Od 4 maja obowiązuje w polskim prawie tzw. ustawa wprowadzająca. Znowelizowała ona m.in. Ustawę o świadczeniu usług drogą elektroniczną (UŚUDE). Niezmienione w niej pozostały np. przepisy mówiące o konieczności uzyskania przez usługodawcę zgody od użytkownika w przypadku chęci wykorzystywania jego danych, które nie są niezbędne do świadczenia usług. Problem w tym, że może to być uznawane za niezgodne z RODO.
Zgoda nie zawsze konieczna
Już z dotychczasowych przepisów UŚUDE wynikało, że usługodawca, jeśli chce wykorzystywać m.in. w działaniach reklamowych dane użytkownika, które nie są niezbędne do świadczenia usług drogą elektroniczną, potrzebuje na to jego zgody. Na przykład sklep internetowy ma więc prawo korzystać w celach reklamowych bez otrzymanej zgody z historii zamówień klienta – są to bowiem dane, które były do świadczenia usług drogą elektroniczną niezbędne. Sytuacja jest bardziej skomplikowana w przypadku marketingu behawioralnego. Rzecz w tym, że dzięki plikom cookies są zbierane różne informacje o użytkowniku. Usługodawca może nie być zatem pewien, czy uzyskanie zgody jest konieczne.
Odpowiedzialność nie musi spoczywać na usługodawcy
– Zwracam uwagę na jeden aspekt. Ustawa o świadczeniu usług drogą elektroniczną dotyczy wyłącznie usługodawców. W praktyce bardzo często jest tak, że działania związane z profilowaniem, z przedstawieniem spersonalizowanej reklamy są wykonywane przez podmioty zewnętrzne, które same siebie widzą w roli administratorów. Tak że polecam mieć na uwadze i dokładnie przeanalizować cały proces tworzenia reklamy sprofilowanej i spersonalizowanej. Bo możliwe, że nie dotyczy on bezpośrednio usługodawcy, ale innego podmiotu, który jest odpowiedzialny za przetwarzanie danych osobowych, więc w ogóle nie będziemy mówili o problemie zgody – stwierdza w wywiadzie dla agencji informacyjnej infoWire.pl Milena Wilkowska, senior associate w kancelarii Maruta Wachta.
UŚUDE sprzeczna z RODO?
Warto przy tym zauważyć, że UŚUDE w obecnym kształcie budzi wątpliwości w kontekście obowiązującego już od roku RODO, które wprowadziło rewolucję w myśleniu administratorów danych osobowych. Spowodowało ono mianowicie stosowanie podejścia opartego na ryzyku (risk-based approach). Wiąże się to z tym, że administrator musi samodzielnie ocenić, którą z podstaw prawnych może w danym przypadku wykorzystać. Wydaje się, że rozporządzenie stosowane w polskim prawie w zakresie ochrony danych osobowych powinno opierać się właśnie na tej zasadzie. Oznaczałoby to, że administrator po przeprowadzeniu analizy dotyczącej tego, którą podstawę prawną wybrać, mógłby dojść do wniosku, że w danej sytuacji nie będzie najlepsza zgoda, wymagana przez UŚUDE, ale – np. prawnie uzasadniony interes. Nie da się więc wykluczyć, że ustawa ta zostanie w przyszłości zakwestionowana jako niezgodna z RODO.