Dzieci kontra Big Techy. Prezes UODO: Nie możemy przerzucać odpowiedzialności

Mirosław Wróblewski, prezes UODO, mówi CyberDefence24.pl o odpowiedzialności Big Techów, profilowaniu najmłodszych, fikcji obecnych mechanizmów weryfikacji wieku, sharentingu oraz prawie dziecka do powiedzenia: „nie chcę, żeby publikowano moje zdjęcie”.

Pytamy też o to, gdzie kończy się odpowiedzialność dziecka i rodzica, jak powinna wyglądać weryfikacja wieku oraz kiedy publikowanie wizerunku najmłodszych narusza ich prawa.

Piotr Pilewski, redaktor naczelny CyberDefence24.pl: Czy nie oczekujemy od dzieci zbyt wiele, mówiąc im: „chrońcie swoją prywatność", skoro korzystają z usług zaprojektowanych właśnie po to, aby zbierać jak najwięcej informacji o użytkowniku i utrzymywać jego uwagę?

Nie możemy przerzucać całej odpowiedzialności za ochronę prywatności na dzieci. Młodzi ludzie korzystają z usług projektowanych przez profesjonalne podmioty, które wykorzystują algorytmy, profilowanie i mechanizmy mające utrzymywać uwagę użytkownika. Trudno oczekiwać, że dziecko będzie w tej relacji równorzędnym partnerem. Dlatego odpowiedzialność musi spoczywać również na platformach, które powinny uwzględniać prawa i najlepszy interes dziecka już na etapie projektowania swoich usług.

Nie oznacza to jednak, że możemy zrezygnować z edukacji. Właśnie temu służy realizowany od 2009 roku program UODO „Twoje dane – Twoja sprawa”. Chcemy uczyć młodych ludzi nie tylko, że powinni chronić swoje dane, ale przede wszystkim dlaczego są one cenne, jak działają algorytmy i w jaki sposób informacje o nich mogą być wykorzystywane.

Gdzie kończy się odpowiedzialność dziecka i rodzica, a zaczyna odpowiedzialność platformy? Czy obecny system tę granicę właściwie ustawia?

Rodzice mają bardzo ważną rolę w edukacji i ochronie dziecka. Powinni wykazywać się wyjątkową rozwagą, gdy sami decydują się na publikację zdjęć czy innych treści z wizerunkiem dzieci. Powinny przestrzegać przed tym dzieci i młodzież. Nie możemy jednak przenosić na nich całej odpowiedzialności za to, co dzieje się na platformach cyfrowych.

To platforma decyduje, jak projektuje usługę jakie dane zbiera, jak wykorzystuje algorytmy i jakie mechanizmy rekomendacyjne stosuje. Dlatego odpowiedzialność platformy powinna odpowiadać jej rzeczywistemu wpływowi na użytkownika. Szczególnie istotne jest przy tym spójne stosowanie RODO i Aktu o usługach cyfrowych. Mamy regulacje zapewniające dzieciom szczególną ochronę, ale kluczowe jest ich skuteczne egzekwowanie.

Czy z punktu widzenia Prezesa UODO platformy cyfrowe rzeczywiście zapewniają dziś dzieciom tę „szczególną ochronę", o której mówią, a którą wymaga RODO?

RODO jednoznacznie wskazuje, że dzieci zasługują na szczególną ochronę danych osobowych, ponieważ mogą być mniej świadome związanych z ich przetwarzaniem zagrożeń i konsekwencji. Problem zaczyna się wtedy, gdy szczególna ochrona pozostaje jedynie deklaracją. Powinna być ona widoczna w sposobie projektowania usług, domyślnych ustawieniach prywatności, zakresie zbieranych danych, sposobie informowania dziecka oraz wykorzystywania algorytmów.

