Jakie warunki trzeba spełnić, by sprzedać produkt osobie poniżej 16. roku życia

RODO nie wyznacza warunków tego, kiedy możliwe jest zawarcie umowy (np. sprzedaży) z osobą niepełno-letnią. Sprzedaż produktu przez internet czy założenie konta na portalu społecznościowym będzie więc możliwe wówczas, gdy dopuszczają to przepisy prawa krajowego.

Polski Kodeks cywilny stanowi, że osoby poniżej 13 lat mogą zawierać jedynie „umowy powszechnie zawierane w drobnych bieżących sprawach życia codziennego”, pod warunkiem że taka umowa nie prowadzi do rażącego pokrzywdzenia dziecka. Przykładowo, 10-letnie dziecko może dokonać zakupu bułek czy gazety, jednak czynność taka będzie niedopuszczalna, gdyby owe bułki lub gazeta miały kosztować 100 zł. RODO nic nie zmienia w powyższej kwestii.

Podobna zasada obowiązuje w wypadku dzieci w wieku 13–18 lat. One również mogą zawierać umowy w drobnych, bieżących sprawach życia codziennego[1], przy czym nie obowiązuje tu już warunek „braku rażącego pokrzywdzenia”. W dobie powszechnej informatyzacji i dużych cyfrowych zdolności dzieci niewątpliwe jest, że takie dzieci będą mogły samodzielnie dokonywać drobnych zakupów przez internet i np. zakładać konta na portalach społecznościowych, konta e-mail i dokonywać innych podobnych czynności w sieci, np. brać udział w grach komputerowych online. Powyższe czynności są bowiem zawarciem umowy (np. założenie konta na portalu społecznościowym wiąże się z akceptacją regulaminu, a ten określa warunki umowy – umowy o korzystanie z danego portalu). Natomiast zgodnie z RODO – podobnie jak w przypadku obecnej ustawy o ochronie danych osobowych – przetwarzanie danych osobowych do celów wykonania umowy nie wymaga wyrażenia odrębnej zgody. Jeśli zatem 14-letnie dziecko jest uprawnione w świetle Kodeksu cywilnego do zawarcia umowy o korzystanie z portalu, to właściciel portalu nie musi pozyskiwać odrębnej zgody (ani dziecka, ani rodzica) na przetwarzanie danych dziecka do celów prowadzenia jego konta na portalu.

Inaczej będzie w przypadku, gdy podstawą przetwarzania danych nie może być zawarcie umowy, lecz odrębna zgoda.
Będzie tak w przypadku zapisania się na listę e-mail lub listę SMS-ową albo gdy przetwarzanie danych dziecka będzie następowało w celu przeprowadzenia konkursu i kolejnych akcji promocyjnych danej firmy. RODO stanowi, że w takiej sytuacji w przypadku usług społeczeństwa informacyjnego samodzielną zgodę na przetwarzanie danych osobowych może wyrazić dziecko, które ukończyło 16 lat. „Usługami społeczeństwa informacyjnego” są zaś wszystkie usługi online, zarówno te odpłatne, jak i te, za które płacimy jedynie podaniem swoich danych osobowych.

RODO w art. 8 wskazuje, że w powyższych sytuacjach (tj. zgody na przetwarzanie danych osobowych, wyrażanej w związku z korzystaniem z usług społeczeństwa informacyjnego) zgoda opiekuna prawnego wymagana jest dla dzieci poniżej 16. roku życia, przy czym prawo krajowe może obniżyć ten wiek do lat 13. Taką obniżoną granicę przewiduje projekt nowej ustawy o ochronie danych osobowych. Najprawdopodobniej zatem w Polsce wymagane będzie potwierdzenie przez rodzica, że została wyrażona zgoda na przetwarzanie danych osobowych przez dziecko poniżej 13 lat. Dzieci powyżej 13 lat będą mogły tę zgodę wyrażać samodzielnie.

