Vopred označené políčko

Súdny dvor sa v predmetnom rozhodnutí vysporiadaval s otázkou, či je možné predškrtnuté políčko pri súhlase s cookies považovať za riadne daný súhlas. Súdny dvor dospel jednoznačne k záveru, že v takejto situácii súhlas nie je daný správne, nakoľko nemožno vylúčiť, že používateľ si takéto políčko pred pokračovaním v činnosti na internetovej stránke ani nemusel všimnúť.
V prípade, ak teda využívate súbory cookie, pre ktoré potrebujete súhlas používateľa, tak takýto súhlas musí byť daný aktívne. Vopred označené začiarkovacie políčko, ktorého označenie musí používateľ zrušiť, aby tak odmietol dať svoj súhlas, nepredstavuje účinne daný súhlas.

V tejto súvislosti je potrebné zdôrazniť, že daný prípad sa týkal cookies a spracúvania osobných údajov, ktoré boli používané na reklamné účely. Pri tomto type cookies sa vyžaduje danie súhlasu. Súdny dvor však neriešil, ako sa vysporiadať s tými cookies, ktoré sa považujú za tzv. essential, t.j. ktoré sú nevyhnutné pre fungovanie webstránky. K tejto problematike však zaujali postoj už viaceré dozorné úrady, pričom ich závery môžete nájsť v našom článku – Nové komplexné usmernenie: Ako správne používať cookies?

Súkromie aj bez osobných údajov

Súdny dvor zároveň konštatoval, že akékoľvek informácie uložené v koncovom zariadení používateľov elektronických komunikačných sietí (t.j. v notebooku, tablete, telefóne) sú súčasťou súkromia používateľov, a to bez ohľadu na to, či ide o osobné údaje alebo nie.

Podľa Súdneho dvora, ktorý zároveň v tomto smere odkázal na odôvodnenie 24 Smernice 2002/58, je cieľom tohto prístupu najmä chrániť používateľov pred nebezpečenstvom, že skryté identifikátory alebo iné podobné zariadenia preniknú do koncového zariadenia týchto užívateľov bez ich vedomia. Z tohto dôvodu je preto potrebné žiadať súhlas a plniť si informačnú povinnosť aj v prípade, ak cookies neobsahujú informácie, ktoré by bolo možné považovať za osobné údaje dotknutých osôb podľa GDPR.

Aké informácie nezabudnúť poskytnúť?

Súdny dvor v neposlednom rade potvrdil, že používateľov internetových stránok je potrebné informovať nielen o účele spracúvania údajov, ale aj o dĺžke funkčnosti súborov cookie, ako aj o skutočnosti, či tretie osoby majú alebo nemajú prístup k týmto cookies.

Zhrnúc vyššie uvedené je zrejmé, rozhodovacia prax súdov začína s konečnou platnosťou riešiť otázky, ktoré sa týkajú nielen ochrany osobných údajov, ale aj súkromia jednotlivcov. Určite bude zaujímavé, ako sa s danou oblasťou vysporiada zákonodarca v novo pripravovanom e-Privacy nariadení, najmä či bude vychádzať z doterajších rozhodnutí Súdneho dvora alebo si zvolí úplné novú cestu.

Príspevok Nové závery súdu týkajúce sa COOKIES. Čo sa zmení? je zobrazený ako prvý na Podnikateľské centrum.

Odosielanie newsletterov v praxi

Pri zasielaní newsletterov dochádza k spracúvaniu osobných údajov dotknutých osôb (zákazníkov) zo strany prevádzkovateľa (podnikateľa, predávajúceho, dodávateľa). Štandardne sa spracúvajú osobné údaje v rozsahu meno, priezvisko, e-mailová adresa. Je preto potrebné vysporiadať sa s problematikou spracúvania osobných údajov v tejto oblasti.

