Personalizacja RODO co do zasady jest legalna, o ile nie przeradza się w w pełni automatyczne podejmowanie decyzji wywołujące skutki prawne albo podobnie istotnie wpływające na osobę. Algorytmy rekomendacji produktowych w e-commerce mogą stanowić profilowanie z art. 4 pkt 4 roda, ale zwykle nie podlegają art. 22, ponieważ nie decydują automatycznie o prawach lub obowiązkach klienta.
To rozróżnienie ma znaczenie nie tylko dla działów marketingu, lecz także dla pytania z tytułu: czy UOKiK może samodzielnie stwierdzić naruszenie roda. W polskim systemie zasadniczym organem właściwym w sprawach ochrona danych osobowych pozostaje Prezes UODO, natomiast Prezes UOKiK może badać praktyki rynkowe, regulaminy, obowiązek informacyjny wobec konsumenta czy przekaz marketingowy, ale nie zastępuje organu nadzorczego właściwego dla rozporządzenia o ochronie danych.
W praktyce oznacza to, że przedsiębiorca powinien oddzielić trzy kwestie: legalność samego profilowania, legalność komunikacji z konsumentem oraz granice kompetencji organów. To ważne zwłaszcza tam, gdzie personalizacja ma charakter marketingowy, a dane dotyczą zachowań w serwisie, historii zakupów albo reakcji na reklamy.
Algorytm rekomendacji to nie jest profilowanie w rozumieniu art. 22
Profilowanie klientów jako takie pozostaje w pełni dozwolone w świetle przepisów roda. Już sama definicja z art. 4 pkt 4 wskazuje, że jest to dowolna forma zautomatyzowanego przetwarzania danych osobowych, która polega na wykorzystaniu danych osobowych do oceny niektórych aspektów osoby, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodność, zachowania, lokalizacji lub przemieszczania.
Mówiąc prościej: jeżeli firma chce spersonalizować ofertę, segmentować użytkowników albo przewidywać ich preferencji zakupowe, to często wchodzi w profilowanie w roda. Nie oznacza to jeszcze, że automatycznie uruchamia się art. 22 roda. Ten przepis dotyczy tylko szczególnego przypadku, czyli sytuacji, w której decyzja jest automatyczny, bez realnego udziału człowieka, i wywołuje skutki prawne albo podobnie poważny wpływ na sytuację osoby fizycznej.
Przykład z praktyki: sklep internetowy analizuje, jakie produkty klient oglądał wcześniej, a następnie pokazuje mu podobne towary. Taki mechanizm może przetwarzać dane osobowe, może przetwarzać historię kliknięć i może spersonalizować kolejność oferty. Nadal jednak nie musi to być przypadek, który będzie podlegać art. 22. Samo wyświetlenie innych butów, książek czy usług nie przesądza jeszcze o sytuacji prawnie relewantnej.
W tym miejscu wraca pytanie o UOKiK. Jeżeli urząd bada, czy komunikat handlowy był przejrzysty albo czy konsument nie został wprowadzony w błąd co do zasad personalizacja, to działa w swoim obszarze. Jeżeli jednak miałby autorytatywnie rozstrzygać, czy doszło do naruszenia roda jako rozporządzenie, wkracza w kompetencję Prezesa UODO. W praktyce oba reżimy mogą się stykać, ale nie są tożsame.
Trzy warunki które muszą być spełnione jednocześnie
Art. 22 roda ma zastosowanie wyłącznie przy jednoczesnym spełnieniu 3 warunków: pełna automatyzacja decyzji bez udziału człowieka, wywołanie skutków prawnych lub istotnego wpływu na sytuację osoby oraz bezpośrednie oparcie rozstrzygnięcia na danych, które dane dotyczą.
- Po pierwsze, decyzja musi być podjęta bez realnej ingerencji człowieka. Sam podpis pracownika pod wynikiem systemu nie wystarczy, jeżeli proces jest faktycznie automatyczny.
- Po drugie, decyzja musi wywoływać skutki prawne albo w podobny sposób istotnie wpływać na osobę fizycznej. Typowe przykłady to odmowa zawarcia umowy, automatyczne odrzucenie wniosku czy odmienne warunki dostępu do usługi.
- Po trzecie, decyzja musi opierać się na operacji, w której dane dotyczą konkretnej osoby i służą do jej oceny lub kwalifikacji.
Jeżeli jednego z tych elementów brakuje, nie mamy reżimu z art. 22, choć nadal trzeba zgodnie z roda przetwarzać dane i wykazać podstawę prawną, cel, minimalizację, retencję oraz prawidłowy obowiązek informacyjny.
To ważne także z punktu widzenia relacji UOKiK-UODO. UOKiK może ocenić, czy przedsiębiorca prawidłowo informuje konsumenta i czy nie stosuje nieuczciwej praktyki rynkowej. Natomiast ustalenie, że wystąpiło kwalifikowane profilowanie i że konkretne przetwarzanie narusza art. 22, należy zasadniczo do organu ds. ochrona danych.
Dozwolone praktyki marketingowe: co robi większość firm i dlaczego nie narusza art. 22 RODO
Większość działań określanych w biznesie jako personalizacja albo marketingowy automation to nadal profilowanie zwykłe, a nie profilowanie kwalifikowane. Firmy przetwarzać mogą dane o otwarciach wiadomości, kliknięciach, odwiedzonych podstronach, porzuconych koszykach czy wcześniejszych zakupach, aby spersonalizować treść komunikacji.
Takie działania zwykle opierają się na podstawie, jaką bywa zgoda albo uzasadniony interes, zależnie od modelu działania i kanału komunikacji. Sam uzasadniony interes nie daje jednak pełnej swobody: administrator danych musi ocenić równowagę interesów, wpływ na prywatność i to, czy dane dotyczą aktywności, których odbiorca mógł rozsądnie oczekiwać.
Legalne będą przykładowo:
- segmentacja odbiorców newslettera według zainteresowań,
- rekomendacje produktów na podstawie historii przeglądania,
- pomiar skuteczności kampanii w sposób statystyczny,
- dostosowanie godzin wysyłki komunikatów,
- tworzenie grup odbiorców reklam w media społecznościowe.
Każda z tych operacji może przetwarzać dane, które dane dotyczą zachowania użytkownika, ale nie musi prowadzić do decyzji prawnie doniosłej. Dlatego nie każdy proces marketingowy będzie podlegać art. 22. Niezmiennie trzeba jednak realizować obowiązek informacyjny, zapewnić przejrzystość i respektować prawo do sprzeciwu tam, gdzie podstawą jest uzasadniony interes.
Kiedy zwykła analityka staje się problemem z art. 22
Zwykła analityka podlega reżimowi art. 22 roda w momencie, gdy algorytm podejmuje w pełni autonomiczną decyzję wywołującą skutki prawne lub istotnie wpływającą na sytuację osoby, na przykład przy automatycznej odmowie usługi, przyznaniu limitu albo zróżnicowaniu warunków umowy.
Tu przebiega realna granica. Jeżeli system nie tylko analizuje, ale na podstawie wyniku sam decyduje, czy ktoś otrzyma usługę, jaką cenę zobaczy albo czy jego konto zostanie zablokowane, ryzyko prawne rośnie. Szczególnie gdy dane dotyczą cech takich jak sytuacji ekonomicznej, wiarygodność, zachowanie czy historia transakcyjna.
Właśnie w tym obszarze pojawia się też problem kompetencyjny. UOKiK może badać, czy przedsiębiorca nie narusza zbiorowych interesów konsumentów, czy nie różnicuje warunków w sposób sprzeczny z prawem konsumenckim i czy nie pomija istotnych informacji. Nie oznacza to jednak, że samodzielnie zastępuje Prezesa UODO i orzeka o naruszeniu roda jako aktu z obszaru Prawo ochrony danych. Jeśli sprawa dotyczy legalności samego przetwarzania, centralny pozostaje administrator danych wobec wymogów UODO i PUODO.
Na marginesie warto dodać, że szczególne kategorie danych oraz szerokie wykorzystaniu danych osobowych do oceny zachowania konsumenta podnoszą ryzyko. Jeżeli algorytm ma cechy oceny niektórych czynników osobowych osoby albo niektórych czynników osobowych osoby fizycznej, analiza powinna być szczególnie ostrożna.