Z perspektywy organu nadzorczego ds. ochrony danych szczególnie istotna jest realizacja zasady minimalizacji. Platforma nie powinna zbierać danych „na zapas” tylko dlatego, że technologicznie jest to możliwe. W przypadku dzieci standard ostrożności powinien być szczególnie wysoki.

Musimy również patrzeć szerzej niż wyłącznie przez pryzmat RODO. Ochrona danych dziecka jest elementem ochrony jego prywatności, godności, bezpieczeństwa i podmiotowości. To właśnie podkreślałem podczas debaty w Senacie dotyczącej ochrony dzieci w cyberprzestrzeni.

Skoro ogromna liczba dzieci poniżej deklarowanego przez platformy minimalnego wieku normalnie korzysta z mediów społecznościowych, to czy obecny system weryfikacji wieku jest po prostu fikcją? I co z tym zrobić?

Jeżeli weryfikacja wieku sprowadza się wyłącznie do wpisania przez użytkownika daty urodzenia, skuteczność takiego rozwiązania jest oczywiście bardzo ograniczona. Potrzebujemy mechanizmów, które będą rzeczywiście pozwalały potwierdzić, czy użytkownik osiągnął wymagany wiek. Jednocześnie nie możemy doprowadzić do sytuacji, w której w celu ochrony dzieci zaczniemy gromadzić jeszcze więcej danych o wszystkich użytkownikach internetu. 

Dlatego wielokrotnie wskazywałem, że weryfikacja wieku musi łączyć skuteczność z ochroną prywatności i zasadą minimalizacji danych. EROD również sformułowała zasady, które mają zapewnić zgodną z RODO weryfikację wieku przy jednoczesnym ograniczeniu zakresu przetwarzania danych.

Potrzebujemy więc realnej weryfikacji wieku, ale zaprojektowanej w taki sposób, aby ochrona dzieci nie prowadziła jednocześnie do osłabienia prawa do prywatności.

Czy platforma powinna ponosić odpowiedzialność, jeżeli wie albo z dużym prawdopodobieństwem może wiedzieć, że korzysta z niej kilku- czy dziesięcioletnie dziecko?

Nie możemy ignorować faktu, że platformy dysponują bardzo zaawansowanymi możliwościami analizowania aktywności, zainteresowań i zachowań użytkowników. Trudno więc zaakceptować sytuację, w której podmiot bardzo dobrze poznaje użytkownika na potrzeby swojego modelu biznesowego, ale jednocześnie nie uwzględnia ryzyka, że jest nim dziecko.

Nie chodzi przy tym o jeszcze intensywniejsze monitorowanie wszystkich użytkowników. Platformy powinny stosować podejście oparte na ryzyku i uwzględniać możliwość korzystania z ich usług przez dzieci już na etapie ich projektowania. Im większy wpływ platformy na użytkownika, tym większa powinna być jej odpowiedzialność.

Czy Polska powinna wprowadzić realną weryfikację wieku w mediach społecznościowych? Jeżeli tak, to jak zrobić to bez stworzenia paradoksu, w którym w imię ochrony prywatności dzieci będziemy zbierać jeszcze więcej danych o użytkownikach?

Potrzebujemy skutecznych mechanizmów weryfikacji wieku, które mogą istotnie przyczynić się do poprawy bezpieczeństwa dzieci i młodzieży korzystających z platform cyfrowych. Wielokrotnie jednak podkreślałem, że nie może się to odbywać kosztem prywatności użytkowników internetu. Nie możemy tworzyć systemu, w którym w celu ochrony dzieci będziemy gromadzić jeszcze więcej danych o wszystkich użytkownikach.

Dlatego kluczowe znaczenie mają zasada minimalizacji danych oraz rozwiązania pozwalające potwierdzić wiek bez konieczności ujawniania pełnej tożsamości. W tym kontekście szczególnie istotne są możliwości wynikające z eIDAS2 i rozwoju Europejskiego Portfela Tożsamości Cyfrowej. Platforma nie zawsze musi wiedzieć, kim dokładnie jest użytkownik. W wielu przypadkach potrzebuje jedynie wiarygodnej informacji, czy osiągnął on określony próg wieku.

