Mirosław Gumularz: Cyfrowo-osobowa wymiana barterowa

Jak więc utrzymujesz model biznesowy, w którym użytkownicy nie płacą za twoje usługi? – zapytał senator Hatch Marka Zuckerberga w czasie przesłuchania w Kongresie. Senatorze, wyświetlamy reklamy – odpowiedział rozluźniony i uśmiechnięty twórca i właściciel Facebooka.

Dyrektywa o treściach cyfrowych i usługach cyfrowych (2019/770) została zaimplementowana do prawa polskiego ustawą z 4 listopada 2022 r. o zmianie ustawy o prawach konsumenta, ustawy – Kodeks cywilny oraz ustawy – Prawo prywatne międzynarodowe (DzU., poz. 2337). Przepisy wejdą w życie 1 stycznia 2023 r. Zmieni się zwłaszcza ustawa o prawach konsumenta.

Czytaj więcej

Dane osobowe

Mirosław Gumularz: Przy poborze danych zawsze są obowiązki

Wprowadzając przepisy, które miały wzmocnić ochronę konsumentów, częściowo ją osłabiono – mówi Mirosław Gumularz, radca prawny, specjalista w zakresie prawa nowych technologii.

Celem dyrektywy jest wprowadzenie dodatkowej ochrony konsumenta. W motywie 24 dyrektywy zwrócono uwagę, że treści cyfrowe lub usługi cyfrowe są często dostarczane, gdy konsument nie płaci ceny, lecz dostarcza przedsiębiorcy dane osobowe. Takie modele biznesowe występują w różnych formach na znacznej części rynku. Uznając, że ochrona danych osobowych jest prawem podstawowym, a zatem dane osobowe nie mogą być traktowane jak towar, owa dyrektywa powinna zapewnić konsumentom w takich modelach biznesowych prawo do umownych środków ochrony prawnej.

Nowe przepisy nie traktują danych osobowych jak towaru, ale zrównują ochronę konsumenta w modelach tej swoistej płatności za dostarczanie treści i usług cyfrowych. To ważne, ponieważ przedsiębiorcy często traktują je jako dostarczanie darmowych świadczeń. Pośrednio więc nowe przepisy zwracają uwagę na kwestie złożoności współczesnych modeli biznesowych.

Nowych przepisów nie stosuje się, jeżeli pozyskanie danych następuje wyłącznie w celu wykonania umowy lub obowiązku ustawowego. W tym przypadku nie są traktowane jako swoista płatność za treści lub usługę cyfrową.

Modele biznesowe

Dane osobowe – jako dobro chronione w systemie praw podstawowych – nie mogą być rozumiane jako dostarczany towar. Niemniej w świetle wytycznych Europejskiej Rady Ochrony Danych (EROD) możliwość przetwarzania danych traktowana jest jako swoista zapłata za dostęp do treści lub usług cyfrowych lub mechanizm „finansowania” dostarczania tych treści lub usług cyfrowych (jak w poniższym przykładzie targetowania). Dlatego celowo określenie „płatność” danymi osobowymi używane jest w cudzysłowie.

Targetowanie w mediach społecznościowych – przykład „płatności” danymi?

Nowe przepisy nie przesądzają, czy ta „płatność” danymi może nastąpić za zgodą czy bez. To przesądza RODO. Nie zawsze zgoda będzie niezbędna. Na przykład Europejska Rada Ochrony Danych w wytycznych 8/2020 wskazała, w jakich przypadkach profilowanie i targetowanie reklamowe (prezentowanie określonych treści wybranym grupom konsumentów) może następować w oparciu o tzw. prawnie uzasadniony interes administratora, czyli bez zgody. EROD wskazuje, że:

Podmiot targetujący, który pragnie powołać się na prawnie uzasadniony interes, powinien ułatwić osobom fizycznym wyrażenie uprzedniego sprzeciwu wobec korzystania przez niego z mediów społecznościowych do celów związanych z targetowaniem. Jeżeli jednak nie wchodzi w bezpośrednią interakcję z osobą, której dane dotyczą, powinien zadbać co najmniej o to, by na platformie mediów społecznościowych zapewnić tej osobie środki umożliwiające skuteczne skorzystanie z prawa do uprzedniego sprzeciwu.

Dobrowolność zgody?

W powyższym przypadku dane osobowe nie są aktywnie podawane. Niemniej administrator „wnioskuje” je („produkuje”) w analizie danych, np. że określona grupa użytkowników jest zainteresowana pewnymi towarami. Następnie prezentuje im reklamę. Mimo wszystko można mówić w tym przypadku o swoistej płatności danymi (a może bardziej finansowaniu usługi danymi osobowymi).

Jeżeli natomiast zgoda na przetwarzanie danych będzie potrzebna, w dalszym ciągu trzeba zapewnić jej dobrowolność. Nowe regulacje konsumenckie tego nie zmieniają. EROD w wytycznych 5/2020 wskazała, jak pogodzić problem dobrowolności zgody z dostarczaniem w zamian za nią treści lub usług. Zdaniem EROD:

„(…) Jeżeli istnieje możliwość wykonania umowy lub świadczenia zleconej usługi przez tego administratora bez konieczności wyrażenia zgody na tego rodzaju inne lub dodatkowe wykorzystanie danych, oznacza to, że usługa nie ma już charakteru warunkowego. Obydwie usługi muszą być jednak faktycznie równoważne”.

Powyższe oznacza, że EROD dopuszcza możliwość zapytania o zgodę na przetwarzanie danych (np. do celów marketingowych) w zamian za dostęp np. do treści cyfrowych. Musi istnieć jednak alternatywa (zapłata ceny), i to przedsiębiorcy, który pozyskuje dane w oparciu o zgodę.

Inne przypadki

Swoistym przykładem „płatności” danymi, jest obniżka ceny po wyrażeniu zgody na przetwarzanie danych osobowych np. do celów marketingowych. Oczywiście przedsiębiorca musi zapewnić alternatywę, tj. możliwość otrzymania świadczenia bez takiego „upustu”.

Kwestią otwartą, która będzie musiała być rozstrzygnięta przez UOKiK, jest to, czy wskazana „płatność” danymi (uruchamiająca stosowanie przepisów implementujących dyrektywę 2019/770) dotyczyć będzie także sytuacji, gdy przedsiębiorca nie uzależnia świadczenia treści lub usług cyfrowych od możliwości przetwarzania danych osobowych (np. do celów marketingowych), mimo to przy okazji (np. zakładania konta w serwisie) pyta o zgodę marketingową. Oczywiście licząc na to, że przynajmniej część konsumentów taką zgodę wyrazi. Kwestię tę (przynajmniej kierunkowo) zdaje się wyjaśniać motyw 24 dyrektywy 2019/770. Zgodnie z nim:

(…) Przykładowo niniejsza dyrektywa powinna mieć zastosowanie, gdy konsument zakłada konto w mediach społecznościowych oraz podaje imię i nazwisko oraz adres e-mail do celów innych niż jedynie dostarczenie treści cyfrowych lub usługi cyfrowej lub innych niż spełnienie wymogów prawnych. Powinna ona również mieć zastosowanie, gdy konsument udziela zgody na przetwarzanie przez przedsiębiorcę do celów marketingowych przesyłanych przez siebie materiałów stanowiących dane osobowe, takich jak zdjęcia lub wpisy.

Ten motyw zdaje się przesądzać, że wystarczy korelacja między dostarczaniem treści lub usług cyfrowych a przetwarzaniem danych w celach wykraczających poza to, co niezbędne do samego spełnienia świadczenia.

Wycofanie zgody

Przyjęcie, że dyrektywa 2019/770 (i jej implementacja) nie ogranicza stosowania RODO oznacza m.in., że przedsiębiorca (administrator danych w rozumieniu RODO) musi uwzględnić prawa podmiotu danych (konsumenta) wynikające z RODO. Gdy treści lub usługi cyfrowe będą dostarczane w zamian za możliwość przetwarzania danych w oparciu o zgodę (w modelu wskazanym powyżej), istotne będzie przesądzenie (w umowie) z konsumentem konsekwencji wycofania zgody. Kwestia jest kontrowersyjna, niemniej moim zdaniem przedsiębiorca w takiej sytuacji może doprowadzić do zakończenia umowy z konsumentem. Kwestią otwartą jest konstrukcja prawna, która zostanie w tym przypadku wykorzystana (np. umowne prawo wypowiedzenia umowy, warunek rozwiązujący etc.).

