Zgoda rodzica w RODO a kurs online dla dziecka - newsletter, konto, zakup

Uczysz dzieci (korepetycje, języki, programowanie) i otwierasz sklep z kursami online. Uczeń wchodzi na stronę, zakłada konto, zapisuje się na newsletter, klika „Kupuję i płacę” i… czy ktoś zapytał rodzica?

Zgoda rodzica w RODO dotyczy tylko części tej ścieżki. Newsletter to jedna sprawa, a zakup kursu zupełnie inna: o tym, czy dziecko może samo kupić kurs, decyduje Kodeks cywilny, nie RODO. Pokazuję, gdzie potrzebny jest rodzic i jak zbudować formularz rejestracji, zanim sklep ruszy.

Kiedy dziecko poniżej 16 lat potrzebuje zgody rodzica w RODO?

Art. 8 ust. 1 RODO mówi tak: przy usługach świadczonych przez internet (RODO nazywa je usługami społeczeństwa informacyjnego) oferowanych bezpośrednio dziecku dziecko, które ukończyło 16 lat, samo zgadza się na przetwarzanie swoich danych. Jeśli nie ukończyło 16 lat, zgodę musi wyrazić albo zaaprobować rodzic lub opiekun. I tylko w takim zakresie, na jaki się zgodził.

RODO pozwala państwom obniżyć tę granicę, ale nie poniżej 13 lat. Polskie przepisy tej granicy nie obniżyły, więc u nas obowiązuje 16 lat. Tak też pisze UODO w poradniku „Chroń dzieci przed nieuczciwymi praktykami”: o zgodzie za dziecko poniżej 16. roku życia decyduje rodzic lub opiekun prawny.

Europejska Rada Ochrony Danych (EROD), czyli organ, który zrzesza urzędy ochrony danych z całej Unii, w wytycznych 05/2020 dotyczących zgody (pkt 127) wylicza dwa warunki. Art. 8 działa, gdy usługa jest skierowana bezpośrednio do dziecka i gdy podstawą przetwarzania jest zgoda. Nie ma zgody, nie ma art. 8.

Newsletter dla ucznia to klasyczna zgoda

Newsletter ze sklepu to zwykle informacja handlowa, a na jej wysyłanie mailem potrzebujesz wcześniejszej zgody odbiorcy (art. 398 ust. 1 Prawa komunikacji elektronicznej). To osobna zgoda, nie ta z RODO. Ale sam adres do newslettera też przetwarzasz zwykle na podstawie zgody (art. 6 ust. 1 lit. a RODO). Druga możliwa podstawa, prawnie uzasadniony interes firmy, przy dziecku łatwo odpada: interesy dziecka mogą przeważyć nad interesem firmy, a przepis wymienia wprost sytuację, „gdy osoba, której dane dotyczą, jest dzieckiem” (art. 6 ust. 1 lit. f). Przy zgodzie wchodzi art. 8, więc u ucznia poniżej 16 lat zgodę na newsletter daje rodzic.

Przykład: trzynastolatek z siódmej klasy wpisuje swój e-mail w okienko „Zapisz się na nowości”. Bez zgody rodzica nie możesz mu wysyłać newslettera. Maile potrzebne do samego kursu, np. dostęp czy potwierdzenie zamówienia, to inna sprawa. Licealista, który skończył 16 lat, zapisuje się sam.

A co, gdy dziecko skończy 16 lat? Według EROD (pkt 147-149) zgoda rodzica dalej obowiązuje, dopóki dziecko samo jej nie zmieni albo nie wycofa. Masz je wtedy poinformować, że może to zrobić.

Napis „sklep tylko dla dorosłych” art. 8 wyłącza tylko wtedy, gdy nic na stronie temu nie przeczy (pkt 130 wytycznych). Przy kursach dla uczniów treść strony mówi sama za siebie ;-)

Zakup przez niepełnoletniego w internecie to umowa, nie zgoda

Art. 8 ust. 3 RODO mówi wprost, że granica 16 lat nie zmienia przepisów o ważności i zawieraniu umów z dzieckiem. Gdy ktoś kupuje kurs, dane przetwarzasz, bo są niezbędne do wykonania umowy (art. 6 ust. 1 lit. b RODO), a nie dlatego, że ktoś wyraził zgodę. EROD dodaje (pkt 151), że to dwa osobne porządki prawne, które mogą działać jednocześnie.

Czy dziecko może samo zawrzeć taką umowę, mówi Kodeks cywilny (KC). A tam granice są inne: 13 i 18 lat.

Dziecko poniżej 13 lat

Nie ma zdolności do czynności prawnych, czyli nie może samo skutecznie zawierać umów (art. 12 KC). Umowa, którą zawrze, jest nieważna (art. 14 § 1). Wyjątek to umowy powszechnie zawierane w drobnych bieżących sprawach życia codziennego: taka staje się ważna z chwilą wykonania, chyba że rażąco krzywdzi dziecko (art. 14 § 2).

Nastolatek od 13 do 18 lat

Ma ograniczoną zdolność do czynności prawnych (art. 15 KC). Drobne bieżące sprawy załatwia sam (art. 20). Sam decyduje też o pieniądzach, które rodzic oddał mu do swobodnego użytku, np. o kieszonkowym (art. 22). Na resztę umów, w których zaciąga zobowiązanie, potrzebuje zgody rodzica (art. 17).

