Katarzyna Szymielewicz z Panoptykonu: W RODO nie chodzi o te irytujące pop-upy

Katarzyna Szymielewicz (fot. Flickr.com/ Heinrich-Böll-Stiftung)

Choć przepisy Rozporządzenia o Ochronie Danych Osobowych weszły w życie przed końcem maja, ich praktyczna wykładnia musi się jeszcze dotrzeć. Minie przynajmniej kilka miesięcy, zanim rynek i internauci w pełni przyswoją to, co się wydarzyło. Ostatnią rzeczą, do jakiej "zmusza" RODO, jest wyświetlanie ludziom irytujących pop-upów - mówi Press.pl Katarzyna Szymielewicz, prezeska Fundacji Panoptykon.

Press.pl: Po co nam właściwie RODO? W internecie łatwo trafić na podważanie sensowności rozporządzenia i porównania z wcześniejszymi przepisami, które wymusiły powiadomienia o plikach cookies.

Katarzyna Szymielewicz, Fundacja Panoptykon: To coś zupełnie innego! RODO jest m.in. po to, żeby wyeliminować dylemat - zgadzam się na przekazanie dodatkowych danych (np. śledzenie w sieci) czy rezygnuję z korzystania z serwisów internetowych. To jest żaden wybór. Dobrze to widać po Facebooku, który dawno już stał się dla internetu swoistą infrastrukturą krytyczną i trudno tak po prostu z niego zrezygnować.

RODO daje użytkownikom rzeczywisty wybór: nikt nie może na nich wymusić "zgody" na przetwarzanie danych, jeśli te nie są niezbędne do korzystania z konkretnej usługi. Jeśli są - oczywiście, nie ma potrzeby pytać nikogo o zgodę. W RODO nie chodzi też o to, żeby zakazać profilowania, tylko o to, żeby sami użytkownicy mieli w tej sprawie coś do powiedzenia. Warto zrozumieć, że sensem RODO nie są sztywne zakazy, tylko kontrola udostępniania danych. Myślę, że nieporozumienia i mity krążące w tej kwestii są efektem zaniedbań ze strony państwa. Jako Fundacja Panoptykon prowadziliśmy różne działania - m.in. opublikowaliśmy cykl edukacyjny "RODO na tacy" i praktyczny przewodnik po RODO dla administratorów, z naciskiem na analizę ryzyka - ale wiem, że nasze dotarcie jest niszowe.

Wcześniejsze prawo dotyczące ciasteczek wprowadzało obowiązek informowania o ich stosowaniu, ale w praktyce w ogóle nie chroniło użytkowników, którzy nie chcieli się godzić na śledzenie w sieci. Okienko informacyjne można było zamknąć albo zignorować, ale niczego to nie zmieniało. Z RODO jest inaczej: jeżeli firma faktycznie potrzebuje zgody na przetwarzanie danych, musi przekonać użytkownika, żeby takie oświadczenie woli wyraził świadomie i dobrowolnie. Inaczej jest po prostu nieważne. A jeśli taka zgoda firmie nie jest potrzebna (a, w mojej ocenie, przeważnie nie jest), w ogóle nie powinna zakłócać naszego doświadczenia związanego z odbiorem strony internetowej tymi badziewnymi pop-upami! Wystarczy, że w widocznym miejscu poinformuje o nowej polityce prywatności.

Fot. Flickr.com

- Takie okienka są jednak normą...

To albo nadgorliwość źle poinformowanych, albo zła wola i próba zniechęcenia użytkowników. RODO wymaga wyraźnego pytania o zgodę tylko wtedy, kiedy w grę wchodzi zbieranie dodatkowych danych (tj. wykraczających poza to, co jest niezbędne do świadczenia usługi i do standardowych działań marketingowych), albo o wykorzystywanie już zebranych danych w nowych celach. Najczęściej powodem zgłaszania się firm po zgodę jest zamiar przekazywania danych innym firmom (tzw. stronom trzecim), przetwarzanie danych wrażliwych (np. o zdrowiu czy poglądach politycznych) lub model biznesowy zakładający ciągłe, inwazyjne śledzenie. Po co latarka ma mieć dostęp do mojej lokalizacji? Rzeczywiście, powinna najpierw zapytać.

- Z czego się to bierze?

Dostrzegam na rynku niepotrzebną panikę. Wiele firm traktuje RODO jak coś nowego, mimo że przecież to rozporządzenie opiera się na dobrze znanych zasadach, które obowiązują od 20 lat!. Z nowych rzeczy mamy nieco bardziej rozbudowaną klauzulę informacyjną i obowiązek samodzielnego dokonania oceny ryzyka. Nadal jednak uważam, że nowe prawo wiąże się z mniejszą, a nie większą pracą. I jako prawniczka z korporacyjnym doświadczeniem jestem w stanie tę tezę obronić.

