ePrivacy – nowa regulacja ważna dla działalności w sieci

Obowiązki przedsiębiorców działających w sieci w kontekście ochrony danych osobowych nie ograniczają się wyłącznie do przestrzegania RODO.

Czym jest projekt rozporządzenia ePrivacy?

21 lutego 2021 roku podpisany został projekt rozporządzenia ePrivacy, które w swoich założeniach ma regulować zagadnienia związane z prywatnością w komunikacji elektronicznej na terenie Unii Europejskiej.

Projekt rozporządzenia o prywatności i łączności elektronicznej, czyli rozporządzenia ePrivacy, jest kolejnym krokiem w zakresie regulowania zasad prywatności w komunikacji elektronicznej, odzwierciedlonych w dyrektywie 2002/58/WE.

Dyrektywy UE co do zasady nakreślają ogólne ramy regulacji danych zagadnień. Wyznaczają cel, pozostawiając sposób jego realizacji poszczególnym państwom członkowskim. Może to skutkować rozbieżnościami w regulacjach obowiązujących na terenie różnych krajów.

Rozporządzenie natomiast jest wiążącym aktem prawnym, mającym zastosowanie w całości na obszarze wszystkich państw Unii Europejskiej.

Jakie podmioty ma objąć rozporządzenie?

Rozporządzenie będzie wprowadzało regulacje obejmujące podmioty zbierające i przechowujące w celach marketingowych informacje o urządzeniach końcowych, takich jak telefony, tablety i laptopy, za pośrednictwem plików cookies.

Wpłynie ponadto na operatorów telekomunikacyjnych i inne podmioty o profilu marketingowym, wprowadzając restrykcje w zakresie chociażby przedstawiania ofert e-mailowych opartych na profilowaniu klienta.

Rozporządzenie obejmie też podmioty usługowe działające w zakresie łączności elektronicznej, takie jak dostawcy internetu, podmioty z branży telekomunikacyjnej, a także producenci oprogramowania służącego do łączności elektronicznej.

Przedmiotem regulacji są nie tylko dane pobierane przez podmioty w związku ze świadczeniem usług tradycyjnej komunikacji elektronicznej, lecz także dane zbierane za pośrednictwem nowszych technologii, takich jak komunikatory internetowe czy usługi OTT, czyli Over The Top Communication Services.

Najważniejsze założenia reformy ePrivacy

Reforma prawna sektora ePrivacy dotyczyć ma takich zagadnień jak:

• Dostosowanie zasad prywatności elektronicznej do rozwoju rynku. Dotyczy to pojawiania się nowych podmiotów i usług komunikacji elektronicznej, takich jak Facebook Messenger, WhatsApp, Skype czy Twitter.
• Ujednolicenie zasad bezpieczeństwa. Regulacje mają dotyczyć korzystania z tego typu rozwiązań zarówno przez podmioty prywatne, jak i gospodarcze.
• Ochrona prywatności w zakresie metadanych. Metadane mogą ujawniać informacje istotne dla prywatności użytkowników, np. urządzenie, z którego następuje komunikacja, datę i godzinę jej wykonania, model urządzenia czy lokalizację. Zgodnie z założeniami projektu dane tego typu powinny być anonimowe bądź niepobierane na wniosek podmiotów uczestniczących w elektronicznym przepływie informacji.
• Otwarcie nowych możliwości biznesowych. Dotyczy to m.in. umożliwienia operatorom oferowania dodatkowych usług i rozwoju działalności.
• Jaśniejsze zasady dotyczące plików cookies. Pliki te mogą ułatwiać korzystanie z witryn, np. przez zapamiętywanie pozycji umieszczonych w koszyku sklepu internetowego, ale mogą też ingerować w prywatność i przekładać się na niechciane reklamy, spam oraz nachalny marketing.
• Ochrona przed spamem. Przepisy rozporządzenia przewidują restrykcje ograniczające takie zjawiska jak automatyczne połączenia telefoniczne i wiadomości SMS z ofertami. Jednym z rozwiązań mają być specjalne prefiksy wskazujące na marketingowy charakter kontaktu.

