Zgoda dziecka na przetwarzanie danych

Dzieci, które korzystają z usług internetowych, np. portali społecznościowych, są często narażone na wykorzystanie swoich danych osobowych bez ich świadomej zgody, np. w celach marketingowych. Mogą one bowiem być mniej świadome ryzyka i konsekwencji przetwarzania ich danych osobowych. 

Unijne ogólne rozporządzenie o ochronie danych osobowych (RODO) normuje m.in. przetwarzanie danych osobowych dzieci w ramach świadczenia usług społeczeństwa informacyjnego, jak np. korzystanie z portali społecznościowych lub kont e-mail. RODO, które od 25 maja 2018 r. ujednolici zasady ochrony danych osobowych we wszystkich państwach członkowskich UE, stanowi, że korzystanie przez dzieci poniżej 16 roku życia z usług społeczeństwa informacyjnego, a więc m.in. portali społecznościowych i innych usług internetowych, będzie możliwe dopiero po wyrażeniu lub zaaprobowaniu takiej zgody przez rodziców albo opiekunów prawnych. Przewiduje jednak, że państwa członkowskie mogą w swoim prawie ustanowić niższą granicę wiekową – musi ona jednak wynosić co najmniej 13 lat.

Dzieci są szczególnie narażone na liczne zagrożenia, gdyż świadomość ryzyka, konsekwencji, zabezpieczeń i praw przysługujących w związku z przetwarzaniem danych osobowych na ogół jest u nich niska. Z tego powodu, co zostało podniesione w ogólnym rozporządzeniu o ochronie danych osobowych, należy chronić je i ich prywatność w sposób szczególny.

W jakich przypadkach konieczne jest uzyskiwanie zgody rodzica dziecka, a kiedy wystarczy zgoda samego dziecka na przetwarzanie jego danych?

Jak wspomniano, zgodnie z unijnym rozporządzeniem, dane osobowe dzieci zasługują na szczególną ochronę, z uwagi na fakt, iż mogą być w mniejszym stopniu świadome zagrożeń, konsekwencji, gwarancji i swoich praw w odniesieniu do przetwarzania danych osobowych. W kontekście usług społeczeństwa informacyjnego oferowanych bezpośrednio dzieciom, rozporządzenie przewiduje, że zgoda na przetwarzanie danych dziecka, które nie ukończyło 16 lat, musi być wyrażona albo zaaprobowana przez osobę sprawującą władze rodzicielską lub opiekę nad dzieckiem i tylko w zakresie wyrażonej zgody. Warto również wskazać, iż państwa członkowskie mogą obniżyć próg wskazany powyżej i ustanowić niższą granicę wiekową, która musi wynosić co najmniej 13 lat.

Według RODO, które zacznie obowiązywać 25 maja 2018 r. w całej UE, w przypadku gdy dochodzi do przetwarzania danych osobowych dziecka poniżej 16 roku życia, przetwarzanie takie jest zgodne z prawem wyłącznie w sytuacji, w której rodzic lub opiekun prawny dziecka wyraził na to zgodę. RODO pozostawia państwom członkowskim UE pewną swobodę w określeniu tej granicy wiekowej, jednak nie może być ona niższa niż 13 lat. Zgodnie z projektem naszego resortu cyfryzacji, w Polsce granica ta ma wynosić 13 lat. Od tylu lat dzieci mają móc same wyrażać zgodę na wykorzystanie ich danych osobowych na potrzeby korzystania z usług społeczeństwa informacyjnego.

Tak więc, osoby poniżej 13 roku życia nie będą mogły samodzielnie wyrazić zgody (wymagana będzie uprzednia zgoda bądź niezwłoczne potwierdzenie przez przedstawiciela ustawowego). Natomiast osoby od 13 roku życia będą mogły samodzielnie wyrazić taką zgodę.

Kierując się potrzebą większej ochrony osób małoletnich, RODO reguluje więc szczególną formę zgody dziecka w stosunku do usług społeczeństwa informacyjnego. Za taką usługę uważa się każdą odpłatną usługę świadczoną na odległość, drogą elektroniczną i na indywidualne żądanie odbiorcy usług.

Trzeba odróżniać wyrażenie zgody na przekazanie danych osobowych od wyrażenia zgody na zawarcie umowy

Wielu administratorów mylnie identyfikuje obowiązek odbierania zgody rodzica zawsze, gdy usługa świadczona jest w sieci Internet. Ma on jednak zastosowanie tylko w ograniczonym zakresie - tam, gdzie podstawą przetwarzania danych jest zgoda, a nie np. umowa.

