Kako smo pisali u našem ranije članku (dostupan ovde), shodno odluci koju je krajem prošle godine doneo nemački organ nadležan za pitanja zaštite podataka o ličnosti, načelno je dozvoljeno korišćenje „pay-or-okay“ modela, koji podrazumeva da obaveštenje o kolačićima (putem tzv. banera kolačića) sadržano na veb-sajtu, korisniku pruža mogućnost izbora između:

• pristanka na obradu podataka o ličnosti u svrhe personalizovanog oglašavanja, i
• plaćanja određenog novčanog iznosa na ime pretplate, u kom slučaju lice može koristiti veb-sajt bez aktivacije kolačića putem kojih se prati i analizira njegovo ponašanje na veb-sajtu (radi prikazivanja oglasa eksternih partnera).

Praksa zasnovana na ovom stavu izazvala je kontroverze iz nekoliko razloga, od kojih se kao najčešći navode da je ovaj princip suprotstavljen pravilu slobodno datog pristanka na obradu podataka, da isti intenzivira socijalne nejednakosti, kao i da pravo na zaštitu podataka o ličnosti nije roba s kojom se može trgovati.

U dosadašnjoj praksi, stavovi u pogledu primene ovog principa razlikovali su se u zavisnosti od regulatornih tela, kao i stručnjaka za zaštitu podataka o ličnosti.

U vezi sa tim, 17. aprila ove godine Evropski odbor za zaštitu podataka o ličnosti („EDPB”) doneo je Mišljenje broj 08/2024, u kom je dao smernice za dalje postupanje u primeni „pay-or-okay“ modela.

Smernice

EDPB ističe da podaci o ličnosti ne mogu biti smatrani trgovinskom robom već da pravo na njihovu zaštitu predstavlja osnovno pravo, koje ne može podleći režimu plaćanja u cilju uživanja.

Stoga, potrebno je pre svega razmotriti pružanje nosiocima ovog prava „ekvivalentne alternative“ i to ponudu dodatne, besplatne, alternative, npr. u formi oglašavanja koja podrazumeva obradu manjeg obima podataka o ličnosti ili potpuno bez njih, a što bi imalo značajan uticaj na procenu validnosti pristanka, posebno u vezi sa aspektom štete.

S druge strane, EDPB smatra da bi se primena ovog principa mogla smatrati validnom samo u meri u kojoj platforme odnosno kompanije mogu da dokažu, u skladu sa principom odgovornosti, da obezbeđen pristanak na obradu ispunjava sve zahteve njegove validnosti.

Validan pristanak je onaj koji ima sledeće karateristike:

1. Slobodno je dat, i to ako:

• Lice ne trpi štetu kao posledicu nedavanja pristanka ili povlačenja pristanka, što podrazumeva da naknada nije takva da efektivno sprečava lica da donesu slobodan izbor odnosno da se lica ne suočavaju sa isključenjem iz usluge ako ne pristanu na plaćanje, posebno u slučajevima kada usluga ima važnu ulogu ili je odlučujuća za učešće u društvenom životu ili pristup profesionalnim mrežama;
• postoji balans moći između lica i kompanije, gde se pri oceni balansa ceni položaj kompanije na tržištu, činjenica u kojoj meri se lica oslanjaju na uslugu, kao i ciljna grupa usluge. Gde postoji jasan disbalans, saglasnost se može koristiti samo u „izuzetnim okolnostima” i gde platforma odnosno kompanija, u skladu sa principom odgovornosti, može dokazati da ne postoje „nikakve štetne posledice” po lice ako ne da saglasnost, naročito ako licu bude ponuđena alternativa koja nema nikakav negativan uticaj;
• ispunjava uslove u odnosu na pitanje da li je saglasnost potrebna za pristup robi ili uslugama, ako obrada zasnovana na saglasnosti nije neophodna za izvršenje ugovora koji se odnosi na ponudu takve robe ili usluga. S tim u vezi, licima koja odbijaju da daju saglasnost za određene obrade podataka treba ponuditi, „ako je potrebno, po odgovarajućoj naknadi, ekvivalentnu alternativu koja ne podrazumeva takvu obradu podataka”. Na taj način se izbegava uslovljenosti. U „ekvivalentnoj alternativi”, obradu podataka koja nije neophodna za pružanje usluge i koja se oslanja na saglasnost treba izostaviti, osim ako takva obrada takođe služe i drugoj zakonitoj svrsi;
• naknada koja se nameće nije takva da sprečava lica da donose pravi izbor ili ih navede da daju pristanak, odnosno da ista bude prikladna u datim okolnostima;
• su lica slobodna da odaberu koju svrhu obrade prihvataju, umesto da se suoče sa jednim zahtevom za pristanak koji objedinjuje nekoliko svrha (granularnost);

2. Informisan, a što podrazumeva potpuno i jasno razumevanje vrednosti, obima i posledica mogućih izbora za lice, pre nego što donese bilo koji izbor;
3. Nedvosmisleni pokazatelj volje, odnosno da lica nisu izložena obmanjujućim obrascima dizajna. Da bi pristanak bio smatran jasno datim za druge svrhe, te svrhe treba aktivno da izabere lice;
4. Specifičan, što znači da platforme odnosno kompanije treba precizno da definišu i ograniče svrhu obrade.

EDPB podseća da dobijanje pristanka ne oslobađa platforme odnosno kompanije od obaveze poštovanja drugih pravila i principa predviđenih Opštom uredbom o zaštiti podataka o ličnosti 2016/679 Evropskog parlamenta i Saveta („GDPR”), uključujući principe iz člana 5 GDPR-a.

Za primenu pomenutog modela sledeći principi su od posebnog značaja:

1. Ograničenje svrhe i minimalizacija podataka koji su neophodni za postizanje te svrhe;
2. Pravičnost, što podrazumeva procenu uticaja aktivnosti obrade na prava i dostojanstvo lica i pružanje najvišeg mogućeg stepena autonomije podacima lica;
3. Zaštita podataka podataka dizajnom, što podrazumeva obezbeđivanje zaštitnog mehanizma obrade, kako bi zadovoljili zahteve GDPR-a;
4. Zaštita podataka po podrazumevanim stavkama, što podrazumeva da se „podrazumevanim stavkama” vrši samo obrada koja je strogo neophodna za postizanje postavljenog, zakonitog cilja;
5. Odgovornost, koja podrazumeva da platforme odnosno kompanije moraju biti u mogućnosti da dokažu usklađenost sa GDPR-om, i navedenim principima.

Može se očekivati da će smernice EDPB doprineti unifikaciji prakse na evropskom prostoru kada je reč o primeni “pay-or-okay” modela. Da li će tako i biti, ostaje da se vidi.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.