Podejrzewam, że firmy i portale internetowe, które usiłują na różne sposoby wyłudzać "zgodę" swoich użytkowników na przekazywanie dodatkowych danych (robią to np. Onet.pl, Wp.pl czy Gazeta.pl), obawiają się dwóch rzeczy: utraty dostępu do tych danych, które przyzwyczaiły się wykorzystywać do profilowania na potrzeby reklamy behawioralnej; oraz tego, że użytkownicy nigdy się na to świadomie nie zgodzą - więc muszą zostać zmanipulowani. Te portale nie chcą się skonfrontować z tym, że tak naprawdę zbierają więcej danych niż potrzebują. Uparły się, żeby zarabiać na profilowanej reklamie, a nie na własnym kontencie.

- W jaki sposób manipulują swoimi użytkownikami?

Na przykład tak jak Onet, który udostępnił ładne suwaki pozwalające na zmianę ustawień prywatności, ale domyślnie ustawił je tak, jakby użytkownik "zgadzał się" na przekazywanie swoich danych 207 partnerom w celach marketingowych. Albo jak Gazeta.pl, która utrzymuje, że jeśli użytkownik kliknie na cokolwiek poza okienkiem z informacją o przetwarzaniu danych, jest to równoznaczne z akceptacją jego treści. Ale to nie zadziała!

Jako Fundacja Panoptykon nazywamy rzeczy po imieniu. W odpowiedzi na dziesiątki pytań od użytkowników, jakie teraz dostajemy, stworzyliśmy subiektywną listę złych (i dobrych) praktyk. Sukcesywnie będziemy do niej dodawać kolejne przykłady, punktując firmy, które przy zbieraniu danych posługują się rozwiązaniami niezgodnymi z RODO. Mamy nadzieję, że przyczyni się to do zmiany standardu na rynku, szczególnie usług internetowych. To, że mamy szansę na realne zmiany, widać choćby po  Facebooku, który po aferze z Cambridge Analytica i wejściu RODO ograniczył najgorsze praktyki.

- Jak długo potrwa, zanim sytuacja się unormuje?

Podejrzewam, że buforowanie nowego prawa potrwa przynajmniej pół roku. W tym czasie użytkownicy wycofają niektóre zgody, innych udzielą (nie zawsze świadomie). Pojawią się też pierwsze skargi. Wszyscy przekonamy się, jakie praktyki naprawdę są niezgodne z duchem i literą RODO. Tymczasem większość firm zapewne zrobi sobie analizę ryzyka i przekona się, że nowe regulacje są całkiem zdroworozsądkowe i wcale nie takie straszne. Przynajmniej parę miesięcy potrwa też, nim pojawią się kodeksy dobrych praktyk dla różnych branż, w tym dla branży reklamowej. Najpierw muszą one zostać skonsultowane ze wszystkimi zainteresowanymi, a potem uzyskać akceptację nowego Urzędu Ochrony Danych Osobowych.

Fot. Flickr.com

- Co zatem zmieni RODO i komu się przysłuży?

Na pewno zmieni filozofię korzystania z danych na całym rynku. Wytnie najgorsze praktyki (spamerskie lub szczególnie niebezpieczne dla użytkowników), ograniczy wycieki danych i zmniejszy skalę nielegalnego obrotu danymi. Jednocześnie, z perspektywy firm działających legalnie, zrobi się lepiej: zwiększy się zaufanie klientów do wszystkich przetwarzających dane zgodnie z RODO. W świecie wydawców to może się przełożyć na częściowe odejście od adblockerów. Będziemy też obserwować starcie gigantów związane z różnymi modelami biznesowymi. Już widać, że np. Apple - który nigdy nie zarabiał na danych - będzie promował standardy niekorzystne dla serwisów, które  nadal chciałyby śledzić swoich użytkowników. Nowe przepisy nie zmuszają ludzi do korzystania ze swoich praw, ale dają im do tego atrakcyjne narzędzia. Na tym gruncie wyrosną nowe usługi - cały nowy rynek zarządzania prywatnością, na który wcześniej nie było miejsca.

- Czy czegoś zatem zabrakło?

We wdrożeniu RODO przez branżę interaktywną nadal brakuje mi centralnego miejsca do zarządzania uprawnieniami, w tym pozyskanymi zgodami. Wiem, że koncepcja takiego rozwiązania jest gotowa, ale musi się jeszcze przebić w całym ekosystemie reklamy behawioralnej. Tak, żeby każdy serwis z osobna nie musiał nas zanudzać swoją listą "zaufanych partnerów". Oczywiście nie dotyczy to zbierania danych przez firmy internetowe, które chcą dowiedzieć się czegoś o użytkownikach "na własne potrzeby". Duże platformy mogą jednak i powinny w centralny sposób zarządzać uprawieniami, jakie przyznają im użytkownicy. Od dwóch lat powtarzam, że to jedyne rozwiązanie dla branży interaktywnej, bo pozwala uciec od irytujących pop-upów w stronę dobrego, merytorycznego dialogu na temat naszych preferencji reklamowych. Sama czekam na takie narzędzie. 

Rozmawiał Mateusz Kominiarczuk 

Katarzyna Szymielewicz - absolwentka prawa i studiów o rozwoju, współzałożycielka i prezeska Panoptykonu. Interesuje ją wszystko, co ma związek ze społeczeństwem nadzorowanym.

(MK, 09.06.2018)