Polecane artykuły
NEWSLETTER
Prawnik od RODO
Zajmuję się kompleksową obsługą RODO e-biznesu.
Stawiam na holistyczne podejście, profesjonalizm i długofalowe relacje.
Prowadzisz profil firmowy w SM? Uważaj na dane osobowe obserwujących.
Media społecznościowe są niewątpliwie ważnym elementem komunikacji i funkcjonowania biznesu online. Są przede wszystkim powszechnie wykorzystywanym narzędziem marketingowym, które daje możliwości do prezentowania swojej działalności, misji oraz oferowania usług i towarów. Jednak prowadząc profil firmowy, należy pamiętać o przestrzeganiu przepisów z zakresu ochrony danych osobowych, w tym RODO.
Często otrzymuję pytanie: "Prowadzę profil firmowy w mediach społecznościowych. Czy przetwarzam dane osobowe moich obserwujących, na przykład te opublikowane w komentarzach? ". To zagadnienie budzi spore zainteresowanie wśród przedsiębiorców, którzy chcą rozwijać swoją obecność w sieci, a jednocześnie działać zgodnie z RODO. Dlatego w dzisiejszym artykule przybliżę temat przetwarzania danych osobowych przez właścicieli profili firmowych w SM.
Spis treści
- Administrator Danych Osobowych w kontekście Social Media
- Definicja danych osobowych według TSUE
- Wyrok TSUE w sprawie Breyer (C-582/14) - szerokie pojęcie danych osobowych w świecie nowoczesnych technologii
- Kategorie danych osobowych w SM
- Jak zatem chronić dane osobowe na profilu firmowym?
- Kluczowe zasady prowadzenia profilu na Social Media
- Jak osiągnąć zgodność z RODO?
Administrator Danych Osobowych w kontekście Social Media
Planując założenie i prowadzenie konta na Social Mediach, należy pamiętać, że zgodnie z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej (TSUE) z dnia 5 czerwca 2018 roku w sprawie C-210/16, właściciele profili społecznościowych są uznawani za administratorów danych osób, które obserwują lub odwiedzają profil.
Pamiętaj, zgodnie z art. 4 pkt 7) RODO ,,administrator'' oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Natomiast w myśl art. 4 pkt 2) RODO ,,przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Definicja danych osobowych według TSUE
Trybunał Sprawiedliwości UE, w ślad za opinią Grupy Roboczej art. 29 nr 4/2007 dot. pojęcia danych osobowych, wielokrotnie wskazywał na konieczność szerokiej interpretacji tego pojęcia. Informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej są uznawane za dane osobowe, jeśli ze względu na treść, cel lub skutek taka informacja jest powiązana z możliwą do zidentyfikowania osobą.
Zgodnie z art. 4 pkt 1) RODO ,,dane osobowe'' oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (,,osobie, której dane dotyczą''); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Co to oznacza?
Aby móc uznać konkretną informację za dane osobowe, nie jest konieczne, by informacja ta umożliwiała sama w sobie zidentyfikowanie osoby fizycznej. Informacja ta może stanowić dane osobowe w przypadku, gdy w powiązaniu z innymi informacjami pozwoli na zidentyfikowanie osoby.
Żeby lepiej zrozumieć wykładnie TSUE definicji danych osobowych, zapoznaj się z wyrokiem w sprawie Breyer.
Wyrok TSUE w sprawie Breyer (C-582/14) - szerokie pojęcie danych osobowych w świecie nowoczesnych technologii
Wyrok Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w sprawie Patrick Breyer przeciwko Republice Federalnej Niemiec (C-582/14) dotyczył pytania prejudycjalnego skierowanego przez niemiecki Federalny Trybunał Sprawiedliwości (Bundesgerichtshof) w sprawie dotyczącej ochrony danych osobowych w kontekście adresów IP (Internet Protocol).
Kontekst sprawy
Patrick Breyer, aktywista na rzecz prywatności, złożył skargę przeciwko władzom niemieckim, twierdząc, że adresy IP zapisywane przez administratorów stron internetowych mogłyby zostać uznane za dane osobowe. Głównym problemem było to, czy dynamiczne adresy IP, zapisywane podczas korzystania z witryn internetowych, stanowią dane osobowe, jeśli osoba korzystająca z tych adresów nie jest bezpośrednio identyfikowalna na ich podstawie przez administratora strony, ale mogłaby być zidentyfikowana przy współpracy z dostawcą usług internetowych.
Pytania prejudycjalne
Sąd niemiecki zapytał TSUE, czy dynamiczne adresy IP są danymi osobowymi w rozumieniu dyrektywy 95/46/WE o ochronie danych osobowych, jeżeli administrator strony internetowej posiada jedynie adres IP, ale istnieje możliwość identyfikacji użytkownika za pośrednictwem osoby trzeciej (np. dostawcy internetu).
Orzeczenie TSUE (19 października 2016)
TSUE orzekł, że dynamiczny adres IP może być uznany za dane osobowe w sytuacji, gdy administrator strony internetowej posiada prawne środki, które umożliwiają mu identyfikację osoby fizycznej, której ten adres dotyczy, np. poprzez współpracę z dostawcą usług internetowych. Oznacza to, że chociaż adresy IP same w sobie nie pozwalają bezpośrednio zidentyfikować osoby, to mogą być uważane za dane osobowe, jeżeli istnieje realistyczna możliwość ich wykorzystania do ustalenia tożsamości.
Znaczenie wyroku
1. Dynamiczne adresy IP mogą być uznawane za dane osobowe, nawet jeśli sam administrator strony internetowej nie może bezpośrednio zidentyfikować użytkownika, ale posiada środki do uzyskania takiej informacji od osoby trzeciej.
