Může GDPR překazit tradici psaní dopisů Ježíškovi?
Dopisy Ježíškovi často obsahují jména i adresy dětí. V poslední době jsou navíc oblíbené i nejrůznější aplikace pro komunikaci s Ježíškem či Santa Clausem. Jak na toto zpracování osobních údajů pohlíží GDPR? A co když jsou dopisy vystavené na veřejném místě?
S příchodem vánočního období se každé dítě těší, až napíše dopis Ježíškovi o tom, co by si k Vánocům nejvíc přálo. Zatímco děti řeší hlavně to, jaký dárek si vybrat a jestli byly dost hodné na to, aby jim Ježíšek vysněný dárek opravdu přinesl, právníci a specialisté na GDPR (včetně patrona právníků sv. Iva) si obvykle kladou jinou otázku. Přemýšlejí, zda dopisy Ježíškovi nejsou problémem z hlediska GDPR. Vánoční dopisy totiž obvykle obsahují jména, věk a někdy i adresu dětí a často bývají i veřejně přístupné. Nemůže se tedy jednat o neoprávněné zpracování osobních údajů dětí, jejichž údaje jsou zvláště chráněné?
Tyto úvahy ovšem nezůstávají pouze v akademické rovině. Před pár lety se tato otázka řešila v německém městečku Roth, kde se kvůli obavám z GDPR málem zrušila dlouholetá vánoční tradice. Tento příběh se dokonce dostal až k Evropské komisi, která se k celé problematice musela vyjádřit. Pojďme se tedy podívat na to, jak se k dopisům Ježíškovi staví GDPR.
Případ z německého městečka Roth
V bavorském městečku Roth, nedaleko Norimberku, měly děti dlouhá léta krásnou tradici. Psaly Ježíškovi svá přání k Vánocům, dopisy podepsaly jménem, často doplnily věk a adresu a dopis pověsily na velký vánoční strom na náměstí. Místní „Ježíšci“ si pak přání ze stromku brali a plnili je tím, že vysněný dáreček zaslali na adresu uvedenou na lístku. Zní to jako hezký vánoční zvyk, že?
Poté, co nabylo účinnosti GDPR, se však místní úřady zalekly. Městský právník vyhodnotil, že veřejné vystavení jména, věku a adresy dítěte na stromě je problém, jelikož jde celkem přirozeně o osobní údaje. Vznikla tak panika z porušení GDPR a následných pokut či kontrol. Místní úřady tak rozhodly, že tato tradice musí skončit, aby neriskovaly porušování GDPR.
Je vyvěšení dopisů Ježíškovi na náměstí neoprávněným zpracováním osobních údajů?
Co k tomu řekla Evropská komise?
Celý případ se dostal až k Evropské komisi, která na zákaz vánoční tradice náležitě reagovala. Evropská komise totiž přišla s oznámením, že obavy místních úřadů městečka Roth byly mylné. Úřady se totiž obávaly, že jejich každoroční vánoční tradice, kdy děti z města věší své dopisy Ježíškovi na stromeček na náměstí, musí být kvůli zákonům EU o ochraně soukromí zrušena. Evropská komise vysvětlila, že k tomu, aby děti veřejně vystavily své vánoční dopisy, je souhlas rodičů jakožto právní základ zpracování plně dostačující. Tato tradice v městečku fungovala již 20 let a komise upřesnila, že příchod GDPR na ní nic nemění. Ostatně, příchod GDPR v kontextu povinnosti získat právní titul opravdu nepřinesl žádné převratné změny. Komise tak uvedla, že vánoční tradice městečka Roth může dále pokračovat jako dosud.
Jak si to vyložila média?
Situace z městečka Roth se okamžitě dostala do pozornosti médií, která přicházela s titulky ve smyslu: „GDPR zakázalo dopisy Ježíškovi“ či „Německé děti nesmějí psát Ježíškovi kvůli zákonům EU a ochraně soukromí“. Články často směřovaly k tomu, že psaní dopisů Ježíškovi porušuje pravidla GDPR.
