Súhlas neplnoletej dotknutej osoby so spracúvaním osobných údajov

Otázkam spojeným s právne perfektným získavním súhlasu sme sa vo všeobecnosti venovali v inom článku (dostupný TU). Otázke získavania súhlasu neplnoletej dotknutej osoby so spracúvaním osobných údajov je však potrebné venovať osobitnú a zvýšenú pozornosť.

Podľa § 9 zákona č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov (ďalej len ako „OZ“) majú osoby mladšie ako 18 rokov „spôsobilosť len na také právne úkony, ktoré sú svojou povahou primerané rozumovej a vôľovej vyspelosti zodpovedajúcej ich veku.“

Ak teda súhlas dotknutej osoby vyjadruje akákoľvek osoba mladšia ako 18 rokov, s výnimkou osôb starších ako 16 rokov, ktoré so súhlasom súdu už uzatvorili manželstvo, je vždy potrebné vo vzťahu ku konkrétnej  dotknutej osobe, jej veku, mentálnej dispozícii a povahe robeného právneho úkonu posudzovať jej individuálnu vyspelosť vo vzťahu k porozumeniu právneho vzťahu, do ktorého svojim konaním vstupuje, t.j. mala by rozumieť podmienkam spracúvania jej osobných údajov a zároveň ich chcieť akceptovať.

Práve individuálne posudzovanie rozumovej a vôlovej vyspelosti maloletej dotknutej osoby je v kontexte bežného automatizovaného spracúvania osobných údajov zo strany prevádzkovateľa v praxi v podstate nemožné realizovať. Prevádzkovateľ nevidí ani nepozná „tínedžera“, ktorý sedí na druhom konci republiky za klávesnicou, keď „uploaduje“ svoje údaje na jeho server. Prevádzkovateľ pritom znáša riziko, že udelenie súhlasu dotknutou osobu, ktorá nemá dostatok spôsobilosti na vykonanie právneho úkonu (poskytnutie súhlasu so spracúvaním osobných údajov) bude ex tunc absolútne neplatné v zmysle § 38 ods. 1 OZ, čo následne spôsobí aj porušenie zákona č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení zákona č. 84/2014 Z. z. (ďalej len ako „Zákon o ochrane osobných údajov“), pretože v jeho informačnom systéme budú spracúvané osobné údaje bez právneho základu. Takýmto konaním defacto dôjde k naplneniu pojmových znakov správneho deliktu podľa § 68 ods. 2 písm. a) Zákona o ochrane osobných údajov, za ktorý hrozí pokuta vo výške od 1000 EUR do 50 000 EUR.

Tento problém spočívajúci v nejasnej hranici toho, kedy môže neplnoletá dotknutá osoba validne udeliť súhlas so spracúvaním osobných údajov sa podarí úplne odstrániť až po prijatí európskej reformy ochrany osobných údajov. Právne účinky novoprijatých zmien však bude možné začať využívať (aplikovať) pravdepodobne až na jar 2018. Nové všeobecné nariadenie o ochrane osobných údajov (tzv. GDPR Regulation) totiž presne určí vekovú hranicu pre udeľovanie súhlasov neplnoletých dotknutých osôb. Vo veci určenia tejto vekovej hranice prebiehajú búrlivé diskusie, a to aj s ohľadom na skutočnosť rozdielneho občianskoprávneho určovania právnej subjektivity neplnoletých osôb naprieč jednotlivými členskými štátmi EÚ. Predpokladáme, že finálny vekový limit bude určený kompromisom niekde v intervale medzi 13 až 16 rokov veku. Takto sa jednoducho odstránia súčasné pochybnosti a právnej subjektivite neplnoletej dotknutej osoby, tým že osobné údaje všetkých dotknutých osôb s menším ako ustanoveným vekom budú (minimálne pri tzv. službách informačnej spoločnosti – napr. elektronický obchod, online služby) môcť byť spracúvané len na základe súhlasu zákonných zástupcov a vice versa.

Do doby, kým prevádzkovateľom účinnosť priamo aplikovateľného nariadenia (GDPR) umožní spracúvať osobné údaje časti neplnoletých dotknutých osôb bez akýchkoľvek pochybností, priamo na základe nimi udeleného súhlasu, je zatiaľ potrebné zabezpečovať podľa nášho názoru 1) špecifické súhlasy dotknutých osôb, ktoré samé vyhlásia, že na vykonanie tohto právneho úkonu majú dostatok právnej subjektivity v zmysle §  9  OZ, 2) súhlasy zákonných zástupcov dotknutých osôb so spracúvaním ich osobných údajov ako aj osobných údajov ich detí.

Práve formulácia súhlasu neplnoletej dotknutej osoby spôsobilej na vykonanie tohto právneho úkonu podľa § 9 OZ je zvlášť citlivá a zasluhuje si zvýšenú pozornosť ako aj zapracovanie odporúčaní dozorných orgánov formulovaných v tzv. soft law (napr. stanoviská Pracovnej skupiny zriadenej podľa Čl. 29 smernice 95/46/ES).

Obzvlášť vo vzťahu k spracúvaniu osobných údajov detí na základe ich vlastného súhlasu je potrebné zvážiť samotný účel spracúvania týchto údajov v spojitosti so závažnosťou právneho vzťahu a záväzkami, do ktorých na základe udeleného súhlasu môže neplnoletá dotknutá osoba vstúpiť. Podľa nášho názoru by tento právny úkon (súhlas neplnoletej dotknutej osoby) napr. nemal byť spojený s povinnosťou nejakého následného peňažného plnenia zo strany neplnoletej dotknutej osoby (napr. povinnosť platiť pravidelné poplatky za registráciu do online služby apod.).

Relevantné soft law pramene[1]do značnej miery zdôrazňujú princíp tzv. najlepšieho záujmu dieťaťa, ktorý môže byť (v osobitných prípadoch) aj podmienkou platnosti súhlasu neplnoletej dotknutej osoby bez ohľadu na prítomnosť súhlasu zákonného zástupcu so spracúvaním osobných údajov. Sme toho názoru, že spoliehať sa na dostatok rozumovej a vôlovej vyspelosti neplnoletej dotknutej osoby je vhodné skôr pri „neškodných“ marketingových aktivitách ako je napr. zapojenie sa do spotrebiteľskej súťaže, za predpokladu, že nebude dochádzať k zverejňovaniu osobných údajov, resp. osobitnej kategórie osobných údajov, resp. citlivejších údajov ako je napr. fotografia tváre apod a výhra bude prispôsobená veku dotknutej osoby (napr. slúchadlá, notebook, jazykový kurz apod.). Naopak niektoré online služby spojené s potrebou spracúvania osobných údajov považujeme za absolútne nevhodné pre sprístupnenie neplnoletým dotknutým osobám bez súhlasu zákonného zástupcu (napr. rôzne sexuálne zoznamky, marketing, príp. ad sense reklama zameraná na obchody s určitými druhmi tovaru pre dospelých, či hazard, stránky obsahujúce sexuálne explicitný obsah, online hry určené systémom PEGI za nevhodné pre maloletých apod.).

Z relevantného soft law v oblasti ochrany osobných údajov tiež do istej miery vyplýva, že súhlas neplnoletej dotknutej osoby je platný za podmienky, že voči nemu zákonný zástupca nenamieta[2]. Z uvedeného dôvodu odporúčame prispôsobiť formuláciu súhlasu „zrelej“ neplnoletej dotknutej osoby so spracúvaním jej osobných údajov tak, že bude obsahovať vyhlásenie o informovaní, resp. vedomosti a uzrozumení zákonného zástupcu s vykonaním predmetného právneho úkonu. Podotýkame, že dotknutá osoba má na základe § 16 Zákona o ochrane osobných údajov poskytovať do informačného systému prevádzkovateľa len pravdivé údaje. Prevádzkovateľ je povinný spracúvať len správne a aktuálne údaje. Správne údaje sú v podstate údaje poskytnuté dotknutou osobou za prezumpcie ich pravdivosti. Ak sa preukáže nepravdivosť poskytnutých údajov prevádzkovateľ ich je povinný primerane aktualizovať, aby boli aj naďalej správne. Samozrejme, pri zistení nepravdivosti údajov dotknutej osoby alebo pochybnostiach o validite súhlasu „zrelej“ neplnoletej osoby je podľa nás vhodné zabezpečiť blokovanie osobných spracúvaných osobných údajov, a to až do vyriešenie situácie (napr. prostredníctvom zodpovednej osoby poverenej výkonom dohľadu nad spracúvaním osobných údajov) alebo do uplynutia doby platnosti takéhoto súhlasu – a až potom zabezpečiť ich likvidáciu. Takýto postup síce Zákon o ochrane osobných údajov explicitne neprikazuje, ale sme toho názoru, že sa najviac približuje princípom a zásadám v ňom ustanoveným. V prípade takéhoto postupu je tiež potrebné prihliadnuť na právnu úpravu inštitútu „Oznamovanie tretím stranám“ v zmysle § 18 Zákona o ochrane osobných údajov.

Samozrejmou nevyhnutnosťou zo strany prevádzkovateľa musí byť tiež dôkladné splnenie jeho informačných povinností ustanovených v § 15 ods. 1 Zákona o ochrane osobných údajov, ktoré je podľa nášho názoru vhodné doplniť naozaj podrobnými informáciami týkajúcimi sa všetkých podstatných aspektov využívania osobných údajov neplnoletej osoby, a to prípadne aj nad rámec povinností uložených Zákonom o ochrane osobných údajov. Podľa nášho názoru je práve prvok dostatočnej tranparentnosti k neplnoletej dotknutej osobe v momente získavania jej osobných údajov kľúčový pre neskoršie tvrdenie, že mala dostatok rozumovej a vôlovej vyspelosti na poskytnutie jej osobných údajov, keďže sa oboznámila so všetkými podstatnými informáciami a až na ich základe sa cieľavedomo, slobodne, vážne a zrozumiteľne rozhodla prejaviť svoju vlastnú vôlu komisívnym udelením súhlasu (napr. opt in zaškrtnutie tzv. checkboxu).

Získavanie validného súhlasu neplnoletej dotknutej osoby so spracúvaním osobných údajov je nepochybne „korčuľovaním na tenkom ľade“. Z dôvodu právnej opatrnosti sa môže zdať jednoduchšie paušálne získavať výlučne súhlasy od zákonných zástupcov neplnoletých osôb. Paradoxne aj takýmto konaním možno toereticky vytvoriť protiprávny stav, keďže by mohlo dôjsť k neoprávnenému zásahu do práv neplnoletej dotknutej osoby, ak by mala dostatok právnej subjektivity v zmysle § 9 OZ a prevádzkovateľ by ju aj napriek tomu (neoprávnene) diskriminoval oproti iným (rovnako spôsobilým) užívateľom tejto služby tým, že by porušil princíp rovnakého zaobchádzania ustanovený v antidiskriminačnom zákone[3]. Napríklad zákonný zástupca by bránil neplnoletej dotknutej osobe v nadväzovaní priateľských kontaktov na „normálnej“ internetovej zoznamke, pričom rozumová, vôlová a veková vyspelosť neplnoletej dotknutej osoby by ju oprávňovala na využitie takejto služby a prevádzkovateľ by využitie tejto služby „zrelej“ neplnoletej osobe neumožnil z  dôvodu neudelenia súhlasu zákonného zástupcu so spracúvaním osobných údajov. Táto právna konštrukcia je však iba v rovine našej teoreticko-právnej úvahy, pričom nemáme informácie o existencii súvisiacich antidiskriminačných žalôb v takýchto veciach. Aj napriek tomu sme toho názoru, že spoliehanie sa výlučne na súhlasy zákonných zástupcov dotknutej osoby nemusí byť vo viacerých prípadoch, s ohľadom na použitý biznis model a zaneprázdnenosť pracujúcich rodičov, efektívne a ani žiaduce, a tak „zostáva v hre“ práve súhlas neplnoletej dotknutej osoby.

Vzhľadom na citlivosť tejto témy, aktuálne nedostatočne upravený účinný právny rámec a potenciálne právne problémy je podľa nášho názoru vhodné vopred individuálny zámer o spracúvaní osobných údajov neplnoletej osoby na základe je priameho súhlasu konzultovať priamo s odborníkom na ochranu osobných údajov, príp. priamo s dozorným orgánom a vyhovieť jeho odporúčaniam. Súvisiacu komunikáciu, resp. oficiálne vyjadrenie regulátora odporúčame uschovať pre prípad eventuálnych neskorších problémov (napr. konania o ochrane osobných údajov iniciované nespokojnými rodičmi, súdne spory apod.).

V prípade ak prevádzkovateľ vie, že povaha ním vytvoreného spracúvania osobných údajov je zameraná na taký okruh dotknutých osôb, že bude dochádzať aj k spracúvaniu osobných údajov neplnoletých dotknutých osôb je vhodné zabezpečiť získavenie osobných údajov (napr. v procese online registrácie) umožnením udelenia viacerých typov súhlasov dotknutej osoby: a) všeobecný – pre plnoleté osoby, b) špecifický pre neplnoleté osoby s dostatkom právnej subjektivity, c) súhlas zákonného zástupcu neplnoletej dotknutej osoby.

Výber z vyššie špecifikovaných typov súhlasov je vhodné ponechať na dotknutú osobu. Samozrejme v prípade súhlasu neplnoletej dotknutej osoby s dostatkom právnej subjektivity na udelenie súhlasu nemusí byť na škodu preverenie názoru zákonného zástupcu, resp. jeho vedomosti a nenamietania voči takémutu spracúvaniu osobných údajov jeho potomka (napr. telefonicky, emailom).

Autor v článku vysvetlil podstatné atribúty vyriešenia právneho základu pre spracúvanie osobných údajov, keď sú dotknutými osobami fyzické osoby mladšie ako 18 rokov, čo doplnil svojimi právnymi názormi, odporúčaniami a niektorými závermi z relevantného soft law, pričom informoval aj o súvisacom právnom stave de lege ferenda.

JUDr. Ondrej Zimen

Táto e-mailová adresa je chránená pred spamovacími robotmi. Na jej zobrazenie potrebujete mať nainštalovaný JavaScript.