Profilowanie polega na dowolnym zautomatyzowanym przetwarzaniu danych, które pokazują bądź przypuszczają, jakie są aspekty dotyczące sytuacji ekonomicznej, zdrowia, zainteresowań, zachowania a nawet lokalizacji konkretnej osoby. Dla przykładu może to być przyznanie kredytu czy odrzucenie wniosku o jego udzielenie.
Zgodnie z zasadą przejrzystości powinno się poinformować osobę o fakcie przetwarzania jej danych, a także o ich celu. W jasny i nieskomplikowany sposób trzeba podać tej osobie wszelkie inne informacje, zapewniające rzetelność przetwarzania, mając na uwadze indywidualną sytuację oraz konkretne okoliczności.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Administrator jest zobowiązany zatem zastosować właściwe matematyczne czy statystyczne procedury profilowania, a i również wdrożyć takie środki techniczne i organizacyjne by dawały możliwość maksymalnego zmniejszenia ryzyka błędów. Nie istnieją jednak jeszcze oficjalne standardy w takim postępowaniu, także administrator działa zgodnie ze stanem swojej wiedzy i istniejącymi już technicznymi rozwiązaniami. Ponadto, dane koniecznie należy zabezpieczyć uwzględniając możliwe ryzyko dla interesów i praw osoby, której dotyczą. Warto zapamiętać, że profilowanie oparte na szczególnych kategoriach danych osobowych („danych sensytywnych”) jest dozwolone tylko w szczególnych przypadkach.
Polecamy: Gazeta Samorządu i Administracji
Rozporządzenie wyraźnie je wskazuje: gdy staje się to niezbędne do zawarcia lub wykonania umowy, gdy przepisy na to zezwalają bądź gdy podmiot wyraził zgodę na to działanie.
Dla przypomnienia, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw; z przyczyn związanych z jej szczególną sytuacją. W takim przypadku nie wolno już ich dalej przetwarzać, chyba że istnieje prawnie uzasadniona podstawa do tego działania, nadrzędna wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.
Zatem, profilowanie podlega przepisom RODO, dotyczącym przetwarzania danych osobowych, takim jak przepisy określające podstawy prawne przetwarzania lub zasady ochrony danych. Przy tym, nowo powołana Europejska Rada Ochrony Danych ma możliwość wydawania wskazówek, wytycznych czy standardów w tej kwestii.
Profilowanie staje się coraz bardziej istotne, choćby ze względu na stale rosnącą liczbę przetwarzanych danych. Mimo że istnieją już prawa, kontrolujące te działania, to przecież samo profilowanie oparte jest o różne algorytmy, różne kategorie danych. Trudno wobec tego jednoznacznie stwierdzić, jak daleko powinna sięgać kontrola w nadzorowaniu tychże procesów.