Portale społecznościowe stały się częścią naszego życia. Facebook, Instagram, TikTok czy LinkedIn to platformy, gdzie dzielimy się informacjami o życiu zawodowym i prywatnym. Jak jednak taka „otwartość” ma się do prywatności i przepisów RODO? Czy wszystko, co wrzucimy do sieci, staje się publiczne? Wątpliwości budzi zwłaszcza korzystanie z publikowanych danych osobowych przez inne podmioty. Sprawdźmy, jakie obowiązki mają administratorzy portali i jakie prawa przysługują ich użytkownikom.
Posiadanie konta na portalu społecznościowym – trzeba czytać regulamin
Założenie konta na portalu społecznościowym nie oznacza automatycznie, że informacje osobiste o użytkowniku stają się publiczne. Jednakże zakładając konto na takim serwisie, udziela się szeregu zgód na wykorzystywanie danych osobowych w celu świadczenia usług. Ludzie często zapominają, że w regulaminie, który należy zaakceptować przy tworzeniu profilu, znajdują się wiążące zapisy. Kliknięcie w checkbox typu „Oświadczam, że zapoznałem się z treścią Regulaminu i akceptuję wszystkie jego warunki” naprawdę oznacza, że akceptujemy wszystkie jego postanowienia.
Konto na platformie społecznościowej jest jednoznaczne z udzieleniem licencji na publikowane tam treści. Taki serwis ma prawo do ich wyświetlania, udostępniania, a w pewnym zakresie również do przetwarzania znajdujących się tam danych osobowych, np. w celach statystycznych lub reklamowych.
Trzeba pamiętać, że nie tylko administrator ma dostęp do publikowanych informacji. Mają je również inni użytkownicy portali społecznościowych. Jak dużo danych będą w stanie uzyskać, zależy od ustawień prywatności. Każdy serwis społecznościowy pozwala określać, kto może widzieć posty, zdjęcia i inne informacje, oraz w jakim zakresie.
Jakie dane osobowe znajdziemy na portalach społecznościowych?
Korzystanie z publikowanych danych osobowych na mediach społecznościowych jest ściśle regulowane przez RODO. Aby jednak samemu móc to kontrolować, trzeba w ogóle wiedzieć, co tymi danymi jest. Nie każda bowiem informacja opublikowana w sieci podlega ochronie. Czym dokładnie są dane osobowe, nie będziemy tutaj wyjaśniać – o tym można przeczytać w artykule Dane osobowe – czym różnią się od zwykłej informacji?. Poniżej skupimy się jedynie na informacjach, które możemy znaleźć w serwisach społecznościowych.
W wielkim skrócie dane osobowe to informacje, które pozwalają na zidentyfikowanie konkretnej osoby fizycznej. Oznacza to, że takie dane jak imię i nazwisko, wizerunek, lokalizacja, numer telefonu, adres e-mail, a nawet opinie, jeśli pozwalają rozpoznać daną osobę, są objęte regulacjami RODO.
W kwestii mediów społecznościowych za dane osobowe uznane mogą być takie informacje jak:
- zdjęcie profilowe oraz zdjęcia zamieszczane na tablicy;
- dane lokalizacyjne;
- dane kontaktowe – np. adres e-mail, jeżeli ma w sobie imię i nazwisko;
- informacje zawodowe;
- pseudonim użytkownika, o ile umożliwia jego powiązanie z konkretną osobą;
- wpisy i komentarze zawierające dokładne informacje o konkretnej osobie fizycznej.
Użytkownicy portali społecznościowych nie tracą prawa do prywatności
Korzystanie z portali społecznościowych wiąże się z udostępnianiem swojego życia prywatnego, chociażby w minimalnym zakresie. Użytkownik, zakładając tam konto, godzi się na to i dobrze, aby był świadomy, jakie niesie to ze sobą konsekwencje. Mówi się bowiem, że raz wrzucone do sieci treści nigdy nie giną.
