Prawa dziecka · Dane osobowe
RODO a dane dziecka – prawo do usunięcia, sprzeciwu i drugiej szansy
Dane dziecka są w RODO chronione szczególnie, bo dziecko gorzej rozumie ryzyko i najdłużej ponosi skutki. Ma prawo do tego, żeby to, co udostępniło w wieku kilkunastu lat, nie definiowało go przez resztę życia. Rodzice mają narzędzia, żeby to prawo wyegzekwować – trzeba tylko wiedzieć, jak z nich skorzystać.
Część opracowania „Prawa dziecka w internecie". Zgoda i wiek, prawa dziecka i rodzica, prawo do usunięcia, reklama, dane w szkole i skarga do UODO.
Punkt wyjścia
Dlaczego dane dziecka są chronione szczególnie
RODO mówi to wprost w swoim uzasadnieniu: dzieci zasługują na szczególną ochronę danych osobowych, bo mogą być mniej świadome ryzyka, konsekwencji, zabezpieczeń i przysługujących im praw.
Ta szczególna ochrona dotyczy zwłaszcza marketingu, tworzenia profili osobowościowych i usług oferowanych bezpośrednio dzieciom. Czyli dokładnie tego, na czym opiera się model biznesowy większości aplikacji, z których dzieci korzystają codziennie.
Dane osobowe dziecka to nie tylko imię, nazwisko i adres. To także zdjęcia i nagrania, na których da się je rozpoznać, głos, lokalizacja, nazwa szkoły, numer telefonu, identyfikatory kont, a nawet to, co ogląda, jak długo i o której godzinie. Z takich danych powstaje profil, na podstawie którego algorytm decyduje, co dziecko zobaczy jutro.
W sprawach o hejt dane grają jeszcze inną rolę. Adres podany w komentarzu, numer telefonu wrzucony na grupę, nazwa szkoły pod nagraniem – to wszystko dane osobowe, a ich publikacja bez podstawy prawnej jest naruszeniem, które daje osobne, bardzo konkretne narzędzia do usunięcia.
- Dane identyfikacyjne – imię, nazwisko, data urodzenia, adres, numer telefonu.
- Wizerunek i głos – zdjęcia i nagrania, na których dziecko da się rozpoznać.
- Lokalizacja – bieżąca i historyczna, zapisana w aplikacjach i plikach.
- Szkoła i zajęcia – nazwa placówki, klasa, klub, grafik treningów.
- Konta i identyfikatory – nazwy użytkownika, adresy poczty, numery urządzeń.
- Zachowanie w sieci – co ogląda, co lubi, z kim rozmawia i jak długo.
- Zdrowie – dane szczególnej kategorii, chronione jeszcze mocniej.
- Treści publikowane przez dziecko – wpisy, komentarze, relacje.
Granica wieku
Zgoda i wiek: kiedy dziecko decyduje samo
W serwisach internetowych oferowanych bezpośrednio dzieciom przetwarzanie danych na podstawie zgody jest zgodne z prawem, jeśli dziecko ukończyło 16 lat. Poniżej tej granicy zgodę musi wyrazić albo zaakceptować rodzic.
RODO pozwala państwom obniżyć tę granicę, najwyżej do 13 lat. Polska z tego nie skorzystała, więc u nas obowiązuje 16 lat. Administrator serwisu ma obowiązek podjąć rozsądne starania, żeby sprawdzić, czy zgodę rzeczywiście wyraził rodzic.
Praktyka wygląda inaczej. Regulaminy wielu platform dopuszczają konta od 13 lat, a sprawdzenie wieku często ogranicza się do wpisania daty urodzenia. W efekcie w mediach społecznościowych funkcjonuje ogromna liczba dzieci poniżej progu, który przewidują same regulaminy. Trwają prace nad ustawowym ograniczeniem dostępu najmłodszych do mediów społecznościowych i nad weryfikacją wieku przez cyfrowy portfel tożsamości, który pozwala potwierdzić sam wiek bez ujawniania innych danych.
Dla rodziców wniosek jest prosty: granica 16 lat nie oznacza, że młodsze dziecko w ogóle nie może mieć konta. Oznacza, że jego dane w takim serwisie są przetwarzane legalnie tylko w zakresie, na który zgodzili się rodzice – i że rodzice mają pełne prawo tę zgodę wycofać.
„Jeżeli dziecko nie ukończyło 16 lat, takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraziła lub zaaprobowała ją osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej zgody."