Jakie obowiązki nakłada art. 22 gdy faktycznie ma zastosowanie
Zastosowanie art. 22 roda nakłada na administratora 3 bezwzględne obowiązki: 1) realizację rozszerzonego obowiązku informacyjnego o logice i konsekwencjach algorytmu, 2) zapewnienie prawa do interwencji człowieka i zakwestionowania decyzji, 3) wykazanie podstawy dopuszczalności takiego procesu oraz wdrożenia odpowiednich zabezpieczeń.
W praktyce chodzi o to, by podmiot danych wiedział, że jego dane dotyczą procesu decyzyjnego, rozumiał główne zasady działania mechanizmu i mógł zażądać ludzkiej weryfikacji. W tym obszarze sam zwykły obowiązek informacyjny bywa niewystarczający; potrzebna jest pełniejsza informacja o logice, znaczeniu i przewidywanych konsekwencjach.
Administrator danych musi też pamiętać, że art przewiduje zamknięte wyjątki od zakazu takiego działania, np. gdy decyzja jest niezbędna do zawarcia lub wykonania umowy, jest dozwolona przez Prawo Unia Europejska lub państwa członkowskiego albo opiera się na wyraźnej zgodzie. W praktyce zgody na profilowanie nie zawsze są wymagane, ale przy art. 22 sama podstawa trzeba ocenić bardzo precyzyjnie.
Dodatkowo nie można bez szczególnych warunków przetwarzać szczególnych kategorii danych w takim modelu. Całość trzeba osadzić w zasadach, jakie nakłada rozporządzenie i polskie przepisy wdrażające ochrona danych. W razie sporu to Prezes UODO ocenia legalność tego mechanizmu, a nie UOKiK jako organ właściwy do spraw konkurencji i konsumentów.
Praktyczna mapa dla działu marketingu i compliance
| Pytanie | Jeżeli odpowiedź brzmi „tak” | Znaczenie prawne |
|---|---|---|
| Czy system sam podejmuje decyzję? | Proces jest automatyczny | Sprawdź art i ryzyko wejścia w art. 22 |
| Czy decyzja wpływa prawnie na klienta? | Może zmieniać prawa, dostęp lub warunki | Możliwe skutki prawne i reżim kwalifikowany |
| Czy chodzi tylko o rekomendacje lub kolejność treści? | To zwykle personalizacja marketingowa | Najczęściej poza art. 22, ale nadal obowiązuje roda |
| Czy dane dotyczą wrażliwych obszarów? | Rosną ryzyka dla prywatność | Wymagana pogłębiona analiza |
| Czy konsument dostał jasny komunikat? | Trzeba wykonać obowiązek informacyjny | Tu może zainteresować się także UOKiK |
Taka mapa porządkuje pracę wewnętrzną. Najpierw ustala się, jakie dane dotyczą użytkownika i po co firma chce je przetwarzać. Potem bada się podstawę prawną, wpływ na prywatność, dostęp do danych, retencję i to, czy człowiek rzeczywiście kontroluje wynik systemu.
W relacjach z podmiotami przetwarzającymi trzeba też zweryfikować umowy i role. Jeżeli zewnętrzny dostawca działa wyłącznie na polecenie firmy, zastosowanie ma art dotyczący powierzenia, a administrator danych pozostaje odpowiedzialny za legalność procesu.
Dlaczego profilowanie klientów w RODO wywołuje aż tak wielki lęk w organizacjach
Profilowanie klientów w świetle roda budzi w firmach znacznie większy niepokój, niż wynika to z samych przepisów. Główny powód jest prosty: pojęcie profilowania klientów w praktyce roda funkcjonowało przez lata bez wyraźnego rozróżnienia definicji z art 4 od reżimu art. 22.
Efekt jest taki, że przedsiębiorcy słyszą słowo „profilowanie” i zakładają zakaz. Tymczasem profilowanie zwykłe jest częścią codziennego Marketing, a problem zaczyna się dopiero wtedy, gdy operacja polega na wykorzystaniu danych osobowych oraz danych osobowych do oceny niektórych czynników w sposób prowadzący do automatycznej decyzji. Sama personalizacja nie jest więc synonimem naruszenia.
