Jak zweryfikować, że to rodzic wyraził zgodę w imieniu dziecka

Autor: Marcin Sarna

Ogólne rozporządzenie o ochronie danych stanowi, że zgodę na przetwarzanie danych osobowych dziecka do 16. roku życia w celu korzystania przez nie z usług społeczeństwa informacyjnego wyrażają rodzice lub opiekunowie prawni. Dowiedz się, w jaki sposób administrator będzie mógł zweryfikować, kto wyraził zgodę na przetwarzanie danych osobowych dziecka.

Zgodnie z art. 8 ogólnego rozporządzenia o ochronie danych (RODO), w przypadku gdy usługa społeczeństwa informacyjnego jest oferowana bezpośrednio dziecku, które nie ukończyło 16 lat, wymagane jest pobranie zgody na przetwarzanie danych osobowych dziecka. Zgodę powinna wyrazić (lub też zaaprobować zgodę wyrażoną przez dziecko) osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem. Ten wiek dziecka może zostać zmniejszony przez prawo danego państwa członkowskiego do 13. roku życia (na co najprawdopodobniej zdecyduje się polski ustawodawca). W takich przypadkach administrator danych będzie miał obowiązek zweryfikować, czy zgoda na przetwarzanie danych osobowych dziecka lub aprobata zgody została wyrażona przez rodzica lub opiekuna prawnego. Powinien przy tym:

uwzględnić dostępną technologię,
podjąć „rozsądne” starania w celu weryfikacji,
uwzględnić ogólne przepisy prawa umów państw członkowskich, takie jak przepisy o ważności, zawieraniu lub skutkach umowy wobec dziecka.

Uwzględnienie dostępnej technologii zdaje się zezwalać na skorzystanie przez administratora z e-mailowej lub innej elektronicznej drogi komunikacji z rodzicem lub opiekunem dziecka, w szczególności z takiej formy komunikacji, jaka została nawiązana z samym dzieckiem. „Rozsądne” starania to zapewne w szczególności umożliwienie administratorowi poprzestania na racjonalnie uzasadnionym stopniu „podejrzliwości” co do tego, czy osoba podająca się za rodzica lub opiekuna dziecka faktycznie nim jest. W tym zakresie wydaje się, że administratorowi wystarczy np. e-mail wysłany z jakiegokolwiek innego adresu e-mailowego niż adres poczty elektronicznej dziecka. Nie jest konieczne (a w zasadzie jest nawet zabronione) pozyskanie skanu dowodu osobistego rodzica czy postanowienia sądu o ustanowieniu opiekuna. Z kolei uwzględnianie ogólnych przepisów prawa umów państw członkowskich to odwołanie – na gruncie polskiego prawa – do Kodeksu cywilnego – części ogólnej i prawa zobowiązań – oraz Kodeksu rodzinnego i opiekuńczego.

Aby zweryfikować, czy zgoda na przetwarzanie danych osobowych dziecka poniżej 16. (lub 13.) roku życia została wyrażona przez rodzica lub opiekuna prawnego, administrator danych może np. zażądać przesłania takiej zgody z innego adresu e-mail niż adres poczty elektronicznej dziecka.

Marcin Sarna