L'article 4 du RGPD définit le profilage comme :
Toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique.
Selon la CNIL, le profilage consiste à utiliser les données personnelles d’un individu en vue d’analyser et de prédire son comportement, comme par exemple déterminer ses performances au travail, sa situation financière, sa santé, ses préférences, ses habitudes de vie, etc.
Un traitement de profilage repose sur l’établissement d’un profil individualisé relatif à une personne : il vise à évaluer certains de ses aspects personnels, en vue d’émettre un jugement ou de tirer des conclusions sur elle.
Le profilage est lié au droit de ne pas faire l'objet d'une décision entièrement automatisée. En effet, une décision prise sur le profilage peut être réalisée dans les conditions suivantes :
- le consentement explicite,
- la décision est nécessaire à un contrat que conclu avec l’organisme,
- la décision automatisée est autorisée par des dispositions légales spécifiques.