Profilowanie dłużników w kancelarii komorniczej w świetle RODO – czy komornik sądowy profiluje dłużników?

2 września 2019

Opublikowano przez: Natalia Stojanowska

KATEGORIA: RODO informator

Profilowanie dłużników w kancelarii komorniczej w świetle RODO[1].

Czy komornik sądowy profiluje dłużników[2]? 

 

Profilowanie stanowi szczególny rodzaj czynności, który mieści się w ogólnej definicji przetwarzania[3]. RODO definiuje „profilowanie” jako dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się[4]. Wskazany powyżej katalog ma charakter otwarty[5].

Z powyższej definicji można wywieść trzy najważniejsze przesłanki, które definiują profilowanie w ramach RODO. Po pierwsze musi to być zautomatyzowana (w sposób dowolny) czynność przetwarzania (nie może być w pełni wykonywane przez człowieka)[6]. Po drugie profilowanie musi odbywać się na danych osobowych. Po trzecie – celem profilowania musi być ocena czynników osobowych osób fizycznych na podstawie już uzyskanych danych osobowych, wyciągnięcie na ich podstawie dodatkowych danych (informacji) o konkretnej osobie. Dokonywana ocena polega na dokonywaniu analizy i wyciąganiu wniosków na przyszłość.

Przetwarzanie danych w sposób niezautomatyzowany lub dokonywane na danych, które nie stanowią danych osobowych operacji przetwarzania albo wykorzystywanie danych osobowych w innym celu niż do oceny jakichkolwiek czynników osobowych nie stanowi profilowania, o którym mowa w RODO. Nie wyłącza to jednak możliwości zakwalifikowania ich jako czynności zautomatyzowanego podejmowania decyzji[7].

Niewątpliwie profilowanie jest wykorzystywane w sektorach prywatnych tj.  marketing, finanse, bankowość, ubezpieczenia, a także w sektorach publicznych: opieka zdrowotna, polityka społeczna, podatki, czy wreszcie na potrzeby zwalczania i zapobiegania  przestępczości[8].

Niniejsza publikacja podejmuje próbę udzielenia odpowiedzi na pytanie czy komornik sądowy profiluje dłużników w rozumieniu RODO.

Jak podkreśla Grupa robocza Art. 29 istnieją trzy sposoby zastosowania profilowania:

– profilowanie dla celów ogólnych,  tzw. profilowanie zwykłe, z którym mamy do czynienia kiedy w całym procesie przetwarzania bierze udział istotny czynnik ludzki,

– podejmowanie decyzji na podstawie profilowania; sytuacje, w których system dokonuje obliczeń, ale ostateczną decyzję podejmuje człowiek,

– podejmowanie decyzji wyłącznie[9] w sposób zautomatyzowany, w tym profilowanie,
wywołujące wobec osoby, której dane dotyczą, skutki prawne lub w podobny sposób istotnie na nią wpływające (art. 22 ust. 1 RODO), tzw. profilowanie kwalifikowane; dotyczy sytuacji, gdy decyzję podejmuje system; oznacza to, że w procesie nie bierze udział człowiek lub jego udział ma charakter marginalny[10].

RODO wprowadza ogólny zakaz podejmowania decyzji w sposób zautomatyzowany (art. 22 ust. 1 RODO).  Istnieją od niego jednak wyjątki i dotyczy to sytuacji, gdy decyzja jest:

– niezbędna do wykonania lub zawarcia umowy;

– dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą; lub

– opiera się na wyraźnej zgodzie osoby, której dane dotyczą.

Szerszy kontekst przetwarzania, o którym mowa w art. 22 ust. 2 lit. b) RODO przedstawia motyw nr 71 RODO, zgodnie z którym przetwarzanie opisane w art. 22 ust. 1 RODO „[…] powinno być dozwolone, w przypadku gdy jest to wyraźnie dopuszczone prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, w tym do celów monitorowania i zapobiegania – zgodnie z uregulowaniami, standardami i zaleceniami instytucji Unii lub krajowych podmiotów nadzorujących – oszustwom i uchylaniu się od podatków oraz do zapewniania bezpieczeństwa i niezawodności usług świadczonych przez administratora […]”[11].

Nie wchodząc w analizę statusu komornika sądowego, prima facie do komornika jako organu  władzy publicznej może mieć zastosowanie wyjątek, o którym mowa w lit. b powyżej. W kontekście kryterium podstawy prawnej w polskich przepisach dotyczących bezpośrednio profilowania wprowadzono m.in. zmiany w prawie bankowym, ustawie o ubezpieczeniach obowiązkowych, ustawie o Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych, w prawie telekomunikacyjnym, w ustawie o działalności ubezpieczeniowej i reasekuracyjnej, Ordynacji podatkowej, ustawy o transporcie drogowym, ustawie o Krajowej Administracji Skarbowej[12]. Ustawa wprowadzająca RODO w zakresie automatycznego podejmowania decyzji, w tym profilowania nie wprowadziła żadnych zmian przepisów, na podstawie których działają komornicy sądowi.

Bardzo często profilowanie jest utożsamiane (mylone) z zautomatyzowanym podejmowaniem decyzji. Jednak nie każda czynność zautomatyzowanego przetwarzania będzie profilowaniem[13]. Zautomatyzowane podejmowanie decyzji może, ale nie musi, obejmować profilowania. Z kolei do profilowania może dochodzić bez podejmowania zautomatyzowanych decyzji. Profilowanie i zautomatyzowane podejmowanie decyzji mogą stanowić połączone działania (traktowane jako jedną całość). Może się również zdarzyć, że czynność przetwarzania początkowo będzie miała wyłącznie charakter zautomatyzowanego podejmowania decyzji, jednak w trakcie dojdzie do przekształcenia w czynność opartą na profilowaniu[14].

Oprócz tego istnieje diametralna różnica pomiędzy podejmowaniem decyzji na podstawie profilowania a podejmowaniem decyzji wyłącznie w sposób zautomatyzowany, w tym profilowanie, wywołujące wobec osoby, której dane dotyczą, skutki prawne lub w podobny sposób istotnie na nią wpływające. Różnicę pomiędzy nimi można zilustrować na poniższych przykładach:

– decyzja o umorzeniu postępowania egzekucyjnego jest podejmowana przez komornika sądowego na podstawie profilu dłużnika utworzonego za pomocą systemów informatycznych wspierających pracę kancelarii komorniczej,

– decyzja o umorzeniu postępowania egzekucyjnego jest podejmowana za pomocą systemu (a dokładniej algorytmu) i jest ona automatycznie przekazywana stronie postępowania, nie podlega wcześniej żadnej (znaczącej) ocenie przez komornika sądowego.

Poczynione powyżej uwagi należy odnieść do komornika sądowego. Postępowanie egzekucyjne prowadzone jest w celu przymusowego zaspokojenia wierzytelności wierzyciela wynikającej z tytułu wykonawczego. W trakcie postępowania komornik sądowy ustala i analizuje stan majątkowy dłużnika, stan jego wypłacalności celem podjęcia określonych czynności.

Coraz częściej w kancelariach komorniczych wykorzystywane są systemy informatyczne wspierające pracę komorników sądowych. Aby jednak można było mówić o profilowaniu w procesie przetwarzania musi powstać efekt w postaci oceny niektórych czynników osobowych, które to wnioski zostaną wykorzystane na przyszłość. Ciężko zgodzić się z twierdzeniem, że komornik tworzy profile dłużnika na przyszłość. Komornik tworzy, analizuje sytuację ekonomiczną w danej sprawie egzekucyjnej. Może się zdarzyć, przy wielości prowadzonych spraw egzekucyjnych przeciwko jednemu dłużnikowi, że zgromadzone dane będą wykorzystywane we wszystkich sprawach. Niemniej jednak każda sprawa egzekucyjna prowadzona jest na podstawie indywidualnego wniosku egzekucyjnego złożonego przez wierzyciela. Gestorem postępowania jest wierzyciel, komornik podejmuje czynności na jego wniosek w graniach określonych przepisami prawa.

W postępowaniu egzekucyjnym decyzje zostają podjęte  przez osobę, która ma odpowiednie uprawnienia i zdolność do zmiany decyzji, po przeprowadzeniu oceny – przeglądu wszystkich właściwych danych znajdujących się w aktach sprawy oraz uwzględnieniu innych czynników w sposób nie zautomatyzowany lub częściowo zautomatyzowany – przy zastosowaniu systemów wspierających pracę w kancelarii komorniczych. Może się zatem okazać, że w dwóch różnych postępowaniach egzekucyjnych, na podstawie tych samych danych osobowych o dłużniku, zapadną dwie zupełnie różne decyzje. Nie można jednak wykluczyć, że analizy dokonane w uprzednio prowadzonych sprawach egzekucyjnych pomagają w zakwalifikowaniu danej osoby do określonej kategorii (np. kategorii dłużników niewypłacalnych, co do których należy wydać postanowienie o umorzeniu egzekucji z uwagi na jej bezskuteczność). Należy jednak odróżnić profilowanie od zbierania i analizowania danych. Są to dwa różne cele[15]. W praktyce granica między profilowaniem a zbieraniem i analizowaniem danych może być trudno uchwytna.

W postępowaniu egzekucyjnym każdorazowo przy podejmowaniu decyzji ma miejsce istotna interwencja ludzka. Tym samym komornik sądowych nie podejmuje decyzji w sposób, o którym mowa w art. 22 ust. 1 RODO[16].

 

r.pr. Natalia Stojanowska

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE. L 2016 Nr 119 ze zm.), dalej jako „RODO” lub „rozporządzenie”.

[2] Niniejsza publikacja odnosi się do profilowania w rozumieniu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE. L 2016 Nr 119 ze zm.).  i nie obejmuje analizy specyfiki profilowania i zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach w kontekście dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW. Na temat profilowania i zautomatyzowanego podejmowania decyzji w indywidulanych przypadkach w kontekście dyrektywy 2016/680 zob. Opinia dotycząca niektórych głównych zagadnień dyrektywy (UE) 2016/680 dotyczącej egzekwowania prawa, https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=610178, 08.05.2019 r.

