Formularz Pre-DPIA

W szczególności chodzi o ocenę lub punktację, w tym profilowanie i prognozowanie, na podstawie aspektów dotyczących efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą.

Przykłady:

• Instytucja finansowa sprawdza swoich klientów w referencyjnej bazie danych kredytowych lub bazie danych w zakresie przeciwdziałania praniu pieniędzy i zwalczania finansowania terroryzmu lub w bazie danych zawierającej informacje o nadużyciach finansowych.
• Przedsiębiorstwo biotechnologiczne bezpośrednio oferuje konsumentom badania genetyczne w celu oceny i prognozowania ryzyka wystąpienia choroby lub zagrożeń dla zdrowia.
• Przedsiębiorstwo tworzy profile zachowań lub profile marketingowe w oparciu o wykorzystanie lub nawigację swojej strony internetowej.
• Profilowanie użytkowników portali społecznościowych i innych aplikacji w celu wysyłania informacji handlowej.
• Ocena zdolności kredytowej przy użyciu algorytmów sztucznej inteligencji, objęta obowiązkiem zachowania tajemnicy, i żądanie ujawnienia danych niemających bezpośredniego związku z oceną zdolności kredytowej.
• Ocena stylu życia, odżywiania się, jazdy, sposobu spędzania czasu itp. osób fizycznych, na której podstawie np. podwyższa się tym osobom cenę składki ubezpieczeniowej, nazywana ogólnie optymalizacją składki ubezpieczeniowej.

Automatyczne podejmowanie decyzji to proces, w którym decyzje dotyczące osób fizycznych są podejmowane lub zatwierdzane bez jakiejkolwiek istotnej interwencji człowieka. Te decyzje opierają się na automatycznej analizie danych, często z wykorzystaniem algorytmów i technologii machine learning.

Termin „decyzja o skutku prawnym” odnosi się do decyzji, która ma bezpośredni wpływ na prawa, obowiązki lub status prawny osoby, której dane dotyczą. Przykłady to decyzje o przyznaniu kredytu, decyzje dotyczące zatrudnienia czy decyzje o ubezpieczeniach.

„Podobnie znaczący skutek” odnosi się do decyzji, które mogą nie mieć bezpośredniego skutku prawnego, ale mają znaczny wpływ na życie osobiste jednostki. Przykładowo automatyczne profilowanie na podstawie nawyków przeglądania internetu, które prowadzi do indywidualnej personalizacji ofert produktów lub usług, może mieć „podobnie znaczący skutek”.

Przykłady:

• Systemy monitoringu wykorzystywane do zarządzania ruchem, umożliwiające szczegółowy nadzór nad kierowcą oraz jego zachowaniem na drodze, w szczególności systemy pozwalające na automatyczną identyfikację pojazdów, a także systemy automatycznego pobierania opłat za wjazd.
• Systemy profilowania klientów pod kątem zidentyfikowania preferencji zakupowych lub automatycznego ustalania cen promocyjnych na podstawie profilu.
• Monitorowanie zakupów i preferencji zakupowych.
• Zautomatyzowane podejmowanie decyzji w sprawie zdolności kredytowej.
• Zautomatyzowane podejmowanie decyzji w sprawie uprawnień do świadczeń socjalnych.
• Zautomatyzowane podejmowanie decyzji w sprawie prawa do stypendium.
• Zautomatyzowane podejmowanie decyzji w sprawie kwalifikacji zawodowych.
• Zautomatyzowane podejmowanie decyzji w sprawie uprawnień do ubezpieczenia zdrowotnego.

Ten punkt dotyczy sytuacji, w których dane osobowe są gromadzone w wyniku obserwowania, monitorowania lub kontrolowania osób, których te dane dotyczą. Ten proces może obejmować różne metody i technologie, takie jak monitoring CCTV, śledzenie lokalizacji za pośrednictwem urządzeń GPS, monitorowanie aktywności w sieci, np. śledzenie nawyków przeglądania czy analiza mediów społecznościowych.

Przykłady:

• Monitorowanie osób korzystających z usług w przestrzeni publicznej przy wykorzystaniu danych wykraczających poza dane niezbędne do świadczenia tych usług.
• Gromadzenie i wykorzystywanie danych przez aplikacje instalowane w urządzeniach mobilnych, w tym urządzeniach zintegrowanych z mundurem, kaskiem lub urządzeniach w inny sposób połączonych z osobą pozyskującą dane.
• Systemy monitoringu pojazdów nawiązujące połączenia z otoczeniem, w tym z innymi pojazdami.
• Systemy wykorzystujące RFID w przypadku, gdy znaczniki/etykiety są lub mogą być przypisane osobom fizycznym.
• Zautomatyzowane systemy rozpoznawania tablic rejestracyjnych.
• Transport publiczny i elektroniczne pobory opłat.
• Projekty e-administracji.
• Kontrola danych dotyczących nazwiska pasażera.
• Czarne listy przestępców.
• Monitoring wizyjny wydarzeń z użyciem dronów.
• Monitoring wizyjny przestrzeni publicznej.
• Masowe lub systematyczne przetwarzanie danych przez organy ścigania w związku z przestępstwami lub wykroczeniami.

Szczególne kategorie danych osobowych obejmują dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby. Wytyczne WP 248 wskazują, że oprócz szczególnych kategorii danych w rozumieniu art. 9 RODO i danych o wyrokach skazujących w rozumieniu art. 10 RODO szczególnie chronione powinny być także „dane wrażliwe” w powszechnym rozumieniu tego sformułowania. Za takie dane uznano w szczególności: dane finansowe, dane dotyczące lokalizacji, dane zawarte w prywatnych i osobistych notatkach.

Przykłady:

• Przetwarzanie przez organy państwowe lub podmioty prywatne danych osobowych dotyczących przynależności partyjnej i/lub preferencji wyborczych.
• Regularne przetwarzanie danych pomiarowych, umożliwiające obserwację stylu życia, przemieszczania się w terenie, intensywności korzystania z mediów, energii itp. (np. danych geolokalizacyjnych, danych z inteligentnych liczników pomiarowych o zużywanej energii, danych bilingowych dotyczących komunikacji elektronicznej).
• Przechowywanie przez szpital dokumentacji medycznej pacjentów.
• Przechowywanie przez prywatnego detektywa szczegółowych danych przestępców.
• Przetwarzanie danych takich jak dokumenty osobiste, wiadomości e-mail, pamiętniki, notatki z e-czytników wyposażonych w funkcję notatnika oraz danych mających bardzo osobisty charakter, zawartych w aplikacjach rejestrujących codzienną aktywność.
• Tworzenie i funkcjonowanie baz danych o przestępstwach lub wykroczeniach.
• Udoskonalenie lub przeprojektowanie medycznych systemów informacyjnych, rozwiązań i aplikacji.
• Nowe aplikacje mobilne do monitorowania stanu zdrowia.
• Marketing bezpośredni oparty na szczególnych kategoriach danych osobowych.
• Rozwój interfejsów i aplikacji umożliwiających dostęp do rejestrów przestępstw i wykroczeń.
• Systemy e-zdrowia.
• Systemy kontroli dostępu.
• Systemy rozpoznawania twarzy.
• Biometria w urządzeniach mobilnych.
• Systemy zarządzania czasem pracy.
• Diagnoza medyczna.
• Testy DNA.
• Badania medyczne (w tym z określaniem prawdopodobieństwa wystąpienia choroby).
• Przetwarzanie wykorzystujące śledzenie lokalizacji osoby fizycznej.

Przy ustalaniu, czy przetwarzanie odbywa się na dużą skalę, należy wziąć pod uwagę takie czynniki jak liczba osób, których dane dotyczą, procent określonej grupy społeczeństwa, zakres przetwarzanych danych osobowych, okres przetwarzania oraz zakres geograficzny przetwarzania danych osobowych. Pojęcie "dużej skali" nie posiada jednoznacznej liczbowej definicji i może się różnić w zależności od kontekstu i interpretacji. Orzecznictwo europejskich organów nadzorczych wskazuje na próby nadania temu pojęciu wymiernego charakteru, np. czeski organ nadzorczy podaje, że przetwarzanie danych 10 001 osób lub 0,01% populacji można uznać za przetwarzanie na dużą skalę. Więcej informacji na ten temat można znaleźć w naszym artykule.

Przykłady:

• Centralne zbiory danych wspomagające zarządzanie określoną grupą osób w celach związanych z realizacją zadań publicznych.
• Zbieranie szerokiego zakresu danych o przeglądanych stronach internetowych, realizowanych zakupach, historii zakupów, oglądanych programach telewizyjnych lub radiowych.
• Przetwarzanie danych pacjentów przez szpital w ramach prowadzonej przez niego działalności.
• Przetwarzanie danych o podróży osób fizycznych korzystających z miejskiego systemu transportu publicznego.
• Przetwarzanie danych określających położenie geograficzne klientów międzynarodowej sieci restauracji typu fast food w czasie rzeczywistym.
• Przetwarzanie danych klientów przez zakład ubezpieczeń lub bank w ramach prowadzonej przez te podmioty działalności gospodarczej.
• Przetwarzanie danych osobowych przez wyszukiwarkę internetową na potrzeby reklamy behawioralnej.
• Przetwarzanie danych przez dostawców usług telefonicznych lub internetowych.
• Programy lojalnościowe.
• Dane pochodzące z łączności elektronicznej przetwarzane przez operatorów telekomunikacyjnych.
• Ogólnokrajowe rejestry danych osobowych.
• Dane finansowe oraz dane dotyczące korzystania z usług finansowych w bankach, kasach oszczędnościowych i innych instytucjach finansowych.

