RODO dla blogerów - na co należy zwrócić uwagę?

Prowadząc blog, przetwarzamy dane osobowe użytkowników jako administrator. Jakie obowiązki wiążą się taką rolą? Co należy zrobić, aby prowadzenie bloga było zgodne z RODO dla blogerów? Dowiedz się z poniższego artykułu!

Klauzula informacyjna a RODO dla blogerów

Jednym z podstawowych obowiązków wynikających z RODO dla blogerów jest przekazanie osobie, której dane dotyczą, informacji o przetwarzaniu jej danych osobowych.

Jeżeli dane osobowe osoby, której one dotyczą, zbierane są od tej osoby bezpośrednio, np. poprzez formularz kontaktowy czy zapis na newsletter – jako administrator podczas pozyskiwania danych osobowych zgodnie z RODO dla blogerów powinieneś podać jej wszystkie następujące informacje:

• swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
• cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
• jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionego interesu realizowanego przez administratora lub przez stronę trzecią;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.

Poza informacjami, o których mowa powyżej, podczas pozyskiwania danych osobowych w myśl przepisów w zakresie RODO dla blogerów, administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• jeżeli przetwarzanie odbywa się na podstawie zgody – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informacje o prawie wniesienia skargi do organu nadzorczego;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym, lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Z kolei w przypadku, gdy danych osobowych nie pozyskano bezpośrednio od osoby, której dane dotyczą (czyli np. gdy podmiot trzeci zebrał dane osobowe na twoje zlecenie lub gdy zebrałeś dane osobowe z publicznych źródeł) jako administrator powinieneś podać osobie, której dane dotyczą, informacje określone powyżej, a także informacje o źródle pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych.

Powyższe informacje jako administrator zobowiązany jesteś podać:

• w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych;
• jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą, lub
• jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.

Przykład 1.

W jaki sposób należy przekazać informacje o przetwarzaniu danych osobowych na blogu? Na stronie powinna się znajdować się co najmniej skrócona klauzula informacyjna zawierająca dane o administratorze danych osobowych, cele i podstawę przetwarzania danych osobowych, prawa osoby, której dane dotyczą, oraz odwołanie, np. link do pełnej klauzuli informacyjnej lub polityki prywatności.

Pliki cookie i polityka prywatności

Kiedy prowadzimy blog, konieczne jest także zadbanie o realizację obowiązków związanych z plikami cookies lub innych podobnych informacji.

Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym (w tym pliku typu cookies lub podobne) urządzeniu końcowym abonenta lub użytkownika końcowego jest dozwolone, pod warunkiem że abonent lub użytkownik końcowy zostanie uprzednio bezpośrednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu przechowywania i uzyskiwania dostępu do tej informacji, możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi. Informacje te zwykle zawiera się w polityce prywatności, do której link powinien znaleźć się w widocznym miejscu na stronie.

Ponadto warunkiem przechowywania i uzyskiwania dostępu do plików typu cookies jest, aby użytkownik po otrzymaniu informacji, o których mowa wyżej, wyraził na to zgodę a przechowywana informacja lub uzyskiwanie do niej dostępu nie powoduje zmian konfiguracyjnych w telekomunikacyjnym urządzeniu końcowym użytkownika i oprogramowaniu zainstalowanym w tym urządzeniu.

Powyższych warunków nie stosuje się, jeżeli przechowywanie lub uzyskanie dostępu do informacji typu cookies jest konieczne do:

• wykonania transmisji komunikatu za pośrednictwem publicznej sieci telekomunikacyjnej;
• dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną żądanej przez abonenta lub użytkownika końcowego.

Podmioty świadczące usługi drogą elektroniczną mogą instalować oprogramowanie w telekomunikacyjnym urządzeniu końcowym użytkownika przeznaczonym do korzystania z tych usług lub korzystać z tego oprogramowania, pod warunkiem że użytkownik końcowy:

• przed instalacją oprogramowania zostanie poinformowany bezpośrednio, w sposób jednoznaczny, łatwy i zrozumiały, o celu, w jakim zostanie zainstalowane oprogramowanie, oraz sposobach korzystania przez podmiot świadczący usługi z tego oprogramowania;
• zostanie poinformowany bezpośrednio, w sposób jednoznaczny, łatwy i zrozumiały, o sposobie usunięcia oprogramowania z telekomunikacyjnego urządzenia końcowego użytkownika lub abonenta;
• przed instalacją oprogramowania wyrazi zgodę na jego instalację i używanie.

RODO dla blogerów a umowy o powierzenie danych osobowych z dostawcami

Prowadząc bloga, powinieneś także pamiętać o zawarciu umowy powierzenia danych osobowych ze swoimi dostawcami, którzy mają dostęp do danych osobowych, co wynika z przepisów RODO dla blogerów.

Zgodnie z RODO dla blogerów w przypadku powierzenia danych administrator zobowiązany jest korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.

Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy, która powinna określać:

• przedmiot i czas trwania przetwarzania; 
• charakter i cel przetwarzania; 
• rodzaj danych osobowych;
• kategorie osób, których dane dotyczą; 
• obowiązki i prawa administratora. 

Rejestr czynności przetwarzania

Zgodnie z RODO dla blogerów każdy administrator prowadzi rejestr czynności przetwarzania danych osobowych, za które odpowiada. Zamieszcza się w nim wszystkie następujące informacje:

• imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;
• cele przetwarzania;
• opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
• kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
• gdy ma to zastosowanie, informacje o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym informacje o nazwie tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi ustawy o ochronie danych osobowych – o dokumentacji odpowiednich zabezpieczeń;
• jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;
• jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Podstawa prawna do przetwarzania danych 

 Aby przetwarzanie danych było zgodne z prawem, to zgodnie z RODO dla blogerów, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. 

Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Każdorazowo w przypadku zamiaru przetwarzania określonych danych należy rozważyć podstawę prawną, na jakiej opierać się będzie to przetwarzanie oraz RODO dla blogerów.