Proč se data dětí stala největším ohniskem GDPR

Napříč Evropou se pravidla upravující způsob, jakým značky shromažďují a používají osobní údaje dětí, tiše stala nejspornějším a nejvíce pokutovaným koutem práva digitálního marketingu. Regulátoři už nepovažují soukromí dětí za pouhou dodatkovou položku připojenou ke standardní shodě s GDPR. Vyvinulo se ve vlastní donucovací prioritu, přičemž značky, které k němu stále přistupují jako k jednoduchému zaškrtávacímu cvičení, čelí některým z nejvyšších pokut v historii.

Vzor je konzistentní: společnosti vytvoří toky souhlasu, věkové brány a oznámení o ochraně soukromí navržené tak, aby splnily obecný kontrolní seznam shody, a pak příliš pozdě zjistí, že regulátoři očekávají něco mnohem přísnějšího, když jde o děti. Ustanovení GDPR týkající se nezletilých byla napsána s předpokladem, že děti nemohou smysluplně souhlasit se zpracováním údajů tak, jako dospělí, a donucovací orgány v celé EU a Spojeném království se do tohoto předpokladu agresivně opřely.

Co GDPR skutečně vyžaduje pro data dětí

Na rozdíl od jediného jednotného pravidla je přístup GDPR k datům dětí vrstevnatý a v některých ohledech záměrně nejednoznačný. Stanovuje výchozí věk souhlasu na 16 let, ale umožňuje jednotlivým členským státům snížit tuto hranici až na 13 let, což znamená, že značka působící ve více zemích EU může čelit různým právním hranicím pro stejný produkt v závislosti na tom, kde se uživatel nachází. Už jen tato mozaika činí checkboxovou shodu riskantní: mechanismus souhlasu vytvořený pro pravidla jedné jurisdikce může v jiné zcela selhat.

Kromě věkových hranic regulace očekává, že značky prokáží, že oznámení o ochraně soukromí, žádosti o souhlas a postupy shromažďování údajů jsou skutečně srozumitelné pro dítě, ne pouze právně dostatečné pro dospělého čtenáře. Ověřování věku, mechanismy souhlasu rodičů a minimalizace údajů podléhají zvýšenému dohledu, pokud je subjektem údajů nezletilá osoba. Regulátoři ukázali, že jsou ochotni zkoumat konkrétní podrobnosti toho, jak platforma skutečně funguje, nejen to, co tvrdí její zásady ochrany soukromí.

Přesně v této mezeře již vznikly velké pokuty jinde. Britský úřad pro ochranu údajů nedávno potvrdil pokutu 12,7 milionu liber poté, co TikTok prohrál odvolání proti pokutě za nakládání s daty dětí v souvislosti s osobními údaji více než 1,4 milionu dětí. Tento případ zdůraznil bod, který regulátoři opakovaně uvádějí: platformy mají vědět, že jejich služby používají děti, a jednat podle toho, i když je ověřování věku nedokonalé. Neznalost mladé uživatelské základny se nepovažuje za obhajobu.

Cena za chybu celosvětově roste

Evropa zde nepůsobí izolovaně. Podobný dohled nad daty dětí a studentů se objevuje i na dalších velkých trzích, což zvyšuje laťku shody pro každou značku působící mezinárodně. Například v Indii zákon DPDP již stlačuje rozpočty na shodu v sektoru ed-tech, čímž nutí společnosti, které zpracovávají data studentů, přebudovat způsob, jakým je shromažďují, ukládají a zpracovávají. Značky působící jak v EU, tak na trzích, jako je Indie, stále více potřebují flexibilní rámce shody schopné uspokojit několik odlišných režimů ochrany dětských dat najednou, spíše než jedinou šablonu aplikovanou jednotně.

Co tyto případy spojuje, je posun v regulatorním postoji. Úřady pro ochranu údajů se odklánějí od přijímání generických rámců souhlasu orientovaných na dospělé jako dostatečného krytí, když jsou děti součástí uživatelské základny. Očekávání je nyní takové, že společnosti aktivně navrhují produkty s ohledem na možnost, že je používají nezletilí, místo toho, aby předpokládaly, že je jazyk obchodních podmínek sám o sobě chrání před odpovědností.

Co to znamená pro vás

Pro marketingové a právní týmy je praktický důsledek přímočarý: shoda pro data dětí už nemůže být dodatkem k širšímu programu GDPR. Potřebuje vlastní posouzení rizik, vlastní návrh souhlasu a vlastní průběžný přezkum, protože regulátoři aktivně testují, zda platformy znají svou skutečnou uživatelskou základnu a zda podle toho přizpůsobují své postupy.

Pro rodiče a běžné uživatele je tato vlna vymáhání připomínkou, že regulátoři jsou stále více na vaší straně, pokud jde o to, jak platformy zacházejí s mladšími uživateli. Pokuty, jako je ta potvrzená proti TikToku, existují právě proto, že úřady zjistily, že deklarované zásady neodpovídaly skutečné praxi. Pokud spravujete přístup dítěte k aplikacím nebo online službám, stojí za to zkontrolovat, jaká data tyto platformy shromažďují a zda jsou jejich nastavení ochrany soukromí pro nezletilé skutečně omezující ve výchozím stavu, spíše než spoléhat na ujištění v zásadách ochrany soukromí.

Klíčová sdělení

Značky působící v Evropě by měly pravidla GDPR pro data dětí považovat za samostatnou kategorii shody, nikoli za podmnožinu obecných povinností ochrany údajů. To znamená auditovat metody ověřování věku z hlediska skutečné účinnosti, přizpůsobit jazyk souhlasu tak, aby byl skutečně srozumitelný mladším uživatelům, a zabudovat minimalizaci údajů do návrhu produktu, nikoli ji dodatečně přidávat po regulatorním šetření. Vzhledem k tomu, že se členské státy liší ve věkových hranicích, potřebují nadnárodní značky zejména přezkumy pro jednotlivé země, nikoli jedinou šablonu pro celou EU. Organizace, které si do rozpočtů stále zapisují nejvyšší pokuty, jsou téměř bez výjimky ty, které předpokládaly, že obecné zásady ochrany soukromí stačí.