Zapłata danymi osobowymi - nowe przepisy konsumenckie

Od 1 stycznia br. w polskim systemie prawnym obowiązują przepisy, które implementują dyrektywę cyfrową i dyrektywę Omnibus . Spośród wszystkich zmian szczególnie interesujące wydaje się przyjęcie przez UE koncepcji nowego sposobu płatności za usługi lub treści cyfrowe, czyli płatności danymi osobowymi.

Pionierska koncepcja wywołała pewne poruszenie wśród przedsiębiorców. Zgodnie z nowelizacją muszą oni realizować wszystkie obowiązki wynikające z ustawy o prawach konsumenta (np. obowiązki informacyjne lub dotyczące rękojmi) także w przypadku, gdy konsument „płaci” danymi osobowymi (a nie standardowo pieniędzmi). Jednak nie powinno to dziwić - w Polsce te zasady istnieją już od dłuższego czasu (przynajmniej teoretycznie).

Czym jest zapłata danymi osobowymi?

Kontynuując prokonsumenckie ustawodawstwo, Unia Europejska doszła do wniosku, że dane osobowe również reprezentują pewną wartość majątkową. Szczególnie gdy przedsiębiorcy wykorzystują je do profilowania, prowadzenia statystyki czy kontaktu marketingowego. W przypadku niektórych przedsiębiorców kolekcjonowane dane osobowe faktycznie stanowią o ich potędze (np. Facebook). Stąd powstało całkiem słuszne przekonanie, że nie wszystkie usługi czy treści cyfrowe są rzeczywiście „darmowe”.

Zapłata danymi osobowymi ma miejsce, gdy konsument zamiast (lub obok) ceny dostarcza swoje dane osobowe. Chodzi o sytuacje, gdy w ramach „darmowej” usługi (np. YouTube, Google), przedsiębiorca gromadzi i przetwarza dane osobowe użytkowników w jakimkolwiek innym celu niż wykonanie umowy lub obowiązku ustawowego.

Przykład: Producent „darmowego” oprogramowania antywirusowego wykorzystuje zabrane dane osobowe do wysyłania treści marketingowych.

Z „zapłatą danymi osobowymi” nie mamy do czynienia w przypadku, gdy przedsiębiorca przetwarza te dane wyłącznie w celu wykonania umowy lub ustawowego obowiązku.

Przykład: Przedsiębiorca w ramach świadczenia usługi newslettera wykorzystuje podany przez konsumenta adres e-mail wyłącznie po to, aby dostarczyć newsletter. Nie przekazuje tego maila innemu podmiotowi czy też nie zbiera informacji o tym, kto wszedł w link w celu odczytania newslettera.

Ustawa o prawach konsumenta już wcześniej uwzględniała zapłatę danymi osobowymi

Ustawa o prawach konsumenta ma (i dotychczas miała) zastosowanie względem każdej (zarówno odpłatnej, jak i nieodpłatnej) umowy zawartej z konsumentem. Widać to dobrze na przykładzie obowiązku informacyjnego przedsiębiorców. Treść art. 8 ust. 1 i art. 12 ust. 1 ustawy o prawach konsumenta rozpoczyna się podobnie: „Najpóźniej w chwili wyrażenia przez konsumenta woli związania się umową (…) przedsiębiorca ma obowiązek poinformować konsumenta w sposób jasny i zrozumiały o: (…)”. Przepis ten nie uzależnia aktualizacji obowiązków przedsiębiorcy od jakichkolwiek innych warunków poza „wyrażeniem przez konsumenta woli na związanie się umową”.

Wyjątkowe kategorie umów, które nie są objęte ustawą o prawach konsumenta zostały przewidziane w art. 3, 3a i 4. Wśród tych wyjątków dotychczas nie figurowały umowy, na podstawie których konsumenci dostarczają dane osobowe. Tak więc przedsiębiorcy już przed nowelizacją musieli również w tych przypadkach stosować ustawę o prawach konsumenta (a także wówczas, gdy umowa była w pełni darmowa).

