Ujawnienie danych osobowych w mediach społecznościowych a konsekwencje

Czy ujawnienie danych osobowych w mediach społecznościowych stanowi przetwarzania danych w rozumieniu RODO i podlega wymogom rozporządzenia? W jakich przypadkach ujawnienie danych będzie stanowić użytek prywatny? Dowiesz się z poniższego artykułu!

Przetwarzanie danych na użytek prywatny a RODO

RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze.

RODO nie będzie mieć zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową.

Działalność osobista lub domowa może między innymi polegać na:

• korespondencji;
• przechowywaniu adresów;
• podtrzymywaniu więzi społecznych;
• działalności internetowej podejmowanej w ramach takiej działalności.

Prezes UODO wskazuje w odniesieniu do użytku prywatnego m.in., że: „Wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu” (Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 grudnia 2019 roku, DKE.440.72.2019).

Ze stanowiska Prezesa UODO wynika, że powyższa definicja: „[…] prowadzi do wniosku, iż przetwarzanie danych na własny użytek (np. w osobistych notatnikach, prywatnych komputerach czy innych prywatnych urządzeniach umożliwiających zautomatyzowane przetwarzanie danych), niepozostające w związku z prowadzoną działalnością gospodarczą bądź działaniami, które mogłyby przynieść jakiekolwiek korzyści majątkowe, nie jest objęte reżimem obecnie obowiązujących norm prawnych z zakresu ochrony danych osobowych” (Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 13 września 2019 roku, ZKE.440.55.2019).

W innym przypadku Prezes UODO wskazał, że: „[…] przetwarzanie danych osobowych pochodzących z nagrań monitoringu wizyjnego przez osobę fizyczną w celu opisanym w art. 2 ust. 2 lit. c rozporządzenia 2016/679 może odbywać się wyłącznie, gdy zasięg monitoringu, z którego pochodzą nagrania, obejmuje jedynie nieruchomość stanowiącą jej własność. Stosowany przez Skarżonych monitoring obejmuje swoim zasięgiem ogólnie dostępną drogę publiczną znajdującą się  za ogrodzeniem Skarżonych do usytuowanych przy niej nieruchomości (w tym nieruchomości Skarżących), po której każdy może się swobodnie przemieszczać. Rozciąga się więc na przestrzeń, w której znajdować się mogą osoby niemające żadnego związku z rodziną Skarżonych, mające prawo do zachowania swojej anonimowości, w tym też Skarżący. Skierowanie kamer na drogę publiczną (przestrzeń publiczną) powoduje, że dochodzi do ciągłej obserwacji tego terenu, czego skutkiem jest przetwarzanie danych osobowych osób przemieszczających się po tym terenie. Tym samym stosowanie przez Skarżonych systemu monitoringu w wykazanym zakresie nie może być rozumiane jako działalność o czysto osobistym lub domowym charakterze (na którą w toku niniejszego postępowania wskazywali Skarżeni), do której nie mają zastosowania przepisy rozporządzenia 2016/679” (Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 maja 2022 roku, DS.523.399.2021).

Ujawnienie danych osobowych w mediach społecznościowych a osobisty charakter

W większości przypadków użytkownicy są uznawani za osoby, których dane dotyczą. RODO nie nakłada obowiązków administratora danych na osobę fizyczną, która przetwarza dane osobowe w trakcie czynności o czysto osobistym lub domowym charakterze, co stanowi tak zwane wyłączenie do celów domowych.

W niektórych przypadkach wyłączenie do celów domowych może nie obejmować czynności użytkownika i można uznać, że użytkownik przejmuje część obowiązków administratora danych.

Zdaniem Grupy Roboczej art. 29 niektóre działania w ramach social mediów mogą wykraczać poza działania o czysto osobistym lub domowym charakterze, na przykład gdy social media są stosowane jako platforma współpracy w ramach stowarzyszenia lub przedsiębiorstwa.

Zgodnie z opinią Grupy Roboczej art. 29: „[…] w niektórych przypadkach użytkownicy mogą mieć wiele kontaktów z osobami trzecimi, z których nie wszystkich mogą faktycznie znać. Duża ilość kontaktów mogłaby wskazywać, że »wyłączenie do celów domowych« nie obowiązuje, a więc użytkownika można byłoby uznać za administratora danych” [Grupa robocza art. 29, Opinia w sprawie portali społecznościowych].

W myśl opinii Grupy Roboczej, gdy dostęp do informacji na social mediach mają osoby spoza grona samodzielnie wybranych kontaktów lub dane są indeksowane przez wyszukiwarki, dostęp wykracza poza sferę osobistą lub domową. Analogiczna sytuacja ma miejsce, gdy użytkownik podejmie świadomą decyzję o rozszerzeniu dostępu.

Z czym się wiąże ujawnienie danych osobowych na otwartym profilu?

W przypadku, gdy użytkownik zostanie uznany za administratora, obowiązywać go będą wymogi wynikające z RODO. W takim wypadku dane osobowe muszą być:

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”);
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
• prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”);
• przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”);
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

Użytkownik powinien upewnić się, że zachodzi jedna z podstaw do legalnego przetwarzania danych osobowych:

• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w co najmniej jednym określonym celu;
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Ponadto, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas ich pozyskiwania podaje jej w szczególności wszystkie następujące informacje:

• swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
• cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
• jeżeli przetwarzanie odbywa się na podstawie uzasadnionego interesu – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.