Profiling: ξεκαθαρίζοντ τας το τοπίο

Profiling: ξεκαθαρίζοντ τας το τοπίο Profiling: Setting Things Straight Βασιλική Χρήστου, Δ.Ν. KLC Law Firm ΗΜΕΡΙΔΑ ΕΛΛΗΝΟ-ΑΜΕΡΙΚΑΝΙΚΟΥ ΕΠΙΜΕΛΗΤΗΡΙΟΥ 21.11.2017 The New GDPR Legal and Practical Dimensions

Profiling αμόρφωση/ ατάρτιση προφίλ Γενική κατανόηση: μια μέθοδος παρακολούθησης των δεδομένων ομάδων ανθρώπων και διασταύρωσής τους βάσει κριτηρίων που φτιάχνουν ένα προφίλ, με σκοπό να επιτευχθούν κυρίως σκοποί εγκληματικής πρόληψης ή διακρίβωσης και εμπορικής προώθησης Εν τοις πράγμασι: Το Profilingσυχνά συνδυάζεται με πλήρως ή εν μέρει αυτοματοποιημένη λήψη απόφασης. Το Profilingσυχνά βασίζεται σε χρήση δεδομένων που συλλέγονται κατά τη χρήση ηλεκτρονικών επικοινωνιών (cookies). As generally understood: A technique of mass data surveillance of groups of people, and search of the data to match individuals to a profile, basically for the purposes of crime prevention or detection as well as of commercial advertising For a fact: Profiling often overlaps with partially or solely automated decision making. Profiling is often based on electronic communication data (cookies).

Directive 95/46/EC Καμία αναφορά στην έννοια του Profiling Άρθρο 15 για την αυτοματοποιημένη η λήψη απόφασης Δικαίωμα στην ανθρώπινη παρέμβαση No reference to the notion of Profiling Article 15 on Automated Decision Making A Right to Human Intervention

eprivacy Directive Εφαρμόζεται μόνο στους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών Άρθρο 5 παρ. 1 : απαγόρευση παρακολούθησης των δεδομένων κίνησης, αλλά και κάθε πληροφορίας που σχετίζεται με την παροχή της υπηρεσίας της επικοινωνίας, χωρίς τη συγκατάθεση του χρήστη Γνώμη 2/2010 WP 29 για τη συμπεριφορική διαφήμιση: α) χρονικά περιορισμένη συγκατάθεση στη χρήση cookies, β) εύκολα ανακλητή, γ) να είναι ορατή η ανίχνευση στον χρόνο που συμβαίνει Applicable only on providers of telecommunication services Article 5 par. 1: prohibition of tracking traffic data, and any information related to the provision of the communication service, without consent WP 29 Opinion 2/2010on behaviouraladvertising: a) limit in time the scope of the consent to cookies b) offer the possibility to revoke consent easily c) display visible tools where monitoring takes place

ofiling in the GDPR Άρθρο 4 περ. 4: αυτοματοποιημένη επεξεργασία με σκοπό την ανάλυση ή την πρόβλεψη για την απόδοσ ση στην εργασία, την οικονομική κατάσταση, την υγεία, τη συμπεριφορά, τα ενδιαφέροντα κλπ Article 4 (4): automated processing to analyze or predict performance at work, economic situation, health, behavior, preferences etc

GDPR: nditions for Lawful General Profiling Profiling χωρίς ή σε συνδυασμό με σχετική λήψη απόφασης συγκατάθεση και ειδικότητα του σκοπού άνευ συγκατάθεσης,εάν το profiling είναι αναγκαίο: για την εκτέλεση σύμβασης για τη συμμόρφωση σε νομική υποχρέωση για την προστασία ζωτικών συμφερόντων για την άσκηση δημόσιας εξουσίας για θεμιτό συμφέρον του υπευθύνου επεξεργασίας Profiling with or without decision making based on it consent and purpose limitation (what further use would the data subject reasonably expect?) without consent, if necessary for the performance of a contract for compliance with a legal obligation to protect vital interests for the performance of a public task for the legitimate interests of the controller

