Právní aspekty profilování a automatizovaného rozhodování

Všeobecné nařízení o ochraně osobních údajů (GDPR)1 obsahuje v ustanovení čl. 22 obecný zákaz automatizovaného rozhodování včetně profilování, které by mělo mít právní účinky nebo se významně dotýkat subjektu údajů. Zároveň toto nařízení definuje profilování jako jakoukoliv formu „automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu;“2

Profilování tedy musí splňovat obligatorně 3 znaky, jednak se musí jednat o automatizované zpracování, dále pak, aby se jednalo o profilování dle GDPR, musí docházet při profilování ke zpracování osobních údajů a v neposlední řadě předmětem takového zpracování musí být hodnocení osobních aspektů fyzických osob.3

Automatizované rozhodování je pak širší pojem, který zahrnuje jakékoliv rozhodování, které je automatizováno, a tedy prováděno počítačem a člověk na něj buď nemá vliv žádný nebo minimální. Za automatizované rozhodování jsou považován i procesy, kde dochází k následné verifikaci výsledku člověkem, a to z toho důvodu, aby nedocházelo k obcházení zákazu v čl. 22 GDPR.4

Nicméně ne každé profilování není nutně postiženo ze strany GDPR, protože pokud při profilování nedochází ke zpracování osobních údajů, pak se na něj GDPR nevztahuje. Klasickým příkladem pak může být cílená reklama na základě profilu získaného z cookies, zde sice jednoznačně dochází k profilování uživatelů, v současné době jsou cookies podmíněné souhlasem subjektu údajů, ale v zásadě vzniká otázka, zda při profilování dochází skutečně ke zpracování osobních údajů, a hlavně zda je výsledkem rozhodnutí vyvolávající právní účinky nebo zda se rozhodnutí subjektu významně dotýká. Zatímco u cookies je určitá možnost, že bude docházet ke zpracování osobních údajů, tedy, že zpracovávané informace budou dostatečně schopné identifikovat konkrétní fyzickou osobu, pak ale rozhodnutí o tom, jaká reklama má být zobrazena subjektu, který si prohlíží určitý web postrádá zcela jistě právní účinek a zjevně rovněž postrádá nějaký významnější dopad na subjekt údajů.

Právě významnost dopadu na fyzickou osobu bude vždy předmětem individuální vyhodnocení v konkrétním případě s přihlédnutím k okolnostem takového případu.5

Jak již bylo naznačeno výše základním právním předpisem bude v tomto ohledu Obecné nařízení o ochraně osobních údajů, které obsahuje jednak právní definici profilování a jednak obsahuje zákaz automatizovaného rozhodování, včetně profilování, které má právní účinky nebo které má závažné dopady na subjekt údajů. Jakkoliv je článek 22 i s ohledem na článek 21 GDPR koncipován jako právo subjektu údajů, je třeba jej chápat spíše jako ultimativní zákaz automatizovaného rozhodování.

Nicméně samotné ustanovení čl. 22 odst. 2 obsahuje výjimky z tohoto zákazu. Tyto jsou založeny buď na nezbytnosti provedení automatizovaného rozhodnutí, jako součásti plnění smluvních závazků nebo na právní úpravě členského státu, kde však je rovněž zakotven požadavek na náležité nastavení zabezpečení a v neposlední řadě se jedná o možnost, že sám subjekt údajů k tomu dá svůj souhlas. Souhlas v takovém případě, ale musí být, stejně jako u ostatních případů v rámci GDPR informovaný a kvalifikovaný.6

Pokud se jedná profilování uživatelů webu, pak je nutno mít na paměti, že ukládání souborů cookies je rovněž právně regulováno, jednak právní úprava vychází z GDPR, kdy existuje možnost, že cookies budou osobním údajem, pak je nutno ke jejich zpracování vždy souhlas, nicméně v současné době právní úprava vyžaduje, aby provozovatelé webu měli souhlas k ukládání všech cookies. Tato právní povinnost vyplývá jednak ze Směrnice o soukromí v elektronických komunikacích7, která požaduje obecné zabezpečení soukromí a dále pak konkrétněji ze zákona o elektronických komunikacích, zejména jeho ustanovení § 89 odst. 38, který má být transpozicí směrnice.

Podle současné právní úpravy má provozovatel webu povinnost upozornit uživatele na to jaké informace o něm zpracovává a rovněž mu musí nechat na úvaze, zda ke zpracování těchto informací dá svůj souhlas. Souhlas jako takový pak musí mít kvalitu souhlasu dle GDPR, tedy musí se jednat o kvalifikovaný a informovaný souhlas. To v praxi znamená, že uživatel musí mít právo se seznámit s rozsahem uchovávaných (a tedy zpracovávaných informací) a dále pak musí mít právo aktivní volby. Souhlas musí vždy být výsledkem konání uživatele, není možné spoléhat na souhlas konkludentní. V neposlední řadě pak platí i právo uživatele svůj souhlas odvolat a být zapomenut.

__________________________________________________________________

1 Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

2 Čl. 4 odst. 4 GDPR

3 UŘIČAŘ, Miroslav. Obecné nařízení o ochraně osobních údajů: komentář. V Praze: C.H. Beck, 2021. Beckova edice komentované zákony. ISBN 978-80-7400-815-3. s. 128

4 VOIGT, Paul a Axel von dem BUSSCHE. The EU general data protection regulation (GDPR): a practical guide. Cham: Springer, [2017]. ISBN 978-3-319-57958-0, s. 181

5 KUNER, Christopher, Lee A. BYGRAVE, Christopher DOCKSEY a Laura DRECHSLER, ed. The EU General Data Protection Regulation (GDPR): A Commentary. Oxford: Oxford University Press, 2020. ISBN 978–0–19–882649–1. s. 535

6 KUNER, Christopher, Lee A. BYGRAVE, Christopher DOCKSEY a Laura DRECHSLER, ed. The EU General Data Protection Regulation (GDPR): A Commentary. Oxford: Oxford University Press, 2020. ISBN 978–0–19–882649–1. s. 538

7 Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích)

8 Zákon č. 127/2005 Sb., o elektronických komunikacích, v platném znění