Ograniczenia metod płatności w e-commerce a ochrona danych osobowych

Tło sprawy

Postępowanie przed OGH zostało wszczęte na skutek pozwu Austriackiego Stowarzyszenia Informacji Konsumenckiej (Verein für Konsumenteninformation, VKI) przeciwko dużemu przedsiębiorcy prowadzącemu sprzedaż wysyłkową. Spór dotyczył praktyki polegającej na tym, iż konsumenci wybierający metody płatności określane przez przedsiębiorcę jako bardziej ryzykowne – przede wszystkim płatność na fakturę oraz w ratach – byli poddawani automatycznej ocenie zdolności kredytowej.

Ocena ta opierała się na wewnętrznym scoringu oraz danych uzyskanych od zewnętrznych agencji kredytowych. W przypadku negatywnego wyniku system automatycznie ograniczał klientowi dostęp do płatności odroczonych, pozostawiając jedynie metody uznane za „bezpieczne”, takie jak karta kredytowa czy PayPal. Konsumentom nie odmawiano możliwości dokonania samego zakupu – zmieniał się jedynie dostępny katalog metod płatności.

Stanowisko sądów niższych instancji

Sądy niższej instancji skłaniały się ku ocenie, iż praktyka ta nie narusza art. 22 RODO. Argumentowano, iż ograniczenie metod płatności nie stanowi decyzji wywołującej skutki prawne ani w podobnie istotny sposób wpływającej na sytuację konsumenta. Klient mógł bowiem przez cały czas zawrzeć umowę, korzystając z innych, powszechnie dostępnych metod płatności.

Podkreślono przy tym masową skalę działalności przedsiębiorcy (50–60 tys. zamówień miesięcznie, z czego ok. 90% online, średnia wartość zamówienia ok. 650 EUR). Zdaniem sądów, przy takiej liczbie transakcji ręczna ocena wiarygodności płatniczej nie byłaby możliwa w rozsądnym czasie, a konsumenci oczekują natychmiastowego potwierdzenia zakupu.

Wątpliwości OGH i pytania do TSUE

Odmienne stanowisko zajął jednak OGH, który uznał, iż sprawa wymaga wykładni prawa unijnego. Sąd Najwyższy zwrócił się do TSUE z pięcioma pytaniami prejudycjalnymi:

1. Czy automatyczne ograniczenie metod płatności, choćby jeżeli nie prowadzi do odmowy zawarcia umowy, stanowi decyzję wywołującą skutki prawne lub w podobnie istotny sposób wpływającą na konsumenta w rozumieniu art. 22 ust. 1 RODO?
2. Czy wyjątek umowny z art. 22 ust. 2 lit. a) RODO wymaga istnienia bezpośredniego związku pomiędzy celem umowy sprzedaży a zastosowaną automatyczną oceną kredytową?
3. Czy dane wykorzystywane do scoringu muszą być obiektywnie odpowiednie do przewidywania ryzyka opóźnień w płatnościach?
4. Kto ponosi ciężar dowodu – przedsiębiorca stosujący system czy konsument kwestionujący decyzję – w zakresie adekwatności danych i niezbędności automatycznej oceny?
5. Czy „konieczność” automatyzacji oznacza, iż tylko automatyczne podejmowanie decyzji jest dopuszczalne, czy wystarczy, iż manualne podejmowanie decyzji byłoby niepraktyczne ze względu na skalę działalności i oczekiwania klientów?

Znaczenie praktyczne dla rynku e-commerce

Odpowiedzi TSUE będą miały bezpośredni wpływ na działalność przedsiębiorców prowadzących sprzedaż online w całej Unii. o ile Trybunał uzna, iż ograniczenie metod płatności wchodzi w zakres art. 22 RODO, przedsiębiorcy będą zobowiązani do zapewnienia klientom dodatkowych uprawnień, takich jak prawo do interwencji człowieka, uzyskania wyjaśnień czy możliwości zakwestionowania decyzji.

