Profiliranje - IPRS

Profiliranje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.04.2019 Številka: 0712-1/2019/819 Kategorije:Profiliranje in avtomatizirano odločanje --> Kategorije: Profiliranje in avtomatizirano odločanje prejeli smo vaš dopis, v katerem nas prosite za mnenje glede profiliranja. Kot ste pojasnili je (v vašem projektu, podjetju ali sistemu - niste natančneje navedli) osnovni namen zbiranja podatkov pridobivati ažurne podatke, kako se sistemi pri posameznih uporabnikih obnašajo in na tej podlagi razviti računalniški model (umetno inteligenco), ki bo na podlagi zajetih podatkov posameznega uporabnika lahko predvidel, da je potreben vzdrževalni poseg (prediktivno vzdrževanje). Na podlagi zajetih podatkov bo lahko oddelek za podporo strankam učinkoviteje podajal stranki rešitve, povratna informacija bo oddelku omogočala izpopolnjevanje in izboljševanje izdelkov. Zanima vas, ali to pomeni profiliranje posameznikov in če da, kakšne so vaše obveznosti, ki izhajajo iz tega. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da je profiliranje definirano v
8. točki člena 4 Splošne uredbe in sicer pomeni „oblikovanje profilov“ vsako obliko avtomatizirane obdelave osebnih podatkov, ki vključuje uporabo osebnih podatkov za ocenjevanje nekaterih osebnih vidikov v zvezi s posameznikom, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa, interesov, zanesljivosti, vedenja, lokacije ali gibanja tega posameznika. Oblikovanje profilov je sestavljeno iz treh elementov: biti mora avtomatizirana oblika obdelave; izvajati se mora v zvezi z osebnimi podatki in njegov cilj mora biti oceniti osebne vidike posameznika. Eden od pogojev je torej, da gre za avtomatizirano obdelavo, torej s pomočjo informacijskih tehnologij, običajno na podlagi algoritmov, uteži, kriterijev in drugih načinov, s katerimi se lahko obdeluje omenjene osebne vidike posameznika. Žal iz vašega zaprosila za mnenje nimamo več informacij, za kakšen sistem oziroma naprave gre niti ne moremo ugotoviti, za kakšen sektor, za kakšne vrste strank in kakšno vzdrževanje gre, zato lahko podamo le nekoliko bolj splošno mnenje. Na temo o avtomatiziranega odločanja in profiliranja je Evropski odbor za varstvo podatkov (EDPB) izdal podrobne smernice, ki so na voljo na: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=
9. Če temeljimo na predpostavki, da gre za stranke, ki so fizične osebe oziroma posamezniki in da bo računalniški model (umetna inteligenca) na podlagi zajetih podatkov posameznega uporabnika lahko predvidel, da je potreben vzdrževalni poseg (prediktivno vzdrževanje), potem gre lahko za avtomatizirano odločanje oziroma profiliranje po Splošni uredbi, ki je dopustno skladno s pogoji, kot so določeni v členu 22 Splošne uredbe, vendar pa je treba upoštevati tudi naslednje. Odstavek 1 člena 22 Splošne uredbe določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva. Ker nimamo dovolj informacij o vašem primeru, težko vnaprej sklepamo, ali ima profiliranje v tem primeru pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva. Glede na vaš opis menimo, da profiliranje nima pravnih učinkov na posameznika (npr. na omejitev njegovih pravic), nekoliko težje pa se je opredeliti glede tega, ali »na podoben način nanj znatno vpliva«. Smernice EDPB v zvezi s tem pojasnjujejo, da »tudi če postopek sprejemanja odločitev ne vpliva na zakonske pravice ljudi, lahko spada na področje uporabe člena 22, če ima učinek, ki je enakovreden ali ima podobno znaten vpliv. Z drugimi besedami, tudi če se zakonske pravice ali obveznosti posameznika, na katerega se nanašajo osebni podatki, ne spremenijo, je lahko vpliv nanje še vedno zadosten, da se zahteva zaščita v skladu s to določbo.« Dalje je pojasnjeno še: »Da bi obdelava podatkov na nekoga znatno vplivala, morajo biti učinki obdelave dovolj veliki ali pomembni, da so vredni pozornosti. Z drugimi besedami, pri odločitvi mora obstajati možnost, da: znatno vpliva na okoliščine, vedenje ali izbire zadevnih posameznikov; ima podaljšan ali stalni vpliv na posameznika, na katerega se nanašajo osebni podatki, ali, v najskrajnejšem primeru, vodi do izključitve ali diskriminacije posameznikov.« Smernice EDPB navajajo nekaj primerov, kjer gre za odločitve s podobnim vplivom: odločitve, ki vplivajo na finančni položaj posameznika, kot je upravičenost do posojila; odločitve, ki vplivajo na dostop posameznika do zdravstvenih storitev; odločitve, ki posamezniku ne dopuščajo možnosti zaposlitve ali ga postavljajo v zelo slab položaj; odločitve, ki vplivajo na dostop posameznika do izobraževanja, na primer sprejem na univerzo. Glede na vaš opis, in zgolj na podlagi informacij, ki ste nam jih podali, menimo, da v vašem primeru ne gre za profiliranje, če gre samo za sistem, ki omogoča predvidevanje, da je potreben vzdrževalni poseg (prediktivno vzdrževanje), saj iz vašega opisa ni videti, da bi šlo za znaten vpliv na posameznika v duhu zgoraj naštetih primerov. Ob tem podajamo pridržek, da kolikor bi šlo za takšne sisteme oziroma naprave, kjer bi lahko govorili o znatnem vplivu na posameznika – npr. da bi šlo za srčne spodbujevalnike, dializne sisteme ali druge naprave, kjer je odločitev, kdaj je potreben vzdrževalni poseg, za posameznika lahko zelo pomembna ali celo kritična (kot rečeno iz vašega opisa ne vemo, za kakšne sisteme oziroma naprave gre) – potem bi šlo lahko za profiliranje v smislu Splošne uredbe. V tem primeru bi bilo treba upoštevati tudi ostale določbe člena
10. splošne uredbe. Odstavek 1 člena 22 se ne uporablja, če je odločitev: (a) nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov; (b) dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ali (c) utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki. Če niso izpolnjeni pogoji pod a) ali b), potem bi morali pridobiti izrecno privolitev posameznika, na katerega se nanašajo osebni podatki. Več o privolitvi in pogojih za veljavnost privolitve si lahko preberete na naslednji infografiki: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/pravne_podlage_zasebni_sektor_s_pogoji_privolitve.pdf. Odstavek 3 dalje določa, da v primerih, navedenih v točkah (a) in (c) odstavka 2, upravljavec podatkov izvede ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vsaj pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve. Odstavek 4 pa še določa, da odločitve iz odstavka 2 ne temeljijo na posebnih vrstah osebnih podatkov iz člena 9