Weryfikacja wieku a ochrona danych osobowych – poznaj założenia projektu ustawy o ochronie małoletnich w internecie

Projekt ustawy o ochronie małoletnich przed dostępem do treści szkodliwych w internecie, nad którym pracuje Ministerstwo Cyfryzacji, został oceniony przez Prezesa UODO jako potrzebny, lecz budzący poważne wątpliwości z perspektywy ochrony danych osobowych i prawa do prywatności. Inspektorzy ochrony danych (IOD) powinni już dziś analizować potencjalne konsekwencje nowych regulacji dla swoich organizacji.

Prezes UODO podkreśla, że kierunek zmian legislacyjnych jest właściwy, jednak projekt w obecnym kształcie ingeruje w konstytucyjne prawa i wolności obywatelskie, w tym prawo do prywatności, ochrony danych osobowych, wolność słowa i komunikacji. Ustawodawca chce ograniczyć dostęp małoletnich do 18. roku życia do szkodliwych treści poprzez weryfikację ich wieku. Ma to poważne konsekwencje, gdyż wymaga identyfikacji osoby uzyskującej dostęp do określonych treści w internecie.

Proponowane ograniczenia w dostępie małoletnich do treści szkodliwych mają być określone w zaleceniach, które nie są źródłem prawa powszechnego, co budzi wątpliwości co do zgodności z Konstytucją RP.

Projekt ustawy zakłada mechanizm weryfikacji wieku użytkowników internetu, co wymaga identyfikacji osób chcących uzyskać dostęp do określonych treści. Jednak nie precyzuje, jak miałaby wyglądać ta weryfikacja, jakie dane miałyby być przetwarzane i jakie kryteria powinny być spełnione. Takie niedookreślenie może prowadzić do nadmiernego przetwarzania danych osobowych, a nawet profilowania użytkowników, zwłaszcza jeśli wykorzystywane będą algorytmy sztucznej inteligencji.

Prezes UODO rekomenduje przeprowadzenie testu prywatności i oceny skutków regulacji dla ochrony danych (DPIA), zgodnie z art. 35 i art. 25 RODO, co jest kluczowe przy projektach obejmujących przetwarzanie danych dzieci na dużą skalę.

Weryfikacja wieku powinna być projektowana i wdrażana z wykorzystaniem najbardziej chroniących prywatność metod i technologii. Przykładem mogą być rozwiązania oparte o eIDAS2, gdzie potwierdzany jest jedynie atrybut wieku (pełnoletni/nieletni), bez ujawniania dodatkowych danych osobowych użytkownika.

Europejska Rada Ochrony Danych w oświadczeniu 1/2025 podkreśla, że zapewnienie wieku nie powinno prowadzić do dodatkowej identyfikacji, lokalizowania, profilowania czy śledzenia dzieci. Każdy mechanizm powinien być poprzedzony analizą ryzyka i zgodny z zasadą minimalizacji danych.