2. Wyrok ten miał znaczący wpływ na interpretację przepisów o ochronie danych osobowych w kontekście internetu i wpłynął na sposób, w jaki dynamiczne adresy IP są przetwarzane przez podmioty publiczne i prywatne w Europie.Sprawa Breyer (C-582/14) podkreśla, jak szerokie może być pojęcie danych osobowych w kontekście nowoczesnych technologii oraz jak bardzo jest ono związane z dostępem do dodatkowych informacji, które umożliwiają identyfikację osoby.
Kategorie danych osobowych w SM
Za dane osobowe w SM oprócz imienia i nazwiska lub adresu e-mail obserwującego można uznać także informacje zawarte w komentarzach, opiniach, nazwy użytkowników oraz ich inną aktywność, jeśli mogą one chociażby w sposób pośredni doprowadzić do ustalenia tożsamości Użytkownika.
Nagrywasz webinaria? Zapamiętaj!
Wizerunek osoby stanowi jej unikalny atrybut. Jako element wyróżniający daną osobę spośród innych, wizerunek jest traktowany jako dana osobowa w rozumieniu przepisów o ochronie danych osobowych. Oznacza to, że jego przetwarzanie, np. poprzez nagrywanie i udostępnianie nagrań wideo z webinarium, wymaga spełnienia określonych wymogów prawnych, takich jak uzyskanie zgody. Co więcej, nawet głos osoby fizycznej może być uznany za dane osobowe. Szczegóły dotyczące ochrony wizerunku omówimy w kolejnych artykułach.
Jak zatem chronić dane osobowe na profilu firmowym?
Prowadząc profil w SM, należy szczególnie dbać o ochronę danych osobowych osób odwiedzających profil i dokonujących na nim aktywności. Należy pamiętać m.in. o ochronie:
- Komentarzy i opinii (w których mogą być zawarte informacje pozwalające na zidentyfikowanie osoby fizycznej),
- Wiadomości otrzymywanych na skrzynki odbiorcze profili,
- Wszelkich informacji, które użytkownik podaje samodzielnie, takich jak poglądy polityczne, stan zdrowia czy orientacja seksualna.
Kluczowe zasady prowadzenia profilu na Social Media
Po pierwsze, należy zaprojektować ochronę danych osobowych, tzn.:
- opisać planowane operacje przetwarzania;
- wyznaczyć cele przetwarzania;
- ustalić podstawy prawne przetwarzania;
- zidentyfikować kategorie danych i podmioty danych;
- określić, jakie podmioty będą miały dostęp do danych;
- jeśli dane mają zostać powierzone do przetwarzania, należy zweryfikować podmiot przetwarzający pod kątem spełniania przez niego wymogów rozporządzenia 2016/679, w przypadku pozytywnej oceny, należy zawrzeć umowę powierzenia przetwarzania danych zgodnie z art. 28 RODO;
- ocenić konieczność i proporcjonalność działań;
- ocenić ryzyko naruszenia praw i wolności podmiotów danych;
- wyznaczyć środki planowane w celu wyeliminowania lub minimalizacji ryzyka;
- stworzyć odpowiednią dokumentację z zakresu ochrony danych osobowych, aby:
-> spełnić obowiązek informacyjny RODO względem podmiotów danych,
-> spełnić wszystkie zasady RODO, w tym zasadę rozliczalności,
-> posiadać wymagane przez RODO i UODO wewnętrzne procedury i rejestry.
Jak osiągnąć zgodność z RODO?
Zarządzanie danymi osobowymi na profilach firmowych w mediach społecznościowych może być skomplikowane. Dlatego warto skontaktować się z prawnikiem, specjalistą ds. ochrony danych osobowych, który pomoże w zaprojektowaniu i wdrożeniu odpowiednich procedur, aby zapewnić zgodność z RODO.
Potrzebujesz pomocy? Masz dodatkowe pytania do Prawnika od RODO?
Zapraszam do kontaktu:
1) telefon: +48 739 972 265 – rozmowa możliwa po uprzedniej rezerwacji,
2) e-mail: biuro@centrumprawneonline.pl.
Do napisania lub usłyszenia !
Prawnik
Chcesz być na bieżąco z artykułami na temat RODO? Zapisz się na newsletter!
NOTA PRAWNO-INFORMACYJNA
Wiadomości prawne zawarte w niniejszym artykule nie stanowią porady prawnej, lecz mają charakter informacyjny. Artykuł uwzględnia stan prawny obowiązujący w dniu jego sporządzenia tj. w dniu 22.10.2024 r.
WSZELKIE PRAWA ZASTRZEŻONE
Chcesz korzystać z artykułu ? Kup licencję na treść. Zakupiona licencja umożliwia publikację w Internecie w zgodzie z ustawą o prawie autorskim i prawach pokrewnych z dnia 4 lutego 1994 r. oraz z prawami majątkowymi Autorki publikacji. Kopiowanie oraz rozpowszechnianie artykułu bez zgody Autorki jest niedozwolone i może podlegać odpowiedzialności cywilnej. Za wykorzystanie artykułu bez uprzedniej pisemnej zgody, ustala się minimalną wysokość opłaty licencyjnej w kwocie wskazanej w § 23 ust. 6 Regulaminu świadczenia usług Centrum Prawnego Online.
Przydatne informacje i porady.
Twoja firma zgodna z prawem.
Blog prawny dla firm
Prawnik Ewelina Fuławka-Nawrocka
Jesteśmy tutaj
od pon. do czw. od 09:00 do 17:00
w pt. nieczynne