Zgodność z wymogami ÚOOÚ dotyczącymi zgody na przetwarzanie danych osobowych małoletnich

Dzieci w cyfrowym świecie: Dlaczego ich ochrona jest kluczowa dla Twojej firmy?

Wiele firm błędnie uważa, że jeśli ich usługi nie są skierowane głównie do dzieci, to surowe zasady ochrony ich danych ich nie dotyczą. Jest to jednak niebezpieczny błąd. Kluczowym kryterium, które wprowadza nowoczesne ustawodawstwo, takie jak brytyjski Kodeks Dziecięcy (Age Appropriate Design Code) czy unijny Akt o usługach cyfrowych (DSA), jest to, czy usługa jest „prawdopodobnie dostępna” dla małoletnich.

Ten standard dramatycznie rozszerza krąg firm, które muszą aktywnie zająć się tą kwestią. Dotyczy to nie tylko gier i sieci społecznościowych, ale także portali informacyjnych z forami dyskusyjnymi, e-sklepów z towarami ogólnego przeznaczenia, a nawet narzędzi B2B, z których studenci mogą korzystać w projektach szkolnych. Zakres obowiązków jest więc znacznie szerszy, niż mogłoby się wydawać na pierwszy rzut oka.

Ogólne rozporządzenie o ochronie danych (RODO)  wyraźnie stwierdza, że dzieci zasługują na szczególną ochronę, ponieważ mogą być mniej świadome ryzyk, konsekwencji i swoich praw w związku z przetwarzaniem danych osobowych. Ich psychologiczna podatność sprawia, że są bardziej wrażliwe na manipulacyjne elementy projektowe, znane jako „dark patterns”, które mogą nakłaniać je do podawania większej ilości danych niż to konieczne lub do wyboru mniej prywatnych ustawień. Długofalowe skutki nadmiernego gromadzenia danych i interakcji online na ich rozwój, w tym ryzyko uzależnień czy obniżonej empatii, są przedmiotem poważnych obaw psychologów i organów regulacyjnych.

Podstawową zasadą prawną wynikającą z tej sytuacji jest zgodność przetwarzania z prawem. Dla wielu usług online, zwłaszcza tych obejmujących marketing, personalizację lub funkcje społecznościowe, jedyną ważną podstawą prawną przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą. To właśnie tutaj pojawia się kluczowa komplikacja dla firm: zdolność dziecka do wyrażenia prawnie wiążącej zgody jest ograniczona przez prawo. Niezgodnie z prawem uzyskana zgoda oznacza, że wszelkie późniejsze przetwarzanie danych jest bezprawne, ze wszystkimi tego konsekwencjami.

Podczas gdy astronomiczne kary przyciągają największą uwagę mediów, szkody wizerunkowe mogą być dla firmy jeszcze bardziej niszczycielskie. Publiczne etykietowanie jako firma, która zaniedbuje ochronę dzieci, może prowadzić do utraty zaufania klientów, odpływu inwestorów i problemów z rekrutacją utalentowanych pracowników. 

W dzisiejszych czasach, gdy kładzie się coraz większy nacisk na społeczną odpowiedzialność biznesu, ochrona danych najbardziej podatnych użytkowników staje się kluczowym wskaźnikiem kultury i integralności firmy. Prawnicy z ARROWS pomagają firmom nie tylko odnaleźć się w skomplikowanych przepisach, ale także zrozumieć te szersze ryzyka biznesowe i wizerunkowe oraz wdrożyć procesy, które chronią zarówno użytkowników, jak i samą firmę.

Wiek cyfrowej dojrzałości: Kluczowe paragrafy, które musisz znać

Dla każdego operatora usług online absolutnie kluczowe jest poznanie dokładnej granicy wieku, od której małoletni użytkownik może samodzielnie i prawnie skutecznie wyrazić zgodę na przetwarzanie swoich danych osobowych. To właśnie w tym punkcie ogólne regulacje europejskie zderzają się z ustawodawstwem krajowym, co tworzy jedną z najczęstszych pułapek dla firm międzynarodowych i krajowych. Dokładna znajomość lokalnych przepisów jest podstawą każdego programu compliance.

