Zgoda wyinterpretowana z niejednoznacznego działania (np. używania serwisu)

Na czym polega ta praktyka?

Portale i sklepy internetowe, które uznały, że mimo wszystko* muszą zbierać zgodę na przetwarzanie danych, szukają takich rozwiązań, które sprawią, że zgód będzie jak najwięcej. Zamiast klasycznego przycisku (checkboxu, suwaka etc.), który wymaga naszego świadomego kliknięcia, informują, że na ich stronie za zgodę na przetwarzanie danych (np. w celach marketingowych) będzie uważane wykonanie innej czynności, np. zamknięcie okienka z informacją o RODO (czyli naciśnięcie znaczku „x”), a nawet kliknięcie kursorem w dowolnym miejscu strony (poza wyświetlanym komunikatem), scrollowanie lub „dalsze, aktywne korzystanie z serwisu, bez zmian ustawień przeglądarki”.

*o tym, kiedy pozyskiwanie zgody rzeczywiście jest potrzebne, piszemy w RODO na tacy (odcinek II)

Przykłady:

Jak to się ma do RODO?

Zgodnie z RODO „jednoznaczne działanie potwierdzające” to jedna z form wyrażenia zgody. A więc zgodą na przetwarzanie danych jest nie tylko klauzula zaczynająca się od „zgadzam się…”, ale każde inne zachowanie, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane jej zasady przetwarzania danych osobowych.

W praktyce „jednoznaczne działanie potwierdzające” może polegać np. na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej albo kliknięciu na określony przycisk. Takie działanie nie może być jednak przypadkowe (np. kliknięcie obok okienka z informacją o przetwarzanych danych, bez żadnej intencji) ani dwuznaczne. Zamknięcie okienka z informacją o przetwarzanych danych może oznaczać, że użytkownik nie chce jej w tym momencie czytać (a nie, że zgadza się na zaproponowane warunki); przescrollowanie komunikatu na telefonie może oznaczać, że użytkownik po prostu chce go przeczytać, bo w całości nie był widoczny na ekranie. Zgodnie z RODO każda dwuznaczność będzie działać na niekorzyść administratora.

W Panoptykonie uważamy, że czynności takie jak zamknięcie informacji o przetwarzanych danych poprzez naciśnięcie znaku „x” (który jest zwyczajowo używany w Internecie do zamykania wyskakujących okienek) lub dalsze przeglądanie strony (takiemu działaniu trudno przypisać inną intencję niż „chcę zobaczyć, co jest dalej”) nie mogą być traktowane jak świadoma, jednoznaczna zgoda.

Jak możesz zareagować?

• Jeśli nie wiesz, czy Twoje dane są przetwarzane (np. dlatego, że nie wykonałaś/-eś żadnej czynności, która mogłaby być uznana za zgodę na ich przekazanie), możesz to sprawdzić, wysyłając wniosek o dostęp do danych.
• Jeśli widzisz, że firma przetwarza Twoje dane na podstawie niejednoznacznej czynności, którą traktuje jak zgodę, możesz wysłać do niej żądanie ich usunięcia. Firma, która tak robi, tak naprawdę nie ma podstawy prawnej, bo zebrana przez nią „zgoda” jest nieważna.
• Jeśli to działanie nic nie dało (np. w ciągu 30 dni nikt nie odpowiedział na Twoje żądanie albo odpowiedź Cię nie usatysfakcjonowała), możesz złożyć skargę do Prezesa UODO (lub pozew do sądu). Możesz też od razu przejść do kroków prawnych, RODO nie wymaga wcześniejszego kontaktu z firmą.

Zobacz inne praktyki: RODO na tacy. Sezon II: Subiektywny przegląd (złych i dobrych) praktyk.

Wspieraj naszą walkę o lepsze prawo ochrony danych! Wpłać darowiznę na konto Fundacji Panoptykon.