- Od 16 lat – dziecko samo wyraża zgodę w serwisach internetowych.
- Poniżej 16 lat – zgodę wyraża lub zatwierdza rodzic.
- Zgoda ma zakres – przetwarzanie poza nim nie ma podstawy.
- Zgodę można wycofać – w każdej chwili, tak łatwo, jak ją wyrażono.
- Regulamin to nie prawo – „od 13 lat" w regulaminie nie zmienia RODO.
Katalog uprawnień
Jakie prawa ma dziecko wobec tych, którzy przetwarzają jego dane
Za młodsze dziecko wykonują je rodzice jako przedstawiciele ustawowi. Starszy nastolatek może z nich korzystać sam – w praktyce najlepiej działa, gdy robicie to razem.
Prawo dostępu
Informacja, jakie dane o dziecku są przetwarzane, w jakim celu, komu je przekazano i skąd pochodzą, wraz z kopią danych.
Sprostowanie
Poprawienie nieprawdziwych danych i uzupełnienie niekompletnych, także gdy ktoś podał fałszywe informacje o dziecku.
Usunięcie
Prawo do bycia zapomnianym, ze szczególnym uwzględnieniem danych zebranych od dziecka w serwisach internetowych.
Ograniczenie
Wstrzymanie przetwarzania na czas wyjaśniania sporu, na przykład gdy kwestionujecie prawdziwość danych.
Przenoszenie
Otrzymanie danych w formacie, który pozwala przenieść je do innej usługi albo zachować przed usunięciem konta.
Sprzeciw
Sprzeciw wobec przetwarzania, a w przypadku marketingu bezpośredniego – sprzeciw, który administrator musi uwzględnić.
Decyzje automatyczne
Ochrona przed decyzjami podejmowanymi wyłącznie przez algorytm, które istotnie wpływają na dziecko.
Skarga i odszkodowanie
Skarga do Prezesa UODO oraz prawo do odszkodowania za szkodę majątkową i niemajątkową.
Administrator przekazuje informacje „w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka".
Najmocniejsze narzędzie
Prawo do usunięcia danych – dziecko ma prawo zacząć od nowa
Wśród podstaw do usunięcia danych RODO wymienia osobno sytuację, w której dane zostały zebrane w związku z oferowaniem usług internetowych dziecku. To jeden z nielicznych przepisów, który tak wprost mówi: to, co dziecko udostępniło jako dziecko, nie musi zostać w sieci na zawsze.
Uzasadnienie RODO dodaje, że prawo do usunięcia ma szczególne znaczenie, gdy osoba wyraziła zgodę jako dziecko, nie mając pełnej świadomości ryzyka, i później chce usunąć takie dane – także wtedy, gdy nie jest już dzieckiem. Konto założone w wieku dwunastu lat, zdjęcia sprzed lat, wpisy, których dziś się wstydzi – dorosły może żądać ich usunięcia, powołując się na to, że udostępniał je jako dziecko.
Poza tą szczególną podstawą obowiązują ogólne: dane nie są już potrzebne do celu, w którym je zebrano, zgoda została wycofana, wniesiono skuteczny sprzeciw albo dane były przetwarzane niezgodnie z prawem. Ta ostatnia podstawa jest kluczowa w sprawach o hejt, bo publikacja adresu czy telefonu dziecka w celu nękania nie ma żadnej podstawy prawnej.
Prawo do usunięcia nie jest absolutne. Ustępuje między innymi wolności wypowiedzi i informacji, obowiązkom prawnym administratora i dochodzeniu roszczeń. Dlatego skuteczne żądanie wskazuje podstawę i wyjaśnia, dlaczego wyjątki nie mają zastosowania. Administrator, który dane upublicznił, ma przy tym obowiązek podjąć rozsądne działania, żeby poinformować innych administratorów o żądaniu usunięcia kopii i linków.
- Dane zebrane od dziecka w serwisie – osobna podstawa usunięcia w RODO.
- Dane niepotrzebne do celu – na przykład stare konto, z którego nikt nie korzysta.
- Wycofana zgoda – gdy przetwarzanie opierało się tylko na niej.
- Skuteczny sprzeciw – szczególnie wobec marketingu.
- Przetwarzanie niezgodne z prawem – publikacja danych w celu nękania.
- Obowiązek poinformowania innych – o kopiach i linkach do upublicznionych danych.
- Wyszukiwarki – osobne wnioski o usunięcie wyników wyszukiwania.
- Także po osiemnastce – gdy dane udostępniono jako dziecko.
