Dlaczego dane dzieci stały się największym punktem zapalnym GDPR

W całej Europie zasady regulujące sposób, w jaki marki gromadzą i wykorzystują dane osobowe dzieci, po cichu stały się najbardziej spornym i najbardziej karanym obszarem prawa marketingu cyfrowego. Regulatorzy nie traktują już prywatności dzieci jako dodatku doklejonego do standardowej zgodności z GDPR. Ewoluowało to w odrębny priorytet egzekwowania, a marki, które nadal traktują to jak proste odhaczanie pól, mierzą się z jednymi z najwyższych kar w przepisach.

Wzorzec jest spójny: firmy budują ścieżki zgody, bramki wiekowe i polityki prywatności zaprojektowane tak, aby spełniać ogólną listę kontrolną zgodności, a następnie odkrywają zbyt późno, że regulatorzy oczekują czegoś znacznie bardziej rygorystycznego, gdy w grę wchodzą dzieci. Przepisy GDPR dotyczące małoletnich zostały napisane z założeniem, że dzieci nie mogą świadomie wyrażać zgody na przetwarzanie danych w taki sposób jak dorośli, a organy egzekwujące w całej UE i Wielkiej Brytanii agresywnie wykorzystują to założenie.

Czego GDPR faktycznie wymaga w przypadku danych dzieci

W przeciwieństwie do jednej, jednolitej zasady, podejście GDPR do danych dzieci jest warstwowe i w pewnym sensie celowo niejednoznaczne. Ustala domyślny wiek zgody na 16 lat, ale pozwala poszczególnym państwom członkowskim obniżyć ten próg nawet do 13 lat, co oznacza, że marka działająca w wielu krajach UE może mierzyć się z różnymi progami prawnymi dla tego samego produktu w zależności od lokalizacji użytkownika. Już sama ta mozaika sprawia, że zgodność przez odhaczanie pól jest ryzykowna: mechanizm zgody zbudowany dla zasad jednej jurysdykcji może całkowicie zawieść w innej.

Poza progami wieku, rozporządzenie oczekuje, że marki wykażą, iż polityki prywatności, prośby o zgodę i praktyki gromadzenia danych są rzeczywiście zrozumiałe dla dziecka, a nie tylko prawnie wystarczające dla dorosłego czytelnika. Weryfikacja wieku, mechanizmy zgody rodzicielskiej i minimalizacja danych podlegają wzmożonej kontroli, gdy podmiotem danych jest małoletni. Regulatorzy pokazali, że są gotowi zagłębiać się w szczegóły faktycznego działania platformy, a nie tylko w to, co deklaruje jej polityka prywatności.

To właśnie ta luka doprowadziła już do poważnych kar w innych miejscach. Brytyjski organ ochrony danych podtrzymał niedawno karę w wysokości 12,7 mln funtów po tym, jak TikTok przegrał apelację w sprawie kar za dane dzieci związanej z danymi osobowymi ponad 1,4 miliona dzieci. Ta sprawa podkreśliła punkt, który regulatorzy stale powtarzają: platformy mają obowiązek wiedzieć, że dzieci korzystają z ich usług, i działać zgodnie z tym, nawet gdy weryfikacja wieku jest niedoskonała. Nieznajomość młodej bazy użytkowników nie jest traktowana jako obrona.

Koszt błędu rośnie na całym świecie

Europa nie działa tu w izolacji. Podobna kontrola danych dzieci i uczniów pojawia się na innych głównych rynkach, podnosząc poprzeczkę zgodności dla każdej marki działającej międzynarodowo. W Indiach na przykład ustawa DPDP już ściska budżety na zgodność w sektorze ed-tech, zmuszając firmy obsługujące dane uczniów do przebudowy sposobu ich gromadzenia, przechowywania i przetwarzania. Marki działające zarówno w UE, jak i na rynkach takich jak Indie coraz częściej potrzebują ram zgodności na tyle elastycznych, aby spełniać jednocześnie wiele, nieidentycznych reżimów ochrony danych dzieci, zamiast jednego szablonu stosowanego jednolicie.

To, co łączy te przypadki, to zmiana postawy regulacyjnej. Organy ochrony danych odchodzą od akceptowania ogólnych, zorientowanych na dorosłych ram zgody jako wystarczającego zabezpieczenia, gdy dzieci są częścią bazy użytkowników. Oczekiwanie jest teraz takie, że firmy aktywnie projektują produkty z myślą o możliwości korzystania z nich przez małoletnich, zamiast zakładać, że sam język regulaminu chroni je przed odpowiedzialnością.

Co to oznacza dla Ciebie

Dla zespołów marketingowych i prawnych praktyczny wniosek jest prosty: zgodność w zakresie danych dzieci nie może być już dodatkiem do szerszego programu GDPR. Potrzebuje własnej oceny ryzyka, własnego projektu zgody i własnego bieżącego przeglądu, ponieważ regulatorzy aktywnie sprawdzają, czy platformy znają swoją rzeczywistą bazę użytkowników i odpowiednio dostosowują praktyki.

Dla rodziców i zwykłych użytkowników ta fala egzekwowania jest przypomnieniem, że regulatorzy coraz częściej stoją po Twojej stronie, jeśli chodzi o sposób, w jaki platformy traktują młodszych użytkowników. Kary takie jak ta podtrzymana wobec TikToka istnieją właśnie dlatego, że organy stwierdziły, iż deklarowane polityki nie odpowiadały faktycznym praktykom. Jeśli zarządzasz dostępem dziecka do aplikacji lub usług online, warto przejrzeć, jakie dane te platformy gromadzą i czy ich ustawienia prywatności dla małoletnich są rzeczywiście restrykcyjne domyślnie, zamiast polegać na zapewnieniach w polityce prywatności.

Kluczowe wnioski

Marki działające w Europie powinny traktować zasady GDPR dotyczące danych dzieci jako odrębną kategorię zgodności, a nie podzbiór ogólnych obowiązków ochrony danych. Oznacza to audyt metod weryfikacji wieku pod kątem faktycznej skuteczności, dostosowanie języka zgody tak, aby był rzeczywiście zrozumiały dla młodszych użytkowników, oraz wbudowanie minimalizacji danych w projekt produktu, a nie dopasowywanie jej po kontroli regulacyjnej. Biorąc pod uwagę różnice między państwami członkowskimi w zakresie progów wieku, marki międzynarodowe szczególnie potrzebują przeglądów specyficznych dla poszczególnych krajów, a nie jednego wspólnego szablonu dla całej UE. Organizacje, które wciąż wpisują do swoich budżetów największe kary, to niemal bez wyjątku te, które zakładały, że ogólna polityka prywatności wystarczy.