Podobny problem wystąpi, gdy podstawą przetwarzania danych (np. opisany model targetowania) będzie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f) RODO). W tym przypadku konsument (podmiot danych w rozumieniu RODO) będzie mógł zgłosić sprzeciw.

Informowanie

Dyrektywa 2019/770 nie zawiera specyficznych wymogów informacyjnych dotyczących modelu finansowania usługi. Przykładowo nie ma obowiązku wskazania, że treści i usługi cyfrowe są świadczone w związku z możliwością przetwarzania danych, np. w celach marketingowych. Pośrednio jednak informacja o modelu biznesowym powinna zostać przekazana zarówno na podstawie przepisów konsumenckich, jak i RODO. W ustawie o prawach konsumenta istnieje ogólny obowiązek poinformowania o głównych cechach świadczenia, z uwzględnieniem przedmiotu świadczenia. W RODO istnieje obowiązek informowania o celach przetwarzania danych osobowych. Interesujące będzie obserwowanie praktyki UOKiK oraz UODO. Czy będą traktować jako naruszenie wymogów brak poinformowania o modelu biznesowym zakładającym przedstawioną „płatność” danymi.

Cywilnoprawne konsekwencje

Świadczenie usług lub treści cyfrowych w zamian za cenę lub mechanizm „płatności” danymi osobowymi rodzi konsekwencje cywilnoprawne. W większości zostaną zaimplementowane w odrębnym rozdziale (5b) w ustawie o prawach konsumenta. Chodzić będzie w szczególności o:

a) doprecyzowanie terminu dostarczania treści i usług cyfrowych i praw konsumenta po naruszeniu tych wymogów, np. konsument będzie mógł odstąpić od umowy bez wzywania do dostarczenia treści lub usługi cyfrowej, jeżeli z oświadczenia przedsiębiorcy lub okoliczności wyraźnie wynika, że nie dostarczy treści lub usługi cyfrowej;

b) wprowadzenie szczegółowych kryteriów zgodności treści i usługi cyfrowej z umową i prawami konsumenta w przypadku braku tej zgodności; w szczególności treść cyfrowa lub usługa cyfrowa są zgodne z umową, jeżeli zgodne z umową pozostają opis, rodzaj, ilość, jakość, kompletność, funkcjonalność, kompatybilność, interoperacyjność oraz dostępność wsparcia technicznego i aktualizacji;

c) doprecyzowanie wymogów związanych z usuwaniem danych po odstąpieniu konsumenta (w przypadkach wskazanych w przepisach od umowy o dostarczanie treści i usług cyfrowych; po odstąpieniu przedsiębiorca nie może wykorzystywać treści innych niż dane osobowe dostarczone lub wytworzone przez konsumenta w trakcie korzystania z treści cyfrowej lub usługi cyfrowej dostarczonych przez przedsiębiorcę, z wyjątkiem treści, które:

1) są użyteczne wyłącznie w związku z treścią lub usługą cyfrową, które stanowiły przedmiot umowy;

2) dotyczą wyłącznie aktywności konsumenta w trakcie korzystania z treści lub usługi cyfrowej, które stanowiły przedmiot umowy;

3) zostały połączone przez przedsiębiorcę z innymi danymi i nie mogą zostać rozłączone bez nadmiernych trudności;

4) zostały wytworzone przez konsumenta wspólnie z innymi konsumentami, którzy nadal mogą z nich korzystać;

d) wprowadzenie szczegółowych warunków dopuszczalnej zmiany treści i usług cyfrowych.

W tym zakresie istotne będzie rozróżnienie na poziomie umowy zawieranej z konsumentem (np. według regulaminu usługi) przypadków, gdy:

- zmiana treści lub usług cyfrowych wymaga zmiany umowy;