Mimo powyższego użytkownik zachowuje gwarantowane mu przez prawo europejskie i krajowe prawo do ochrony swojej prywatności, w tym ochrony danych osobowych. I nie ma tutaj znaczenia, że właściciel danego portalu ma siedzibę w innej części globu niż UE. Jeżeli świadczy usługi na terenie wspólnoty – podlega pod prawo unijne. Oznacza to, że każdy użytkownik serwisów społecznościowych, publikując tam swoje dane osobowe, ma prawo do:
- dostępu do swoich danych;
- bycia informowanym o sposobie przetwarzania jego danych;
- ich poprawiania i usuwania, w tym ma tzw. prawo do bycia zapomnianym;
- sprzeciwu wobec przetwarzania danych;
- ograniczenia przetwarzania.
W praktyce użytkownik może sprawdzić, w jaki sposób jego dane osobowe są przetwarzane (np. czy nie są przekazywane podmiotom spoza UE), ograniczyć widoczność publikowanych treści (np. tylko dla znajomych), usunąć określone informacje, a także zażądać permanentnego usunięcia konta wraz ze wszystkimi danymi osobowymi.
Czy posiadanie konta na portalu społecznościowym oznacza zgodę na korzystanie z publikowanych danych osobowych?
Publikując treści, często osobiste, na portalach społecznościowych godzimy się, że przeczytać może to każdy. Również korzystając z „zamkniętych” grup, nie wiemy, kto ma do nich dostęp (chyba że te grupy należą do nas). Mogą pojawiać się zatem wątpliwości – czy wstawianie postów na social media oznacza domniemanie zgody na korzystanie z publikowanych danych osobowych przez innych użytkowników? Odpowiedź jest krótka – NIE.
Publikowanie na portalach społecznościowych nie jest równoznaczne ze zgodą na ich dowolne wykorzystanie przez inne osoby, np. kopiowanie zdjęć, cytowanie wypowiedzi czy wykorzystanie numerów telefonów lub adresów e-mail w celach marketingowych. Zgodnie z RODO przetwarzanie danych osobowych jest zgodne z prawem jedynie wtedy, gdy spełniona jest co najmniej jedna z przesłanek legalności. Warunki te znajdziemy w art. 6 RODO, są to m.in.:
- zgoda osoby, której dane dotyczą;
- wykonanie umowy;
- wypełnienie obowiązku prawnego;
- uzasadniony interes administratora.
Jak widać, sam fakt upublicznienia danych w sieci nie stanowi samodzielnej podstawy do ich wykorzystywania przez inne osoby. W omawianym temacie wypowiedziały się również sądy administracyjne, stwierdzając, że założenie konta w portalu społecznościowym Facebook, przesyłanie powiadomień innym osobom czy też przystąpienie do określonej grupy społecznościowej nie jest równoznaczne z wyrażeniem zgody innym użytkownikom portalu na dalsze przetwarzanie zamieszczonych na swoim koncie danych osobowych. Dotyczy to również przetwarzania danych osobowych w ramach zamkniętych grup społecznościowych (por. wyrok Naczelnego Sądu Administracyjnego z 20 maja 2025 roku, sygn. akt: III OSK 1101/24).
Korzystanie z publikowanych danych osobowych – co jest dozwolone?
Korzystanie z publikowanych danych osobowych w niektórych przypadkach jest dozwolone, jednakże dotyczy to jedynie bardzo ograniczonego zakresu. Użytkownicy portalu społecznościowego mogą wykorzystywać dane osobowe innych osób w ramach tzw. użytku osobistego. Oznacza to, że mogą:
- przeczytać czyjś post i na niego zareagować, np. skomentować lub polubić;
- zapisać treść postu do prywatnego użytku, tj. mogą zachować dane osobowe innej osoby na własnym urządzeniu, bez udostępniania tych informacji innym osobom.
Czego nie wolno robić z cudzymi treściami znalezionymi na serwisach społecznościowych, takich jak Facebook, Instagram czy X?
