W myśl ogólnego rozporządzenia o ochronie danych, które zacznie obowiązywać we wszystkich krajach Unii Europejskiej od 25 maja 2018 r. każdej osobie, której dotyczą przetwarzane dane, będzie przysługiwać prawo sprzeciwu wobec ich przetwarzania. Prawo to przysługiwać będzie nawet, jeżeli dane osobowe przetwarzane będą zgodnie z prawem, także gdy ich przetwarzanie będzie niezbędne do wykonywania zadań realizowanych w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub ze względu na prawnie uzasadniony interes administratora bądź strony trzeciej.
W tym trzecim przypadku administrator danych będzie musiał także wykazać, że jego ważne i prawnie uzasadnione interesy mają charakter nadrzędny wobec interesów lub podstawowych praw osoby, której dane dotyczą.
W przypadku przetwarzania danych osobowych do celów marketingowych osoba, której dane dotyczą będzie miała prawo, w dowolnym momencie, wnieść sprzeciw wobec takiego przetwarzania (pierwotnego lub dalszego) - w tym profilowania – o ile jest ono związane z marketingiem bezpośrednim. O możliwości podjęcia takich działań osoba, której dane dotyczą, powinna być w sposób jasny i niebudzący wątpliwości poinformowana.
Nie powinno być możliwe, by wobec osoby, której dane dotyczą podejmowano decyzje rodzące wobec niej skutki prawne, lub w podobny sposób znacząco wpływające na jej status quo, na podstawie zautomatyzowanego przetwarzania danych osobowych bez ingerencji czynnika ludzkiego. Do takiego przetwarzania zalicza się profilowanie polegające na dowolnym zautomatyzowanym przetwarzaniu danych osobowych pozwalającym oceniać indywidualne cechy osoby fizycznej, a w szczególności analizować i prognozować aspekty dotyczące: efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji i zainteresowań, zachowania, aktualnego miejsca przebywania, planowanych podróży itd. itp.
Podejmowanie decyzji na podstawie takiego przetwarzania dopuszczalne będzie jednak, gdy zgodne to będzie z prawem Unii lub prawem państw członkowskiego, któremu podlega administrator, w tym do celów monitorowania i zapobiegania (zgodnie z uregulowaniami, standardami i zaleceniami instytucji Unii lub krajowych podmiotów nadzorujących) oszustwom, uchylaniu się od podatków oraz dla zapewnienia niezawodności usług świadczonych przez administratora lub gdy jest to niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą a administratorem, a także, gdy osoba, której dane dotyczą, wyrazi wyraźną zgodę.
W każdym z powyższych przypadków przetwarzanie takie powinno być odpowiednio zabezpieczone a osoba, której dane dotyczą powinna być poinformowana o jej prawach do:
- uzyskania interwencji człowieka,
- wyrażenia własnego stanowiska,
- uzyskania wyjaśnień, co do decyzji wynikającej z takiego trybu oceny,
- zakwestionowania podjętej - na podstawie takiej zautomatyzowanej procedury - decyzji.
Przetwarzanie takie nie będzie jednak dotyczyło dzieci. W pozostałych przypadkach, aby zapewnić rzetelność i przejrzystość przetwarzania danych osobowych, administrator będzie miał obowiązek zastosowania odpowiednich środków technicznych i organizacyjnych, które maksymalnie zminimalizują ryzyko błędów, zabezpieczą dane osobowe w sposób uwzględniający potencjalne ryzyko dla interesów i praw osób, których dane dotyczą, ale także zapobiegać będą skutkom w postaci dyskryminacji osób fizycznych z uwagi na ich pochodzenie rasowe lub etniczne, poglądy polityczne, wyznanie lub przekonania, przynależność do związków zawodowych, stan genetyczny, zdrowotny lub orientację seksualną.
Europejska Rada Ochrony Danych, która działać będzie na podstawie ogólnego rozporządzenia o ochronie danych będzie miała możliwość wydawania wskazówek doprecyzowujących zasady, na jakich możliwe będzie profilowanie.
