W sprawie kary nałożonej przez chorwacki organ ochrony danych na sieć kasyn Grand Admiral Casino (za nieprawidłowości w przetwarzaniu danych biometrycznych graczy), o której pisałem w poprzednim wpisie (Ryzykowna biometria), ciekawy jest zwłaszcza wątek zgody na przetwarzanie szczególnej kategorii danych. 

Nie znamy wszystkich szczegółów tej sprawy, ale wydaje się, że operator kasyn gry (Grand Admiral Casino) uznał, że zgodę na "kilka konkretnych celów przetwarzania" (o której mowa w art. 9 ust. 1 RODO) można wyrazić jednym "przyciskiem". Podczas rejestracji w kasynie gry na ekranie dotykowym terminala pojawiały się pola do zaznaczenia zgód, przy czym w jednym przypadku odznaczenie pola zgody oznaczało (podobno) jednoczesną zgodę na nie tylko na biometryczną weryfikację tożsamości, ale także na analizę statystyczną, profilowanie zachowań gracza, działania marketingowe oraz uczestnictwo w programach bonusowych. 

Zdaniem chorwackiego organu nadzoru, podmiot danych powinien móc decydować o każdym rodzaju przetwarzania (osobno zgodzić się na wejście, a osobno na marketing czy analizowanie jego nawyków). 

Czy słusznie?

Zgodnie z art. 9 ust. 1 i ust. 2 lit. a RODO, zabrania się (m. in.) przetwarzania danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, chyba, że osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach.

Sformułowanie „w jednym lub kilku konkretnych celach" jest powieleniem konstrukcji z art. 6 ust. 1 lit. a RODO („w jednym lub większej liczbie określonych celów"), i pełni tę samą funkcję, tj. określa zakres przedmiotowy zgody (a nie formę jej odbierania). Przepis ten oznacza, że jedna osoba może wyrazić zgodę na przetwarzanie swoich danych szczególnych w więcej niż jednym celu, i że każdy z tych celów ma być "konkretny" (określony). Nie powinno się go interpretować w ten sposób, że kilka różnych celów wolno "spakować" w jedno oświadczenie woli.

Granularność nie jest wymysłem chorwackiego organu ochrony danych, tylko konsekwencją także innych przepisów czy motywów RODO.

1. Po pierwsze, definicja zgody z art. 4 pkt 11 RODO - zgoda ma być dobrowolna, konkretna, świadoma i [wyrażona jako] jednoznaczne okazanie woli. 
2. Po drugie, motyw 32, zgodnie z którym zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele, co należy rozumieć w ten sposób, że jedna zgoda obejmuje czynności służące temu samemu celowi (nie trzeba odbierać osobnej zgody na zebranie, zapis i porównanie wzorca biometrycznego, skoro wszystkie służą weryfikacji tożsamości), ale różne cele wymagają zgody na każdy z nich.
3. Po trzecie, motyw 43 - zgodę uznaje się za niedobrowolną, jeżeli nie można jej wyrazić z osobna na różne operacje przetwarzania, mimo że w danym przypadku byłoby to stosowne. Tu granularność łączy się z wymogiem dobrowolności - brak możliwości dokonania wyboru wg celu przetwarzania to niespełnienie wymogu dobrowolności, co oznacza brak podstawy przetwarzania w ogóle.

Do tego dochodzi art. 7 ust. 2 RODO (żądanie zgody wyraźnie odróżnialne od innych kwestii) oraz Wytyczne EROD 05/2020 w sprawie zgody, pkt 42-44 i 55, gdzie stwierdza się, że "łączenie" kilku celów w jedno pytanie o zgodę, bez próby odebrania zgody osobno na każdy z nich, oznacza niespełnienie wymogu dobrowolności.

W sprawie sieci Grand Admiral Casino gość kasyna może chcieć wejść do środka, nie życząc sobie, by profilowano jego nawyki i wysyłano mu oferty bonusowe. Weryfikacja tożsamości, analiza statystyczna, profilowanie i marketing to cztery cele o różnej naturze, różnych podstawach i różnym ryzyku, w tym dwa (profilowanie oraz marketing), do których podmiot danych ma odrębne, niezależne od prawa cofnięcia zgody prawo sprzeciwu z art. 21 RODO. 

Zatem zaprojektowanie tylko jednego pola "zgody" pod tekstem dotyczącym różnych celów przetwarzania nie prowadzi do uzyskania „zgody w kilku konkretnych celach" w rozumieniu art. 9 ust. 1 RODO.

Dla danych szczególnych kategorii danych (np. biometrycznych) zgoda musi być „wyraźna", co EROD rozumie jako wyraźne oświadczenie odnoszące się do danego rodzaju danych i celu (pkt 93-94 Wytycznych). Jak się zdaje, w tej sprawie zgoda na profilowanie biometryczne była zbytnio "ukryta" w opisie wymogów ustawowych w zakresie weryfikacji tożsamości, by ją uznać za zgodę "wyraźną".

Podsumowując, zgoda na przetwarzanie danych szczególnych kategorii w „kilku konkretnych celach", o której mowa w art. 9 ust. 2 lit. a RODO należy czytać następująco - administrator może odebrać od jednej osoby zgodę na kilka celów przetwarzania, ale każdy cel musi być:

1) nazwany konkretnie, 

2) przedmiotem odrębnej ("odróżnialnej" od innych) decyzji podmiotu danych, 

a zgoda musi być wyrażona w sposób wyraźny. 

Natomiast "wspólne" pole do zgody jest dopuszczalne tylko tam, gdzie kilka czynności przetwarzania służy jednemu celowi, np. zgoda na skanowanie palców w celu identyfikacji nie wymaga już odrębnej zgody na pobieranie skanu, jego przechowywanie oraz użycie do porównania ze skanem podczas kolejnej rejestracji.