Europejska Rada Ochrony Danych również wskazuje, że mechanizmy weryfikacji wieku powinny godzić swoją skuteczność z ochroną danych osobowych i zasadą minimalizacji. Powinniśmy więc dążyć do takiego modelu, w którym potwierdzamy tylko tę informację, która jest rzeczywiście niezbędna, bez tworzenia kolejnych zbiorów danych o użytkownikach. 

Co platforma właściwie może wiedzieć o dziecku? Czy tworzenie profilu jego zainteresowań, zachowania, słabości czy godzin aktywności powinno być w ogóle dopuszczalne?

Pytanie powinno brzmieć nie „ile możemy wiedzieć o dziecku”, lecz „jakie informacje rzeczywiście są potrzebne i na jakiej podstawie mogą być przetwarzane?” Sama techniczna możliwość zebrania określonych danych nie oznacza prawa do ich gromadzenia. To fundamentalna różnica. W przypadku dzieci musimy stosować szczególnie wysoki standard ochrony.

Informacje o zainteresowaniach, aktywności czy zachowaniu mogą razem stworzyć niezwykle dokładny profil młodego człowieka, pozwalający przewidywać jego zachowania, a nawet wpływać na jego decyzje.

Podczas debaty w Senacie zwracałem uwagę, że dzieci w cyberprzestrzeni są narażone między innymi na ryzyka związane z profilowaniem i manipulacją. Dlatego tak ważne jest, aby młodzi ludzie rozumieli mechanizmy działania środowiska cyfrowego. To także jeden z powodów, dla których w XVII edycji programu „Twoje dane – Twoja sprawa” chcemy szczególnie rozwijać umiejętności świadomego funkcjonowania młodych ludzi w świecie nowych technologii, algorytmów i sztucznej inteligencji.

Czy wobec dzieci reklama behawioralna i profilowanie powinny zostać po prostu zakazane, zamiast obudowywane kolejnymi zgodami i regulaminami?

W przypadku dzieci samo odwołanie się do zgody jako podstawy przetwarzania nie jest wystarczające. Trzeba uwzględnić wyraźną nierównowagę pomiędzy młodym użytkownikiem a profesjonalną platformą, która dysponuje technologią i zaawansowaną wiedzą o jego zachowaniu. 

Dlatego europejskie regulacje idą dalej niż samo wymaganie kolejnej zgody. Akt o usługach cyfrowych zakazuje dostawcom platform internetowych prezentowania małoletnim reklam opartych na profilowaniu z wykorzystaniem danym danych osobowych, jeżeli mają oni wystarczającą pewność, że odbiorca usługi jest małoletni. To właściwy kierunek.

Nie każde ryzyko można rozwiązać przez wyświetlanie kolejnego komunikatu „wyrażam zgodę”. W przypadku dzieci trzeba również postawić pytanie czy określony sposób wykorzystywania ich danych w ogóle powinien być dopuszczalny. Szczególna ochrona dziecka powinna mieć pierwszeństwo przed modelem biznesowym opartym na profilowaniu młodego użytkownika. 

Czy rodzic ma prawo opublikować zdjęcie swojego dziecka w internecie, jeżeli ono wyraźnie mówi: „nie chcę"?

Jeżeli dziecko wyraźnie mówi, że nie chce publikacji swojego zdjęcia, jego zdanie powinno zostać potraktowane bardzo poważnie. Wizerunek jest daną osobową, ale także dobrem osobistym dziecka. Wykonywanie władzy rodzicielskiej nie oznacza nieograniczonego prawa do dysponowania jego prywatnością.

Wraz z wiekiem i rosnącą dojrzałością dziecka coraz większe znaczenie powinno mieć jego własne stanowisko. Jest tu również wymiar etyczny. Jeżeli młody człowiek mówi „nie chcę”, uszanowanie tego sprzeciwu jest wyrazem poszanowania jego prywatności i podmiotowości.