Algorytmy i profile
Sprzeciw i profilowanie: dziecko to nie zbiór danych do przewidywania
Profilowanie to automatyczne ocenianie człowieka na podstawie jego danych – zainteresowań, zachowań, nastroju. U dzieci ma to szczególne znaczenie, bo profil decyduje o tym, jakie treści będą im podsuwane godzinami.
Każdy, także dziecko działające przez rodzica, może wnieść sprzeciw wobec przetwarzania swoich danych. Sprzeciw wobec marketingu bezpośredniego, w tym profilowania w tym celu, jest bezwzględny: po jego wniesieniu dane nie mogą być już do tego wykorzystywane.
RODO chroni też przed decyzjami podejmowanymi wyłącznie w sposób zautomatyzowany, które wywołują skutki prawne albo w podobny sposób istotnie wpływają na człowieka. Uzasadnienie rozporządzenia wskazuje wprost, że takie decyzje nie powinny dotyczyć dziecka.
W praktyce warto sprawdzić ustawienia prywatności i reklam na każdym koncie dziecka, wyłączyć personalizację tam, gdzie to możliwe, i złożyć sprzeciw wobec marketingu w usługach, które nadal przysyłają dziecku spersonalizowane oferty.
- Sprzeciw wobec marketingu – administrator musi go uwzględnić bez dyskusji.
- Sprzeciw wobec innego przetwarzania – administrator musi wykazać ważne podstawy, żeby kontynuować.
- Decyzje wyłącznie automatyczne – nie powinny dotyczyć dzieci.
- Ustawienia reklam – personalizacja wyłączona na każdym koncie dziecka.
- Historia aktywności – regularne czyszczenie ogranicza profil.
- Aplikacje z dostępem do danych – przegląd uprawnień co kilka miesięcy.
Prawo unijne o platformach
Reklama skierowana do dzieci: czego platformom nie wolno
Akt o usługach cyfrowych wprowadził zakaz, który rodzice powinni znać: platforma nie może wyświetlać reklam opartych na profilowaniu z użyciem danych osobowych użytkownika, jeśli z rozsądną pewnością wie, że jest on małoletni.
Ten sam przepis zobowiązuje platformy dostępne dla dzieci do zapewnienia im wysokiego poziomu prywatności, bezpieczeństwa i ochrony. Wytyczne Komisji Europejskiej wskazują, co to oznacza w praktyce: najwyższe ustawienia prywatności jako domyślne, ograniczenie mechanizmów, które zatrzymują dziecko przed ekranem, i zrozumiałe dla dzieci narzędzia zgłaszania.
Akt o usługach cyfrowych zakazuje też projektowania interfejsów, które wprowadzają użytkownika w błąd albo manipulują jego decyzjami. Przyciski ukryte tak, żeby dziecko nie znalazło opcji „nie zgadzam się", i ciągłe nakłanianie do udostępniania kolejnych danych to dokładnie ten obszar.
- Zakaz reklam profilowanych dla dzieci – gdy platforma wie, że użytkownik jest małoletni.
- Wysoki poziom ochrony małoletnich – obowiązek każdej platformy dostępnej dla dzieci.
- Prywatność domyślnie – zalecenie wytycznych Komisji Europejskiej.
- Zakaz zwodniczych interfejsów – manipulowanie decyzjami użytkownika jest niedozwolone.
- Zgłoszenia i odwołania – każda decyzja platformy wymaga uzasadnienia.
Instytucje
Dane dziecka w szkole, na zajęciach i w grupach rodziców
Szkoła przetwarza dane uczniów na podstawie przepisów prawa oświatowego i do wielu czynności nie potrzebuje Waszej zgody. To nie znaczy, że może z tymi danymi robić wszystko.
Dziennik elektroniczny, dokumentacja przebiegu nauczania, opinie poradni – to dane przetwarzane w konkretnym celu. Publikacja wyników, list uczniów z adresami, informacji o zdrowiu czy zachowaniu wymaga odrębnej podstawy. Przekazanie danych firmie organizującej konkurs, wycieczkę albo aplikację edukacyjną też musi mieć podstawę, a Wy macie prawo wiedzieć, komu i po co dane trafiły.
Szkoła publiczna musi wyznaczyć inspektora ochrony danych. To do niego kierujecie pytania o przetwarzanie danych dziecka i żądania, gdy coś jest nie tak. Inspektor ma obowiązek zachować tajemnicę i działać niezależnie.
