Анализът е публикуван в годишния отчет на Комисията за защита на личните данни за 2021 г.
Анализ на тема „Правата на децата и младите хора при работа в дигитални платформи. Защита и укрепване на правата на децата и младите хора“.
Целта на анализа е да предостави задълбочено основните принципни положения при обработването на лични данни на деца и защита на техните права при работа в дигитални платформи. Обърнато е внимание, че приложимостта на общите норми за защитата на личните данни (Регламент (ЕС) 2016/679 като lex generalis) следва да се отчита в контекста на Конвенцията за правата на детето (като lex specialis). Анализът обхваща въпроси, насочени към всички заинтересовани страни: създателите на различни дигитални платформи, предоставящи услуги в дигитална среда за деца и млади хора; децата като субекти на данни и техните родители. За постигане на всеобхватност на анализа е отчетена не само практиката на сродни органи по защита на данните, но и на международни организации, в чиято дейност попада защитата на децата и техните права.
В анализа е поставен акцент върху основни положения при обработване на имената, изображенията и други лични данни, предоставяни от деца в цифровата среда. Разгледана е възможността за даване на съгласие за обработване на данни при ползването на дигитални услуги и възможните подходи за проверка на възрастта на потребителите деца с цел недопускане достъпа на деца до онлайн услуги, на които те нямат право. Обърнато е специално внимание на оценката на риска, която трябва да се извърши от администратора на лични данни, както и изискванията, свързани със своевременното изтриване на предоставената от децата и младите хора информация. Разгледани са добри практики и примери за онлайн инструментите за защита на лични данни, контрол на възрастта, както и споделянето на личните данни с трети лица, данни за геолокация, както и възможности за родителски контрол, забрана за профилиране и т.н.
Водеща линия на анализа е, че всички действия, отнасящи се до деца в дигитална среда (както и offline), следва да се подчиняват на общовалидния принцип за най-добрия (най-висшия) интерес на детето, тъй като той е от първостепенно значение. Концепцията за най-добрия интерес на детето произтича от разпоредбата на чл. 3 от Конвенцията на ООН за правата на детето. Съгласно посочената разпоредба висшите интереси на детето са първостепенно съображение във всички действия, отнасящи се до децата, независимо дали са предприети от обществени или частни институции за социално подпомагане, от съдилищата, административните или законодателните органи. Най-добрият интерес на детето трябва да се вземе предвид при всички мерки и решения, отнасящи се до децата. Конвенцията на ООН за правата на детето съдържа универсални разпоредби, насочени към защита на нуждите на детето по отношение на сигурност, здраве, благополучие, семейни отношения, както и физическо, психологическо и емоционално развитие, идентичност, свобода на словото и почтеност за формиране на собствено мнение и правото да бъде чуто.
Ако даден доставчик на услуги в дигитална среда разчита на легитимни интереси като законово основание за обработката на лични данни на деца, той трябва да гарантира, че тези законни интереси не пречат, не противоречат или не влияят неблагоприятно на нито един етап от обработването на най-добрия интерес на детето.
В този смисъл обработването на лични данни на дете при предоставянето му на дадена услуга онлайн в никакъв случай не трябва да води до нарушаване на принципа за най-висшия интерес на детето. При преценка кой е най-добрият интерес на детето трябва да бъдат положени всички усилия за намиране на баланса, респ. за съгласуване на правото на защита на детето с другите му права, по-специално, с правото на свобода на изразяване и информация, както и правото на участие (в различни инициативи).
Особено внимание се обръща на различните нива на зрялост на детето и адаптирането на дигиталната среда към тази особеност, тъй като различните деца достигат различни нива на зрялост на различна възраст, включително тези на деца с увреждания или в уязвими ситуации. Политиките и практиките, насочени към тези деца във връзка с достъпа до цифрова среда, трябва да отговарят на съответните им нужди. Да се отчитат индивидуалните способности на децата за постепенно развитие също означава например, че политиките за изпълнение на правата на подрастващите да могат/да трябва да се различават значително от тези, предназначени за по-малки деца. В този смисъл изрично се подчертава забраната за дискриминация.
Важно място в анализа намира равнопоставеността на защитата на свободата на изразяване и правото на информация на младите хора, от една страна, и защитата на личните данни – от друга, при съобразяване с възрастовите им особености. Важно е децата да бъдат оставени да изразяват своето мнение, доколкото разполагат с капацитет за това и при отчитане на техния най-добър интерес. Достига се до извода, че доставчиците на онлайн услуги трябва да познават своята аудитория и да предприемат подходящи стъпки, за да идентифицират своите потребители, да гарантират, че услугите, насочени към, предназначени или които е вероятно да бъдат достъпени от деца, прилагат ефективно на практика специфични мерки за защита на данните, конкретно насочени за деца.