Sercem europejskiej regulacji jest artykuł 8 RODO. Stanowi on, że jeżeli przetwarzanie danych osobowych opiera się na zgodzie w związku z oferowaniem usług społeczeństwa informacyjnego bezpośrednio dziecku, takie przetwarzanie jest zgodne z prawem, jeżeli dziecko ukończyło co najmniej 16 lat. Jest to domyślna zasada obowiązująca w całej Unii Europejskiej. Rozporządzenie daje jednak państwom członkowskim możliwość obniżenia tej granicy, lecz nie niżej niż do 13 lat.

Republika Czeska skorzystała z tej możliwości i ustaliła własną, specyficzną granicę wieku. Kluczowym przepisem jest tutaj § 7 ustawy nr 110/2019 Sb. o przetwarzaniu danych osobowych, który stanowi: „Dziecko nabywa zdolność do wyrażenia zgody na przetwarzanie danych osobowych w związku z oferowaniem usług społeczeństwa informacyjnego bezpośrednio jemu z chwilą ukończenia piętnastego roku życia.”.

Dla wszystkich firm działających na rynku czeskim wiążącą granicą jest zatem wiek 15 lat. Stosowanie ogólnej granicy 16 lat z RODO na terytorium Czech jest nieprawidłowe i prowadzi do niezgodnego z prawem przetwarzania danych piętnastoletnich użytkowników.

Ważne jest praktyczne zdefiniowanie, co rozumie się pod pojęciem „usług społeczeństwa informacyjnego”. Pojęcie to obejmuje szeroki zakres działań online, które zazwyczaj są świadczone za wynagrodzeniem lub zawierają przekazy komercyjne. Są to zazwyczaj sieci społecznościowe, platformy udostępniania treści, gry online, e-sklepy, usługi streamingowe, aplikacje mobilne z personalizowaną treścią czy wysyłka newsletterów marketingowych. Zasada dotycząca granicy wieku ma zastosowanie zawsze, gdy podstawą prawną przetwarzania jest zgoda.

Z kolei, jeśli przetwarzanie jest niezbędne do wykonania umowy (na przykład jednorazowy zakup w e-sklepie bez późniejszego marketingu), zgoda nie jest wymagana i te specyficzne zasady nie mają zastosowania.

Konsekwencja prawna jest jednoznaczna: jeśli dziecko ma mniej niż 15 lat, jego samodzielna zgoda jest nieważna. Aby przetwarzanie jego danych osobowych było zgodne z prawem, zgoda musi zostać wyrażona lub zaaprobowana przez osobę wykonującą władzę rodzicielską (zazwyczaj rodzica lub opiekuna prawnego).

Ta granica 15 lat nie została ustalona przypadkowo. Odzwierciedla ona dążenie czeskiego ustawodawcy do zsynchronizowania „cyfrowej dojrzałości” z innymi ważnymi kamieniami milowymi w życiu nastolatka, takimi jak nabycie ograniczonej zdolności do czynności prawnych i odpowiedzialności karnej. Nie jest to więc przypadkowa liczba, ale przemyślany wybór odzwierciedlający czeski kontekst prawny i społeczny, co potwierdza również wcześniejsza dyskusja na temat tej granicy.

Oprócz samej granicy wieku należy jednak wziąć pod uwagę również szerszą zasadę czeskiego prawa cywilnego, jaką jest „dojrzałość umysłowa” dziecka. Nawet jeśli piętnastoletni użytkownik może już samodzielnie wyrazić zgodę, zgoda ta musi być świadoma i dobrowolna. Oznacza to, że informacje o przetwarzaniu danych muszą być sformułowane językiem zrozumiałym dla nastolatka, a proces wyrażania zgody nie może być manipulacyjny. 

Zasada ta współbrzmi z naciskiem Europejskiej Rady Ochrony Danych (EROD) na przejrzystość i zakaz stosowania zwodniczych praktyk. 

ARROWS doradza zatem klientom nie tylko, jak spełnić formalną granicę wieku, ale także jak zaprojektować cały proces uzyskiwania zgody, aby był on prawnie obronny również pod kątem jego jakości.

