Vaikų asmens duomenys socialiniuose tinkluose: ko galima pasimokyti iš bylos prieš „Meta“?

Socialiniai tinklai tapo neatsiejama vaikų ir paauglių kasdienybės dalimi. Registruodamiesi platformose, spausdami patiktukus, žiūrėdami vaizdo įrašus ar bendraudami su draugais, jauni naudotojai palieka didelį kiekį informacijos apie save. Tai gali būti ne tik jų vardas, amžius ar nuotrauka, bet ir buvimo vieta, interesai, elgesys internete, socialiniai ryšiai bei emocinės reakcijos.

2026 m. rugpjūtį JAV federaliniame teisme pradėta nagrinėti reikšminga byla prieš „Meta Platforms“, valdančią „Facebook“ ir „Instagram“. JAV valstijos bendrovę kaltina netinkamai rinkus ir naudojus vaikų asmens duomenis bei kūrus platformų funkcijas, kurios skatino jaunus naudotojus kuo ilgiau jose pasilikti.

Ši byla svarbi ne tik didžiosioms technologijų bendrovėms. Ji primena visoms organizacijoms, tvarkančioms vaikų asmens duomenis, kad formalaus privatumo pranešimo ar tėvų sutikimo ne visada pakanka. Vaikų privatumo apsauga turi būti įgyvendinama pačioje paslaugoje – nuo jos sukūrimo iki kasdienio naudojimo.

Kuo kaltinama „Meta“?

Dar 2023 m. JAV valstijų generalinių prokurorų koalicija pateikė ieškinį prieš „Meta“. Jame teigiama, kad bendrovė kūrė ir naudojo „Instagram“ bei „Facebook“ funkcijas, kuriomis buvo siekiama maksimaliai padidinti jaunų naudotojų platformose praleidžiamą laiką.

Byloje kalbama apie begalinį turinio slinkimą, nuolatinius pranešimus, patiktukų sistemą ir kitus vartotojo dėmesį išlaikančius sprendimus. Valstijų atstovai teigia, kad bendrovė žinojo apie galimą tokių funkcijų poveikį vaikų ir paauglių emocinei bei psichologinei sveikatai, tačiau tinkamai neinformavo naudotojų ir jų tėvų.

Atskira kaltinimų dalis susijusi su jaunesnių nei 13 metų vaikų asmens duomenimis. Teigiama, kad „Meta“ galėjo rinkti ir naudoti šių vaikų informaciją neturėdama tinkamai patvirtinto tėvų sutikimo, kaip to reikalauja JAV Vaikų privatumo internete apsaugos įstatymas – COPPA.

„Meta“ kaltinimus neigia ir teigia įdiegusi įvairių nepilnamečių apsaugos priemonių. Todėl svarbu pabrėžti, kad byla dar nagrinėjama, o teismas turės įvertinti šalių pateiktus įrodymus ir argumentus.

Kodėl ši byla susijusi su asmens duomenų apsauga?

Iš pirmo žvilgsnio gali atrodyti, kad byla pirmiausia yra apie socialinių tinklų poveikį vaikų psichikos sveikatai. Tačiau vartotojo dėmesio išlaikymo mechanizmai dažnai grindžiami intensyviu asmens duomenų rinkimu ir analize.

Platforma gali stebėti, kokį turinį vaikas peržiūri, prie kokių įrašų sustoja, ką pažymi kaip patinkantį, su kuo bendrauja ir kokiu paros metu yra aktyviausias. Remiantis šia informacija gali būti kuriamas išsamus jauno žmogaus elgesio ir interesų profilis.

Kuo tiksliau sistema pažįsta naudotoją, tuo lengviau jai parinkti turinį, kuris išlaikytų jo dėmesį. Todėl šioje byloje duomenų apsauga, platformų dizainas, reklama ir vaikų gerovė yra glaudžiai susiję.

Vaikų duomenims taikoma sustiprinta apsauga

Bendrasis duomenų apsaugos reglamentas vaikams suteikia ypatingą apsaugą. Vaikai gali prasčiau suprasti su asmens duomenų tvarkymu susijusias rizikas, pasekmes ir savo teises. Jie taip pat gali lengviau pasiduoti įtikinėjimui, reklamai ar specialiai sukurtiems skaitmeniniams sprendimams.

Todėl vaikams skirta informacija apie asmens duomenų tvarkymą turi būti pateikta aiškia, paprasta ir jų amžių atitinkančia kalba. Ilgas, sudėtingais teisiniais terminais parašytas privatumo pranešimas savaime dar nereiškia, kad skaidrumo pareiga įvykdyta tinkamai.

Europos duomenų apsaugos valdyba taip pat pabrėžia, kad vaikams skirta informacija turėtų būti lengvai suprantama, pritaikyta jų amžiui ir, kai tinkama, papildyta vaizdinėmis priemonėmis.

Tėvų sutikimas nėra universalus sprendimas

Kalbant apie vaikų duomenų apsaugą, dažnai manoma, kad pakanka gauti vieno iš tėvų sutikimą. Tačiau pirmiausia organizacija turi nustatyti, ar sutikimas apskritai yra tinkamas konkretaus duomenų tvarkymo teisinis pagrindas.

Sutikimas turi būti laisvas, konkretus, pagrįstas aiškia informacija ir išreikštas aktyviu veiksmu. Jis negali būti paslėptas bendrosiose naudojimosi sąlygose ar pateiktas taip, kad asmuo neturėtų realios pasirinkimo galimybės.

