Ochrona danych osobowych dzieci w świetle RODO
Dziecko, jako osoba niesamodzielna i w wielu przypadkach nieporadna, jest szczególnie chronione na gruncie RODO. Motyw 38 RODO przesądza o tym, że taka szczególna ochrona powinna być zapewniona zwłaszcza wtedy, gdy dane osobowe dzieci są wykorzystywane „do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich”.
Motyw 58 RODO nakłada na administratorów, którzy przetwarzają dane osobowe dzieci, zwiększone wymogi w zakresie przejrzystości: „komunikaty (…) powinny być sformułowane tak jasnym i prostym językiem, by dziecko mogło je bez trudu zrozumieć”.
Również art. 6 ust. 1 lit. f RODO wprost wskazuje, że możliwe jest przetwarzanie danych osobowych na podstawie prawnie uzasadnionego interesu administratora lub osoby trzeciej, jednak „z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem”.
Problemy powoduje już sama interpretacja art. 6 ust. 1 lit. f RODO. Czy fragment „w szczególności gdy osoba, której dane dotyczą, jest dzieckiem” oznacza zakaz przetwarzania danych osobowych dzieci, ponieważ ich prawa i wolności są uznawane za nadrzędne wobec prawnie uzasadnionych interesów administratora? A może jednak przepis ten trzeba traktować jako przesłankę do stwierdzenia, że w przypadku dzieci taka nadrzędność jest uznawana za szczególnie prawdopodobną?
Przetwarzanie danych osobowych dzieci na podstawie prawnie uzasadnionego interesu – to możliwe!
Projekt wytycznych 1/2024 Europejskiej Rady Ochrony Danych z pewnością pomaga w przesądzeniu jednej kwestii – wprost wskazuje, że jest dopuszczalne przetwarzanie danych osobowych dzieci na podstawie prawnie uzasadnionego interesu. Takie rozstrzygnięcie daje administratorom możliwość przetwarzania danych osobowych dzieci bez konieczności uzyskania dodatkowego oświadczenia, jakim jest zgoda.
Warto przy tym pamiętać, że wymóg uzyskania zgody – oprócz tego, że jest dla administratora sposobem na realizację obowiązku wynikającego z RODO – pełni również funkcję uświadamiającą. Osoba, która zgodę wyraża, musi podjąć własną aktywność, przez co w pewien sposób bierze na siebie odpowiedzialność za konsekwencje przetwarzania danych. Towarzyszy temu element psychologiczny: jeśli wyrażam zgodę, to znaczy, że akceptuję sposób przetwarzania, który może wiązać się z podjęciem ryzyka, a w efekcie – przyjęciem niższego poziomu ochrony.
Oczywiście uzyskanie zgody nie oznacza, że administrator może postępować z danymi osobowymi lekkomyślnie. Z dużym prawdopodobieństwem można jednak stwierdzić, że skoro zdecydował się na pobieranie zgody, to ocenił on relacje, jakie zachodzą między jego własnymi interesami a interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą, i okazało się, że analiza ta wypadła dla niego niekorzystnie. Gdyby było inaczej, mógłby przecież oprzeć przetwarzanie na art. 6 ust. 1 lit. f RODO.
Moment wyrażania zgody jest zatem dobrą okazją do zastanowienia się, czy rzeczywiście chcemy obdarzyć administratora zaufaniem i powierzyć mu swoje dane. Dodatkowo sama czynność udzielenia zgody wymaga od nas podjęcia kolejnego działania, a na to wcale nie musimy mieć ochoty (szczególnie że współcześnie mamy skłonność do ułatwiania sobie najprostszych aktywności).
Prawnie uzasadniony interes jako podstawa przetwarzania – zawsze jest „ale”…
Przetwarzanie danych osobowych dzieci na podstawie prawnie uzasadnionego interesu to miecz obosieczny. Za niekorzystne z punktu widzenia administratora należy z pewnością uznać ryzyko, jakie musi on podjąć, gdy zestawia własne (lub strony trzeciej) prawnie uzasadnione interesy z interesami lub podstawowymi prawami i wolnościami dziecka.
Jasne jest, że administrator musi przeprowadzić test równowagi interesów – dotyczy to zamiaru przetwarzania danych osobowych zarówno dzieci, jak i dorosłych. Jednak brak precyzyjnych i bardziej rygorystycznych wymogów w odniesieniu do danych dzieci wprowadza zamęt i zwiększa ryzyko administratora. Zgodnie z zasadą rozliczalności to na administratorze ciąży obowiązek wykazania, że:
- przeprowadził taki test oraz
- oparł go na odpowiednich kryteriach – które w przypadku przetwarzania danych osobowych dziecka pozostają szczególnie trudne do zdefiniowania.
Po stronie administratora znacząco rośnie zatem ryzyko, że organ nadzorczy uzna przeprowadzony przez niego test za nieprawidłowy. Organ mógłby na przykład ocenić, że administrator przyjął zbyt łagodne kryteria, niepozwalające na zapewnienie wystarczającego poziomu ochrony danych osobowych dziecka.