Jak zweryfikować wiek i uzyskać zgodę rodziców? Praktyczny przewodnik dla Twojej platformy

Jednym z największych praktycznych wyzwań, jakie RODO stawia przed operatorami platform online, jest obowiązek podjęcia „rozsądnych starań” w celu zweryfikowania wieku użytkownika oraz, w razie potrzeby, ważności zgody rodzicielskiej. Ustawa celowo nie określa jednej konkretnej metody, uznając, że to, co jest „rozsądne”, różni się w zależności od charakteru usługi i ryzyka związanego z przetwarzaniem danych. Kluczem do udanej i obronnej implementacji jest zatem wybór podejścia opartego na ocenie ryzyka.

Nie ma uniwersalnego rozwiązania. Właściwa metoda weryfikacji wieku zależy od tego, jakie dane przetwarzasz i co z nimi robisz. To podejście zorientowane na ryzyko można podzielić na kilka poziomów:

Niskie ryzyko:

Dla usług, które nie stanowią istotnego ryzyka dla praw i wolności dzieci – na przykład witryny z treściami bez rejestracji, blogi bez elementów interaktywnych czy fora z minimalnym zbieraniem danych – wystarczającym środkiem może być prosta, neutralna bramka wiekowa (tzv. age-gate). Użytkownik przy wejściu jest proszony o podanie swojej daty urodzenia. 

Należy jednak pamiętać, że mechanizm ten jest bardzo łatwy do obejścia, a Europejska Rada Ochrony Danych (EROD) wyraziła znaczny sceptycyzm co do jego stosowania w scenariuszach innych niż te o niskim ryzyku.

Średnie ryzyko:

Tutaj kwalifikują się standardowe e-sklepy, sieci społecznościowe z ograniczonymi funkcjami czy społeczności online. W tym przypadku zwykła deklaracja wieku już nie wystarcza. Należy sięgnąć po bardziej solidne metody, które zwiększają prawdopodobieństwo, że zgodę wyraża osoba dorosła. 

Do takich metod należy na przykład wysłanie e-maila weryfikacyjnego lub wiadomości na numer telefonu rodzica, dokonanie mikropłatności kartą płatniczą (która jest następnie zwracana), ponieważ zakłada się, że dziecko nie posiada własnej karty, lub skorzystanie z usług stron trzecich, takich jak mojeID czy tożsamość bankowa.

Wysokie ryzyko:

Jeśli Twoja platforma przetwarza dane wrażliwe, prowadzi profilowanie na szeroką skalę w celach reklamowych, umożliwia swobodną interakcję między użytkownikami lub udostępnia treści nieodpowiednie dla dzieci (np. gry hazardowe, sprzedaż alkoholu, portale randkowe), wymogi dotyczące weryfikacji wieku są najwyższe. Tutaj konieczne jest wdrożenie wiarygodnych i trudnych do sfałszowania metod. Może to być weryfikacja za pomocą ważnego dokumentu tożsamości (dowód osobisty, paszport), gdzie użytkownik przesyła zdjęcie dokumentu, lub wykorzystanie biometrycznej analizy twarzy, która na podstawie selfie szacuje wiek użytkownika. 

Metody te, choć najdokładniejsze, niosą ze sobą dodatkowe komplikacje prawne, zwłaszcza w związku z przetwarzaniem szczególnych kategorii danych osobowych.

Przy wyborze metody firmy borykają się z tzw. paradoksem minimalizacji danych. Najbardziej niezawodne metody weryfikacji (skanowanie dokumentów, biometria) wymagają gromadzenia najbardziej wrażliwych danych osobowych, co może być w bezpośredniej sprzeczności z zasadą RODO gromadzenia wyłącznie danych niezbędnych do danego celu.

Wybór odpowiedniego mechanizmu polega więc zawsze na znalezieniu równowagi między rzetelnością weryfikacji a ochroną prywatności użytkowników.

W tym kontekście ważne jest również śledzenie rozwoju technologicznego. ARROWS, jako nowoczesna kancelaria, śledzi również pojawiające się trendy, takie jak technologie dowodu z wiedzą zerową (zero-knowledge proofs, ZKPs) czy europejski projekt tożsamości cyfrowej (eID). Systemy te pozwolą w przyszłości potwierdzić fakt (np. „osoba ma ukończone 15 lat”) bez konieczności ujawniania samej danej (dokładnej daty urodzenia) lub tożsamości osoby, co elegancko rozwiązuje wspomniany paradoks.

W przypadku kontroli ze strony Urzędu Ochrony Danych Osobowych (ÚOOÚ) kluczowym pytaniem nie będzie to, czy posiadasz jakikolwiek system weryfikacji, ale czy jesteś w stanie uzasadnić, dlaczego wybrałeś właśnie ten konkretny system. Kluczowym materiałem dowodowym staje się więc dokumentacja Twojego procesu decyzyjnego, w szczególności ocena skutków dla ochrony danych (DPIA). 

Firma, która dla usługi o wysokim ryzyku zastosowała jedynie prostą bramkę wiekową, nie obroni swojego wyboru. Praca prawna związana z analizą ryzyka i udokumentowaniem decyzji jest więc równie ważna jak wdrożenie techniczne.

ARROWS nie tylko dostarcza opinie prawne, ale aktywnie współpracuje z Twoimi zespołami IT i produktowymi przy projektowaniu i wdrażaniu rozwiązań zgodnych z zasadą „compliance-by-design”. Pomożemy Ci przeprowadzić ocenę skutków dla ochrony danych (DPIA) i wybrać metodę weryfikacji, która jest proporcjonalna do Twojego modelu biznesowego, technicznie wykonalna i przede wszystkim prawnie obronna.

Działasz za granicą? Uważaj na różne granice wieku w UE

Dla firm, których ambicje wykraczają poza granice Czech, kwestia zgody małoletnich niesie ze sobą kolejny, znacznie bardziej skomplikowany wymiar. Elastyczność, jaką RODO dało państwom członkowskim w artykule 8, doprowadziła do powstania niespójnej i rozproszonej mapy prawnej w całej Unii Europejskiej. To, co jest legalne w jednym kraju, może być niezgodne z prawem w innym. Prowadzenie jednolitej platformy ogólnoeuropejskiej bez uwzględnienia tych krajowych różnic to przepis na poważne problemy prawne.

Podczas gdy Czechy ustaliły granicę wieku na 15 lat, sytuacja u naszych sąsiadów i kluczowych partnerów handlowych jest inna. Ta fragmentacja wymaga od firm nie tylko wiedzy prawnej, ale także zaawansowanych umiejętności technicznych.

Granice wieku w Europie znacznie się różnią. Domyślne 16 lat wg RODO obowiązuje na przykład w Niemczech, Polsce, na Słowacji i w Irlandii. Austria i Hiszpania obniżyły granicę do 14 lat, Francja ma, tak samo jak Czechy, 15 lat (w Czechach na podstawie ustawy nr 110/2019 Sb.), a Belgia i Szwecja wybrały najniższą możliwą granicę 13 lat.

Wpływ biznesowy tej prawnej mozaiki jest kluczowy. Dla każdej firmy z ogólnoeuropejską bazą użytkowników jednolite podejście do uzyskiwania zgody jest po prostu niezgodne z prawem. Twoja platforma musi być technicznie zdolna do zidentyfikowania lokalizacji użytkownika i na tej podstawie dynamicznego stosowania różnych zasad. 

W praktyce wymaga to wdrożenia niezawodnej technologii geolokalizacji oraz opracowania elastycznych mechanizmów wyświetlania różnych wersji formularzy rejestracyjnych i zgód. To rozproszenie prawne bezpośrednio przekłada się na zwiększone koszty rozwoju, utrzymania i ogólną złożoność techniczną systemu.

Ta złożoność jest dokładnie powodem, dla którego przez dziesięć lat budowaliśmy sieć ARROWS International. Nasi klienci nie muszą z trudem szukać i koordynować lokalnych ekspertów w każdym kraju. Dzięki naszej sieci zapewniamy spójne i skuteczne doradztwo prawne w różnych jurysdykcjach, niezależnie od tego, czy wdrażasz nową usługę w Niemczech, Francji czy Szwecji. Kwestiami z elementem międzynarodowym zajmujemy się praktycznie codziennie.

Sytuacja komplikuje się jeszcze bardziej, jeśli do prowadzenia swojej platformy korzystasz z usług dostawców z siedzibą poza UE, na przykład w Stanach Zjednoczonych (co jest powszechne w przypadku chmur obliczeniowych, narzędzi analitycznych czy platform marketingowych). W takim przypadku do problemu różnych granic wieku dochodzi również wysoce ryzykowna kwestia przekazywania danych osobowych do państw trzecich. 

Szczególnie gdy chodzi o dane małoletnich, poziom czujności i kontroli ze strony europejskich organów nadzorczych jest niezwykle wysoki. Przykładem mogą być sprawy z Niemiec i Danii, gdzie organy ochrony danych krytykowały korzystanie z narzędzi firm Google i Microsoft w szkołach właśnie ze względu na przekazywanie danych uczniów do USA, gdzie nie jest gwarantowany taki sam poziom ochrony jak w UE.

Analiza ryzyka: Sprawa TikToka i co grozi Twojej firmie

Abstrakcyjne paragrafy prawne i teoretyczne ryzyka często nabierają realnych kształtów dopiero w zderzeniu z konkretnymi przypadkami z praktyki. Nic nie ilustruje potencjalnych konsekwencji uchybień w obszarze ochrony danych osobowych dzieci lepiej niż sprawa firmy TikTok, która stała się ostrzeżeniem dla całej branży cyfrowej. Kara w wysokości 345 milionów EUR (około 1,5 miliarda PLN), którą na TikToka w 2023 roku nałożyła irlandzka Komisja Ochrony Danych (DPC), nie była karą za jedno uchybienie, ale za cały zestaw systemowych zaniedbań.

Analiza tej decyzji daje wgląd w to, na czym skupiają się organy nadzorcze i jakie praktyki uznają za najpoważniejsze naruszenia RODO. Dla Twojej firmy jest to w zasadzie podręcznik, czego unikać:

1. Publiczne ustawienia domyślne (Public by Default): Konta użytkowników dziecięcych (w wieku 13-17 lat) były automatycznie ustawiane jako publiczne. Oznaczało to, że każdy na platformie i poza nią mógł widzieć i komentować treści tworzone przez te dzieci. Było to rażące naruszenie kluczowej zasady RODO – ochrony prywatności w fazie projektowania oraz domyślnej ochrony danych (privacy by design and by default), zakorzenionej w artykule 25. Platformy muszą domyślnie konfigurować wszelkie ustawienia dla małoletnich na najwyższy możliwy poziom ochrony prywatności.

2. Niezabezpieczona funkcja „Parowanie rodziny”: Funkcja ta pozwalała dorosłemu użytkownikowi połączyć swoje konto z kontem dziecka w celu kontroli rodzicielskiej. Problem polegał na tym, że TikTok nie weryfikował, czy dorosły rzeczywiście jest rodzicem lub opiekunem prawnym dziecka. Otwierało to drzwi do potencjalnych nadużyć i zagrożeń dla dzieci. Było to uchybienie w zapewnieniu integralności i poufności danych zgodnie z artykułem 5 RODO.

3. Niewystarczająca przejrzystość: Informacje o przetwarzaniu danych osobowych, warunki korzystania i ustawienia prywatności były prezentowane użytkownikom dziecięcym w sposób, który nie był wystarczająco jasny, zrozumiały i dostosowany do ich wieku. Naruszyło to artykuł 12 RODO, który wymaga przejrzystej komunikacji.

4. Stosowanie technik manipulacyjnych („Dark Patterns”): Dochodzenie wykazało, że projekt procesu rejestracji i innych części aplikacji wykorzystywał tzw. „dark patterns” – zwodnicze elementy projektowe, które delikatnie, ale skutecznie „popychały” (nudging) użytkowników do wyboru opcji mniej prywatnych i bardziej korzystnych dla firmy. To manipulacyjne zachowanie jest bezpośrednio sprzeczne z zasadą rzetelności i zgodności z prawem przetwarzania zgodnie z artykułem 5 RODO.