W ogromnej ilości przypadków podstawą korzystania z usługi jest akceptacja regulaminu świadczenia usług drogą elektroniczną, np. przy zakładaniu kont na portalach społecznościowych czy zakładaniu konta e-mail. W takich przypadkach zgoda rodzica na przekazanie danych osobowych z punktu widzenia RODO nie jest wymagana, jednakże wymagana może okazać się zgoda rodzica na zawarcie umowy zgodnie z przepisami prawa cywilnego – nie ma onjednak nic wspólnego ze zmianami wynikającymi z RODO.

Jak administrator musi weryfikować zgodę rodzica?

Uzależnienie sposobu wyrażania zgody na przetwarzanie danych osobowych dzieci od ich wieku ma na celu ochronę najmłodszych przez zagrożeniami, jakie niesie cyberprzestrzeń. Rodzi to szczególne zobowiązania po stronie administratorów danych, gdyż jest to sfera szczególnie wrażliwa. Jeśli przedsiębiorca będzie zbierał dane osobowe dzieci, to winien pamiętać, że zgody, obowiązki informacyjne itd. powinny być sformułowane bardzo jasnym i prostym językiem, tak żeby dziecko mogło je bez trudu zrozumieć. 

RODO nakazuje administratorowi podjęcie rozsądnych działań w celu weryfikacji zgody lub aprobaty rodzica bądź opiekuna prawnego. Administrator może w tym celu np. wprowadzić zasadę uwierzytelniania przez inne konto, która pozwoli dziecku przesłać prośbę o zgodę do sprawdzonego konta rodzica na tym samym portalu.

Przykład:

10-letni Piotruś chce wziąć udział w konkursie internetowym na najlepszy projekt logotypu. W formularzu zgłoszeniowym trzeba podać numer telefonu, można też wyrazić zgodę na cele marketingowe. Czy organizatorzy mogą uzyskać zgodę Piotrusia na cele marketingowe?

Do udziału Piotrusia w konkursie niezbędne będzie na gruncie prawa cywilnego wyrażenie zgody przez jego rodziców. Odnośnie natomiast wyrażenia przez Piotrusia zgody na cele marketingowe, to nie będzie on mógł takiej zgody udzielić samodzielnie. Piotruś musi o to poprosić rodzica albo opiekuna prawnego. Jednakże to na administratorze ciąży obowiązek podjęcia rozsądnych starań w celu zweryfikowania, czy osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem wyraziła zgodę bądź ją zaaprobowała. Dlatego organizatorzy konkursu powinni wyświetlić komunikat z zapytaniem o wiek. Natomiast po zaznaczeniu opcji wskazującej, że Piotruś ma poniżej 16 lat (propozycja Ministra Cyfryzacji w nowym projekcie ustawy o ochronie danych osobowych obniża granicę do lat 13), powinien się wyświetlić następny komunikat, w którym zgodę na udział oraz wykorzystanie danych do celów marketingowych może wyrazić tylko rodzic lub opiekun prawny.

Pamiętaj, że:

• Jeżeli Twoja firma czy organizacja świadczy usługi drogą elektroniczną, takie jak portale społecznościowe czy poczta elektroniczna, oferowane bezpośrednio dzieciom, upewnij się, że robisz to zgodnie z wymaganiami ogólnego rozporządzenia o ochronie danych. 
• Przede wszystkim pamiętaj, że gdy podstawą przetwarzania danych jest zgoda, zgodne z prawem będzie przetwarzanie danych dziecka, które ukończyło 16 lat (ten wiek może być jeszcze obniżony do lat 13 w przepisach prawa krajowego). Będziesz zaś musiał uzyskać zgodę rodzica lub opiekuna prawnego dziecka, które nie osiągnęło jeszcze takiego wieku. Zacznij więc już teraz analizować, w jaki sposób będziesz weryfikował wiek dziecka i to, czy rodzic lub opiekun prawny wyraził zgodę na takie przetwarzanie bądź ją zaaprobował. 
• Szczególna ochrona dzieci powinna mieć również zastosowanie wtedy, gdy dane dzieci są wykorzystywane do celów marketingowych i do tworzenia profili osobowych. 
• Za każdym razem zwracaj szczególną uwagę, żeby wszelkie informacje i skierowane do nich komunikaty były formułowane jasnym i prostym językiem, tak aby dziecko mogło je bez trudu zrozumieć.

Podstawa prawna:

• rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; RODO; Dziennik Urzędowy Unii Europejskiej L z 2016 r. nr 119, str. 1) - motywy preambuły 38, 58, 65 oraz art. 4 pkt 25, art. 8, art. 12 ust. 1, art. 40 ust. 2 pkt g.

A.J.
Zespół e-prawnik.pl