Tímto způsobem si případ vyložil i známý britský portál Mail Online, který zveřejnil článek, ve kterém uváděl, že pravidla GDPR brání dětem zanechávat vánoční dopisy s jejich osobními údaji na veřejných místech. Čtenář tak mohl nabýt dojmu, že EU přímo zakázala dětská vánoční přání, ačkoliv ve skutečnosti šlo o rozhodnutí města založené na nesprávném výkladu práva.
Na základě stížnosti jednoho ze čtenářů tohoto článku se portál Mail Online dostal do hledáčku nezávislého regulátora pro britský digitální a tištěný zpravodajský průmysl (IPSO). IPSO dal stížnosti za pravdu, přičemž došel k závěru, že portál Mail Online porušil pravidla přesnosti, protože prezentoval jako fakt, že GDPR vánoční tradici zakazuje. Výsledkem bylo, že portál musel:
upravit titulek, kde zdůraznil, že šlo o obavy místních úřadů, ne o přímý zákaz ze strany EU;
doplnit článek o jasné stanovisko Evropské komise;
zveřejnit samostatnou opravu s vysvětlením, že GDPR tyto vánoční tradice nezakazuje a že v městečku Roth mohli s tradicí pokračovat jako dosud.
Jsou tedy dopisy Ježíškovi v souladu s GDPR?
Jednoduše řečeno ano. Posílání dopisů Ježíškovi není porušením GDPR, a to ani když dopis obsahuje osobní údaje dětí, jako je jméno, věk a adresa. Tento výklad potvrdila i Evropská komise, když řekla, že legitimním právním titulem pro zpracování je v tomto případě souhlas rodičů dle čl. 6 odst. 1 písm. a) GDPR. Otázkou je, zda by bylo možné použít i jiný právní základ než souhlas.
Účelem zpracování osobních údajů dětí „Ježíškem“ je obvykle přidělení vhodných dárků každému dítěti a jejich zaslání na správnou adresu. Za předpokladu, že by byl „Ježíšek“ považován za veřejnou autoritu, bylo by možné uvažovat i o použití právního základu plnění úkolu prováděného ve veřejném zájmu dle čl. 6 odst. 1 písm. e) GDPR.
Každopádně však nelze zapomínat na obecné zásady ochrany osobních údajů vyplývající z GDPR, jako je na příklad minimalizace údajů či omezení zpracování. Bez ohledu na právní základ zpracování platí, že údaje musejí být zpracovávány jen v nezbytné míře a po nezbytně dlouhou dobu. Pokud je tedy dopis pro Ježíška veřejně přístupný, mělo by stačit, že dítě uvede na dopisu pouze své křestní jméno, nikoliv i příjmení, a údaje dětí by měly být uchovávány pouze po nezbytně nutnou dobu pro rozdání dárků.
Avšak s trochou nadsázky je třeba si položit otázku, zda by se v tomto případě náš Úřad pro ochranu osobních údajů nezachoval jako Grinch. Narážíme na nedávno zveřejněný názor ÚOOÚ, který dává zásadu minimalizace (skoro za každou cenu) nad svobodný souhlas subjektu údajů či jeho zástupce (viz názor ÚOOÚ na docházkový systém, o kterém jsme psali zde).
K zveřejnění dopisů Ježíškovi stačí jako právní základ souhlas rodičů
Jak je to s online dopisy a vánočními aplikacemi?
Žijeme v době digitální, tudíž nemůžeme opomenout ani tuhle formu dopisů. Kromě papírových přání se totiž dnes čím dál častěji objevují také různé aplikace či webové formuláře, skrze které mohou děti napsat Ježíškovi o dárek. Taková přání se sbírají také prostřednictvím stránek obcí a škol či komerčních aplikací, v rámci nichž dítě dopis Ježíškovi odešle. U těchto digitálních verzí platí stejná pravidla jako u fyzických dopisů, respektive jako v rámci jakékoliv jiné běžné operace zpracování. Pro zpracování je tedy nutný právní základ, například souhlas rodičů, a musejí být dodrženy zásady GDPR. Toto zpracování však nesmí být zneužito k zasílání obchodních sdělení či k jiným marketingovým účelům, pro které nebude správce disponovat platným právním základem.
Pozor na nejrůznější vánoční aplikace na odesílání přání či komunikaci s Ježíškem
Celkem specifické jsou pak aplikace, které umožňují dětem kontakt s „Ježíškem“(respektive spíše se Santa Clausem). Tyto aplikace poskytují dětem zábavnou simulaci telefonátu či videohovoru s Ježíškem (tzv. Santa calling). Pro jejich používání si uživatelé musejí aplikaci stáhnout a zadat do ní několik údajů, včetně jména, telefonního čísla či svého přání k Vánocům.
Jelikož většinu těchto údajů lze považovat za osobní údaje, měla by každá taková aplikace vyžadovat další kroky k ochraně soukromí uživatelů, a to s přihlédnutím zejména k tomu, že subjekty údajů jsou hlavně děti. Faktem však je, že mnoho z těchto aplikací jakoukoliv základní ochranu soukromí postrádá, na což upozornila i celosvětová platforma Pixalate pro ochranu před reklamními podvody, ochranu soukromí a dodržování předpisů. Z průzkumu Pixalate totiž vyplývá, že:
76 procent žádá povolení přístupu ke kameře, což je z hlediska ochrany soukromí opravdu citlivé povolení;
k třetímu čtvrtletí roku 2023 bylo nalezeno 231 Santa calling aplikací s více než 39 miliony stažení;
19 z těchto aplikací nemělo žádné zjistitelné zásady ochrany soukromí;
90 procent těchto aplikací nemá uvedenou žádnou zemi registrace;
87 procent nemělo věkovou hranici a neumožňovalo ani ověřený souhlas rodičů;
88 procent z těchto aplikací posílá GPS souřadnice uživatelů pro účely další reklamy.
I když jsou tato data dva roky stará, těžko můžeme doufat, že se tento trend nějak výrazně zlepšil. Předpoklad je spíše opačný. Tudíž i v této oblasti jednoznačně platí (stejně jako pro jakékoliv jiné aplikace, které smějí používat děti), že ochrana jejich soukromí by se neměla brát na lehkou váhu, naopak je třeba k ní přistupovat zvlášť důsledně.
Účelem GDPR není kazit kouzlo Vánoc
Závěrem připomeňme, že účelem GDPR není zničit dětem radost z Vánoc zákazem posílání dopisů Ježíškovi a stejně tak bychom jej neměli chápat jako překážku pro své podnikání či fungování. Problém může spočívat v nesprávné reakci na GDPR či v nesprávném pochopení pravidel ochrany osobních údajů.
Příběh městečka Roth poukazuje na to, jak se GDPR vykládat nemá a že v médiích často nevidíme celou pravdu. V popsaném případě to vedlo až k tomu, že případ musela objasňovat Evropská komise. Přitom si stačilo uvědomit, že (již poměrně dlouho) existují právní tituly, na kterých lze zpracování za účelem zasílání dárků dětem založit. Ať už jde o souhlas rodičů, či o plnění úkolu ve veřejném zájmu (to však jen ve velkých uvozovkách), městečko mohlo s vánoční tradicí bez problémů pokračovat dál.
Vstupme do roku 2026 oproštěni od hledání překážek tam, kde nejsou, a zachovejme si zdravý rozum. Ten totiž v drtivé většině případů pořád platí jako nejlepší výkladová metoda pro plnění všech legislativních povinností, jež se na nás valí. Víme, že to není vždy snadný úkol, ale můžeme vám slíbit, že i v následujícím roce vám budeme přinášet ověřené informace, které vám úlohu pověřence pro ochranu osobních údajů usnadní.
Komentáře