Wielu przedsiębiorców i użytkowników internetu zadaje sobie pytanie, czy RODO (Ogólne Rozporządzenie o Ochronie Danych) nie idzie o krok za daleko. Często mamy wrażenie, że przepisy traktują nas jak dzieci, które nie potrafią ocenić ryzyka kliknięcia w przycisk „Akceptuję”. Instytucje i sądy nakładają na firmy rygorystyczne obowiązki informacyjne, wychodząc z założenia, że przeciętny konsument nie jest w stanie w pełni zrozumieć, co dzieje się z jego danymi. Skąd bierze się takie podejście i dlaczego system prawny zdaje się chronić nas przed nami samymi?

Asymetria informacyjna, czyli walka Dawida z Goliatem

Głównym powodem, dla którego RODO przyjmuje tak protekcjonalną postawę, jest ogromna dysproporcja sił między wielkimi korporacjami a pojedynczym użytkownikiem. W świecie technologii mamy do czynienia z tzw. asymetrią informacyjną. Firma zbierająca dane dokładnie wie, w jakim celu to robi, jakimi algorytmami będzie je przetwarzać i komu może je sprzedać. Konsument widzi jedynie ułamek tego procesu.

Sądy i organy nadzorcze (jak polski UODO) wychodzą z założenia, że bez „nadzwyczajnej ochrony” konsument nie ma szans na podjęcie świadomej decyzji. Gdyby prawo nie wymuszało jasnych komunikatów, regulaminy miałyby po 200 stron (co zresztą często się zdarza), a ich treść byłaby zrozumiała jedynie dla prawników i programistów. Ochrona „przed własnymi decyzjami” jest więc w rzeczywistości próbą wyrównania szans.

Złożoność współczesnego profilowania

Kolejnym argumentem za silną ochroną jest fakt, że skutki wyrażenia zgody na przetwarzanie danych są często niewidoczne gołym okiem i odroczone w czasie. Kiedy podajemy swój e-mail w zamian za rabat, rzadko myślimy o tym, że nasze dane mogą posłużyć do budowy zaawansowanego profilu psychograficznego.

Współczesne systemy reklamowe potrafią na podstawie pozornie nieistotnych informacji (takich jak szybkość przewijania strony czy model telefonu) wywnioskować nasz stan zdrowia, orientację seksualną czy poglądy polityczne. Interpretacje RODO zakładają, że przeciętny użytkownik nie jest świadomy potęgi analityki Big Data. Dlatego prawo wymaga, aby zgoda była „konkretna i świadoma” – instytucje muszą upewnić się, że wiemy, na co się piszemy, nawet jeśli sami nie mamy ochoty się nad tym zastanawiać.

Pułapki projektowe i tzw. Dark Patterns

Warto zwrócić uwagę na to, jak projektowane są interfejsy stron internetowych. Eksperci od UX (User Experience) często stosują tzw. dark patterns – techniki manipulacyjne, które mają skłonić nas do kliknięcia „Zgadzam się” (np. jaskrawy przycisk akceptacji i ukryty, szary przycisk odmowy).

Orzecznictwo sądowe staje po stronie konsumenta, ponieważ uznaje, że w starciu z psychologią sprzedaży i dopracowanymi interfejsami, wolna wola człowieka jest wystawiona na ciężką próbę. Ochrona przed „własnymi decyzjami” to w tym kontekście ochrona przed manipulacją, której przeciętny użytkownik może nawet nie zauważyć.

Ciekawostka: Czy wiesz, że...?

Zanim RODO weszło w życie, naukowcy z Carnegie Mellon University obliczyli, że gdyby przeciętny Amerykanin chciał przeczytać wszystkie polityki prywatności serwisów, z których korzysta w ciągu roku, zajęłoby mu to około 244 godziny (czyli ponad 30 dni roboczych!). To pokazuje, że bez odgórnych regulacji „świadoma zgoda” byłaby jedynie fikcją literacką.

Prywatność jako prawo podstawowe, a nie towar

W Unii Europejskiej podejście do danych osobowych różni się od modelu amerykańskiego. W USA dane są często traktowane jak towar, którym można handlować. W Europie prawo do prywatności jest uznawane za jedno z podstawowych praw człowieka.

Z tego wynikają surowe interpretacje sądów. Skoro prywatność jest prawem podstawowym, to państwo czuje się zobowiązane do jego ochrony nawet wtedy, gdy sam obywatel wykazuje się lekkomyślnością. Podobnie jest z przepisami BHP czy prawem pracy – pracownik nie może zrzec się prawa do urlopu, nawet jeśli bardzo by chciał, ponieważ ustawodawca uznał, że pewne standardy muszą być nienaruszalne dla dobra ogółu.

Rola orzecznictwa i "standard przeciętnego użytkownika"

Sądy, wydając wyroki w sprawach o naruszenie RODO, często posługują się modelem „przeciętnego użytkownika”. Jednak w dobie cyfryzacji ten model ewoluuje. Sędziowie zauważają, że nawet osoby sprawne technologicznie nie są w stanie kontrolować przepływu danych wewnątrz skomplikowanych ekosystemów reklamowych (tzw. Real-Time Bidding).

Dlatego instytucje czują się zobligowane do narzucania firmom roli „strażników”. To na administratorze danych spoczywa ciężar dowodu, że zgoda została zebrana w sposób rzetelny. Jeśli proces był zbyt skomplikowany lub niejasny, sąd uzna, że zgoda jest nieważna – chroniąc w ten sposób konsumenta przed skutkami jego własnego pośpiechu lub niewiedzy.

Czy to faktycznie nadopiekuńczość?

Choć z perspektywy biznesu RODO może wydawać się uciążliwe i „nadopiekuńcze”, jego celem jest stworzenie fundamentu zaufania w gospodarce cyfrowej. Gdyby konsumenci masowo poczuli, że ich dane są wykorzystywane przeciwko nim, mogliby całkowicie wycofać się z wielu usług online.

Zatem to, co postrzegamy jako traktowanie konsumenta jak osoby wymagającej nadzwyczajnej ochrony, jest w istocie próbą okiełznania technologii, która rozwija się znacznie szybciej niż nasza ludzka zdolność do analizowania długofalowych skutków każdego „kliknięcia”. Instytucje nie tyle chronią nas przed nami samymi, co przed systemem, w którym bez odpowiednich barier ochronnych bylibyśmy całkowicie bezbronni.