Drugi powód to mieszanie kompetencji organów. Gdy w przestrzeni publicznej pojawia się sprawa dotycząca konsumentów, regulaminów lub interfejsów, łatwo uznać, że UOKiK „stwierdził naruszenie roda”. Formalnie należy to rozdzielić. UOKiK może opisywać problem także przez pryzmat prywatność i standardów informacyjnych, ale o naruszeniu rozporządzenia o ochronie danych wprost rozstrzyga organ ochrony danych.
Naruszenia ochrony danych a profilowanie: o czym mówi artykuł 34 RODO?
Art 34 roda nie dotyczy samego profilowania, ale obowiązków po naruszeniu bezpieczeństwa, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Wtedy administrator danych zawiadamia osobę, której dane dotyczą, prostym i jasnym językiem.
To ważne, bo systemy analityczne i marketingowy często gromadzą szeroki zakres informacji o zachowaniu użytkowników. Jeżeli dochodzi do incydentu, np. ujawnienia historii aktywności, segmentów odbiorców albo parametrów kampanii profilowane, trzeba ocenić wpływ na prywatność oraz ochrona danych osobowych. Sam fakt profilowania nie uruchamia art 34, ale incydent związany z takim systemem już może.
W tym obszarze również centralny jest Prezes UODO. UOKiK nie prowadzi postępowania jako organ właściwy dla zgłoszeń naruszeń ochrona danych, choć określone skutki incydentu mogą równolegle interesować organy konsumenckie.
FAQ – pytania które dostaję najczęściej
Czy podanie imienia i nazwiska jest naruszeniem RODO?
Nie. Samo podanie imienia i nazwiska nie jest naruszeniem roda. Wszystko zależy od kontekstu, celu i podstawy, na jakiej firma chce przetwarzać dane osobowe. Jeżeli robi to legalnie, przejrzyście i zgodnie z zasadą minimalizacji, nie dochodzi do naruszenia.
O czym mówi artykuł 34 RODO?
Art 34 mówi o obowiązku zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrona danych, gdy incydent może powodować wysokie ryzyko dla jej praw lub wolności. To przepis o komunikacji po incydencie, a nie o samej personalizacja rodo.
Co mówi artykuł 28 RODO?
Art 28 reguluje relację administrator danych z podmiotem przetwarzającym. Jeżeli inny podmiot ma w imieniu firmy przetwarzać dane, potrzebna jest umowa powierzenia określająca m.in. cel, zakres, środki bezpieczeństwa i zasady działania procesora.
Czy profilowanie jest dozwolone w RODO?
Tak. Profilowanie w roda jest dozwolone, jeżeli ma podstawę prawną i spełnia zasady ochrona danych osobowych. Zakaz lub ścisłe ograniczenia pojawiają się dopiero wtedy, gdy wchodzi w grę automatyczny proces podejmowanie decyzji z istotnym skutkiem dla osoby.
Podsumowanie
Najkrótsza odpowiedź brzmi tak: UOKiK może badać praktyki przedsiębiorcy na gruncie prawa konsumenckiego, przejrzystości komunikacji i uczciwości działań rynkowych, ale nie jest podstawowym organem do stwierdzania naruszeń roda jako takiego. W sprawach, gdzie dane dotyczą legalności profilowania, zasad przetwarzanie danych osobowych, obowiązków administratora i art 22, kluczowy pozostaje Prezes UODO.
Dla firm najważniejsze jest rozróżnienie między zwykłą analityką i rekomendacjami a automatyczną decyzją prawnie wpływającą na klienta. Jeżeli celem jest jedynie spersonalizować treść, kolejność oferty albo komunikat marketingowy, zwykle nie wchodzimy w 22 rodo. Jeżeli jednak system sam kwalifikuje, odmawia, blokuje albo różnicuje warunki wobec osoby, analiza musi być znacznie głębsza.
Treść ma charakter informacyjny i nie stanowi porady prawnej. Jeżeli chcesz ocenić, czy Twój model personalizacja, profilowanie RODO przykłady, relacja z UOKiK lub obowiązek informacyjny są zgodne z przepisami, skontaktuj się z Kancelarią Adwokacką adwokata Mateusza Orlickiego.
