Czy polskie prawo jest na pewno zgodne z RODO?

17-05-2019, 17:41

Obowiązująca od początku maja ustawa wprowadzająca znowelizowała m.in. Ustawę o świadczeniu usług drogą elektroniczną (UŚUDE). Niezmienione w niej pozostały np. przepisy mówiące o konieczności uzyskania przez usługodawcę zgody od użytkownika w przypadku chęci wykorzystywania jego danych, które nie są niezbędne do świadczenia usług. Czy jest to zgodne z RODO?

Już z dotychczasowych przepisów UŚUDE wynikało, że usługodawca, jeśli chce wykorzystywać m.in. w działaniach reklamowych dane użytkownika, które nie są niezbędne do świadczenia usług drogą elektroniczną, potrzebuje na to jego zgody. Na przykład sklep internetowy ma prawo korzystać z historii zamówień klienta w celach reklamowych bez otrzymanej zgody – są to bowiem dane, które były do świadczenia usług drogą elektroniczną niezbędne. Sytuacja jest bardziej skomplikowana w przypadku marketingu behawioralnego. Rzecz w tym, że dzięki plikom cookies są zbierane różne informacje o użytkowniku. Usługodawca może nie być zatem pewien, czy uzyskanie zgody jest konieczne.

Milena Wilkowska, senior associate w kancelarii Maruta Wachta, zwraca uwagę na jeden aspekt. Ustawa o świadczeniu usług drogą elektroniczną dotyczy wyłącznie usługodawców. W praktyce bardzo często jest tak, że działania związane z profilowaniem, z przedstawieniem spersonalizowanej reklamy są wykonywane przez podmioty zewnętrzne, które same siebie widzą w roli administratorów. Specjalistka poleca mieć na uwadze i dokładnie przeanalizować cały proces tworzenia reklamy sprofilowanej i spersonalizowanej, bo możliwe, że nie dotyczy on bezpośrednio usługodawcy, ale innego podmiotu, który jest odpowiedzialny za przetwarzanie danych osobowych, więc w ogóle nie będziemy mówili o problemie zgody.

Warto przy tym zauważyć, że UŚUDE w obecnym kształcie budzi wątpliwości w kontekście obowiązującego już od roku RODO, które wprowadziło rewolucję w myśleniu administratorów danych osobowych. Spowodowało ono mianowicie stosowanie podejścia opartego na ryzyku (risk-based approach). Wiąże się to z tym, że administrator musi samodzielnie ocenić, którą z podstaw prawnych może w danym przypadku wykorzystać. Wydaje się, że rozporządzenie stosowane w polskim prawie w zakresie ochrony danych osobowych powinno opierać się właśnie na tej zasadzie. Oznaczałoby to, że administrator po przeprowadzeniu analizy dotyczącej tego, którą podstawę prawną wybrać, mógłby dojść do wniosku, że w danej sytuacji nie będzie najlepsza zgoda, wymagana przez UŚUDE, ale – np. prawnie uzasadniony interes. Nie da się więc wykluczyć, że ustawa ta zostanie w przyszłości zakwestionowana jako niezgodna z RODO.

Źródło: infoWire


Źródło: materiał nadesłany do redakcji
  
znajdź w serwisie

RSS - Wywiad
Wywiad  
RSS - Interwencje
RSS - Porady
Porady  
RSS - Listy
Listy  
« Październik 2019»
PoWtŚrCzwPtSbNd
 123456
78910111213
14151617181920
21222324252627
28293031