Dopasowywanie lub łączenie zbiorów danych odnosi się do łączenia danych pochodzących z co najmniej dwóch operacji przetwarzania danych przeprowadzonych w różnych celach lub przez różnych administratorów danych w sposób wykraczający poza uzasadnione oczekiwania osób, których dane dotyczą. Przykłady takiego łączenia danych mogą obejmować zestawianie danych ubezpieczycieli z danymi o roszczeniach ubezpieczeniowych w celu analizy trendów i związków przyczynowo-skutkowych, zestawianie danych o absencji z danymi dotyczącymi płci, wieku i wykształcenia pracowników, analizę nawyków zakupowych lub nawyków korzystania z usług komunikacyjnych. Dopasowywanie lub łączenie zbiorów danych może przekraczać oczekiwania osób, których dane są przetwarzane, dlatego wymaga szczególnej ostrożności i przestrzegania zasad RODO.

Przykłady:

• Zestawianie danych ubezpieczycieli z danymi o roszczeniach ubezpieczeniowych przez zakład ubezpieczeń w celu analizy trendów, udziałów, związków przyczynowo-skutkowych itp.
• Zestawianie danych o absencji z danymi dotyczącymi płci, wieku i wykształcenia pracowników.
• Analiza nawyków zakupowych i nawyków w zakresie poruszania się.
• Analiza ruchu, korzystania i nawyków użytkowników komunikacji elektronicznej.
• Analiza big data w jednym z ogólnonarodowych rejestrów lub w kilku ogólnonarodowych rejestrach.

Zgodnie ze wskazaniami Europejskiej Rady Ochrony Danych (WP 248) chodzi tutaj w szczególności „o nierównowagę sił między osobami, których dane dotyczą, a administratorem”. Do osób wymagających szczególnej opieki zaliczono przede wszystkim:

Przykłady:

• dzieci
• pracowników w relacji z pracodawcą
• osoby chore psychicznie
• osoby ubiegające się o azyl
• migrantów
• osoby starsze
• pacjentów
• osoby o ograniczonej zdolności do czynności prawnych lub osoby nieposiadające zdolności do czynności prawnych

Zestawienie tego kryterium z tempem rozwoju technologii powoduje, że ta przesłanka coraz częściej może stanowić czynnik decydujący o obowiązkowym przeprowadzeniu DPIA. Na dzień oddawania do użytku tego formularza „innowacyjne wykorzystanie” może odnosić się do nowych sposobów przetwarzania danych, które są znacząco różne od tradycyjnych metod. Przykładem może być wykorzystanie sztucznej inteligencji do analizy danych, wprowadzenie zaawansowanego profilowania klientów za pomocą algorytmów machine learning czy wykorzystanie technologii blockchain do przechowywania danych.

Przykłady:

• Systemy zdalnego opomiarowania, które biorą pod uwagę zakres i częstość zbierania danych, aby umożliwić profilowanie osób lub grupy osób.
• Systemy analizy i przetwarzania danych znajdujących się w metadanych, np. zdjęcia opatrzone danymi geolokalizacyjnymi.
• Systemy stosowane do analizy i przekazywania danych dostawcom usługi przy użyciu aplikacji mobilnych z urządzeń przenośnych typu smartwatch, inteligentne opaski, beacony itp., analizujące dane i przekazujące je dostawcom przy użyciu aplikacji mobilnych.
• Stosowanie urządzeń wyposażonych w różnego rodzaju interfejsy (głośnik, mikrofon, kamera) oraz oprogramowanie i system łączności umożliwiające przekazywanie danych poprzez sieci telekomunikacyjne.
• Usługi i zabawki przeznaczone dla dzieci.
• Konsultacje telemedyczne z ośrodkami spoza UE, przekazywanie medycznych danych osobowych o zasięgu międzynarodowym.
• Połączenie technologii rozpoznającej odcisk palca z technologią rozpoznającą twarz w celu poprawy fizycznej kontroli dostępu.
• Wykorzystywanie dronów.
• Inteligentne systemy analizy wideo.

Obejmuje to operacje przetwarzania, których celem jest umożliwienie osobom, których dane dotyczą, uzyskania dostępu do usługi lub zawarcia umowy, zmiana tego dostępu lub odmówienie dostępu.

Przykłady:

• Podejmowanie decyzji kredytowej w stosunku do potencjalnych klientów na podstawie informacji zawartych w bazach zawierających informacje o dłużnikach lub w podobnych bazach danych.
• Uzależnianie możliwości korzystania z usługi od informacji w zakresie dochodów, kwoty miesięcznych wydatków i innych wartości zebranych w wyniku profilowania.
• Ogólnokrajowy elektroniczny system poboru opłat.

W niektórych przypadkach administrator danych może uznać, że przetwarzanie spełniające tylko jedno z wyżej wymienionych kryteriów będzie wymagało przeprowadzenia oceny skutków dla ochrony danych. W szczególności dotyczy to sytuacji, gdy dana operacja przetwarzania znajduje się w wykazanie operacji przetwarzania wymagających DPIA opublikowanym przez Prezesa Urzędu Ochrony Danych Osobowych.