RODO zmienia zasady przetwarzania danych osobowych w mediach społecznościowych

Obowiązek informacyjny i podstawy prawne przetwarzania danych osobowych

Wszystkie działania, które dotyczą przetwarzania, gromadzenia czy udostępniania danych osobowych, muszą mieć podstawę prawną, która będzie regulowała te procesy. Zgodnie z rozporządzeniem, przedsiębiorcy i administratorzy danych powinni zapewnić, że każda osoba, której dane przetwarzają, rozumie i wie, jakie informacje w jakich celach będą wykorzystywane. Obowiązek informacyjny jest jedną z najważniejszych zasad RODO.

Kluczowe dla realizacji wymogów RODO jest opracowanie regulaminu. To instrument tożsamy umowie zawartej pomiędzy wydawcą serwisu, a użytkownikiem. Akceptacja regulaminu oznacza tyle samo co podpis pod dokumentem. Dlatego ważne jest, aby był możliwie szczegółowy i precyzyjny. Z treści regulaminu musi wprost wynikać, jaką usługę świadczy serwis oraz jakie prawa i obowiązki otrzymuje każdy kto decyduje się na zawarcie umowy. Regulamin musi określać zakres przetwarzania danych osobowych i szczegółowe cele.

Poza zapisami dotyczącymi funkcjonalności, ze względu na wymagania RODO, wydawcy muszą również przekazać użytkownikowi wszystkie informacje, które wiążą się z jego danymi osobowymi - chodzi tutaj o odpowiedzi na pytania: jakie działania będą wykonywane na danych, jaki będzie ich zakres i czas przetwarzania danych osobowych oraz w jakim celu dane osobowe będą wykorzystywane. Jeśli z danych osobowych użytkowników serwisu korzystać będą także podmioty trzecie, konieczne jest zawarcie takich informacji w treści regulaminu. Należy poinformować nie tylko o tym, kto będzie odbiorcą danych osobowych, ale również w jaki sposób będzie je wykorzystywał.

Zgoda na przetwarzanie danych osobowych - warunki prawne i techniczne

Przetwarzanie danych osobowych, powszechnie odbywa się na podstawie zgody osoby, której dane dotyczą. RODO wprowadza kilka zmian w kwestii wyrażenia i formy zgody oraz sposobu jej pozyskiwania.

Zgoda, podobnie jak regulamin, musi zawierać wszelkie informacje dotyczące zakresu jej obowiązywania, celu w jaki została udzielona oraz dane dotyczące administratora danych osobowych. RODO nakazuje, aby wyrażenie zgody było dobrowolne, czyli nie wiązało się z realizacją usługi. Oznacza to, że niedozwoloną praktyką staje się zawieranie zapisów o “wyrażeniu zgody” w treści regulaminów. Te dwa instrumenty należy potraktować obecnie całkiem rozłącznie.

To samo dotyczy wszystkich usług dodatkowych - newsletter albo kontakt marketingowy - które oparte muszą być na niezależnych zgodach na przetwarzanie danych, wyrażonych poprzez wyraźne działanie podejmowane w stanie pełnej świadomości celu (czyli dla przykładu, poprzez zaznaczenie checkbox’a, który nie jest wymagany i który zlokalizowany jest bezpośrednio przy pełnej klauzuli zgody).

Możliwości wyrażenia zgody jest wiele. Wiążąca będzie zarówno ta wyrażona mailowo, poprzez zaznaczenie odpowiedniego checkbox’a, ale również przez rozmowę na Live Chat’cie. Ważne jest, aby bez względu na formę jej wyrażenia, posiadać dowód potwierdzający uzyskanie zgody oraz aby osoba, którą się o tę zgodę prosi, dysponowała wszystkimi potrzebnymi informacjami.

Aktualność dotychczas wyrażonych zgód

Częstym pytaniem, pojawiającym się w kontekście zgody na przetwarzanie danych osobowych, jest kwestia aktualności zgód uzyskanych dotychczas. Zgody pobrane do 25 maja będą ważne, jednak wyłącznie jeśli spełniają wymagania postawione przez RODO. W rzeczywistości większość z nich pozbawiona jednego ważnego elementu - nie informuje o możliwości jej wycofania. RODO nakłada na administratora danych zarówno obowiązek poinformowania o możliwości wycofania zgody na przetwarzanie danych, ale także stworzenia procedury tak samo prostej jak jej wyrażenia.

Dobrym przykładem praktyki, w której mechanizm ten jest już zagwarantowany, a co za tym idzie zgoda jest aktualna, jest umieszczanie linków rezygnacyjnych w treści newsletterów.

Mniejszy zakres przetwarzania danych osobowych

RODO wprowadza zasadę “privacy by default”, zgodnie z którą ustawienia prywatności kont w mediach społecznościowych, muszą odgórnie zakładać maksymalną prywatność danych użytkownika. Oznacza to, że ustawienia domyślne muszą być zawsze skrajnie prywatne spośród dostępnych opcji.

Mniejsza ilość przetwarzanych danych osobowych użytkowników, potrzebnych do korzystania z serwisów jest jednym z 7 praw użytkowników sieci, które zwiększą bezpieczeństwo ich danych osobowych.

Zgodnie z RODO, to użytkownik sam musi dokonać zmiany, poprzez świadome działanie np. własnoręczne zaznaczenie checkbox’ów. Zgodnie z zasadą privacy by default, żaden z box’ów nie może być uzupełniony automatycznie. Niedozwolone jest też stosowanie mechanizmów czasowych, w których zgoda jest wyrażona przez zaniechanie działania w określonym czasie. W mediach społecznościowych każdy użytkownik powinien móc dostosować zakres udostępnianych danych oraz grupę ich odbiorców do własnych preferencji. Należy zaznaczyć, że ma się to odbywać w kierunku poszerzającym zakres upublicznionych danych, a nie odwrotnie.

Uwierzytelnianie poprzez media społecznościowe

Wyjątkiem, w którym odgórnie narzucony (i zaznaczony) będzie zakres przetwarzanych danych osobowych jest logowanie się za pomocą konta w mediach społecznościowych. W sytuacji, gdy za jego pomocą rejestrujemy się w innych serwisach, wygenerowana zostanie lista zaznaczonych elementów, które są niezbędne do świadczenia usługi w portalu, w którym następuje rejestracja. Jest to swojego rodzaju odstępstwo od przyjętej zasady “privacy by default”, ale w nieznacznym stopniu. Nadal zachowana musi być zasada minimalizacji przetwarzania danych i maksymalizacja poziomu prywatności oraz obowiązek informacyjny np. w kwestii profilowania. W tej sytuacji również zrealizować obowiązek zakomunikowania, które informacje są wymagane przez portal docelowy, a które mogą posłużyć do rozbudowy usługi lub zamówienia usług dodatkowych.

Podsumowanie

Nowe przepisy o ochronie danych osobowych w kontekście internetu spełniają bardzo ważną funkcję - chronią tam, gdzie ogromną ilość czasu spędza większość z nas. Choć wiele obowiązków, jakie RODO nakłada na wydawców portali internetowych, funkcjonowało dotychczas w charakterze dobrych praktyk, to dzięki nowym przepisom staną się one powszechne.

www.lexdigital.pl

więcej informacji na temat RODO: patrycja.chrulska@lexdigital.pl