Te uchybienia doprowadziły do ogromnej kary. Zgodnie z artykułem 83 RODO naruszenie zasad dotyczących zgody dzieci, zasad przetwarzania i praw osób, których dane dotyczą, należy do kategorii, za którą można nałożyć karę do 20 milionów EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. 

Choć czeska ustawa adaptacyjna przewiduje dla niektórych wykroczeń niższe limity krajowe, Urząd Ochrony Danych Osobowych (ÚOOÚ) ma pełne uprawnienia do nakładania dotkliwych sankcji również na rynku czeskim.

Aby pomóc Ci lepiej zorientować się w konkretnych zagrożeniach i naszych rozwiązaniach, przygotowaliśmy poniższą przejrzystą tabelę ryzyk:

Podsumowanie

Jak pokazały poprzednie rozdziały, zapewnienie zgodności z prawem przy przetwarzaniu danych osobowych małoletnich to złożona i dynamiczna dyscyplina. Nie jest to jednorazowe zadanie, które można odhaczyć i o nim zapomnieć. To ciągły proces, który wymaga głębokiej wiedzy prawnej, zrozumienia technologii i strategicznego zarządzania ryzykiem. Stawka jest zbyt wysoka, by lekceważyć ten obszar.

Ochrona danych osobowych to nie tylko jedna z wielu dziedzin, którymi się zajmujemy. To kluczowa specjalizacja naszego zespołu i filar naszej praktyki. Nasze bogate doświadczenie mówi samo za siebie: pomogliśmy pomyślnie wdrożyć i zarządzać zgodnością z RODO dla ponad 150 spółek akcyjnych, 250 spółek z ograniczoną odpowiedzialnością oraz 51 gmin i powiatów. Liczby te reprezentują setki godzin analiz, konsultacji i wdrożeń rozwiązań w realnym środowisku biznesowym, od małych startupów po duże korporacje.

Rozumiemy, że każda firma jest wyjątkowa. Dlatego nie oferujemy uniwersalnych szablonów, lecz rozwiązania szyte na miarę, które odzwierciedlają Twój specyficzny model biznesowy, możliwości techniczne i profil ryzyka. Nasi eksperci mogą pomóc Ci na każdym etapie drogi do pełnej zgodności:

• Audyt i ocena ryzyka: Przeprowadzimy szczegółową analizę Twojej platformy i zidentyfikujemy słabe punkty oraz potencjalne zagrożenia.

• Przygotowanie i weryfikacja dokumentacji: Stworzymy lub zweryfikujemy całą niezbędną dokumentację – od wewnętrznych polityk i rejestrów czynności przetwarzania, przez umowy powierzenia, aż po zrozumiałe i prawnie bezbłędne polityki prywatności i regulaminy.

• Konsultacje dla Twoich zespołów: Zapewnimy praktyczne doradztwo dla Twoich menedżerów produktu, deweloperów i specjalistów ds. marketingu, aby zasady ochrony prywatności były zintegrowane bezpośrednio z projektowaniem Twoich usług.

• Szkolenia pracowników: Przeszkolimy Twoich pracowników, aby rozumieli swoje obowiązki i wiedzieli, jak prawidłowo postępować z wrażliwymi danymi.

• Reprezentowanie w postępowaniach: W przypadku kontroli lub incydentu będziemy profesjonalnie reprezentować Cię w komunikacji i postępowaniach przed Urzędem Ochrony Danych Osobowych.

Lekceważenie zasad ochrony danych osobowych małoletnich to nie strategia, lecz ryzyko, na które odnosząca sukcesy firma nie może sobie pozwolić. Inwestycja w solidny program compliance to inwestycja w zaufanie Twoich klientów, stabilność Twojego biznesu i spokój o Twoją przyszłość.

Skontaktuj się z nami już dziś, aby umówić się na niezobowiązującą konsultację. Sprawdzimy, jak wygląda sytuacja na Twojej platformie, i zaproponujemy konkretne kroki w celu zapewnienia pełnej zgodności i bezpieczeństwa Twojego biznesu.