Prevádzkovateľ môže spracúvať osobné údaje len na základe relevantného právneho základu, ktorý vyplýva z Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov – GDPR). Môže ním byť napríklad súhlas dotknutej osoby, plnenie zmluvy, zákonná povinnosť prevádzkovateľa či jeho oprávnený záujem.

1. Oprávnený záujem prevádzkovateľa

Vychádzajúc z GDPR, spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem.

Avšak pri zasielaní noviniek možno oprávnený záujem ako právny základ pre spracúvanie osobných údajov použiť iba vo vzťahu k existujúcim zákazníkom, pokiaľ kontaktné údaje zákazníka boli získané v súvislosti s predchádzajúcim predajom tovaru alebo služieb prevádzkovateľa a tiež v súlade s osobitnými právnymi predpismi.

Čo to vlastne znamená? Prevádzkovateľ nemôže svojvoľne posielať newsletter akýmkoľvek zákazníkom či potenciálnym zákazníkom. Rovnako nemôže za takýmto účelom využívať akékoľvek dostupné databázy. Oprávnený záujem na jeho strane môže existovať len vtedy, ak oslovuje existujúcich zákazníkov pod podmienkou, že im ponúka obdobné tovary alebo služby ako boli tie, ktoré si už zákazník u neho predtým objednal.

Príklad:
Ak prevádzkovateľ predáva na e-shope rôzne kategórie tovarov, napríklad odevy a bižutériu, databáza vlastných zákazníkov musí byť rozdelená tak, aby boli newslettre zasielané iba v tej kategórii, v ktorej si zákazník zakúpil tovar, t.j. zákazníkovi, ktorý si objednal šaty, nemožno zasielať reklamu či novinky týkajúce sa bižutérie.

Zároveň zákazníkovi musia byť poskytnuté všetky informácie týkajúce sa spracúvania osobných údajov, najmä kto ich spracúva, aké údaje sa spracúvajú, po akú dobu, za akým účelom, aké má dotknutá osoba práva a pod. Všetky náležitosti, ktoré majú informácie obsahovať sú uvedené v článku 13 a 14 GDPR. Preto odporúčame oboznámiť sa s uvedenými ustanoveniami a nastaviť procesy tak, aby plnenie povinnosti poskytovania informácií bolo v súlade s nimi.

K uvedenému dopĺňame aj to, že ak sa na zasielanie reklamných noviniek používa aplikácia MailChimp, je potrebné vysporiadať sa aj s otázkou prenosu osobných údajov mimo Európskej únie.

Voči vyššie uvedenému spracúvaniu osobných údajov má zákazník ako dotknutá osoba vždy právo namietať. Ak dotknutá osoba namieta voči spracúvaniu na účely priameho marketingu, osobné údaje sa už na také účely nesmú spracúvať.
V tomto smere odporúčame, aby v každom e-maili bola zákazníkovi poskytnutá možnosť odhlásiť sa z odberu newslettera.
V prípade, ak sú dodržané uvedené podmienky, prevádzkovateľ spracúva osobné údaje na základe jeho oprávneného záujmu.

2. Súhlas dotknutej osoby

Pokiaľ však nejde o zasielanie noviniek existujúcim zákazníkom zamerané na vlastné podobné tovary či služby, ako tie, ktoré si už zákazník objednal, kúpil či využil, je nevyhnutné, aby prevádzkovateľ získal od dotknutej osoby súhlas so spracúvaním jej osobných údajov.