Pliki cookies i przejrzystość zgód

Co szczególnie ważne dla biznesu, kolejnym filarem bezpieczeństwa użytkownika przewidzianym w rozporządzeniu jest jasność i przejrzystość polityki cookies, związanej m.in. z personalizacją witryn internetowych oraz dopasowywaniem reklam do odbiorcy.

Zgoda na przetwarzanie danych może być wyrażona w formie elektronicznej. Dyrektywa ePrivacy nie wyklucza samej polityki akceptacji cookies, natomiast kwestionuje praktyki typu „ściana tekstu”, czyli przewidziany do zaakceptowania tekst oświadczenia przysłaniający stronę docelową.

U podstaw rozporządzenia stoi założenie, że tego rodzaju banery są sprzeczne z polityką RODO, a udzielana w ten sposób zgoda jest jedynie iluzoryczna.

Zgodnie z założeniami rozporządzenia zgoda na politykę cookies nie będzie konieczna w przypadku, gdy ingerencja w prywatność odbiorcy będzie ograniczona lub nie będzie występowała wcale.

Zgody telemarketingowe i blokowanie niechcianych połączeń

Inaczej sprawa kształtuje się w zakresie zgód telemarketingowych. Odpowiedni operator będzie zobowiązany uzyskać taką zgodę jeszcze przed rozpoczęciem czynności marketingowych.

Ma to na celu ograniczenie sytuacji, w których użytkownicy nie dostrzegają, że korzystając z danej usługi, płacą za nią własną prywatnością, choć są przekonani, że otrzymują ją „za darmo”.

Usługodawcy zostaną ponadto zobowiązani do zagwarantowania konsumentom bezpłatnej możliwości blokowania połączeń z konkretnych numerów lub z anonimowych źródeł, a także możliwości zatrzymania automatycznych przekierowań połączeń na urządzenia końcowe.

Warto podkreślić, że rozporządzenie uwzględnia zarówno osoby fizyczne, jak i osoby prawne, co podkreśla zasięg regulacji.

Prawo sprzeciwu wobec ofert e-mailowych

Regulacja ma również na celu wprowadzenie prawa sprzeciwu dla podmiotu, który w wyniku skorzystania z danej usługi otrzymuje od usługodawcy kolejne podobne oferty drogą e-mailową.

Dostrzeżono więc konieczność zapewnienia adresatowi reklam bezpłatnego i łatwego sposobu zgłoszenia sprzeciwu wobec tego typu praktyk.

Ochrona metadanych w komunikacji elektronicznej

Kluczowym elementem projektu jest również ochrona metadanych w elektronicznym przepływie informacji. Użytkownicy bardzo często nie są świadomi, że pozostawiają po sobie takie ślady jak model urządzenia, data i godzina danej czynności czy nawet lokalizacja geograficzna.

Dostawcy będą mogli przetwarzać te logi jedynie wtedy, gdy użytkownik końcowy wyrazi na to specjalną zgodę, z podkreśleniem, że dane te będą anonimowe i przetwarzane dla ściśle określonych celów.

Projekt wprowadza jednocześnie pewne wyjątki od zasady ochrony danych poufnych przed ingerencją osób trzecich. Są to m.in. komunikaty dotyczące utrzymania bezpieczeństwa sieci czy przetwarzanie metadanych przez operatorów w celu naliczania opłat abonamentowych.

Konsekwencje naruszenia przepisów ePrivacy

Warto również wspomnieć o konsekwencjach przewidzianych za naruszenie postanowień rozporządzenia ePrivacy. Za takie praktyki przewidziano karę do 20 000 000 euro, a w przypadku przedsiębiorstw – karę do 4% rocznego światowego obrotu z poprzedniego roku obrotowego.

Podsumowanie

Projekt ePrivacy obejmuje dodatkową ochroną prawną użytkowników internetu – zarówno osoby fizyczne, jak i osoby prawne. Wzmacnia ich prawa w zakresie decydowania o przetwarzaniu swoich danych w sieciach telekomunikacyjnych.

Podkreśla też obowiązek jasnego i wyraźnego informowania użytkowników o przetwarzaniu danych oraz ogranicza niechcianą komunikację marketingową.