Rodzice muszą sobie zdawać sprawę, że dziecko po osiągnięci pełnoletności będzie mogło zażądać usunięcia jego danych np. z mediów społecznościowych rodziców. W przypadku braku realizacji takiego żądania będzie mogło złożyć skargę do Prezesa UODO.

Gdzie z punktu widzenia prawa kończy się zwykłe rodzinne publikowanie zdjęć, a zaczyna sharenting naruszający prawa dziecka?

Nie każda publikacja zdjęcia dziecka oznacza naruszenie jego praw. Problem pojawia się jednak wtedy, gdy udostępnianie zdjęć, filmów czy informacji o dziecku staje się nadmierne i bezrefleksyjne, a rodzic przestaje uwzględniać możliwe konsekwencje dla jego prywatności, bezpieczeństwa i przyszłości. Znaczenie mają między innymi skala i charakter publikacji, krąg odbiorców oraz zakres ujawnianych informacji. Czym innym jest zdjęcie udostępnianie bliskim, a czym innym regularne dokumentowanie życia dziecka na publicznym profilu.

Odpowiedzialność za ochronę prywatności dziecka spoczywa przede wszystkim na dorosłych. Jeżeli dziecko jest już na tyle dojrzałe, że może współdecydować w istotnych dla niego sprawach, jego zdanie powinno być uwzględnianie również przy podejmowaniu decyzji o publikacji wizerunku.

Trzeba też pamiętać, że opublikowanie zdjęcia może prowadzić do utraty kontroli nad wizerunkiem dziecka. Materiał może zostać skopiowany, udostępniony dalej, przetworzony czy wykorzystany w zupełnie innym celu. Dziś ryzyko to jest jeszcze większe ze względu na rozwój sztucznej inteligencji i technologii deepfake. Wizerunek dziecka może być wykorzystany do ośmieszania, hejtu, szantażu czy innych form nadużyć.

Dlatego UODO od lat prowadzi działania edukacyjne w tym obszarze. Wspólnie z Fundacją Orange przygotowaliśmy poradnik „Wizerunek dziecka w internecie. Publikować czy nie?”, który ma pomagać dorosłym podejmować bardziej świadome decyzje dotyczące publikowania wizerunku dzieci. Zachęcamy w nim aby przed publikacją zastanowić się między innymi, czy jest ona rzeczywiście konieczna, kto będzie odbiorcą materiału i czy ten sam cel można osiągnąć bez ujawniania wizerunku dziecka.

Nie ograniczamy się wyłącznie do edukacji. Jako Prezes UODO podejmowałem m.in. również interwencję w sprawach dotyczących wykorzystywania wizerunku małoletnich. Pokazuje to, że ochrona prywatności i danych dzieci jest dla nas kwestią bardzo konkretną.

A co z rodzicami-influencerami, którzy budują zasięgi i zarabiają na pokazywaniu życia swoich dzieci? Czy obecne prawo wystarczająco chroni te dzieci?

Komercjalizacja wizerunku dziecka budzi moje bardzo poważne zastrzeżenia. Podczas posiedzenia senackiej Komisji Praw Człowieka i Praworządności wskazywałem, że komercjalizacja wizerunku dzieci nie jest zjawiskiem, które powinnyśmy pochwalać. W przypadku rodziców – infulencerów problem staje się szczególnie wyraźny, ponieważ publikowanie życia dziecka może przestać mieć charakter rodzinny i stać się elementem budowania zasięgu, marki oraz źródłem dochodu osoby dorosłej.

Powstaje wtedy również pytanie o konflikt interesów. Rodzic, który powinien chronić prywatność i prawa dziecka, może jednocześnie odnosić korzyści finansowe z jego obecności w internecie Dlatego punktem odniesienia powinien być zawsze najlepszy interes dziecka, jego prawo do prywatności, godności i ochrony wizerunku, a nie liczba wyświetleń czy wartość współpracy reklamowej.

Rozwój nowych modeli działalności w internecie pokazuje też, że musimy stale oceniać, czy istniejące instrumenty prawne zapewniają dzieciom wystarczającą ochronę. Jest to szczególnie istotne dziś, gdy raz opublikowany wizerunek może być kopiowany, modyfikowany i wykorzystywany przy użyciu nowych technologii w sposób, nad którym ani dziecko, ani jego rodzice nie będą już mieli kontroli.

Czy szkoła powinna pytać również samo dziecko, zanim opublikuje jego zdjęcie, nawet jeżeli zgodę wcześniej podpisał rodzic?

Tak, zdanie dziecka powinno być uwzględniane odpowiednio do jego wieku i stopnia dojrzałości. Formalna zgoda rodzica nie powinna oznaczać, że uczeń traci możliwość powiedzenia „ nie chcę być fotografowany” albo „nie chcę, żeby to zdjęcie zostało opublikowane”. Szkoła powinna szczególnie uważać, aby dziecko nie miało poczucia, że musi zgodzić się na publikację, ponieważ oczekuje tego nauczyciel albo dlatego, że inni uczniowie pozują do zdjęcia. Ochrona danych to również uczenie młodego człowieka, że ma prawo do własnych granic prywatności.

Czy szkoły powinny w ogóle publikować w otwartych mediach społecznościowych zdjęcia pozwalające łatwo zidentyfikować uczniów?

Szkoła powinna przede wszystkim zadać sobie pytanie, czy ujawnienie wizerunku ucznia jest rzeczywiście konieczne do osiągnięcia danego celu. W wielu przypadkach działalność szkoły, wydarzenie czy sukces uczniów można pokazać bez łatwej identyfikacji konkretnych dzieci. 

Publikacja na otwartym profilu oznacza potencjalnie nieograniczony krąg odbiorców i bardzo ograniczoną kontrolę nad dalszym wykorzystaniem materiału. Nie oznacza to bezwzględnego zakazu  publikowania każdego zdjęcia, ale powściągliwość powinna być zasadność, a każdą publikację należy poprzedzić ocena jej celu i możliwych konsekwencji dla dziecka.

Co dyrektor szkoły powinien dziś uznać za absolutne minimum ochrony danych i wizerunku ucznia?

Przede wszystkim powinien wiedzieć, jakie dane uczniów szkoła przetwarza, po co je przetwarza, kto ma do nich dostęp, gdzie są przechowywane i komu są udostępniane. Konieczne są odpowiednie zabezpieczenia techniczne i organizacyjne, zarządzanie dostępami do systemów, bezpieczne hasła, reagowanie na incydenty oraz regularna edukacja pracowników.

W przypadku wizerunku należy odejść od automatycznego i blankietowego podejścia do zgód. Trzeba oceniać cel i zakres konkretnej publikacji, ograniczyć udostępniane informacje i uwzględniać zdanie dziecka odpowiednio do jego wieku i dojrzałości.

Trzecim filarem jest edukacja. Dlatego UODO od lat realizuje program „Twoje dane -Twoja sprawa”, skierowany do całych społeczności szkolnych. W XVII edycji szczególnie koncentrujemy się na wyzwaniach związanych z nowymi technologami, sztuczna inteligencją i mediami cyfrowymi. Ochrona danych ucznia nie jest wyłącznie obowiązkiem administracyjnym. To element odpowiedzialności szkoły za bezpieczeństwo i prawa młodego człowieka.

1 września ruszyła rekrutacja do XVII edycji programu „Twoje dane -Twoja sprawa” i potrwa do 31 października. Zachęcam szkoły i placówki oświatowe do udziału. Szczegółowe informację oraz zasady rekrutacji są dostępne na stronie UODO, w zakładce poświęconej programowi „Twoja dane – Twoja sprawa”.