В анализа си КЗЛД обръща внимание и на профилирането, когато то засяга деца. По принцип профилирането е вредно за децата и затова то трябва да бъде изключено по подразбиране, освен ако не е от същностно значение и условие за предоставяне на услугата или има убедителна причина да бъде включено (напр. при наличие на надделяващ обществен интерес, при условие че са налице подходящи гаранции, предвидени от закона). Пример за допустимо профилиране е профилирането с цел гарантиране на възрастта на потребителите деца. Следва да се има предвид обаче, че всяко профилиране, използвано за целите на верифициране на възрастта, не трябва да създава рискове, които са по-високи от рисковете, за които се използва верифицирането на възраст. Ако профилирането е необходимо условие за предоставяне на дадена онлайн услуга, може да е възможно да се използва споразумението за услуга като допустимо правно основание за извършването му. Профилирането с единствена цел „защита на децата“ може да се основава на баланс на интересите като правно основание, като се отчита, че е в най-добрия интерес на детето. В други често срещани случаи се изисква съгласие за профилиране, тъй като то се счита за много чувствително по отношение на неприкосновеността на лицата и в повечето ситуации е трудно да се обоснове профилирането от гл.т. на Конвенцията на ООН за правата на детето и правилата за защита на данните.
Обработването на данни в дигитална среда следва да взема предвид принципите за защита на данните на етапа на проектирането и по подразбиране, като същите имат особено важно значение, когато става въпрос за работа с деца и млади хора с характерните им възрастови особености и ниво на зрялост. В контекста на личните данни на деца всички аспекти на обработването, вкл. чрез съответните продукти и системи, трябва да бъдат проектирани по начин, който отчита, че децата имат право на специална защита, че трябва да се чувстват в безопасност, когато използват услуги онлайн, и че тяхното право на неприкосновеност следва да се зачита.
Предоставянето на информация и прозрачността при обработването на лични данни на деца в дигитална среда се подчиняват на изискванията за яснота, разбираемост и липса на манипулативни действия, насочени към децата. Децата и младите хора имат права в областта на защитата на личните данни, като към възможностите за тяхното упражняване следва да са насочени всички усилия на доставчиците на дигитални услуги, предназначени за тях.
Ако администратор иска да използва личните данни на деца и младежи за маркетингови цели (няма абсолютна забрана за тази дейност), той трябва да е сигурен не само, че спазва приложимите разпоредби в тази област, но и че взема предвид това, което се счита за най-добрия интерес на детето.
Използването на лични данни на непълнолетни за маркетингови цели може да бъде необходимо за изпращане на реклама по имейл (директна реклама) или за насочване на персонализирани реклами към деца и младежи в платформите, които посещават. Онлайн маркетингът се среща в много формати като банери, рекламни слотове на видеосподеляне на платформи или игри и други неща, които децата често използват. Има и маркетинг, вграден в социалните медии.
Преди да бъдат използвани личните данни на деца и младежи за маркетингови цели, Общият регламент относно защитата на данните изисква от администратора да разполага с правно основание за такова обработване. Правното основание, което най-често се използва за обработване на лични данни за маркетингови цели, е, когато е необходимо за целите на легитимните интереси на администратора. В този случай обаче анализът на баланса между законните интересите на администратора и интересите, основните права и свободи на децата и младежите задължително трябва да отчита концепцията за „най-добрия интерес на детето“.
Децата са по-малко наясно с рисковете, но в същото време заслужават специална защита в съответствие с действащите законови изисквания. Поради тази причина е важно навреме да се извършва балансът между техните права, свободи и интереси и тези на администратор и да се предпазват децата от рискове, които те може да не могат да оценят и за които може да не са наясно. Това е особено вярно при използването на лични данни на децата за маркетингови цели, за създаване на потребителски профили и в услуги, насочени директно към деца.
В анализа се отделя внимание и на актуални теми като използването на дизайнерски техники, които да повлияят на изборите, направени от децата и младите хора (цифрово побутване, nudging), както и свързаните играчки и устройства, предназначени за деца и млади хора („интернет свързани устройства“).
