Ochrona użytkowników z jednej strony, a rozwój usług cyfrowych i e-handlu z drugiej. Prawo musi ważyć te dwie wartości i starać się znaleźć złoty środek między nimi.

Coraz częściej korzystamy z internetu, coraz mniej z tradycyjnych usług czy stacjonarnych sklepów. Ten trend się nie zmieni, będzie tylko narastał. Prawo zarówno unijne, jak i polskie od lat próbuje za nim nadążać. W tej chwili na poziomie UE trwają prace nad kilkunastoma aktami, które mają uregulować różne aspekty jednolitego rynku cyfrowego. Od wykorzystywania sztucznej inteligencji czy odpowiedzialności za treści publikowane przez internautów aż po rozporządzenie ePrivacy dotyczące choćby masowo wykorzystywanych plików cookies, które śledzą aktywność użytkowników w sieci.
RODO zapoczątkowało zmiany
Przygrywką do tej ofensywy legislacyjnej było RODO, które stosowane jest w całej UE od maja 2018 r. To pierwszy akt o takiej sile rażenia, zarówno pod względem zakresu działania, bo obejmuje firmy z całego świata, jak i kar grożących za jego naruszenie. Maksymalna sankcja wynosząca 20 mln euro albo 4 proc. światowego rocznego obrotu robi wrażenie. I takie kary są nakładane. We wrześniu 2021 r. Irlandzka Komisja ds. Ochrony Danych wymierzyła aż 225 mln euro grzywny za naruszenie RODO popularnemu komunikatorowi WhatsApp (należącemu do Facebooka). Kilka miesięcy wcześniej luksemburski organ ochrony danych osobowych uznał, że inny globalny potentat – Amazon niezgodnie z prawem targetował reklamy. Kara – 746 mln euro.
Ponad trzy lata działania RODO przyniosły skrajnie różne oceny funkcjonowania tych przepisów. Te negatywne – często niesłuszne. Użytkownicy są zmęczeni wciąż wyskakującymi okienkami informującymi ich o cookies, choć RODO tak naprawdę niczego tu nie zmieniło. Z nie do końca wiadomych względów oczekiwali również, że RODO ukróci namolny telemarketing, choć tę działalność regulują zupełnie inne przepisy (w Polsce jest to ustawa – Prawo telekomunikacyjne, która pozwala na marketing bezpośredni tylko po uzyskaniu zgody).
Jednakże już sama liczba skarg wpływających do polskiego Urzędu Ochrony Danych Osobowych pokazuje, jak wielkie nadzieje ludzie wiążą z RODO. W 2020 r. było ich prawie 6,5 tys. Ważniejsze są chyba jednak inne statystyki – te dotyczące zgłaszanych wycieków danych. W 2020 r. administratorzy informowali o 7,5 tys. takich naruszeń, często jednocześnie powiadamiając o tym samych zainteresowanych (nie zawsze jest to obowiązkowe). To jeden z największych plusów, jakie przyniosło RODO. Wcześniej klienci najczęściej w ogóle nie wiedzieli, że ich dane wyciekły, teraz przynajmniej mają tego świadomość i mogą próbować zabezpieczyć się przed negatywnymi tego konsekwencjami. Inną sprawą jest to, na ile skuteczne będą te próby.
RODO na pewno zwiększyło świadomość tego, że dane muszą być chronione i to zarówno użytkowników, jak i administratorów. Praktyka pokazała natomiast, że być może w niektórych miejscach doszło do przeregulowania. Jednym z obecnie największych problemów w Polsce jest korzystanie z prawa do bycia zapomnianym po realizacji umowy. Firmy chciałyby zachowywać przynajmniej część danych, choćby na potrzeby reklamacji. Klienci zaś domagają się ich usunięcia w całości, a dotychczasowe decyzje Urzędu Ochrony Danych Osobowych, a także wyroki sądów przyznają im do tego prawo. Wątpliwości budzą niektóre przesłanki przetwarzania danych szczególnych kategorii, sposób zwięzłego przedstawiania informacji. W 2020 r. Komisja Europejska przeprowadziła przegląd RODO po dwóch latach jego stosowania, ale na tym poprzestała. Choć w raporcie wskazała na pewne problemy (głównie zaobserwowane przez organy ochrony danych), to jednocześnie uznała, że za wcześnie jest, by myśleć o ewentualnych zmianach.