Najwięcej danych dzieci wycieka jednak nie ze szkoły, tylko z grup rodziców na komunikatorach: listy z numerami telefonów, zdjęcia z wycieczek, informacje o chorobach i konfliktach między dziećmi. Zasada jest prosta – w grupie rodziców nie ma miejsca na dane cudzych dzieci.
- Pytajcie o podstawę – każde przetwarzanie danych dziecka jej wymaga.
- Pytajcie o odbiorców – komu szkoła przekazała dane dziecka i po co.
- Piszcie do inspektora ochrony danych – szkoła publiczna musi go mieć.
- Publikacje szkoły – wyniki, listy, zdjęcia wymagają podstawy.
- Aplikacje edukacyjne – sprawdźcie, jakie dane zbierają i komu je przekazują.
- Grupy rodziców – bez danych, zdjęć i spraw cudzych dzieci.
Droga działania
Jak napisać żądanie usunięcia danych dziecka, żeby zadziałało
Większość odmów bierze się nie z braku prawa, tylko ze słabo przygotowanego żądania. Oto elementy, które zmieniają wynik.
Ustalcie administratora
Właściciel strony, operator platformy, szkoła, firma. Żądanie kieruje się do tego, kto decyduje o danych, najlepiej na adres wskazany w polityce prywatności.
Wskażcie dane dokładnie
Adresy stron, nazwy kont, zrzuty ekranu. Materiałów intymnych nie załączajcie nigdy – opiszcie je słowami.
Podajcie podstawę prawną
Artykuł 17 RODO i konkretna przesłanka: dane zebrane od dziecka, wycofana zgoda, sprzeciw albo przetwarzanie niezgodne z prawem.
Wykażcie umocowanie
Że działacie jako rodzic dziecka – bez nadmiarowego ujawniania danych. Starszy nastolatek może podpisać żądanie razem z Wami.
Poproście o więcej
O poinformowanie innych administratorów o żądaniu usunięcia kopii i linków oraz o wskazanie odbiorców, którym dane przekazano.
Pilnujcie terminu
Odpowiedź co do zasady w ciągu miesiąca, z możliwością przedłużenia o dwa kolejne przy wyjaśnieniu przyczyn. Brak odpowiedzi to podstawa do skargi.
Gdy administrator odmawia
Skarga do Prezesa UODO i roszczenia cywilne
Każdy, czyje dane są przetwarzane niezgodnie z prawem, ma prawo wnieść skargę do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych.
Skarga ma sens, gdy administrator ignoruje żądanie, odmawia bez uzasadnienia, przetwarza dane dziecka bez podstawy albo nie zabezpieczył ich należycie. Postępowanie jest administracyjne i kończy się decyzją, która może nakazać na przykład usunięcie danych. Warto dołączyć kopię żądania, dowód jego doręczenia i odpowiedź administratora albo informację o jej braku.
Niezależnie od skargi dziecku przysługuje droga sądowa i prawo do odszkodowania za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia RODO. Gdy publikacja danych była elementem hejtu, dochodzą do tego roszczenia z tytułu naruszenia dóbr osobistych.
Skarga do UODO nie jest trybem pilnym. Gdy dane dziecka posłużyły do nękania i sytuacja jest świeża, szybciej działa zgłoszenie do platformy i żądanie do administratora, a skarga jest kolejnym etapem, gdy te zawiodą.
- Brak odpowiedzi w terminie – podstawa do skargi.
- Odmowa bez uzasadnienia – administrator musi wskazać powody.
- Przetwarzanie bez podstawy – na przykład publikacja danych w celu nękania.
- Wyciek danych dziecka – administrator odpowiada za zabezpieczenia.
- Załączniki – żądanie, dowód doręczenia, odpowiedź albo jej brak.
- Odszkodowanie – za szkodę majątkową i niemajątkową.
Jak pomagamy
Porządkujemy dane dziecka w sieci – od żądania do skutku
Najpierw ustalamy, gdzie dane dziecka w ogóle są. Potem usuwamy je z każdego miejsca i pilnujemy, żeby nie wróciły.
Audyt bezpieczeństwa dziecka
Sprawdzamy, co obca osoba ustali o dziecku z publicznych źródeł – i zamykamy to razem z Wami.
Zobacz audytPomoc przy interwencji
Żądania do administratorów, wnioski do wyszukiwarek i zgłoszenia do platform, gdy dane posłużyły do nękania.
Zgłoś sprawęMonitoring wizerunku dziecka
Pilnujemy, czy dane i zdjęcia dziecka nie wracają po usunięciu i nie pojawiają się w nowych miejscach.
