Media społecznościowe stanowią kluczowe narzędzie komunikacji dla podmiotów publicznych oraz przedsiębiorstw, pozwalając na błyskawiczne dotarcie do szerokiego grona odbiorców. Jednak niewłaściwe wykorzystanie tych platform może wiązać się z poważnymi zagrożeniami, dlatego tak istotne jest utrzymanie odpowiedniego poziomu bezpieczeństwo w mediach społecznościowych oraz ścisłe przestrzeganie przepisów dotyczących ochrony danych osobowych. Przeczytaj i dowiedz się jak zapewnić bezpieczeństwo w mediach społecznościowych w JST i MŚP?
Ochrona danych osobowych i wizerunek w mediach społecznościowych
Prowadząc profil w mediach społecznościowych, powinniśmy pamiętać o ochronie danych osobowych. Praktycznym wymiarem tego zagadnienia jest ochrona wizerunku – powinniśmy pamiętać o tym, że co do zasady zabronione jest publikowanie wizerunku bez zgody danej osoby (art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych). Wyłączenie dotyczy osób „powszechnie znanych” w ramach pełnienia funkcji publicznych oraz w sytuacji, gdy osoba stanowi „szczegół całości” w ramach zgromadzenia, krajobrazu czy imprezy publicznej (art. 81 ust. 2 pkt 1 i 2). W maju 2025 roku Prezes UODO podkreślał, że wizerunek jest zarówno daną osobową, jak i dobrem osobistym.
Publikując zdjęcia osób w mediach społecznościowych, powinniśmy pamiętać o formalnej zgodzie, szczególnie w przypadku dzieci. Jednocześnie PUODO zaznaczał, że zezwolenie na przetwarzanie wizerunku nie powinno być warunkiem możliwości uczestnictwa osoby w danym przedsięwzięciu oraz samo przetwarzanie powinno być jasno określone.
Przykład 1. (Na podstawie sprawy DS.523.5859.2023, „Biuletyn UODO nr 03/03/2025”)
Radny miasta upublicznił zdjęcia dziecka na Facebooku bez zgody jego opiekunów prawnych, zrobione podczas publicznej imprezy charytatywnej. Prezes UODO nakazał usunięcie zdjęcia, wskazując na brak przepisu mówiącego o tym, że przetwarzanie wizerunku byłoby w tej sytuacji niezbędne.
Przykład 2. (Na podstawie sprawy DS.523.5.2023 ze Sprawozdania z działalności Prezesa UODO w 2023 roku)
Osoba zaskarżyła do Prezesa UODO zamieszczenie zdjęcia grupowego ze szkolenia z jej wizerunkiem. Prowadzący zapytał uprzednio, czy ktokolwiek nie zgadza się na publikację fotografii. Zdaniem PUODO osoba wyraziła akceptację dla takiego działania poprzez jednoznaczne działanie przyzwalające (pozowanie).
Przykład 3. (Na podstawie decyzji DS.523.5731.2022 ze Sprawozdania z działalności Prezesa UODO w 2023 roku)
Były pracownik podmiotu publicznego zgłosił Prezesowi UODO przetwarzanie jego danych osobowych w Biuletynie Informacji Publicznej po ustaniu stosunku pracy. PUODO nakazał usunięcie wizerunku osoby ze strony (z racji na brak podstawy przetwarzania) i oddalił sprawę w zakresie związanym z pełnieniem funkcji publicznej (m.in. danych osobowych w zarządzeniach urzędu gminy).
Przykład 4. (Na podstawie decyzji DS.523.5481.2022 ze Sprawozdania z działalności Prezesa UODO w 2023 roku)
Skarżąca wzięła udział w konkursie, zawierając stosowną umowę z jego organizatorem, umożliwiającą rozpowszechnianie wizerunku i danych. W serwisie wideo opublikowano nagranie zawierające jej imię, nazwisko, wiek, wzrost i miejsce zamieszkania. Osoba była poinformowana o celu filmu oraz formach jego dalszej publikacji. Prezes Urzędu Ochrony Danych Osobowych oddalił skargę.
Ochrona danych osobowych – komunikatory
Nieodłącznym elementem wielu mediów społecznościowych są komunikatory. Choć pozornie mogą wydawać się bezpiecznym kanałem komunikacji, Prezes UODO podkreśla, że są to kanały komunikacji pozostające poza kontrolą danej organizacji.
Zarówno JST, jak i MŚP nie powinny przesyłać danych osobowych za pomocą komunikatorów oferowanych przez media społecznościowe. Pokazują to poniższe decyzje Prezesa UODO:
- DKN.5131.32.2023 – podczas ujawnienia danych lekarza wykorzystano Whatsappa do przekazania danych z systemu, co zostało uznane za niedozwolone (m.in. z racji na brak kontroli nad kanałem komunikacji);
- DKN.5131.7.2022 – umowy z klientami (wraz z danymi osobowymi) były przesyłane nieautoryzowanym komunikatorem oraz mogły być przetwarzane poza Europejskim Obszarem Gospodarczym (EOG).