Dziennik Gazeta Prawna Special edition
Azjatyckie firmy jak europejskie
RODO jako jeden z nielicznych aktów prawnych obowiązuje nie tylko firmy z UE, lecz także wszystkie inne oferujące swe usługi w internecie dla obywateli państw unijnych. To o tyle istotne, że internet z założenia jest globalny i siedziba firmy czy lokalizacja serwerów nie powinny mieć znaczenia.
Tym tropem mają też podążać kolejne akty prawne. W projektach kodeksu usług cyfrowych (DSA ¬– Digital Services Act), sztucznej inteligencji czy bezpieczeństwa produktów proponuje się, aby przepisy objęły firmy z całego świata działające na rynku europejskim. Problem w tym, jak je potem skutecznie egzekwować. Najłatwiej, gdy przedsiębiorstwa mają swe europejskie oddziały w jednym z państw UE, jak np. Google czy Facebook. Gorzej, gdy ich nie ma, a tak działa wiele firm azjatyckich. To jedno z poważniejszych wyzwań, przed którymi staje unijny projektodawca. Jednym z pomysłów na rozwiązanie tego problemu jest wprowadzenie obowiązku powoływania przedstawicielstw przez przedsiębiorców spoza UE. Tylko realna możliwość karania tych podmiotów da bowiem gwarancję przestrzegania przez nie nowych obowiązków, w tym również związanych z uprawnieniami konsumentów.
Najbardziej zaawansowane są prace na rozporządzeniem ePrivacy, czyli aktem, tak jak RODO, dotyczącym prywatności, ale skupionym na komunikacji elektronicznej. Ma on ucywilizować m.in. śledzenie aktywności użytkowników w internecie. Wyskakujące okienka z prośbą o zgodę na cookies są automatycznie klikane, bez czytania zamieszczonych informacji. Teraz zasada ma być inna. Użytkownik nie będzie akceptował kolejnych zgód, tylko będzie decydował za pomocą ustawień przeglądarek internetowych. Po pierwszym zainstalowaniu mają one automatycznie blokować cookies i dopiero świadomy wybór użytkowników pozwoli na ich stosowanie.
Wydanie specjalne DGP: Szczyt Cyfrowy ONZ-IGF 2021
Obawy nie zawsze uzasadnione
Próba nałożenia ram prawnych na nowe technologie to z jednej strony ciągły wyścig z czasem, gdyż zmieniają się one zbyt szybko, z drugiej zaś konieczność ważenia dwóch interesów – użytkowników, najczęściej klientów i przedsiębiorców, którzy świadczą usługi lub sprzedają towar w sieci. Ci ostatni z oczywistych względów zawsze będą protestować przeciwko nowym obowiązkom. Czy słusznie? Niekoniecznie. Pokazuje to przykład zmian, jakie weszły w życie z początkiem 2021 r. Zrównały one w niektórych prawach osoby prowadzące jednoosobową działalność gospodarczą z konsumentami. Jedna z najważniejszych nowości to prawo do odstąpienia od umowy zawartej przez internet, o ile nie ma ona charakteru zawodowego. Sprzedawcy internetowi alarmowali, że nowe uprawnienia spowodują chaos na rynku, nie będzie wiadomo, kiedy kupującego traktować jako przedsiębiorcę, a kiedy jako konsumenta. W praktyce okazało się, że zmiany nie spowodowały większych problemów. Część e-sklepów wprowadziło możliwość wyboru, w jakim charakterze są robione zakupy, na etapie składania zamówienia, część zaczęła traktować jako konsumentów wszystkie zamówienia składane przez indywidualnych przedsiębiorców.
Wspomniane prawo do odstąpienia od umowy, czyli w uproszczeniu prawo do zwrotu towaru zakupionego w internecie w ciągu 14 dni bez podawania przyczyn, to przykład przepisów, które początkowo wywoływały duże obawy sprzedawców, a ostatecznie na stałe zadomowiły się w polskim, czy też szerzej europejskim, prawie. Dziś nikt już nie kwestionuje tego, że klient może się rozmyślić i odesłać towar, co więcej, praktyka pokazała, że przynosi to korzyści również samym sprzedawcom. Ludzie częściej kupują coś, gdy mają świadomość, że mogą zmienić zdanie, gdy po rozpakowaniu produkt różni się od ich oczekiwań.