Trzeba też zauważyć, że RODO w art. 8 ust. 2 wymaga, by administrator, który chce pozyskać zgodę dziecka, podjął „rozsądne starania, by zweryfikować, czy osoba sprawująca władzę rodzicielską wyraziła zgodę lub ją zaaprobowała”. Nie jest więc wymagane bezwzględne pozyskanie 100-procentowej pewności, że zgodę wyraził rodzic. Twórcy
RODO zdają sobie bowiem sprawę z tego, że w warunkach internetu nie zawsze jest to możliwe, a oszustwa mogą się zdarzyć.

„Rozsądnym działaniem”, które będzie dawało dużą dozę pewności (choć nie 100-procentową pewność), że zgody dokonał rodzic, będzie wymaganie, by potwierdzenie zgody nastąpiło poprzez konto na Facebooku rodzica. Dziecko w procesie wyrażania zgody będzie musiało podać swoje dane oraz dane rodzica. Następnie administrator wyśle zapytanie do użytkownika portalu Facebook z prośbą o potwierdzenie czynności dziecka.

Inną możliwością może być prośba o dokonanie symbolicznego przelewu, np. na kwotę 1 zł z konta bankowego osoby dorosłej (kwota ta będzie następnie zwracana przez administratora danych). Takie działanie daje dość dużą dozę pewności, że przelewu dokonał rodzic, a nie dziecko. Oczywiście zdarzają się sytuacje, gdy dostęp do konta bankowego osoby dorosłej posiada dziecko (podpatrzyło dane dostępowe lub wprost rodzic podał dziecku te informacje) – są to jednak przypadki marginalne, które RODO będzie kwalifikowało do przypadków, gdy „rozsądne działania” zostały przez administratora danych podjęte, ale mimo to nie uzyskano 100-procentowej pewności.

Kolejnym rozwiązaniem  może być przesłanie prośby o potwierdzenie zgody na adres e-mail, który zarejestrowany będzie w domenie firmowej (a więc z wykluczeniem wszelkich darmowych usług pocztowych, takich jak gmail.com, wp.pl, onet.pl). Taki sposób będzie wiarygodny, jednak może nie sprawdzić się we wszystkich przypadkach, bowiem nie każdy dorosły musi posiadać adres e-mail w domenie firmowej.

Jeszcze innym sposobem na zweryfikowanie zgody może być zadanie skomplikowanego pytania z wiedzy powszechnie dostępnej jedynie dla dorosłych, np. z bieżącej polityki lub spraw społecznych. Ten sposób może jednak okazać się ryzykowny, gdyż taką wiedzę mogą również pozyskać dzieci w wieku 15 lat, jeśli posiadają odpowiednie zainteresowania albo zdolność do wyszukiwania informacji w internecie.

Rozwiązania w powyższej kwestii zapewne wykształci praktyka. Inwencja twórcza właścicieli firm świadczących usługi społeczeństwa informacyjnego dla dzieci jest tutaj nieograniczona.

Przykład zgody na przetwarzanie danych od osoby nieletniej

Jeśli wybranym przez administratora sposobem na wyrażenie przez rodzica zgody na przetwarzanie danych osobowych dziecka poniżej 13. roku życia byłoby potwierdzenie tej zgody z konta na portalu Facebook należącego do rodzica, wiadomość wysyłana do rodzica mogłaby brzmieć:

Witaj XY. Dziecko określające siebie jako VY chce wyrazić zgodę na naszej stronie www pod adresem www.abcd.pl na przetwarzanie jego danych osobowych do celów marketingowych. W zamian za udostępnienie nam swojego numeru telefonu do celów wysyłania wiadomości SMS z informacjami o promocjach w naszym sklepie internetowym z książeczkami dla dzieci udzielamy rabatu w wysokości 10% na trzy kolejne książeczki. Czy potwierdzasz powyższą zgodę w imieniu Twojego dziecka VY? Wiadomość o treści „tak” wysłaną z Twojego profilu na Facebooku potraktujemy jako potwierdzenie zgody.

[1] Inne zasady obowiązują w przypadku „bardziej poważnych” umów, tj. wszelkich umów, które wykraczają poza obszar „drobnych, bieżących spraw życia codziennego”. Umowy takie mogą być zawierane przez dziecko w wieku 13–18 lat, ale wymagają następnie potwierdzenia przez przedstawiciela ustawowego (rodzica lub innego opiekuna prawnego).