- nie wolno wykorzystywać danych kontaktowych do wysyłania ofert handlowych i marketingowych (często przyjmujących postać spamu);
- nie wolno wykorzystywać czyjegoś wizerunku (zdjęć) do tworzenia memów, fałszywych profili (podszywania się) czy deepfake’ów;
- nie wolno profilować użytkowników bez ich zgody;
- nie wolno udostępniać cudzych postów w celu ośmieszenia lub hejtu;
- nie wolno wykorzystywać cudzych treści do celów komercyjnych, np. zamieszczenia cudzego zdjęcia w reklamie;
- nie wolno udostępniać screenów (zrzutów ekranu) prywatnych wiadomości bez zgody nadawcy.
Każdy, czyje prawa zostały naruszone w powyższy sposób, powinien takie działanie zgłosić do Prezesa UODO. Może również dochodzić odszkodowania na drodze cywilnej, w szczególności z tytułu naruszenia dóbr osobistych, w tym prawa do wizerunku.
Publikacja cudzych danych na zamkniętych grupach – problem z przetwarzaniem na użytek własny
Jednym z bardziej problematycznych zagadnień w omawianym temacie jest korzystanie z publikowanych danych osobowych na social mediach poprzez używanie ich „na użytek własny” na zamkniętych grupach czy forach, np. na Facebooku. Pojawia się tutaj pytanie – czy korzystanie z informacji o innej osobie bez jej zgody w hermetycznej grupce użytkowników sieci podlega pod RODO, czy korzysta z wyłączenia?
Zgodnie z art. 2 ust. 2 lit. c RODO zasad dotyczących ochrony danych osobowych nie stosuje się do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Czy jednak chodzi wyłącznie o to, że jeśli działanie nie ma związku z działalnością zawodową lub handlową, to jest już osobiste?
Odpowiedzi udzielił Naczelny Sąd Administracyjny w niedawnym wyroku z 20 maja 2025 roku (sygn. akt: III OSK 1101/24). Sąd wyjaśnił, że w praktyce ocena, czy w danym przypadku przetwarzanie danych osobowych ma miejsce w ramach czynności o czysto osobistym lub domowym charakterze, może budzić wątpliwości. O ile rozróżnienie takie jest oczywiste w przypadku czynności o charakterze zawodowym lub aktywności gospodarczej, to osobistego lub domowego charakteru nie wykazują również inne formy aktywności, które przybierają wymiar społeczny, działalności non profit, aktywności w stowarzyszeniu czy fundacji.
Dalej NSA stwierdził, że publikacja danych osobowych na zamkniętych portalach społecznościowych typu Facebook nie jest przetwarzaniem danych osobowych przez osobę fizyczną o czysto osobistym lub domowym charakterze w rozumieniu art. 2 ust. 2 lit. c RODO, jeśli osoba fizyczna publikująca dane osobowe nie jest administratorem danej społeczności, nie dobiera sobie osobiście jej uczestników, a pozostali członkowie grupy nie dysponują uprawnieniem do złożenia wiążącego sprzeciwu w stosunku do jej wniosku o przystąpienie do danej wspólnoty.
Co więcej, w ocenie sądu zgody na przetwarzanie danych nie można domniemywać. Zgoda osoby, której dane dotyczą, na gruncie przepisów RODO oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego, którym przyzwala na przetwarzanie dotyczących jej danych. Publikacja danych osobowych na Facebooku nie zawiera w swej istocie zgody w rozumieniu art. 4 pkt 11 RODO udzielonej innym użytkownikom portalu. Zgoda, o której mowa w art. 9 ust. 2 lit. a RODO, musi być zatem udzielona osobie, która przetwarza jej dane osobowe. Z opublikowania danych osobowych przez osobę, która taką zgodę uzyskała, i łatwego dostępu do nich nie można domniemywać zgody do kolejnych procesów przetwarzania danych osobowych przez inne osoby, które takiej zgody nie uzyskały.
