RODO na Facebooku – czym to może grozić

martyna antosiewicz

Chcesz wygrać atrakcyjne nagrody? Wystarczy, że polubisz nasz fanpage, udostępnisz post konkursowy, oznaczysz swoich znajomych w komentarzu – tak konstruowane są typowe konkursy na Facebooku. „Rozdawajki" to konkursy, w których organizator rozdaje nagrody wśród zgłaszających się uczestników, często nie oczekując nawet rozwiązania zadania konkursowego. Zgłoszenie udziału powoduje, że organizator konkursu, najczęściej właściciel strony, staje się administratorem danych osobowych w myśl przepisów ogólnego rozporządzenia o ochronie danych osobowych (RODO), które weszło w życie w ubiegły piątek. A to nakłada na niego obowiązki określone w art. 24 RODO i przewiduje wysokie sankcje za ich niewypełnienie.

Polub, udostępnij, oznacz

Organizator konkursu przeprowadzanego na Facebooku ma dwa źródła zobowiązań: wynikające z RODO i te wynikające z Regulaminu portalu społecznościowego.

Regulamin Facebooka zabrania wykorzystywania prywatnych osi czasu oraz połączeń ze znajomymi w celach promocyjnych. Niedozwolone jest np. stosowanie rozwiązań typu „udostępnij na swojej osi czasu, aby wziąć udział w promocji", „udostępnij na osi czasu znajomego, aby uzyskać dodatkowe udziały w promocji" czy „oznacz znajomych w tym poście, aby wziąć udział w promocji". W przypadku zbierania od użytkowników ich danych osobowych administratorzy strony, grupy lub organizatorzy wydarzenia mają obowiązek wyraźnego poinformowania, że to oni (a nie serwis Facebook) gromadzą te dane, i są zobowiązani do opublikowania informacji na temat zbieranych informacji oraz muszą uzyskać zgodę użytkowników na gromadzenie i wykorzystywanie tych danych. Bez względu na sposób uzyskiwania informacji o użytkownikach i treści należących do użytkowników, administrator musi pozyskać odpowiednie zezwolenia na dalsze wykorzystanie tych danych.

Po pierwsze, informacja

Wypełniając obowiązki nałożone przez RODO, administrator danych musi wypełnić względem uczestników konkursu obowiązek informacyjny.

Co w przypadku, gdy do udziału w konkursie zgłosi się 1000 osób? Czy każdej z nich organizator ma obowiązek wysłania klauzuli informacyjnej zgodnie z art. 13 RODO? – Organizator nie będzie zobowiązany do pozyskania zgód na przetwarzanie danych od każdej z osób, która zgłosi swój udział, np. umieszczając w komentarzu prawidłową odpowiedź. Będzie natomiast zobowiązany do wykonania obowiązku informacyjnego: danych kontaktowych organizatora jako administratora danych, informacji o celu przetwarzania danych i o przysługujących uczestnikom uprawnieniach związanych z ochroną ich danych. Informacje te powinny być przekazywane już na etapie zbierania danych, co dla wygody wszystkich użytkowników może być realizowane poprzez umieszczenie ich np. w treści regulaminu konkursu.

Administrator danych przede wszystkim zobowiązany jest do wdrożenia skutecznych środków technicznych i organizacyjnych, które zapewnią prawidłową ochronę zebranych danych osobowych. Przed organizacją konkursu należy więc zastanowić się, czy jesteśmy w pełni gotowi na pełnienie tej roli.

Oferty pracy

Takie same uregulowania znajdą zastosowanie do ofert pracy umieszczanych na Facebooku. Publikujący oferty pracy na Facebooku kierują się przede wszystkim wygodą, szybkością dodania postu oraz nieponoszeniem wydatków. Niekiedy jednak darmowe ogłoszenie na Facebooku może wiązać się z odroczonym terminem płatności w postaci kary administracyjnej bądź koniecznością wypłaty odszkodowania dla osoby, której danych osobowych odpowiednio nie zabezpieczymy. Gromadząc zgłoszenia przesyłane w odpowiedzi na zamieszczoną ofertę pracy, stajemy się administratorem danych. Na ochronę danych wskazuje też treść regulaminu Facebooka, zgodnie z którym oferty pracy nie mogą być tak skonstruowane, aby pozyskiwać od kandydatów dane identyfikujące tożsamość lub dane finansowe (np. numery kart kredytowych, rachunków bankowych lub danych z dokumentu tożsamości wydanego przez organ administracji publicznej).

Opinia

Ewa Kurowska-Tober, radca prawny, partner w Kancelarii DLA PIPER

Konkurs to przyrzeczenie publiczne, które rodzi po stronie organizatora zobowiązanie do jego wykonania. RODO pozwala przetwarzać dane osobowe w zakresie niezbędnym do wykonania umowy lub w zakresie tzw. uzasadnionego interesu administratora danych. Ponieważ organizator konkursu musi przetworzyć dane uczestników biorących udział w konkursie w celu jego przeprowadzenia, wyłonienia zwycięscy i przyznania nagrody, można uznać takie działania za realizowane właśnie w ramach uzasadnionego interesu.