Профилирование

Что это значит

Профилирование по регламенту GDPR - любая форма автоматизированной обработки персональных данных, при которой оцениваются личные аспекты человека, прежде всего для анализа или прогнозирования его работы, имущественного положения, здоровья, личных предпочтений, интересов, надёжности, поведения, местоположения или перемещений. Ключевое здесь - оценка, а не просто сбор данных.

Само по себе профилирование не запрещено. Это обычная часть маркетинга, кредитной оценки, предотвращения мошенничества и работы с персоналом. Но оно должно иметь правовое основание, например законный интерес или согласие, и фирма должна прозрачно информировать о нём субъектов данных. Человек вправе возразить против профилирования в маркетинговых целях.

Более строгие правила действуют для решений, основанных исключительно на автоматизированной обработке, включая профилирование, которые порождают для человека правовые последствия или так же существенно на него влияют, например автоматический отказ в кредите или в приёме на работу. Такое решение допустимо лишь в исключительных случаях, и человек имеет право на вмешательство человека, изложение своей позиции и оспаривание решения.

Как это работает на практике

В маркетинге профилирование используют при сегментации клиентов, персональных рекомендациях, лид-скоринге и автоматизированных кампаниях. Фирма должна указать в политике конфиденциальности, какие данные использует для профилирования, с какой целью и как человек может возразить. Для таргетированной рекламы через cookies нужно согласие.

При масштабном или чувствительном профилировании нужно провести оценку воздействия на защиту данных. Она обязательна прежде всего при систематической и масштабной оценке личных аспектов, на которой основаны решения со значительными последствиями, или при профилировании уязвимых лиц. Оценка помогает выявить риски до запуска системы.

В работе с персоналом профилирование встречается при автоматической сортировке резюме, оценке эффективности или мониторинге сотрудников. Здесь нужна повышенная осторожность, поскольку сотрудник находится в более слабом положении и согласие часто не является свободным. Для инструментов с искусственным интеллектом нужно учитывать и правила европейского акта об ИИ.

На что обратить внимание

Самая частая ошибка - фирма профилирует, не осознавая этого, например через аналитические и рекламные инструменты третьих сторон. Если она передаёт данные рекламным платформам, то становится совместно ответственной за их использование. Понимание того, куда уходят данные и как их оценивают, - основа соответствия GDPR.

Осторожно с искажениями и дискриминацией. Алгоритм, обученный на исторических данных, может непреднамеренно ставить в невыгодное положение определённые группы, например по возрасту, полу или месту жительства. При решениях, влияющих на людей, результаты нужно регулярно проверять и иметь порядок исправления ошибочного решения.