Zobacz monitoringWsparcie prawne rodzin
Skargi do UODO, pozwy i roszczenia prowadzone przez współpracującą kancelarię.
Zobacz zakresZbiórka na Centrum Usuwania Hejtu
Porządek w danych dziecka to praca, którą ktoś musi wykonać
Każde żądanie trzeba napisać, wysłać, pilnować terminu i sprawdzić skutek. Centrum Usuwania Hejtu ma robić to dla dzieci, które zgłaszają się do nas same, bez oglądania się na portfel ich rodziców. Darowizny powyżej 1000 zł trafiają dożywotnio na Ścianę Chwały.
Pytania rodziców
RODO a dane dziecka – najczęstsze pytania
Moje dziecko ma 14 lat i samo założyło konto. Czy to legalne?
Samo założenie konta nie jest nielegalne, ale przetwarzanie danych czternastolatka na podstawie zgody jest zgodne z prawem tylko wtedy, gdy zgodę wyraził lub zaakceptował rodzic, i tylko w jej zakresie. Możecie tę zgodę wyrazić, ograniczyć albo odmówić jej i zażądać usunięcia danych.
Czy mogę zażądać usunięcia konta mojego dziecka?
Tak, jako rodzic możecie wycofać zgodę i zażądać usunięcia danych dziecka, zwłaszcza gdy nie ukończyło 16 lat. Przy starszym nastolatku warto zrobić to razem z nim – prawo dziecka do bycia wysłuchanym dotyczy także takich decyzji. Przed usunięciem możecie zażądać kopii danych, żeby zachować to, co dla dziecka ważne.
Czy dorosły może usunąć to, co opublikował jako dziecko?
Tak. RODO wymienia osobno dane zebrane od dziecka w serwisach internetowych jako podstawę do usunięcia, a jego uzasadnienie wskazuje, że to prawo zachowuje znaczenie także wtedy, gdy osoba nie jest już dzieckiem. Prawo do usunięcia ma wyjątki, na przykład ze względu na wolność wypowiedzi, więc żądanie powinno być dobrze uzasadnione.
Czy szkoła może przekazać dane dziecka firmie organizującej konkurs albo wycieczkę?
Tylko wtedy, gdy ma do tego podstawę prawną, na przykład zgodę rodziców albo przepis. Macie prawo wiedzieć, komu dane zostały przekazane i w jakim celu. Pytania i żądania kierujcie do inspektora ochrony danych szkoły.
Ile administrator ma czasu na odpowiedź?
Bez zbędnej zwłoki, a co do zasady w ciągu miesiąca od otrzymania żądania. Termin można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter sprawy, ale administrator musi Was o tym poinformować w ciągu pierwszego miesiąca i podać przyczyny.
Czy za naruszenie danych dziecka należy się odszkodowanie?
RODO daje prawo do odszkodowania za szkodę majątkową i niemajątkową wynikającą z naruszenia przepisów. Gdy publikacja danych była częścią hejtu, dochodzą do tego roszczenia z tytułu naruszenia dóbr osobistych. Wysokość zależy od okoliczności, a ocenę przygotowuje kancelaria w ramach wsparcia prawnego rodzin.
Czas działać
Dane dziecka da się posprzątać. Nawet te sprzed lat
Powiedzcie nam, gdzie są dane Waszego dziecka albo gdzie podejrzewacie, że mogą być. Przygotujemy żądania i dopilnujemy skutku. Zadzwońcie na 222 900 142 albo napiszcie na kontakt@usuwaniehejtu.pl.
Treści na tej stronie mają charakter informacyjny i nie stanowią porady prawnej.
Zostań stałym wsparciem
Wybierz swój poziom w walce z hejtem.
Comiesięczne wsparcie daje nam to, czego hejt nie ma - stabilność. Dzięki stałym darczyńcom działamy bez przerwy. Wybierz poziom i dołącz.
Wolisz własną kwotę?
Wpisz dowolną sumę — każda złotówka to realne działania. Jednorazowo, co miesiąc albo co rok, jak Ci wygodnie.
Jednorazowa zrzutka
Nie chcesz subskrypcji? Wpłać jednorazowo na publiczną zbiórkę - też trafia na Ścianę Chwały.
Wpłać na zrzutkęPrzelew na konto
Dla większych darowizn i wsparcia firmowego. Wystaw przelew bezpośrednio na konto fundacji.
nr konta: 42 1600 1462 1783 5776 0000 0002