V prípade, že by súhlas dotknutej osoby prevádzkovateľ nezískal a newsletter by takej osobe zasielal, jednalo by sa o tzv. nevyžiadanú poštu (spam) a také konanie prevádzkovateľa by mohlo byť sankcionované finančnými pokutami, ktoré vedia zaťažiť jeho rozpočet.
Súhlas dotknutej osoby na marketingový účel, resp. účel zasielania noviniek musí spĺňať nasledujúce kritériá. Súhlas musí byť

• preukázateľný – prevádzkovateľ musí byť schopný vždy preukázať, že mu zákazník súhlas udelil,
• výslovný – zákazník musí vykonať aktivitu, ktorou vyjadrí, že má záujem o zasielanie newsletterov. Napríklad zaškrtne políčko (checkbox) s popisom „Súhlasím s odberom newsletteru“. Vopred zaškrtnuté/označené políčko alebo nečinnosť zákazníka by sa preto nemali pokladať za platne daný súhlas.,
• slobodný a dobrovoľný –k súhlasu nemôže byť zákazník akokoľvek nútený. Zákazník samostatne a slobodne zváži či má alebo nemá záujem súhlas udeliť. Zákazník má vždy možnosť súhlas neudeliť a neudelenie súhlasu nemôže byť spojené s nepriaznivými následkami (napr. že sa mu tak znemožní objednať si tovar či službu).,
• informovaný – pri získavaní osobných údajov musí prevádzkovateľ dotknutej osobe poskytnúť informácie týkajúce sa spracúvania osobných údajov, na ktoré sme poukázali vyššie a ktoré vyplývajú z článku 13 a 14 GDPR. Odporúčame priamo pri zaškrtávacom políčku umiestniť aktívny odkaz na dané informácie, ktoré prevádzkovateľ zverejní na svojej webovej stránke.,
• jednoznačný a konkrétny – súhlas by mal byť formulovaný tak, aby nevznikli pochybnosti o jeho obsahu, resp. čo sa ním má dosiahnuť. Tiež by sa mal vzťahovať na všetky spracovateľské činnosti vykonávané prevádzkovateľom na konkrétny účel. Ak sa spracúvanie vykonáva na viaceré účely, súhlas by sa mal udeliť na všetky tieto účely.

Dotknutá osoba má právo svoj súhlas kedykoľvek odvolať. Odvolanie súhlasu však nemá vplyv na zákonnosť spracúvania pred jeho odvolaním.

Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie. Znamená to, že ak zákazník zaškrtával políčko, čím prejavil súhlas so spracúvaním osobných údajov, mal by mať možnosť odvolať súhlas takým istým spôsobom. Veľmi osvedčený model je v každom e-maili poskytnúť zákazníkovi možnosť zrušiť odber noviniek. Od okamihu zrušenia odberu prevádzkovateľ nie je oprávnený zákazníkovi zasielať reklamné e-maili. 

Záverom poukazujeme na to, že predtým ako zašlete svojmu existujúcemu alebo potenciálnemu zákazníkovi newsletter, posúďte na akom právnom základe by ste spracúvali jeho osobné údaje spojené zo zasielaním noviniek.

Všeobecne platí, že pri existujúcich zákazníkoch môžete zasielať novinky týkajúce sa podobných tovarov či služieb, ako si už predtým objednali, a to na základe oprávneného záujmu. V ostatných prípadoch je potrebný súhlas dotknutej osoby.

Okrem toho pri nastavení interných procesov pre zasielanie newsletterov odporúčame vychádzať z viacerých právnych predpisov, najmä z GDPR, ale aj napríklad zo zákona č. 147/2001 Z. z. o reklame, zákona č. 22/2004 Z. z. o elektronickom obchode, zákona č. 351/2011 Z. z. o elektronických komunikáciách). 
 
Veríme, že sa vám podarí zosúladiť vaše podnikanie a vykonávané činnosti s vyššie uvedenými odporúčaniami a právnymi predpismi a zasielanie noviniek pre zákazníkov bude pre obidve strany prínosom.

Máte otázky k téme GDPR? Pridajte sa do diskusného fóra => GDPR – ochrana osobných údajov

Príspevok JUDr. Zuzana Niederlandová: Odber a odosielanie NEWSLETTEROV (hromadných e-mailov) podľa GDPR a aktuálnej legislatívy je zobrazený ako prvý na Podnikateľské centrum.