RODO: Dane osobowe w social mediach

Czy wszystkie działania w mediach społecznościowych, w wyniku których ujawniamy dane osobowe, mają charakter czysto osobisty lub są o domowym charakterze?

RODO nie ma zastosowanie do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o takim właśnie charakterze. Jednak w niektórych przypadkach działanie użytkownika social mediów wykracza poza cel domowy i można uznać, że użytkownik przejmuje część obowiązków Administratora Danych.
Zgodnie z opinią Grupy Roboczej art. 29 działaniem w social mediach, które wykracza poza obszar czysto osobisty lub domowy charakter, jest używanie ich jako platformy współpracy w ramach przedsiębiorstwa lub stowarzyszenia.

Inna opinia Grupy Roboczej art. 29 stwierdza, że w niektórych przypadkach użytkownicy mogą mieć wiele kontaktów z osobami trzecimi, z których nie wszystkich mogą faktycznie znać, a duża ilość kontaktów może wskazywać, że cel domowy nie obowiązuje, a użytkownik może być uznany za Administratora danych (Grupa Robocza art. 29, Opinia w sprawie najnowszych osiągnięć w zakresie internetu przedmiotów). Zgodnie z faktami i opinią Grupy dostęp do informacji w mediach społecznościowych mają wyszukiwarki, które indeksują dane oraz osoby spoza grupy samodzielnie wybranych kontaktów, przez co przetwarzanie wykracza poza sferę osobistą lub domową.

Gdy użytkownik zostanie uznany za Administratora Danych, zaczną go obowiązywać regulacje RODO, a w takiej sytuacje dane osobowe muszą być
• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”);
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
• prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”);
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).
itd.
Użytkownik /Administrator Danych/ powinien upewnić się, że zachodzi jedna z przesłanek legalnego przetwarzania danych osobowych np.:
• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w co najmniej jednym określonym celu;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.
Do innych obowiązków Administratora Danych należy podanie następujących informacji:
• tożsamość Administratora Danych i dane kontaktowe;
• dane kontaktowe Inspektora Ochrony Danych, gdy go powołał;
• cele przetwarzania danych osobowych oraz podstawy prawnej;
• o odbiorcach danych osobowych
itd.

Artur Majchrzycki – Inspektor Ochrony Danych, ekspert ds. ochrony danych osobowych, audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem Informacji zgodnego z ISO/IEC 27001.
Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl