Dyrektywa UE 2023/2673 nie jest aktem prawnym, którego głównym celem jest uregulowanie kwestii ochrony danych osobowych – tym nadal zajmuje się przede wszystkim RODO (ogólne rozporządzenie o ochronie danych – 2016/679). Jednak mimo że nowa dyrektywa nie wprowadza bezpośrednio rewolucyjnych zmian w zasadach przetwarzania danych, zawiera zapisy, które w praktyce wpływają na sposób, w jaki firmy gromadzą, przechowują i udostępniają dane klientów w kontekście zawierania i rozwiązywania umów na odległość.
Zasada minimalizacji danych – teraz także przy odstąpieniu od umowy
Jednym z kluczowych elementów dyrektywy UE 2023/2673 jest uproszczenie procedury odstąpienia od umowy. Nowe przepisy wymagają, aby konsument miał dostęp do prostej funkcji rezygnacji, która nie zmusza go do ponownego podawania danych, jeśli te zostały już wcześniej udostępnione w procesie zakupu.
To oznacza, że przedsiębiorcy muszą zadbać o to, by ich systemy pozwalały na odwołanie się do istniejących danych, bez konieczności nadmiarowego przetwarzania. Tym samym dyrektywa wzmacnia zasadę minimalizacji danych, już znaną z RODO – czyli przetwarzania wyłącznie takich informacji, które są niezbędne do realizacji danego celu.
Przykład: jeśli klient zalogował się na konto w Twoim sklepie internetowym, nie możesz zmuszać go do ponownego wpisywania imienia, nazwiska czy adresu e-mail w formularzu odstąpienia. Formularz powinien być w stanie automatycznie rozpoznać użytkownika i odnieść się do istniejącej umowy.
Transparentność w przetwarzaniu danych – obowiązki informacyjne idą dalej
Dyrektywa 2023/2673 nakłada na przedsiębiorców rozszerzone obowiązki informacyjne wobec konsumenta, które muszą być spełnione przed zawarciem umowy. Choć nie dotyczy to bezpośrednio przepisów o ochronie danych, w praktyce wpływa na to, jak firmy komunikują sposób przetwarzania danych osobowych.
Przedsiębiorcy, którzy oferują usługi lub produkty na odległość, muszą jasno informować konsumenta m.in. o:
- wykorzystywanych kanałach kontaktu,
- użyciu zautomatyzowanych narzędzi (np. chatbotów, systemów AI),
- możliwości kontaktu z człowiekiem,
- przebiegu procesu zawierania i rozwiązania umowy.
Jeśli podczas któregoś z tych etapów dane osobowe są gromadzone lub analizowane (np. w systemie CRM, przez chatboty lub formularze online), użytkownik powinien być o tym poinformowany w sposób czytelny, zrozumiały i niebudzący wątpliwości. To w praktyce wzmacnia obowiązek przejrzystości wynikający z RODO i ogranicza przestrzeń na niejasne praktyki związane z profilowaniem czy wykorzystaniem danych w celach marketingowych.
Automatyzacja a prawo do kontaktu z człowiekiem – dane nie mogą być „uwięzione” w systemach
Nowością, która może mieć wpływ na ochronę danych osobowych, jest obowiązek zapewnienia konsumentowi realnej możliwości kontaktu z człowiekiem, nawet jeśli firma korzysta z automatycznych narzędzi do komunikacji (jak boty, formularze, inteligentni asystenci).
W praktyce oznacza to, że systemy przetwarzające dane użytkownika muszą być zaprojektowane w sposób, który umożliwia dostęp do tych danych również pracownikom obsługi klienta – a nie tylko algorytmom. Konsument ma prawo uzyskać pomoc od rzeczywistej osoby, co pośrednio wiąże się z koniecznością zapewnienia transparentności, integralności i dostępności danych – czyli kluczowych zasad wynikających z RODO.
Ten przepis może wymusić na niektórych firmach przebudowę architektury systemów IT, by zapewnić płynny przepływ informacji między zautomatyzowanymi narzędziami a zespołem wsparcia. Dane osobowe klienta nie mogą być przetwarzane „w czarnej skrzynce”, bez możliwości reakcji czy interwencji człowieka.
Nowe obowiązki, stare zasady RODO – synergia, nie sprzeczność
Choć dyrektywa UE 2023/2673 nie tworzy nowego systemu ochrony danych osobowych, to jednak wzmacnia i uzupełnia obowiązujące już przepisy. RODO nadal pozostaje głównym aktem regulującym zasady przetwarzania danych, ale dyrektywa:
- konkretyzuje oczekiwania wobec systemów informatycznych w kontekście rezygnacji z usług,
- promuje dobre praktyki projektowania przyjaznych użytkownikowi funkcji,
- zakazuje praktyk utrudniających klientowi egzekwowanie jego praw, w tym prawa do informacji i sprzeciwu.
Dla przedsiębiorców to jasny sygnał, że zgodność z RODO to dziś za mało – równie ważne jest tworzenie cyfrowych doświadczeń użytkownika, które są zgodne z duchem przejrzystości i uczciwości promowanym przez najnowsze regulacje UE.
Podsumowując, dyrektywa UE 2023/2673 nie redefiniuje ochrony danych osobowych, ale ją wzmacnia i precyzuje w kontekście zawierania umów na odległość. Jeśli prowadzisz firmę działającą online, musisz zadbać o to, by przetwarzanie danych było nie tylko zgodne z RODO, ale również zgodne z nowymi zasadami: prostoty, przejrzystości i dostępności.
To okazja, by przemyśleć procesy pod kątem użytkownika – i nie tylko zapewnić zgodność z prawem, ale także zbudować większe zaufanie wśród klientów.
Artykuł sponsorowany
