomość i zasadność nie są zazwyczaj znane przeciętnemu użytkownikowi.

Profilowanie w RODO

Regulacje dotyczące profilowania rozrzucone są po całym RODO, rozpoczynając od definicji, przez obowiązki informacyjne, prawo do sprzeciwu, aż po tzw. automatyczne podejmowanie decyzji.

Profilowanie wg RODO to dowolna forma zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej. O jakie czynniki może chodzić? Tak naprawdę o każde, które dotyczą osoby fizycznej, takie jak dane o lokalizacji, identyfikator internetowy czy jakikolwiek czynnik określający fizyczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Taka ocena może polegać w szczególności na analizie lub prognozie aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Idąc dalej, RODO wprowadza w związku z profilowaniem uprawnienia osób, których dane dotyczą:

– prawo do wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania dotyczących jej danych osobowych na potrzeby marketingu bezpośredniego, w tym profilowania (art. 21 RODO);

– prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa (art. 22 RODO) – takie profilowanie możliwe jest jednak m.in. na podstawie zgody.

Jaki z tego wniosek?

– nie podlega pod RODO profilowanie niezautomatyzowane = takie, które dokonywane jest przez człowieka;

– dozwolone jest profilowanie zautomatyzowane, prowadzące do podjęcia zautomatyzowanej decyzji, która jednak nie wywołuje skutków prawnych lub w podobny sposób istotnie nie wpływa na daną osobę;

– konieczne jest uzyskanie zgody na profilowanie połączone z automatycznym podejmowaniem decyzji, ale tylko wtedy gdy wywołuje ona skutki prawne lub w podobny sposób istotnie wpływa na osobę.

W związku z powyższym wszystkie działania marketingowe, które będą związane z profilowaniem powinny być oceniane pod kątem tego, czy jest ono:

– zautomatyzowane (odbywa się bez udziału człowieka, np. na podstawie stworzonych algorytmów);

– prowadzi do podjęcia zautomatyzowanej decyzji (np. automatycznej wysyłki newslettera o określonej treści);

– decyzja ta wywołuje skutki prawne lub w podobny sposób istotnie wpływa na daną osobę.

Istotny wpływ w marketingu i reklamie

Pojęcie „istotnego wpływu” należy oceniać z osobna dla każdego komunikatu. RODO go nie definiuje, jednak wskazuje, że wpływ musi być podobny do wywołania skutków prawnych. Najczęściej podawane przykłady takiego wpływu to odmowa zawarcia umowy z daną osobą, ingerencja w jej strefę prywatności czy automatyczne ustalanie składki ubezpieczeniowej czy wysokości zabezpieczenia kredytu.

A jak to się ma do działań marketingowych w Internecie? Grupa Robocza art. 29 w swojej opinii dotyczącej podejmowania automatycznych decyzji i profilowania (WP 251), nie wyklucza, że prezentowanie reklamy internetowej w oparciu o profilowanie może zostać uznane za wywierające istotny wpływ.. Podaje jednak przykład, gdzie wpływu takiego nie będzie ze względu na dużą ogólność profilowania, np. przesyłanie komunikatu handlowego zaadresowanego do profilu „kobieta z regionu Brukseli”.

Oczywiście jest to tylko przykład i do tego mocno ogólny. Patrząc z perspektywy marketingu i e-commercu można pokusić się o próbę podzielania działań reklamowych na te, które wywołują istotny wpływ i takie, które są z tej perspektywy obojętne dla użytkownika (nie wywołują takiego wpływu).

I tak, wysyłka newslettera z profilowanymi informacjami pod kątem preferencji użytkownika, przedstawiająca wyłącznie biżuterię oryginalną, wysokiej jakości, ale w cenach i dostępności dla każdego, nie powinna wywoływać istotnego wpływu na odbiorcę newslettera. Gdyby jednak newsletter zawierał ceny specjalne, wyższe czy niższe, upusty i rabat dostępne wyłącznie dla odbiorcy informacji handlowej, wpływ ten mógłby mieć charakter istotny. Jeśli jednocześnie taka osoba miałaby ograniczony dostęp do promocji i rabatów na biżuterię gorszej jakości, tylko dlatego, że została sprofilowana jako osoba kupująca i przeglądająca droższą biżuterię, trudno byłoby bronić brak istotnego wpływu…

Czy można zatem ustawić jasną granicę istnienia i nieistnienia istotnego wpływu? Nie jest to łatwe, ale zawsze warto ocenić, czy dochodzi do ograniczenia dostępu do pewnych dóbr czy usług, otrzymania korzyści majątkowej, i to nie tylko w postaci konkretnych materialnych dóbr, ale także specjalnych cen, rabatów i promocji.