Powyższe decyzje są jasnym sygnałem, że zarówno MŚP, jak i JST nie powinny przetwarzać danych osobowych za pomocą komunikatorów z mediów społecznościowych – zdecydowanie lepszym środkiem ochrony danych jest przesyłanie zaszyfrowanych danych (np. za pomocą e-maili).
Cyberbezpieczeństwo kont firmowych w mediach społecznościowych
W przeszłości zdarzały się przejęcia kont JST w mediach społecznościowych. Stanowi to duże zagrożenie pod kątem ewentualnego propagowania treści dezinformacyjnych. Przykładem może być przejęcie przez cyberprzestępców konta na Facebooku należącego do Urzędu Gminy Tarnów w październiku 2023 roku.
W przypadku kont na platformach Mety powinniśmy pamiętać o możliwości przypisywania zarządzania nimi do określonych osób. Dzięki temu można publikować treści, unikając współdzielenia pojedynczej pary danych do logowania (adresu e-mail i hasła). Narzędzie „Meta Business Suite” umożliwia m.in. zarządzanie rolami czy planowanie postów. Warto przy tym pamiętać o zasadzie przyznawania najmniejszych wymaganych uprawnień oraz dodaniu przynajmniej dwóch kont z uprawnieniami administratora, aby nie utracić możliwości zarządzania kontem po zablokowaniu jedynego konta z najwyższymi uprawnieniami.
Praktyczne aspekty zarządzania kontem JST dotyczą również moderacji komentarzy. W tym aspekcie warto pamiętać o poszanowaniu wolności słowa wraz z usuwaniem treści obraźliwych. Należy również wypracować procedury reagowania na treści dezinformacyjne – niektóre z postów bądź komentarzy mogą wymagać zdecydowanej reakcji, a inne (np. zdobywające niewielki zasięg) mogą być umyślnie ignorowane, aby nie generować większego zasięgu dla danej treści.
W przypadku zabezpieczenia kont przed nieuprawnionym dostępem niezmiennie ważne pozostaje dwuetapowe uwierzytelnianie. Najlepszymi metodami w tym zakresie są klucze fizyczne (U2F), lecz dobór odpowiedniego środka powinien zależeć od analizy ryzyka danej organizacji.
Konieczny jest również regularny audyt dostępu do konta JST bądź MŚP w mediach społecznościowych, aby uniknąć sytuacji, gdzie osoba nieupoważniona publikuje treści w imieniu organizacji. Warto również zawczasu zapoznać się z procedurami odzyskiwania konta – może to wymagać m.in. uprzedniego podania zapasowego adresu e-mail.
Powinniśmy bezwzględnie unikać współdzielenia danych logowania oraz dbać o higienę haseł – zgodnie z rekomendacjami powinno być m.in. unikalne i przynajmniej czternastoznakowe, najlepiej będące zbitką różnych wyrazów – np. „CzerwonyStolikMaŻółte3Nogi”. Należy również podkreślić rolę szkoleń w zakresie phishingu – osoby zarządzające kontem podmiotu publicznego bądź przedsiębiorstwa mogą być na celowniku cyberprzestępców.
Dostępność i BIP
Art. 6 ustawy o dostępności cyfrowej stwierdza, że w przypadku publikowania treści niespełniających wymagań dostępności cyfrowej (np. w mediach społecznościowych – przyp. red.) konieczne jest opublikowanie ich w innej formie w sposób dostępny cyfrowo. Na stronie „Dostępność cyfrowa a portale społecznościowe” w witrynie gov.pl zaznaczono, że artykuł został stworzony z myślą o treściach w portalach społecznościowych – jeżeli portal nie umożliwia zamieszczenia treści zgodnej z wymaganiami dostępności cyfrowej, dany wpis powinien zostać zamieszczony na stronie podmiotu (bądź w BIP).
W maju 2021 roku Rzecznik Praw Obywatelskich podkreślał, że prywatny profil wójta gminy na Facebooku nie może być jedynym źródłem informacji dla mieszkańców, ponieważ może to prowadzić do wykluczenia niektórych osób. Podczas publikowania treści w mediach społecznościowych konieczne jest uwzględnienie, że nie każdy mieszkaniec z nich korzysta – ważną rolę odgrywa m.in. BIP czy strona podmiotu.
Podsumowanie - bezpieczeństwo w mediach społecznościowych w JST i MŚP
Media społecznościowe mogą odegrać znaczną rolę w komunikacji urzędów bądź przedsiębiorstw z osobami żyjącymi w danym regionie. Nie wolno przy tym zapominać o stosowaniu środków ochrony danych czy cyberbezpieczeństwie, co pokazują incydenty oraz decyzje Prezesa UODO.
W przypadku podmiotów publicznych duży nacisk powinien być położony na ochronę wizerunku. PUODO jasno zaznacza, że zgoda na udział w danym przedsięwzięciu nie powinna zależeć od zgody na przetwarzanie wizerunku (szczególnie w nieograniczonym zakresie).
W praktyce bardzo ważne pozostaje zarządzanie kontami w mediach społecznościowych na podstawie roli, zamiast logowania się za pomocą współdzielonego loginu i hasła – umożliwia to łatwe zarządzanie dostępem do konta.