[3] Przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (art. 4 pkt 2 RODO).

[4] Ogólne rozporządzenie jest pierwszym aktem prawa unijnego, który zawiera legalną definicję profilowania (M. Czerniawski, komentarz do art. 4 pkt 4 [w:] RODO. Ogólne Rozporządzenie o ochronie danych osobowych. Komentarz. red. E. Bielak – Jomaa, D. Lubasz, Wolters Kluwer 2018, s. 200.

[5] Wynika to z użytego w definicji określenia „w szczególności”.

[6] W art. 4 pkt 4 jest mowa o „dowolnej formie zautomatyzowanego przetwarzania”, a nie o „wyłącznie” zautomatyzowanym przetwarzaniu (o którym mowa w art. 22). Profilowanie musi obejmować pewną formę zautomatyzowanego przetwarzania – interwencja ludzka nie musi jednak powodować, że dane działanie wykracza poza definicję profilowania (Wytyczne w sprawie zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania do celów rozporządzenia 2016/679/UE, s. 7, https://uodo.gov.pl/pl/10/11, 08.05.2019r.); Jak wskazuje zawarta w art. 4 pkt 4 RODO definicja nie wymaga, aby profilowanie było całkowicie automatyczne. Przedmiotowe profilowanie, w przeciwieństwie do profilowania, o którym mowa w art. 22 RODO, nie wyklucza obecności tzw. czynnika ludzkiego w procesie profilowania (tak M. Kibil [w:]RODO Przewodnik ze wzorami, pod red. M. Gawroński, Wydawnictwo C.H. Beck 2018, s. 248-249).

[7] Tak M. Kibil [w:]RODO Przewodnik ze wzorami, pod red. M. Gawroński, Wydawnictwo C.H. Beck 2018, s. 248.

[8] J. Niklas, Profilowanie w kontekście ochrony danych osobowych i zakazu dyskryminacji, s. 4-6; Wytyczne w sprawie zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania do celów rozporządzenia 2016/679/UE, s. 5, https://uodo.gov.pl/pl/10/11, 08.05.2019 r.

[9] Zawarta w art. 4 pkt 4 RODO definicja profilowania odnosi się do dowolnej formy, a nie wyłącznej formy profilowania.

[10] Wytyczne w sprawie zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania do celów rozporządzenia 2016/679/UE, s. 8, https://uodo.gov.pl/pl/10/11, 08.05.2019 r.; por. T. Osiej, M. Czarnecki [w:] RODO w 15 krokach, Wydawnictwo C.H. Beck 2018, s. 39.

[11] Wytyczne w sprawie zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania do celów rozporządzenia 2016/679/UE, s. 41, https://uodo.gov.pl/pl/10/11, 08.05.2019 r.

[12] Zob. ustawę z dnia 21 lutego 2019 r. o zmianie niektórych ustaw z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. z 2019 r., poz. 730), dalej jako „Ustawa wprowadzająca RODO” oraz uzasadnienie do projektu tej ustawy, druk sejmowy nr 3050, http://www.sejm.gov.pl/sejm8.nsf/druk.xsp?nr=3050, 09.05.2019 r.

[13] M. Czerniakowski jako przykład podaje, że automatyczne rejestrowanie czasu pracy będzie stanowiło profilowanie dopiero wtedy, gdy administrator będzie dokonywał oceny tych danych np. przy przyznawaniu nagród pracowniczych (M. Czerniawski, komentarz do art. 4 pkt 4 [w:] [w:] RODO. Ogólne Rozporządzenie o ochronie danych osobowych. Komentarz. Red. E. Bielak – Jomaa, D. Lubasz, Wolters Kluwer 2018, s. 202).

[14] Wytyczne w sprawie zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania do celów rozporządzenia 2016/679/UE, s. 8 -9, https://uodo.gov.pl/pl/10/11, 08.05.2019 r.

[15] tak M. Kibil [w:]RODO Przewodnik ze wzorami, pod red. M. Gawroński, Wydawnictwo C.H. Beck 2018, s. 250,253).

[16] Inaczej A. Krasińska, która uważa, że komornik przetwarza dane osobowe na podstawie art. 22 ust. 1 RODO. W ocenie Autorki, informowanie o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, nie dotyczy komorników sądowych. Zastosowanie art. 22 ust. 1 Rozporządzenia 2016/679 przez komornika sądowego jest wyłączone przez owo Rozporządzenie w art. 22 ust. 2 pkt b) (A. Krasińska, O czym informuje komornik sądowy. Obowiązek informacyjny przewidziany w Rozporządzeniu 2016/679, RODO Informator z dnia 5 lipca 2018 r., https://www.currenda.pl/2018/07/o-czym-informuje-komornik-sadowy-obowiazek-informacyjny-przewidziany-w-rozporzadzeniu-2016679/, 09.05.2019 r.

Zobacz pełny artykuł