Je model „Consent or Pay“ v souladu s GDPR?

Evropský sbor pro ochranu osobních údajů (EDPB) vydal důležité stanovisko č. 08/2024 k modelu „Consent or Pay“ („zaplať nebo souhlas“), který využívají některé velké online platformy. 

Tento model funguje tak, že uživatelé mají na výběr mezi udělením souhlasu se zpracováním osobních údajů pro behaviorální reklamu nebo zaplacením poplatku za přístup ke službě bez reklamy. EDPB však ve svém stanovisku upozorňuje na to, že v mnoha případech nelze považovat takovýto souhlas za skutečně svobodný.

Klíčové body stanoviska EDPB:

1. Svobodný souhlas. EDPB zdůrazňuje, že souhlas se zpracováním osobních údajů musí být vždy svobodný, informovaný a dostatečně určitý. Pokud je uživatel nucen volit mezi souhlasem nebo zaplacením, není jeho souhlas považován za svobodný, protože je činěn pod hrozbou finanční náhrady.
2. Alternativy k souhlasu. EDPB doporučuje, aby online platformy poskytovaly uživatelům skutečné alternativy, které nevyžadují zpracování jejich osobních údajů. Online platformy by tak například měly být schopny nabídnout uživateli bezplatný přístup ke službě bez reklamy nebo s jiným modelem financování, který nezahrnuje sběr a využití osobních dat pro reklamní účely.
3. Informovanost uživatelů. Online platformy mají povinnost jasně informovat uživatele o tom, jak budou jejich údaje použity, jak dlouho budou uchovávány a jaká práva mají uživatelé v souvislosti se zpracováním jejich osobních údajů. Uživatelé by měli mít přístup k snadno pochopitelným informacím, které jim umožní udělat informované rozhodnutí, zda souhlas se zpracováním osobních údajů udělit, či nikoliv.
4. Transparentnost. Transparentnost je klíčová pro budování důvěry mezi uživateli a poskytovateli služeb. Platformy by měly být transparentní nejen v otázkách zpracování dat, ale také ve způsobech, jakými financují své služby.
5. Právní důsledky. EDPB varuje, že nesplnění výše uvedených požadavků může vést uložení značných sankcí. Platformy musí zajistit, že jejich modely souhlasu jsou v souladu s obecnými nařízeními o ochraně osobních údajů (GDPR).

Závěr stanoviska EDPB je takový, že „ve většině případů nebude možné, aby velké online platformy splňovaly požadavky na platný souhlas, pokud konfrontují uživatele pouze s binární volbou mezi udělením souhlasu se zpracováním osobních údajů pro účely behaviorální reklamy a zaplacením poplatku“.

Na základě stanoviska EDPB lze uživatelům doporučit, aby si před poskytnutím souhlasu se zpracováním osobních údajů pečlivě přečetli podmínky, za kterých souhlas udělují a zjistili, jak bude s jejich osobními údaji naloženo. Zároveň by uživatelé měli pečlivě dbát na to, aby plně uplatňovali svá práva související s oblastí ochrany osobních údajů. Mezi tato práva patří právo na přístup k informacím o tom, jak jsou data uživatelů zpracovávána, právo na jejich opravu nebo vymazání, a také právo na omezení jejich zpracování.

Součástí nabídky služeb v oblasti compliance je i poskytování poradenství v oblasti ochrany osobních údajů, monitoring souladu s GDPR a souvisejícími právními předpisy, provádění posouzení vlivu na ochranu osobních údajů nebo poskytování služeb pověřence pro ochranu osobních údajů. Rádi vám pomůžeme s implementací GDPR nebo revizí stávající politiky ochrany osobních údajů i ve vaší společnosti.