Kai vaikui tiesiogiai siūlomos informacinės visuomenės paslaugos ir duomenys tvarkomi sutikimo pagrindu, būtina atsižvelgti į BDAR 8 straipsnyje nustatytas papildomas sąlygas. Duomenų valdytojas taip pat turi dėti pagrįstas pastangas patikrinti, ar sutikimą išreiškė arba patvirtino vaiko tėvų pareigų turėtojas.

Tačiau tėvų sutikimas nepateisina perteklinio duomenų rinkimo, nesaugaus jų viešinimo ar vaikui žalingo profiliavimo.

„Privatu pagal nutylėjimą“ – ne vien techninis nustatymas

Vaikų duomenų apsaugos kontekste ypač svarbus BDAR 25 straipsnyje įtvirtintas pritaikytosios ir standartizuotosios duomenų apsaugos principas. Jis reiškia, kad privatumo apsauga turi būti numatyta dar kuriant paslaugą, informacinę sistemą ar procesą.

Numatytieji nustatymai turi užtikrinti kuo didesnę vaiko privatumo apsaugą. Vaiko paskyra neturėtų automatiškai tapti vieša, buvimo vietos nustatymas neturėtų būti įjungtas be būtinybės, o profiliavimas ar suasmeninta reklama neturėtų būti taikomi vien todėl, kad techniškai tai įmanoma.

Ši problema „Meta“ bendrovei Europoje jau yra turėjusi rimtų pasekmių. 2022 m. Airijos duomenų apsaugos komisija skyrė „Meta Platforms Ireland“ 405 mln. Eur baudą dėl vaikų duomenų tvarkymo „Instagram“ platformoje.

Tyrimo metu, be kita ko, buvo vertinamas vaikų telefono numerių ir elektroninio pašto adresų viešinimas naudojant verslo paskyras bei tai, kad vaikų asmeninės paskyros tam tikru laikotarpiu buvo nustatomos kaip viešos pagal nutylėjimą. Sprendime konstatuoti kelių BDAR nuostatų, įskaitant teisėtumo, duomenų kiekio mažinimo, skaidrumo, atskaitomybės ir standartizuotosios duomenų apsaugos reikalavimų, pažeidimai.

Ką turėtų įsivertinti organizacijos Lietuvoje?

Vaikų asmens duomenis tvarko ne tik socialiniai tinklai. Juos tvarko mokyklos, darželiai, gydymo įstaigos, sporto klubai, stovyklų organizatoriai, būreliai, nevyriausybinės organizacijos, fotografai, renginių organizatoriai ir įvairių skaitmeninių paslaugų teikėjai.

Tokios organizacijos turėtų įsivertinti:

1. Kokius vaikų duomenis renkame?
   Ar visi renkami duomenys iš tikrųjų būtini konkrečiam tikslui pasiekti?
2. Kokiu teisiniu pagrindu juos tvarkome?
   Ar pagrįstai remiamasi sutikimu, sutartimi, teisine prievole, viešuoju ar teisėtu interesu?
3. Ar vaikui ir jo tėvams pateikiama suprantama informacija?
   Ar privatumo pranešimas nėra tik sudėtingas teisinis tekstas, kurio vaikas negali suprasti?
4. Kas gali susipažinti su vaiko duomenimis?
   Ar tinkamai valdomos darbuotojų, paslaugų teikėjų ir kitų asmenų prieigos?
5. Ar vaikų nuotraukos ir vaizdo įrašai neviešinami perteklinai?
   Ar aiškiai nustatytas viešinimo tikslas, apimtis, terminas ir pasirinktas tinkamas teisinis pagrindas?
6. Ar privatumo nustatymai yra saugūs pagal nutylėjimą?
   Ar vaiko informacija automatiškai netampa prieinama platesniam asmenų ratui?
7. Ar atliekamas poveikio duomenų apsaugai vertinimas?
   Jeigu naudojamos naujos technologijos, vykdomas sistemingas stebėjimas, profiliavimas ar dideliu mastu tvarkomi jautrūs vaikų duomenys, gali būti būtina atlikti poveikio duomenų apsaugai vertinimą.

Svarbiausia pamoka – vertinti ne tik dokumentus, bet ir pačią paslaugą

Byla prieš „Meta“ primena, kad asmens duomenų apsauga negali apsiriboti privatumo politika ir sutikimo langeliu. Būtina vertinti visą paslaugos veikimo modelį: kokie duomenys renkami, kaip naudojami, kokius vartotojo veiksmus skatina sistema ir ar jos dizainas nepasinaudoja vaiko pažeidžiamumu.

Kuo jaunesnis duomenų subjektas ir kuo didesnę įtaką jam gali turėti duomenimis grindžiami sprendimai, tuo didesnė atsakomybė tenka duomenų valdytojui.

Vaiko interesai ir teisė į privatumą turi būti vertinami ne kaip kliūtis paslaugai teikti, bet kaip vienas pagrindinių kriterijų ją kuriant ir tobulinant.

Pastaba: straipsnyje aptariama JAV vykstanti byla. Jos nagrinėjimas nėra baigtas, todėl „Meta“ pateikti kaltinimai nelaikytini galutinai teismo nustatytais pažeidimais.

Šaltiniai: DI: Kalifornijos generalinio prokuroro informacija apie ieškinį prieš „Meta“; Europos duomenų apsaugos valdybos informacija apie vaikų duomenų apsaugą ir privalomasis sprendimas Nr. 2/2022; Airijos duomenų apsaugos komisijos 2022 m. sprendimas dėl vaikų duomenų tvarkymo „Instagram“ platformoje.