Анализът се фокусира и върху някои особени аспекти на взаимодействието на младите хора с дигиталните платформи като необходимостта от защита от вредното медийно влияние, използването на данните за маркетингови цели, борбата със заплахите и речта на омразата. Основният извод, който извежда Комисията, е, че дигиталната технология при обработването на лични данни сама по себе си не съставлява голямата част от проблема, проблемът е как се използва тя. Важен принцип, който трябва за се прилага при възпитанието на децата и младите хора за работа в дигитална среда, е, че това, което е недопустимо offline, е недопустимо и online.
Като взема предвид Препоръка за децата в цифровата среда на Организацията за икономическо сътрудничество и развитие, както и добрите практики на сродните си надзорни органи от Швеция и Франция, КЗЛД представя следните препоръки към заинтересованите страни:
- Към разработчиците и доставчиците на цифрови услуги с цел осигуряване на безопасна и полезна цифрова среда за децата, чиито лични данни те обработват:
- Изследванията в дигитална среда да се предприемат отговорно в съответствие с принципите за защита на данните, които включват защита на неприкосновеността на децата, минимизиране на данните и ограничаване на целта;
- Да прилагат като принцип за защита на етапа на проектирането подход за безопасност на децата при проектирането или при предоставянето на съответните дигитални услуги, вкл. задаване на по-строги настройки за поверителност по подразбиране, при зачитане на най-добрия интерес на детето;
- Да засилят правото на информация и другите права на децата на етапа на проектирането (по дизайн), както и да гарантират ефективно и прозрачно предоставяне на информация за това как ще бъдат използвани техните лични данни. Информацията трябва да бъде адаптирана към децата винаги когато те са целевата група на дадена услуга в дигитална среда;
- Да създадат гаранции и да вземат предпазни мерки по отношение на неприкосновеността на децата, защитата на техните данни и търговското използване на тези данни;
- Да демонстрират и доказват управление и отчетност.
- Към родителите с цел насърчаване на родителския контрол в дигитална среда по начин, който зачита неприкосновеността и най-добрите интереси на детето и който отговаря на правилата за защита на данните, и по-специално на:
- принципа на пропорционалност, като се вземат предвид интересите, възрастта и степента на зрялост на детето и избягване на използването на натрапчиви функции като постоянно проследяване;
- принципа на прозрачност спрямо детето чрез ясно обяснение кои родителски контроли се използват;
- принципа на сигурност на данните на детето, за да се гарантира, че трети страни нямат достъп до информация за детето (например данни за геолокация на детето).
- да предоставят подкрепа на децата си, когато те лично упражняват своите права в областта на защитата на личните данни, както и да упражняват тези права от тяхно име;
- да получат подкрепа по линия на цифрово образование/обучение, за да знаят достатъчно за наличните начини за защита на правата на децата си онлайн.
- Към децата и младите хора:
- да бъдат стимулирани да се интересуват, да четат и да узнаят минимално необходимото за това какво са лични данни, кой и как борави с тях и защо, за да научат, че имат права и да са наясно, че обработването на техни лични данни е свързано с определени рискове и евентуални негативни последици;
- да бъдат насърчавани автономно да упражняват правата си по отношение на социални мрежи, игри и платформи за споделяне на видео;
- да споделят със своите родители и учители за проблеми и притеснения, които срещат онлайн.
В своята бъдеща надзорна дейност КЗЛД е необходимо да следи за спазването на водещите принципни положения, които изграждат концепцията за защита на личните данни на децата, изложени по-горе, при зачитане на завишените изисквания, произтичащи от приложимата специална международноправна и националноправна уредба. Навременният контрол върху спазването им от страна на администраторите и обработващите е важна предпоставка за законосъобразност на обработването и гарантирано упражняване на правата на децата в областта на защитата на личните данни. За тази цел КЗЛД следва да засили контролната си дейност под формата на секторни анализи и/или секторни проверки на администратори и обработващи, чието обработване е насочено към деца. Специфичен фокус на този контрол може да бъде обработването на лични данни на деца, структурирани в големи бази данни. Друг задължителен елемент от контрола следва да бъде изпълнението на задължението за извършване на оценка на въздействието при обработване на лични данни на деца при пряко предлагане на услуги на информационното общество, каквото изискване произтича за администраторите в изпълнение на чл. 35, пар. 4 от Регламент (ЕС) 2016/679 във връзка с т. 7 от Списъка на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните, приет от КЗЛД. Наред с това е необходима поетапна и систематична информационно-образователна дейност, специално насочена към деца и млади хора, която да положи началото на трайна тенденция за изграждане на знание и култура у тях относно важността на неприкосновеността на личния живот и защитата на личните данни.