GDPR: ohibition of utomated Decision Making, Including Profiling Λήψη απόφασης βάσει αποκλειστικά αυτοματοποιημένης επεξεργασίας σε συνδυασμό με profiling (άρθρο 22): απαγορεύεται, εφόσον έχει νομικές ή παρόμοιας βαρύτητας συνέπειες πρέπει να μεσολαβεί στάδιο ουσιαστικής αξιολόγησης περαιτέρω στοιχείων κατ εξαίρεση επιτρέπεται, εάν υπάρχει συγκατάθεση (ρητή για ευαίσθητα δεδομένα), ή είναι απολύτως αναγκαίο για την εκτέλεση σύμβασης ή επιβάλλεται από τη νομοθεσία της Ένωσης ή κράτους μέλους (απάτη, φοροδιαφυγή) η εξαίρεση από την απαγόρευση δεν εφαρμόζεται στα παιδιά Solely automated decision making, including profiling (Art. 22) prohibited, when the decision has legal or similarly significant effect a meaningful review of further elements has to take place exceptionally permitted, in case of consent (explicit consent for sensitive data) or if the decision is absolutely necessary for the performance of a contract or if authorized by Union or Member law for reasons of public interest (fraud, tax evasion) exception not applicable on children

ights of the ta Subject in General Profiling - ansparency Profiling χωρίς ή σε συνδυασμό με σχετική λήψη απόφασης δικαίωμα ενημέρωσης για τη λογική της επεξεργασίας, αλλά και για τις συνέπειες της επεξεργασίας / το profilingκαι η λήψη απόφασης ως δύο διακριτοί σκοποί επεξεργασίας/ ενημέρωση για την τήρηση των αρχικών δεδομένων, αλλά και των δεδ δομένων που παράγονται από το profiling δικαίωμα πρόσβασης δικαίωμα διόρθωσης : επιθυμητή η online application για απευθείας διόρθωση από το υποκείμενο, διόρθωση τόσο στα αρχικά δεδομένα όσο και στα δεδομένα που παράγονται Profiling with or without decision making based on it right to be informed about the logic and the consequences of processing/ information about data collected and data derived right to access right to rectification : WP encourages online application for remote access and correction by the data subject / correction of both input and output data

ights of the ta Subject in General Profiling - ansparency Profiling χωρίς ή σε συνδυασμό με σχετική λήψη απόφασης δικαίωμα αντίρρησης : ευδοκιμεί άμεσα, εάν η επεξεργασία βασίζεται στη συγκατάθεση (π.χ. ευαίσθητα δεδομένα) -η άσκηση του δικαιώματος λειτουργεί ως ανάκληση ευδοκιμεί μετά από στάθμιση, εάν η επεξεργασία εξυπηρετεί σοβαρό κοινωνικό συμφέρον ευδοκιμεί άμεσα, εάν η επεξεργασία αφορά σε άμεση εμπορική προώθηση Profiling with or without decision making based on it Right to object : immediately successful, if processing is legitimate only upon consent (exercising the right is actually a revoke of the consent) successful, only after balancing against a compelling state interest Immediately successful, if processing concerns direct marketing

ights of the ta Subject in utomated Decision Makingansparency Λήψη απόφασης βάσει αποκλειστικά αυτοματοποιημένης επεξεργασίας σε συνδυασμό με profiling (Άρθρο 22) Δικαίωμα αντίρρησης: ευδοκιμεί άμεσα σε περίπτωση απαγορευμένης επεξεργασίας εάν η απολύτως αυτοματοποιημένη επεξεργασία είναι κατ εξαίρεση επιτρεπτή, δίδεται δικαίωμα προσφυγής ώστε να παρεμβληθεί ανθρώπινη παρέμβαση εκ των υστέρων (ουσιώδης επανεξέταση από αρμόδιο και ικανό πρόσωπο) Solely automated decision making, including profiling (Art. 22) Right to object : immediately successful,if processing is prohibited if automated decision making is exceptionally permitted, there is a right to request ex post human intervention at decision making (meaningful review of the decision / a reviewer with capability and authority)