Treść uzasadnienia projektu ustawy implementującej przepisy dyrektywy cyfrowej potwierdza poprawność wyżej postawionych wniosków. Cytując z uzasadnienia: „(…) ustawa ma zastosowanie do wszystkich umów z udziałem konsumentów, nie ma potrzeby określenia wprost, iż ustawa ma zastosowanie do umów, na mocy których konsument zobowiązuje się do dostarczenia danych osobowych”.

Jakie są konsekwencje przyjęcia nowej koncepcji zapłaty?

Przykładowo, jeżeli za usługę newslettera konsument płaci danymi osobowymi (a więc jego dane osobowe są przetwarzane w innym celu niż wyłącznie wykonanie umowy), przedsiębiorca powinien spełnić wszystkie obowiązki, które wynikają z ustawy o prawach konsumenta – np. obowiązki informacyjne z art. 12 ust. 1. Samych obowiązków informacyjnych jest ok. 23, a wśród nich można znaleźć m.in. obowiązek wskazania: możliwości pozasądowych sposobów rozwiązywania sporów, wzoru formularza do odstąpienia od umowy czy technicznych środków ochrony treści cyfrowych. Obowiązków jest oczywiście więcej.

Z początkiem roku w życie weszły również przepisy implementujące dyrektywę cyfrową, która wprowadziła rękojmię w stosunku do treści i usług cyfrowych. W przypadku odpłatnych usług cyfrowych, np. gier wideo, filmów, newslettera czy nawet konta użytkownika w serwisie internetowym, praktyka przedsiębiorców będzie musiała spełnić szereg obowiązków, których ustawa o prawach konsumenta dotychczas nie przewidywała.

Planowana nowelizacja ograniczy obowiązki przedsiębiorców, a nie je poszerzy

Skoro dostarczenie przez konsumenta danych osobowych w zamian za usługę od dawna aktualizowało po stronie przedsiębiorców określone obowiązki, to jakie znaczenie ma nowelizacja? Paradoksalnie ogranicza sytuacje, w których stosuje się ustawę o prawach konsumenta. Zmiana prawa w pewnym sensie działa na korzyść przedsiębiorców.

Aktualny art. 3 ustawy o prawach konsumenta otrzymał dodatkowy pkt 11, zgodnie z którym ustawa nie ma zastosowania do określonej kategorii umów. Chodzi o umowy o dostarczenie treści lub usług cyfrowych, jeżeli konsument w zamian dostarcza dane osobowe, a przedsiębiorca używa ich wyłącznie w celu wykonania umowy lub obowiązku ustawowego. Powracając do przykładu newslettera – gdy konsument podaje swój e-mail (który obiektywnie jest niezbędny do świadczenia usługi), to przedsiębiorca nie musi stosować wobec konsumenta przepisów ustawy o prawach konsumenta.

Jednak jeżeli przedsiębiorca poza wysyłką newslettera prowadzi statystyki jego otwierania, klikalności w poszczególne linki, udostępnia e-mail innym podmiotom – wówczas aktualizują się obowiązki z ustawy o prawach konsumenta.

Ten wyjątek nie będzie miał szerokiego zastosowania. Praktycznie każdy podmiot, który dysponuje danymi osobowymi przetwarza je w sposób wykraczający poza sztywne cele zawartej umowy. Prowadzi statystyki, profiluje, udostępnia dane itp. Co więcej, wyjątek ten jest ograniczony tylko do umów o dostarczanie treści lub usług cyfrowych. Tak więc w innych umowach (nawet prawdziwie darmowych) zastosowanie będą mieć obowiązki z ustawy o prawach konsumenta (np. obowiązki informacyjne czy rękojmia).

Weź udział w II Kongresie “Prawo konsumenckie”, 23-24 maja 2023r. >>

Podsumowanie

Chociaż zapłata danymi osobowymi jest nową koncepcją wprowadzoną przez dyrektywę cyfrową i dyrektywę Omnibus, w ustawie o prawach konsumenta obowiązuje już od 2014 roku. Zmieniło się za to samo podejście do pojęcia „odpłatności” nabywanej usługi lub treści. Przedsiębiorcy powinni jak najszybciej dostosować swoje praktyki do nowej rzeczywistości. W szczególności, że dodatkowe wyłączenie, które wprowadziła nowelizacja będzie miało raczej marginalne zastosowanie i nie obejmie szerszej kategorii podmiotów.