Nové povinnosti pro online platformy, e-tržiště a poskytovatele webhostingu

V prosinci 2024 vydal Český telekomunikační úřad (ČTÚ) ve spolupráci s Úřadem pro ochranu osobních údajů a Ministerstvem průmyslu a obchodu dva průvodce (metodiky) zabývající se problematikou nového nařízení Evropského parlamentu a rady (EU) o jednotném trhu digitálních služeb a o změně směrnice 200/31/ES (dále jen „nařízení DSA“).

První průvodce se zabývá nařízením DSA z pohledu poskytovatelů zprostředkovatelských služeb, kterými jsou například provozovatelé sociálních sítí, internetových tržišť (marketplace) nebo poskytovatelé webhostigových služeb.  Druhá metodika je určena pro uživatele těchto služeb. 

Průvodce přehledně zpracovávají na jedné straně přehled nových povinností pro poskytovatele zprostředkovatelských služeb, které s sebou nařízení DSA přináší, a na straně druhé práva, jež vzniknou uživatelům služeb a díky nimž budou mít možnost větší kontroly nad využívanými službami.

Nařízení DSA zavádí jednotná pravidla pro poskytovatele digitálních zprostředkovatelských služeb.  Na vnitrostátní úrovni na něj má navázat zákon o digitální ekonomice, který je zatím v legislativním procesu. Tento zákon bude upravovat zejména působnost orgánů veřejné správy a odpovědnost za přestupky vyplývající z porušení nařízení DSA.

Koordinátorem digitálních služeb a zároveň orgánem, který bude dohlížet na dodržování povinností vyplývajících z nařízení DSA, bude v České republice právě ČTÚ. Jedinou výjimkou je oblast online reklamy, kde bude dozor nad dodržováním povinností vykonávat Úřad pro ochranu osobních údajů.

Mezi hlavní cíle nařízení DSA spadá

• posílení práv příjemců služeb,

• podpora transparentnosti,

• regulace velkých online platforem,

• zavedení opatření proti nezákonnému obsahu a systémovým rizikům,

• zapojení občanské společnosti do uplatňování a vymáhání pravidel.

Povinnosti stanovené nařízením DSA jsou závazné pro všechny poskytovatele zprostředkovatelských služeb, kteří nabízejí své služby příjemcům usazeným nebo nacházejícím se na území EU. Pro uplatnění pravidel nařízení DSA není rozhodné, kde sídlí poskytovatel, ale na který trh reálně cílí. Nařízení DSA neukládá žádné povinnosti uživatelům služeb, ale naopak jim přiznává nová práva, například právo oznámit nezákonný obsah hostingové služby, nebo právo obdržet řádné odůvodnění omezení svého uživatelského obsahu.

Průvodce pro poskytovatele zprostředkovatelských služeb

Průvodce je určen pro všechny poskytovatele zprostředkovatelských služeb, kteří mají hlavní provozovnu v České republice, příp. zde sídlí jejich právní zástupce.

Zprostředkovatelskou službou se pak rozumí služba informační společnosti, tj. služba poskytovaná na dálku, elektronicky, na individuální žádost příjemce a zpravidla za úplatu. Mezi zprostředkovatelské služby patří:  

• služby prostého přenosu dat,

• ukládání do mezipaměti (caching),

• hosting, kam spadají i online platformy, včetně internetových tržišť,

• internetové vyhledávače.

Nad rámec výše uvedeného nařízení DSA definuje velmi velké online platformy a velmi velké internetové vyhledavače, tj. takové platformy a vyhledávače, které mají průměrný měsíční počet aktivních příjemců v EU nejméně 45 milionů. Vzhledem k tomu, že v České republice jsou takoví poskytovatelé v řádech jednotek, nejsou specifika pro tyto poskytovatele předmětem průvodce.

Rozsah povinností jednotlivých poskytovatelů je odstupňován podle druhu a velikosti podniku. Obecně lze říci, že většina povinností z nařízení DSA cílí na střední a velké poskytovatele online platforem, naopak vůči poskytovatelům prostého přenosu a malým a mikropodnikům se neuplatní.

Povinnosti podle nařízení DSA lze rozdělit na:

• univerzální povinnosti pro poskytovatele zprostředkovatelských služeb,

• základní povinnosti pro hostingové služby,

• dodatečné povinnosti pro online platformy a

• dodatečné povinnosti pro online tržiště.

Logika stupňování povinností podle DSA je takováto: Všichni poskytovatelé zprostředkovatelských služeb musí dodržovat univerzální povinnosti. Poskytovatelé hostingové služby navíc musí dodržovat i základní povinnosti pro ně stanovené, online platformy pak musí dodržovat jak univerzální povinnosti a povinnosti pro hostingové služby, tak speciální povinnosti pro online platformy. Provozovatelé online tržiště potom dodržují všechny výše uvedené povinnosti, a navíc ještě svoje speciální povinnosti. Jednotlivé povinnosti poskytovatelů zprostředkovatelských služeb jsou přehledně rozebrány v průvodci.