DPIA - countability Η Μελέτη Αντικτύπου απαιτείται για επεξεργασίες που ενδέχεται να επιφέρουν υψηλό κίνδυνο (Άρθρο 35) Η εποπτική αρχή εξουσιοδοτείται να καταρτίσει κατάλογο με τα είδη επεξεργασίας που υπόκεινται στην υπ ποχρέωση αυτήν. Ήδη ο GDPR ορίζει ότι το Profiling που συνδέεται με τη λήψη απόφασης (όχι απαραίτητα αυτοματοποιημένης) υπόκειται στην υποχρέωση αυτήν. DPIA is requested for processing likely to result in a high risk (Art. 35) Supervisory Authority is delegated to make a list of the kind of processing operations subject to such an obligation. GDPR already provides that systematic profiling leading to decision making (not necessarily automated) is subject to the DPIA obligation.

hy is all this portant for the extra territorial plication of he GDPR? Όπως ήδη αναφέρθηκε, το Profiling συχνά συνδέεται με τη χρήση δεδομένων που παράγονται από τη χρήση ηλεκτρονικών επικοινωνιών και συλλέγονται με cookies, έχει δε σκοπό την εμπορική προώθηση. Επέκταση του εδαφικού πεδίου εφαρμογής του GDPR (Άρθρο 3) Εξαίρεση από τον κανόνα της εγκατάστασης στην Ένωση του Υπευθύνου ή Εκτελούντος την επεξεργασία, εφόσον το υποκείμενο των δεδομένων βρίσκεται στην Ένωση η επεξεργασία συνδέεται με προσφορά αγαθών ή υπηρεσιών η επεξεργασία αφορά παρακολούθηση συμπεριφοράς εντός της Ένωσης As already mentioned, Profiling often occurs in relation to communication data, collected by cookies, with the purpose of marketing. Expanding the territorial scope of the GDPR (Article 3) GDPR applies even if neither the Controller nor the Processor are established in the Union, so long as the data subject is in the Union processing relates to the offering of goods or products processing relates to monitoring of behavior taking place in the Union

nticipating the new eprivacy egulation Ο νέος Κανονισμός eprivacy θα έχει μεγάλη σημασία για το Profiling, γιατί θα επαναπροσδιορίσειι το πλαίσιο θεμιτής χρήσης των cookies. Με βάση την πρόταση Κανονισμού, αυτός θα εφαρμόζεται όχι μόνον στους παρόχους ηλεκτρονικής επικοινωνίας, αλλά και σε όσους στέλνουν απευθείας εμπορικές επικοινω ωνίες ή αποθηκεύουν λογισμικό στο τερματικό των χρηστών. Σε όποιες περιπτώσεις είναι τεχνικά δυνατόν, η συγκατάθεση στα cookies θα μπορεί να εκφράζεται μέσα από τις τεχνικές ρυθμίσεις στον browser κατά την εγκατάστασή του. New eprivacyregulation will be of great importance for Profiling, as it is expected to set new rules on the use of cookies. According to the Proposal, the new eregulationshall be applicable not only to providers of electronic communication services, but also to anyone sending direct marketing commercial communication or collect information related to or stored in end-users terminal equipment. Where technically possible, consent may be expressedby using the appropriate technical settings of a browser.

onclusions.είναι σαφές ότι το Profiling εμπίπτει πλέον στο νομικό πλαίσιο της προστασίας προσωπικών δεδομένων και συγκαταλέγεται μεταξύ των επεξεργασιών υψηλού ρίσκου. Τίθενται αναλυτικοί κανόνες και αναμένονται από τοwp περαιτέρω πρακτικές διευκρινίσεις για τις υποχρεώσεις διαφάνειας. It is made clear that profiling falls within the scope of the data protection regulation and it is also classified as a processing involving high risk. Quite detailed rules are set, whereas WP is expected to issue more practical guidelines on transparency obligations.

Ημερίδα Ελληνομερικανικού ιμελητηρίου 21.11.2017 e new GDPR Legal and Practical Dimensions Σας ευχαριστώ για την προσοχή σας. Thank you for your attention.