Λογίζεται ένα προεπιλεγμένο πλαίσιο ως συγκατάθεση βάσει του GDPR;

Η ανάλυση της εγκυρότητας της συγκατάθεσης βάσει του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR) αποκαλύπτει ότι τα προεπιλεγμένα πλαίσια δεν συνιστούν έγκυρη συγκατάθεση. Σύμφωνα με την Αιτιολογική Σκέψη 32 του GDPR, η συγκατάθεση πρέπει να είναι:

• Να παρέχεται ελεύθερα
• Συγκεκριμένη
• Κατόπιν ενημέρωσης
• Αδιαμφισβήτητη

και να απαιτεί μια σαφή θετική ενέργεια από το υποκείμενο των δεδομένων (Ευρωπαϊκό Κοινοβούλιο και Συμβούλιο, 2016). Αυτό συνεπάγεται ευθέως ότι οι παθητικές ενέργειες, όπως τα προεπιλεγμένα πλαίσια ή η αδράνεια του χρήστη, δεν πληρούν αυτά τα πρότυπα.

Το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) έχει ενισχύσει αυτή την ερμηνεία μέσω δικαστικών αποφάσεων:

• Σε απόφαση του 2019, το ΔΕΕ διευκρίνισε ότι ένα προεπιλεγμένο πλαίσιο ελέγχου που οι χρήστες πρέπει να αποεπιλέξουν ενεργά δεν αντιπροσωπεύει έγκυρη συγκατάθεση (Υπόθεση C-673/17, Planet49 GmbH κατά Bundesverband der Verbraucherzentralen und Verbraucherverbände e.V., 2019).
• Η απόφαση του 2020 επιβεβαίωσε εκ νέου αυτή τη θέση, τονίζοντας την αναγκαιότητα ενός θετικού μηχανισμού opt-in για τη διασφάλιση της εγκυρότητας της συγκατάθεσης.

Οι συνέπειες είναι ότι οι οργανισμοί που βασίζονται σε προεπιλεγμένα πλαίσια για τη συγκατάθεση επεξεργασίας δεδομένων παραβιάζουν τις απαιτήσεις του GDPR. Η ενεργή επιλογή του υποκειμένου των δεδομένων να συναινέσει πρέπει να αποδεικνύεται με μια ενέργεια opt-in, εξαλείφοντας την αμφισημία και διασφαλίζοντας τη συμμόρφωση.

Αυτό ευθυγραμμίζεται με την ακαδημαϊκή ομοφωνία που τονίζει τη σημασία των ρητών θετικών μηχανισμών συγκατάθεσης για την ενίσχυση της αυτονομίας και του ελέγχου των χρηστών επί των προσωπικών τους δεδομένων (Wright & Kreissl, 2020). Επιπλέον, εμπειρικές μελέτες έχουν αποδείξει ότι τα προεπιλεγμένα πλαίσια:

• Υπονομεύουν την αυτονομία του χρήστη
• Αυξάνουν τον κίνδυνο συγκατάθεσης χωρίς ενημέρωση
• Είναι ασυνεπή με τις θεμελιώδεις αρχές του GDPR

Συνοπτικά, τα προεπιλεγμένα πλαίσια παραβιάζουν τα πρότυπα του GDPR για έγκυρη συγκατάθεση. Τα νομικά και ακαδημαϊκά στοιχεία υποστηρίζουν την απαίτηση για ρητή, θετική ενέργεια του χρήστη για τη θεμελίωση της νόμιμης επεξεργασίας προσωπικών δεδομένων.