Nastolatek kupił kurs bez zgody rodzica? Umowa nie jest od razu nieważna. Jej ważność zależy od potwierdzenia: przez rodzica (art. 18 § 1) albo przez samego nastolatka, gdy skończy 18 lat (art. 18 § 2). Ty jako sprzedawca nie możesz się powołać na brak zgody rodzica, ale możesz wyznaczyć rodzicowi termin na potwierdzenie. Gdy termin minie bez odpowiedzi, jesteś od umowy wolny (art. 18 § 3).

Czy kurs online to „drobna bieżąca sprawa”?

Przepis nie podaje kwoty. To zależy od ceny i od wieku dziecka. Moim zdaniem e-book za kilkanaście złotych zmieści się w drobnych sprawach, ale kurs za kilkaset złotych na cały rok szkolny już raczej nie.

Najprościej: kurs kupuje rodzic, a dziecko z niego korzysta. Wtedy stroną umowy jest dorosły i problem ważności umowy znika.

Formularz rejestracji: pytanie o wiek, konto rodzica i weryfikacja wieku w RODO

Przy zgodzie dziecka poniżej 16 lat art. 8 ust. 2 RODO wymaga od Ciebie rozsądnych starań, z uwzględnieniem dostępnej technologii, żeby sprawdzić, czy zgodę naprawdę dał rodzic. Ile to jest „rozsądnie”, zależy od ryzyka. Według EROD przy niskim ryzyku wystarczy zapytać o rok urodzenia albo poprosić o oświadczenie o wieku (pkt 135), a zgodę rodzica potwierdzić mailem (pkt 137).

EROD pokazuje to na przykładzie platformy internetowej (pkt 138-142). Przełożone na sklep z kursami i uzupełnione o dowód zgody z art. 7 ust. 1 RODO wygląda to tak:

Nie przesadzaj w drugą stronę. Weryfikacja wieku nie może prowadzić do zbierania nadmiaru danych (pkt 135 i 145 wytycznych). Skan dowodu osobistego rodzica przy zapisie na newsletter to strzał z armaty do wróbla. Dlaczego z kopiami dowodów lepiej uważać, pisałem we wpisie Kopia dowodu osobistego za zgodą klienta: dlaczego bezpieczniej poprzestać na okazaniu.

Konto ucznia czy konto rodzica?

Skoro najbezpieczniej, żeby kurs kupował rodzic, zrób konto na rodzica. On jest stroną umowy, płaci i dostaje maile o zamówieniu. Uczeń dostaje dostęp do kursu.

Pytanie o wiek wbuduj w formularz przed startem sklepu. Po starcie masz już listę kont i adresów bez informacji o wieku i nie wiesz, kto z niej potrzebował zgody rodzica.

Informacja o danych, którą zrozumie dziecko

Art. 12 ust. 1 RODO każe informować o przetwarzaniu danych zwięźle, przejrzyście, jasnym i prostym językiem, „w szczególności gdy informacje są kierowane do dziecka”. Motyw 58 RODO idzie dalej: tak jasno, żeby dziecko mogło to bez trudu zrozumieć.

Klauzula informacyjna, czyli informacja o tym, kto przetwarza dane, po co i jak długo, pisana językiem z regulaminu, tego nie spełni. EROD dodaje (pkt 126), że gdy zgodę daje rodzic, on też potrzebuje informacji, na podstawie której świadomie zdecyduje.

W praktyce sprawdzają się dwie warstwy. Krótka wersja przy okienku zapisu, pisana do ucznia, na przykład: „Podajesz e-mail, żeby dostawać informacje o nowych kursach. Możesz się wypisać w każdej chwili”. Pod nią link do pełnej informacji dla rodzica. Prawo do wycofania zgody w każdym momencie daje art. 7 ust. 3 RODO.

Jeśli Twój uczeń z podstawówki nie zrozumie klauzuli, to nie jest klauzula dla niego.

Zdjęcia z zajęć i komunikatory: też przez rodzica

Zdjęcie dziecka z zajęć na stronie albo na Facebooku to rozpowszechnianie wizerunku, a to wymaga zezwolenia osoby na zdjęciu (art. 81 ust. 1 ustawy o prawie autorskim). Za młodsze dziecko zgodę daje rodzic, a starszego ucznia bezpieczniej zapytać też samego, bo to jego wizerunek. Wyjątek z art. 81 ust. 2 dotyczy osoby, która jest tylko szczegółem większej całości, np. tłumu na publicznej imprezie. Dzieci na zdjęciu z zajęć są jego głównym tematem, więc zgoda jest potrzebna. Dlaczego zapis w regulaminie nie wystarczy, opisałem we wpisie Zgoda na wizerunek dziecka a regulamin - upomnienie UODO dla sali zabaw.

Druga sprawa to komunikatory. Gdy piszesz z uczniami na WhatsAppie albo Messengerze, ich numery trafiają do firmy, która prowadzi aplikację. Z niepełnoletnimi uczniami najlepiej umawiaj się przez rodzica. Ustal jeden kanał kontaktu i wymień w informacji o danych, komu je przekazujesz (art. 13 ust. 1 lit. e RODO).

Najczęstsze pytania o zgodę rodzica w RODO

Sklep z kursami dla uczniów - od czego zacząć

Pamiętaj: zgoda rodzica w RODO dotyczy newslettera i innych rzeczy na zgodę, a zakupem kursu rządzi Kodeks cywilny. Pytanie o wiek, e-mail rodzica i konto na rodzica najłatwiej zaprojektować, zanim sklep ruszy.

Jeśli chcesz mieć od razu poukładaną informację o danych, zgody i zasady dla zdjęć z zajęć, zajrzyj do oferty Dokumentacja RODO albo napisz do mnie. Doradzę, co w Twoim sklepie jest potrzebne, a co nie.