Prowadząc blog, przetwarzamy dane osobowe użytkowników jako administrator. Jakie obowiązki wiążą się taką rolą? Co należy zrobić, aby prowadzenie bloga było zgodne z RODO dla blogerów? Dowiedz się z poniższego artykułu!
Klauzula informacyjna a RODO dla blogerów
Jednym z podstawowych obowiązków wynikających z RODO dla blogerów jest przekazanie osobie, której dane dotyczą, informacji o przetwarzaniu jej danych osobowych.
Jeżeli dane osobowe osoby, której one dotyczą, zbierane są od tej osoby bezpośrednio, np. poprzez formularz kontaktowy czy zapis na newsletter – jako administrator podczas pozyskiwania danych osobowych zgodnie z RODO dla blogerów powinieneś podać jej wszystkie następujące informacje:
- swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
- gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
- jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionego interesu realizowanego przez administratora lub przez stronę trzecią;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
- gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.
Poza informacjami, o których mowa powyżej, podczas pozyskiwania danych osobowych w myśl przepisów w zakresie RODO dla blogerów, administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:
- okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
- jeżeli przetwarzanie odbywa się na podstawie zgody – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
- informacje o prawie wniesienia skargi do organu nadzorczego;
- informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym, lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
- informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Z kolei w przypadku, gdy danych osobowych nie pozyskano bezpośrednio od osoby, której dane dotyczą (czyli np. gdy podmiot trzeci zebrał dane osobowe na twoje zlecenie lub gdy zebrałeś dane osobowe z publicznych źródeł) jako administrator powinieneś podać osobie, której dane dotyczą, informacje określone powyżej, a także informacje o źródle pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych.
Powyższe informacje jako administrator zobowiązany jesteś podać:
- w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych;
- jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą, lub
- jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.
Przykład 1.
W jaki sposób należy przekazać informacje o przetwarzaniu danych osobowych na blogu? Na stronie powinna się znajdować się co najmniej skrócona klauzula informacyjna zawierająca dane o administratorze danych osobowych, cele i podstawę przetwarzania danych osobowych, prawa osoby, której dane dotyczą, oraz odwołanie, np. link do pełnej klauzuli informacyjnej lub polityki prywatności.
Pliki cookie i polityka prywatności
Kiedy prowadzimy blog, konieczne jest także zadbanie o realizację obowiązków związanych z plikami cookies lub innych podobnych informacji.
Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym (w tym pliku typu cookies lub podobne) urządzeniu końcowym abonenta lub użytkownika końcowego jest dozwolone, pod warunkiem że abonent lub użytkownik końcowy zostanie uprzednio bezpośrednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu przechowywania i uzyskiwania dostępu do tej informacji, możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi. Informacje te zwykle zawiera się w polityce prywatności, do której link powinien znaleźć się w widocznym miejscu na stronie.
Ponadto warunkiem przechowywania i uzyskiwania dostępu do plików typu cookies jest, aby użytkownik po otrzymaniu informacji, o których mowa wyżej, wyraził na to zgodę a przechowywana informacja lub uzyskiwanie do niej dostępu nie powoduje zmian konfiguracyjnych w telekomunikacyjnym urządzeniu końcowym użytkownika i oprogramowaniu zainstalowanym w tym urządzeniu.
Powyższych warunków nie stosuje się, jeżeli przechowywanie lub uzyskanie dostępu do informacji typu cookies jest konieczne do:
- wykonania transmisji komunikatu za pośrednictwem publicznej sieci telekomunikacyjnej;
- dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną żądanej przez abonenta lub użytkownika końcowego.
Podmioty świadczące usługi drogą elektroniczną mogą instalować oprogramowanie w telekomunikacyjnym urządzeniu końcowym użytkownika przeznaczonym do korzystania z tych usług lub korzystać z tego oprogramowania, pod warunkiem że użytkownik końcowy:
- przed instalacją oprogramowania zostanie poinformowany bezpośrednio, w sposób jednoznaczny, łatwy i zrozumiały, o celu, w jakim zostanie zainstalowane oprogramowanie, oraz sposobach korzystania przez podmiot świadczący usługi z tego oprogramowania;
- zostanie poinformowany bezpośrednio, w sposób jednoznaczny, łatwy i zrozumiały, o sposobie usunięcia oprogramowania z telekomunikacyjnego urządzenia końcowego użytkownika lub abonenta;
- przed instalacją oprogramowania wyrazi zgodę na jego instalację i używanie.
RODO dla blogerów a umowy o powierzenie danych osobowych z dostawcami
Prowadząc bloga, powinieneś także pamiętać o zawarciu umowy powierzenia danych osobowych ze swoimi dostawcami, którzy mają dostęp do danych osobowych, co wynika z przepisów RODO dla blogerów.
Zgodnie z RODO dla blogerów w przypadku powierzenia danych administrator zobowiązany jest korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.
Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy, która powinna określać:
- przedmiot i czas trwania przetwarzania;
- charakter i cel przetwarzania;
- rodzaj danych osobowych;
- kategorie osób, których dane dotyczą;
- obowiązki i prawa administratora.
Rejestr czynności przetwarzania
Zgodnie z RODO dla blogerów każdy administrator prowadzi rejestr czynności przetwarzania danych osobowych, za które odpowiada. Zamieszcza się w nim wszystkie następujące informacje:
- imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;
- cele przetwarzania;
- opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
- kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
- gdy ma to zastosowanie, informacje o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym informacje o nazwie tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi ustawy o ochronie danych osobowych – o dokumentacji odpowiednich zabezpieczeń;
- jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;
- jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.
Podstawa prawna do przetwarzania danych
Aby przetwarzanie danych było zgodne z prawem, to zgodnie z RODO dla blogerów, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
- osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
- przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Każdorazowo w przypadku zamiaru przetwarzania określonych danych należy rozważyć podstawę prawną, na jakiej opierać się będzie to przetwarzanie oraz RODO dla blogerów.