Test równowagi w odniesieniu do danych dzieci – niejasne wskazówki Europejskiej Rady Ochrony Danych
Projekt wytycznych 1/2024 Europejskiej Rady Ochrony Danych wskazuje, że w przypadku przetwarzania danych osobowych dzieci test równowagi powinien zostać skalibrowany na nowo. I jest to wniosek dość oczywisty, biorąc pod uwagę, że przetwarzanie danych osobowych dzieci uznaje się za przypadek wymagający szczególnego podejścia w odniesieniu do zestawiania praw i wolności dziecka z interesami administratora.
Niestety trzeba stwierdzić, że z punktu widzenia administratora niewiele mówią patetyczne odwołania Europejskiej Rady Ochrony Danych do Karty praw podstawowych Unii Europejskiej. Trudno ustalić na ich podstawie zasady dostosowywania testu równowagi w przypadku zamiaru przetwarzania danych dzieci. Europejska Rada Ochrony Danych – w myśl postanowień zawartych w Karcie – podkreśla konieczność kierowania się dobrem dziecka we wszelkich działaniach. Jednocześnie wskazuje, że chociaż nie zawsze prawa i wolności dziecka będą przeważać nad interesem administratora, to w wielu przypadkach właśnie one będą miały decydujące znaczenie.
Już w odniesieniu do kwestii testu równowagi można zauważyć, jak nieostrymi pojęciami operuje Europejska Rada Ochrony Danych. Ponadto zalecenie analizy case-by-case wydaje się dość oczywiste, chociaż warto zaznaczyć, że do jej przeprowadzenia potrzebny jest zestaw narzędzi, które pozwalałyby w jakikolwiek sposób zobiektywizować proces takiej oceny.
Bardzo problematyczne jest także enigmatyczne odwołanie się przez Europejską Radę Ochrony Danych do zbieżności interesów administratora i dziecka. Na podstawie wytycznych trudno ustalić, czy ta zbieżność będzie warunkiem powstania prawnie uzasadnionego interesu po stronie administratora, przykładem powstania takiego interesu czy okolicznością sprzyjającą jego powstaniu.
Wątpliwości budzi również podpowiedź Europejskiej Rady Ochrony Danych, w myśl której co do zasady konflikt interesów powinien zakończyć się odwołaniem do uprzywilejowanej pozycji dziecka i zaniechaniem przetwarzania na podstawie art. 6 ust. 1 lit. f RODO. Trzeba zaznaczyć, że taki wniosek jest nieuprawniony na gruncie wskazanego przepisu. Szczególna ochrona nie oznacza zakładania a priori, że ryzyko przetwarzania danych jest nieakceptowalne. Konflikt powinien skutkować analizą interesów obu stron, opartą na zobiektywizowanych kryteriach, a następnie – ustaleniem, czy przetwarzanie jest dopuszczalne.
Administratorom trudno zatem będzie odnaleźć się w całej mozaice nieostrych pojęć używanych przez Europejską Radę Ochrony Danych. I nie ułatwia tego skądinąd trafny wniosek, że podejście do przetwarzania danych dzieci powinno być dostosowane do grup wiekowych, z którymi administrator ma do czynienia.
Nadrzędny interes dzieci – owszem, ale co z interesem administratora
Jak już wspomniano, celem RODO jest ochrona osób fizycznych w związku z przetwarzaniem ich danych osobowych. Jednak regulacje są nieprecyzyjne, a odnoszące się do nich wytyczne nie dostarczają wyczerpujących wyjaśnień. To niestety może negatywnie wpływać na ochronę, którą te przepisy miały zapewniać, w szczególności w odniesieniu do dzieci.
Niepewność co do interpretacji wymogów RODO może prowadzić do dwóch skrajnych zachowań administratorów. Część z nich podejmie ryzyko – nawet w sytuacjach, które wymagałyby zachowania ostrożności i zrezygnowania z przetwarzania danych. W efekcie będą oni przetwarzać dane osobowe na podstawie prawnie uzasadnionego interesu – z narażeniem praw i wolności dzieci. Natomiast inni administratorzy będą działać zbyt zachowawczo – zaniechają przetwarzania danych osobowych na podstawie prawnie uzasadnionego interesu, mimo że mogliby to zrobić w sposób względnie bezpieczny, przez co utrudnią sobie osiąganie założonych celów.
Obie te sytuacje łączy kwestia niepewności prawa, która podaje w wątpliwość istnienie systemu opartego na rządach prawa. Problem ten drastycznie wpływa na zwiększenie ryzyka nałożenia kar na administratorów za przetwarzanie danych osobowych niezgodnie z RODO. Trudno powiedzieć, jak ukształtują się linie orzecznicze poszczególnych organów. Pierwsi ukarani będą zaś ofiarami niejasności przepisów.
Podsumowanie
Warto zaznaczyć, że sam fakt powstania wytycznych Europejskiej Rady Ochrony Danych zasługuje na pozytywną ocenę. Wymagają one jednak dopracowania. Szczególnie pożądane byłoby wskazanie przez Europejską Radę Ochrony Danych większej liczby przykładów, w których uznaje ona przetwarzanie danych osobowych dzieci za dopuszczalne. Wytyczne nabrałyby również znacznie większej wartości, gdyby zawierały konkretne informacje (wraz z przykładami) o zakresie i sposobie przeprowadzania „udoskonalonego” testu równowagi, który będzie uwzględniał ochronę praw i wolności dzieci w sposób satysfakcjonujący z punktu widzenia zarówno Europejskiej Rady Ochrony Danych, jak i samego RODO.