Rozstrzygnięcie przesądzi również, jak należy rozumieć wyjątek umowny. Restrykcyjna interpretacja będzie oznaczać konieczność wykazywania przez przedsiębiorców, iż scoring pozostaje w bezpośrednim związku z celem umowy i opiera się na danych obiektywnie adekwatnych do oceny ryzyka.

Kwestia ciężaru dowodu może dodatkowo zwiększyć odpowiedzialność podmiotów stosujących scoring. o ile to na nich spadnie obowiązek wykazania adekwatności danych, oznaczać to będzie konieczność większej transparentności i gotowości do kontroli ze strony organów nadzorczych.

Skutki dla praktyki w Polsce

Rozstrzygnięcie TSUE będzie miało znaczenie również dla polskich przedsiębiorców i organów nadzorczych. W Polsce zakupy na fakturę lub w systemie ratalnym są również powszechną praktyką, a sklepy internetowe często stosują zautomatyzowane mechanizmy oceny wiarygodności płatniczej.

Jeżeli ograniczenie metod płatności zostanie uznane za decyzję w rozumieniu art. 22 RODO, polscy przedsiębiorcy będą musieli zapewnić klientom możliwość:

Dla Prezesa Urzędu Ochrony Danych Osobowych oznacza to konieczność wzmożonej kontroli modeli scoringowych. Organ może wymagać od przedsiębiorców nie tylko wskazania podstawy prawnej, ale też dowodów, iż dane stosowane w scoringu są adekwatne i proporcjonalne.

W praktyce można spodziewać się wzrostu liczby skarg konsumentów i postępowań administracyjnych. Również sądy cywilne będą zobowiązane stosować unijną wykładnię art. 22 RODO, co może wzmocnić pozycję procesową konsumentów w sprawach dotyczących dostępu do określonych metod płatności.

Porównanie ze stanem prawnym przed rozstrzygnięciem

Dotychczasowa praktyka w Austrii – a częściowo również w innych państwach członkowskich – dopuszczała szerokie stosowanie automatycznych ograniczeń płatności, traktując je jako element swobody kontraktowej przedsiębiorcy. Jednocześnie brak było jednolitego podejścia organów nadzorczych co do tego, czy takie decyzje podlegają art. 22 RODO.

Orzeczenie TSUE może tę niepewność usunąć i wyznaczyć wspólne standardy dla całej Unii, zapewniając konsumentom spójniejszy poziom ochrony.

Perspektywa dalszych zmian

Wyrok TSUE wymusić na przedsiębiorcach zmianę procedur płatności, dostosowanie regulaminów sklepów internetowych oraz większą transparentność w zakresie stosowanych algorytmów scoringowych.

W zależności od przyjętej interpretacji przedsiębiorcy mogą zostać zobowiązani do dokumentowania adekwatności danych i wykazywania niezbędności automatyzacji. Z kolei konsumenci mogą zyskać nowe instrumenty ochrony swoich praw w sporach z przedsiębiorcami.

Podsumowanie

Pytania prejudycjalne OGH w sprawie 6Ob15/25m otwierają nowy etap w debacie nad zakresem stosowania art. 22 RODO. Rozstrzygnięcie Trybunału zadecyduje o tym, czy automatyczne ograniczanie metod płatności stanowi decyzję w rozumieniu RODO, a także określi granice wyjątku umownego i rozkład ciężaru dowodu.

Dla polskich przedsiębiorców oznacza to konieczność przygotowania się na możliwe zmiany w zakresie stosowania scoringu kredytowego, a dla Prezesa UODO – na intensyfikację działań nadzorczych w tym obszarze. Wyrok TSUE może w istotny sposób wpłynąć na kształt procesów płatności w e-commerce, wyznaczając nowe standardy ochrony konsumentów w całej Unii Europejskiej.