„Zmęczenie informacyjne” i nadużywanie zgód, czyli gdy dobre chęci same stają się naruszeniem RODO

Komunikaty o wykorzystywaniu przez witryny www plików cookies nie są niczym nowym. Wymóg ten - wynikający z art. 173 ustawy Prawo telekomunikacyjne – funkcjonuje w prawie polskim już od pewnego czasu jako efekt implementacji dyrektywy o nr WE 2002/58/WE.

Czytaj także: RODO: co się zmieni od 4 maja 2019 - Dane osobowe

To jednak wraz z RODO, które jest stosowane od 25 maja 2018 r. dotychczasowe, zwięzłe komunikaty wyewoluowały w stronę okien – „ścian tekstu". Dodatkowo, część komunikatów została opatrzona sformułowaniami wskazującymi na wyrażanie przez użytkowników witryny zgód na przetwarzanie danych osobowych w celach marketingowych, często w połączeniu z domyślnie zaznaczonymi „suwakami" lub „checkboxami", które opisywaną zgodę miałyby odzwierciedlać. Taka forma interakcji z odwiedzającym stronę www niejednokrotnie skutkuje irytującymi utrudnieniami w zakresie wyświetlenia czy wyłączenia komunikatu, co ma miejsce w sytuacjach złej optymalizacji witryny pod kątem działania na niektórych urządzeniach lub przeglądarkach.

Źródła powyższego stanu rzeczy nie należy upatrywać w prawidłowej realizacji obowiązków prawnych, a wręcz odwrotnie: znaczna część z powyżej opisywanych praktyk ma charakter działania sprzecznego z obowiązującym prawem.

„Ściany tekstu" zniechęcają czytających, wywołując zjawisko, które Grupa Robocza art. 29 (ciało doradcze, składające się przedstawicieli organów nadzorczych państw członkowskich UE) określiła mianem „zmęczenia informacyjnego". Za podobną w skutkach należy uznać praktykę korzystania przez autorów komunikatów dotyczących RODO z hermetycznych określeń języka prawniczego, co w efekcie czyni tekst niezrozumiałym lub co najmniej nieprzystępnym dla przeciętnego czytelnika. Trzeba pamiętać, że RODO wymaga by tego typu komunikaty były nie tylko przystępne w formie, ale również napisane jasnym i prostym językiem.

Problematyka uchybień na polu stosowania zasady przejrzystości znajduje już pierwsze odzwierciedlenia w praktyce organów nadzorczych. Francuski odpowiednik polskiego Urzędu Ochrony Danych Osobowych - CNIL - uznał, że informacje kierowane przez Google w polityce prywatności do użytkowników są zbytnio rozproszone, znajdując się w różnych dokumentach, co świadczy o ich trudnej dostępności. Dodatkowo, organ dostrzegł, że odsyłanie przez poszczególne dokumenty do kolejnych podstron zawierających bardziej szczegółowe informacje sprawia, że użytkownik musi nie tylko zapoznać się z dużą ilością tekstu, ale też zestawić ze sobą informacje zaprezentowane w różnych dokumentach. Francuski urząd wytknął, że np. w celu zasięgnięcia informacji o przetwarzaniu danych na potrzeby personalizacji reklam wymaga się od użytkownika aż 5 kliknięć.

Reakcją na powyższe stanowisko organu nie musi być jednak ujęcie wszelkich procesów przetwarzania danych na jednej podstronie. Przy serwisach o złożonej strukturze, bez opracowania odpowiedniej systematyki dokumentu lub bez zastosowania odpowiednich narzędzi odsyłających lub wyszukujących treść, takie rozwiązanie potencjalnie skutkowałoby jeszcze większą nieczytelnością i nieprzystępnością informacji dotyczących danych osobowych, aniżeli w przypadku ich rozproszenia pomiędzy różne dokumenty w formie stosownych odnośników.

Ewolucja „komunikatów o cookies" w swoiste hybrydy polityki prywatności z oświadczeniami o zgodzie na przetwarzanie danych osobowych w celach marketingowych ma swoje podłoże w słusznym i powszechnym już przekonaniu, że duża część plików cookies stanowi dane osobowe w rozumieniu RODO. Jednocześnie, administratorzy zdając sobie sprawę z kontrowersji, jakie są związane z przetwarzaniem danych osobowych z wykorzystaniem cookies śledzących zachowania użytkownika na przesłance „prawnie usprawiedliwionego interesu administratora danych", próbują dawne komunikaty o cookies wykorzystywać jako nośnik zgód na przetwarzanie danych osobowych w celach marketingowych. Do korzystania z instytucji zgody na przetwarzanie danych osobowych w okienkach „powitalnych" stron www administratorów skłaniają również obawy związane z brzmieniem art. 22 RODO (tzw. „prawo do niepodlegania profilowaniu"). W świetle tego przepisu, zgoda podmiotu danych byłaby bowiem również wymagana przy uznaniu, że obserwacja zachowań użytkownika na różnych stronach www jest równoznaczna z wywarciem na użytkownika „istotnego wpływu, podobnego do skutku prawnego".

Wbrew zamysłom lub oczekiwaniom administratorów danych, „zgody", które pojawiają się w komunikatach cookies zwykle nie są jednak jednocześnie dobrowolne, konkretne, świadome i jednoznaczne, co w świetle wymogu RODO czyni je wadliwymi. Najczęściej o bezprawności decyduje ich domyślne zaznaczenie (co godzi w wymóg dobrowolności zgody), ale dla przedsiębiorców korzystających z nowoczesnego marketingu internetowego opartego na cookies, najtrudniejszym zadaniem wydaje się uczynienie zgód konkretnymi i jednoznacznymi. Te wymogi mają zapewnić, by użytkownik Internetu wiedział, komu dokładnie udziela zgody na przetwarzanie swoich danych i na konkretnie jakie działania względem dotyczących go danych się godzi.

Uczynieniu zadość ww. obowiązkom bez wątpienia nie sprzyja specyfika marketingu internetowego, polegająca na angażowaniu w proces przetwarzania danych równocześnie kilku administratorów danych oraz dodatkowo niedostateczna transparentność samego procesu związanego z wykorzystaniem cookies reklamowych. W konsekwencji, paradoksalnie wiedza samych administratorów danych na temat przetwarzanych danych związanych z marketingowymi cookies jest niejednokrotnie bardzo ograniczona.

Obciążanie użytkowników obowiązkiem obszernej, niezrozumiałej lektury i licznymi „zgodami" w oknach powitalnych na stronach www nie leży w interesie ani użytkowników sieci, którzy komunikatów nie czytają, ani dostawców treści i usług w Internecie. Ci ostatni bowiem nie tylko nie niwelują swojego ryzyka prawnego z uwagi na bezprawność zbieranych zgód na przetwarzanie danych, ale dodatkowo w wyniku swojej praktyki muszą odczuwać skutki związane z niezadowoleniem lub często wręcz frustracją internautów w związku z utrudnianiem dostępu do oferowanej usługi lub narzędzia.