Univerzální povinnosti poskytovatelů zprostředkovatelských služeb

Dále se zaměříme primárně na povinnosti, které lze vztáhnout na všechny poskytovatele zprostředkovatelských služeb. Spadá mezi ně povinnost reagovat na příkazy k přijetí opatření proti nezákonnému obsahu (např. smazaní příspěvku uživatele) nebo k poskytnutí informací (např. o konkrétním příjemci služby). Uložit takový příkaz mohou soudy, orgány činné v trestním řízení nebo vybrané správní orgány, nikoli však ČTÚ. Z toho pro poskytovatele vyplývá též splnění informační povinnosti vůči dotčenému orgánu a dotčenému příjemci služby, a to nejpozději v okamžiku provedení příkazu.

Poskytovatelé dále musí zřídit jednotné elektronické kontaktní místo pro orgány veřejné moci, včetně orgánů Evropské unie, které bude snadno dostupné a aktuální. Také musí být uveřejněno kontaktní místo pro příjemce služeb, včetně možnosti vybrat si komunikaci s člověkem s vyloučením automatizovaných nástrojů.

Nemá-li provozovatel v EU svoji provozovnu, ale nabízí zde své služby a má podstatné spojení s EU, musí v některém členském státě ustanovit svého právního zástupce. Podstatným spojením se pak rozumím, když např. má významný počet příjemců své služby v některém členském státě ve vztahu k počtu obyvatel státu, používá měnu typickou pro určitý členský stát, nebo doručuje svoje produkty do EU, jak to dělá řada poskytovatelů z Velké Británie, Asie či USA.

Jak mají vypadat smluvní podmínky?

Další povinností poskytovatelů zprostředkovatelských služeb je zveřejnit smluvní podmínky pro příjemce jejich služeb za účelem zvýšení transparentnosti online prostředí. Smluvní podmínky musí být jasné, jednoznačné, srozumitelné, snadno pochopitelné a v uživatelsky vstřícné formě. To znamená, že nesmí být napsány zavádějícím způsobem nebo způsobem, který umožňuje různý výklad. Smluvní podmínky je vhodné doplnit například často kladenými otázkami (FAQ) nebo stručným shrnutím.

Zvláštní požadavky jsou pak kladeny na formu smluvních podmínek pro nezletilé, je-li služba cílena primárně na ně. Smluvní podmínky musí být veřejné, snadno přístupné a ve strojově čitelném formátu a musí obsahovat informace o veškerých omezeních, která poskytovatel uplatňuje v souvislosti s využíváním jeho služeb, nebo informace o moderování obsahu včetně rozhodování založeného na algoritmech. Podmínky musí také popisovat pravidla pro použití interního systému vyřizování stížností. 

Poskytovatelé rovněž mají povinnost informovat příjemce služby o každé významné změně smluvních podmínek, a to ideálně takovým způsobem, kdy se informace prokazatelně dostane do dispozice uživatele, tedy např. e-mail, notifikace nebo zpráva v uživatelském rozhraní.

Poskytovatelé musí dále jednou ročně zveřejnit zprávu o transparentnosti, která obsahuje souhrnné informace o praktickém uplatňování nařízení DSA, jako je informace o počtu přijatých příkazů od orgánů veřejné moci nebo informace o moderaci obsahu.

Poskytovatelé naopak nemají na základě nařízení DSA povinnost oznamovat své podnikání koordinátorovi digitálních služeb (ČTÚ) ani žádnou jinou registrační nebo evidenční povinnost.

Povinnosti pro další poskytovatele zprostředkovatelských služeb

Poskytovatelé hostingových služeb mají nad rámec výše uvedeného ještě tyto povinnosti:  

• Nastavit mechanismy pro oznamovaní nezákonného obsahu, a to co nejpřívětivějším způsobem, například prostřednictvím tlačítka přímo u příspěvku. Nezákonným obsahem se pak rozumí takové informace, které nejsou v souladu s právem EU nebo vnitrostátním právem, např. nenávistné projevy, porušování autorských práv, šíření škodlivého softwaru, prodej zakázaných výrobků atd.

• Hlásit podezření na trestné činy ohrožující život nebo bezpečnost osoby nebo osob orgánům dotčeného členského státu, pokud získají o takových informacích povědomost, ať již z vlastní činnosti nebo z oznámení od jiné osoby. Poskytovatelé ale nemají povinnost aktivně vyhledávat ve svých službách skutečnosti nasvědčující spáchání trestného činu.

Poskytovatelé online platforem jsou dále povinni:

• zavést interní systém vyřizování stížností příjemců služeb týkající se nezákonného obsahu nebo neslučitelnosti se smluvními podmínkami, např. prostřednictvím online formuláře;

• spolupracovat se subjekty mimosoudního řešení sporů;

• spolupracovat s důvěryhodnými oznamovateli, tj. certifikovanými subjekty specializujícími se na vyhledávání nezákonného obsahu na online platformách a prioritně se zabývat jejich oznámeními na nezákonný obsah;

• zveřejňovat počty aktivních příjemců služeb každých 6 měsíců a odesílat povinné informace do databáze transparentnosti spravovanou Evropskou komisí;

• nepoužívat tzv. dark patterns, tj. praktiky, které klamou, manipulují či jinak podstatně narušují nebo omezují schopnost uživatelů činit svobodná a informovaná rozhodnutí, např. zvýrazňování určitých možností volby, opakované žádosti o výběr služby, i když uživatel volbu již učinil, ztěžování ukončení služby, účtu nebo udělení nesouhlasu ve srovnání s aktivací služby, účtu nebo udělením souhlasu, ale také skryté poplatky, falešné recenze či emocionální nátlak. Pozor, dark pattters podle nařízení DSA nejsou situace, které jsou regulovány GDPR(např. manipulativní lišta cookies), nebo předpisy na ochranu spotřebitele (agresivní a nekalé obchodní praktiky vůči spotřebiteli);

• zajistit transparentnost reklamy, jako je jasné označení, že se jedná o reklamu, osobu, jejímž jménem je reklama prezentována, a jak byl určen adresát reklamy. Uživatelé také budou mít možnost označit svůj obsah jako obchodní sdělení, pokud se o něj jedná. Co se týká otázky profilování podle GDPR, tak nařízení DSA jej zakazuje ve dvou případech, a to profilování při využití zvláštní kategorie osobních údajů podle čl. 9 odst. 1 GDPR (např. informace o zdravotním stavu, rasovém či etnickém původu nebo sexuální orientaci) a též pokud jde o ochranu nezletilých osob (tj. je zřejmé, že příjemcem služby je nezletilá osoba);

• zajistit transparentnost doporučovacích systémů (např. našeptávače, populární témata, výchozí řazení produktů na online tržištích), tj. zveřejnit informace, na základě jakých parametrů systém vybírá zobrazované informace příjemci služby a jak je může příjemce změnit;

• zajistit vysokou míru soukromí, bezpečnosti a ochrany nezletilých, např. minimalizací sběru dat, zavedení rodičovské ochrany, zákaz sdílení polohy.

Poskytovatelé online tržišť pak mají ještě další povinnosti, konkrétně:

• disponovat informacemi o obchodnících, kteří využívají jejich platformu, a některé z těchto informací zpřístupnit příjemcům služeb;

• umožnit obchodníkům zveřejňovat údaje o jejich produktech jako jsou předsmluvní informace, informace o bezpečnosti výrobku a též přiměřeně ověřovat, zda se nejedná o nezákonné produkty;

• informovat spotřebitele o zakoupení nezákonného produktu a to až 6 měsíců zpětně.

Transparentnost

Jedno u z hlavních priorit nařízení DSA představuje posílení transparentnosti evropského trhu digitálních služeb. Mezi prvky transparentnosti lze řadit například možnost uživatele se elektronickými prostředky spojit s poskytovatelem služeb prostřednictvím kontaktního místa, které musí každý poskytovatel povinně zřídit. Se zřízením kontaktního místa je též spojeno právo uživatele na komunikaci s člověkem na straně poskytovatele s vyloučením automatizovaných prostředků (např. chatboty). 

Dalším prvkem transparentnosti je zveřejnění uživatelsky vstřícných smluvních podmínek a informování uživatelů o jejich podstatných změnách, jakož i informování o využívaném doporučovacím systému a jeho hlavních parametrech (včetně možnosti zcela vypnout doporučovací algoritmy), nebo zveřejňování roční zprávy o moderaci obsahu, kterou poskytovatel provedl v příslušném období.

Oznamování nezákonného obsahu

Nařízení DSA stanoví jednotný rámec pro oznamování nezákonného obsahu ze strany uživatelů služeb a zároveň upřesňuje, za jakých okolností a jakým způsobem mohou poskytovatelé zasahovat do uživatelského obsahu. V případě, že uživatelé hostingových služeb narazí na informace, které považují za nezákonné, budou moci prostřednictvím elektronických prostředků poskytovateli oznamovat nezákonný obsah.

Plné znění článku naleznete na doméně GDPR.cz.