Dane osobowe
Wizerunek w Internecie bez pełnej ochrony
Kontrowersyjna decyzja generalnego inspektora ochrony danych osobowych potwierdza, że są problemy ze stosowaniem przepisów, gdy dane są zamieszczane w serwisach społecznościowych – uważają Xawery Konarski adwokat, wspólnik w Kancelarii Prawnej Traple, Konarski, Podrecki oraz Grzegorz Sibiga, adiunkt w Instytucie Nauk Prawnych PAN
W decyzji z 27 maja GIODO odmówił uwzględnienia skargi osoby, która żądała usunięcia jej danych (w tym wizerunku) zamieszczonych w serwisie Nasza-Klasa przez jego użytkowników („Rz” z 6 czerwca). Decyzja ma istotne znaczenie dla funkcjonowania serwisów społecznościowych, ponieważ GIODO zajął w niej trzy bardzo ważne stanowiska.
Po pierwsze: przedsiębiorca zarządzający serwisem (tutaj: Nasza-Klasa sp. z o. o.) ma status administratora danych umieszczanych przez użytkowników serwisu.
Po drugie: zamieszczanie danych przez inne osoby (użytkowników serwisu) niż podmiot nie narusza jego praw i wolności, jeżeli informacje są dostępne tylko dla użytkowników. Co więcej, zainteresowany nie może w drodze administracyjnej skutecznie zażądać usunięcia tych danych.
Po trzecie: do przedsiębiorcy zarządzającego znajduje zastosowanie wyłącznie odpowiedzialność przewidziana dla przechowującego dane w art. 14 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (DzU nr 47, poz. 211 ze zm.; dalej: ustawa 2002).
Administrator czy przetwarzający
Zarówno ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.; dalej: ustawa 1997), jak i stanowiąca jej pierwowzór unijna dyrektywa 95/46/WE przewidują, że w przetwarzaniu danych osobowych mogą brać udział dwie kategorie podmiotów: administrator danych (controller) oraz przetwarzający (processor). Podział ma istotne znaczenie, bo głównym adresatem obowiązków określonych w ustawie 1997 jest administrator, podczas gdy przetwarzający musi jedynie zastosować środki zabezpieczające dane oraz przetwarzać je zgodnie z umową zawartą na piśmie z administratorem. Warunkiem uzyskania statusu administratora jest „decydowanie o celach i środkach przetwarzania danych” (art. 7 pkt 4), natomiast obowiązki przetwarzającego określa art. 31.
Zastrzeżenie budzi zajęcie przez GIODO stanowiska, że Nasza-Klasa sp. z o.o. jest administratorem w stosunku do danych umieszczonych w serwisie przez jego użytkowników. Naszym zdaniem status ten przysługuje spółce wyłącznie względem informacji o użytkownikach, a więc osobach, które zarejestrowały się w serwisie i poprzez akceptację regulaminu wyraziły zgodę na przetwarzanie danych zawartych w formularzu rejestracyjnym. Dane te są wykorzystywane przez Naszą-Klasę sp. z o.o. w celu wykonania umowy o świadczenie usług drogą elektroniczną oraz ewentualnie w innych celach (np. marketingowych). W zakresie przetwarzania danych na te cele spółka niewątpliwie powinna być traktowana jako administrator danych.
Z inną sytuacją mamy natomiast do czynienia, gdy dane osobowe w serwisie zostały zamieszczone przez użytkowników (na swój temat oraz innych osób). Co istotne, spółka jedynie przechowuje te dane, nie wykorzystując ich na własne potrzeby. Sam użytkownik decyduje o umieszczeniu danych w serwisie, a zatem to jemu przysługuje status administratora.
Jaką rolę pełni przedsiębiorca? Wydaje się, że tylko przetwarzającego powierzone przez użytkownika dane osobowe, chociaż przeniesienie prostego podziału administrator – przetwarzający do specyfiki serwisu społecznościowego nie jest w pełni jednoznaczne.
Ustawa 1997 w art. 3a ust. 1 pkt 1 wyłącza jednak swoje stosowanie w wypadku „osób fizycznych, które przetwarzają dane wyłącznie w celach osobistych lub domowych”. To wyłączenie nie znajduje zastosowania w wypadku umieszczania danych innych osób w serwisie, ponieważ element „osobistego” korzystania z danych osobowych przybiera postać ich upublicznienia, a z danymi może zapoznać się potencjalnie nieograniczony krąg osób. Celem ustanowienia wyłączenia było natomiast ułatwienie korzystania ze zbioru danych osobowych dla własnych celów przez pojedynczą osobę fizyczną, która ten zbiór utworzyła.
Z punktu widzenia uprawnień podmiotu danych przyznanie użytkownikowi serwisu statusu administratora z pewnością nie jest zadowalające, ponieważ nieporównanie trudniej od niego wyegzekwować wykonanie obowiązków niż od instytucji przetwarzającej dane. Objęcie ustawowymi obowiązkami takiego użytkownika nie jest zresztą pewne, ponieważ ustawa ma zastosowanie do osób fizycznych, które przetwarzają dane „w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych” (art. 3 ust. 2 pkt 2), co w wypadku umieszczania danych w serwisie najczęściej nie będzie miało miejsca.
Rekomenduj artykuł Oddano głosów:
