Fanpage na Facebooku a dane osobowe

Niedawny głośny wyrok Trybunału Sprawiedliwości UE (sygn. C 210/16) przesądził status zarządzającego fanpage'em na witrynach mediów społecznościowych. Trybunał uznał, że taka osoba wespół z Facebookiem jest współadministratorem danych osobowych w rozumieniu właściwych przepisów. Według Trybunału Sprawiedliwości zarówno Facebook, jak i zarządzający przetwarzają dane w określonych przez siebie celach. Facebook skupia się na działalności reklamowej (dostosowuje reklamy do aktywności użytkowników), natomiast zarządzający fanpage'em przetwarza dane na potrzeby statystyk i polepszenia odbioru treści, które zamieszcza na stronie, w tym na potrzeby kierowania ofert do potencjalnych odbiorców aktywnych na portalu.

Czytaj także: Zdjęcie wrzucone na Facebook nie jest już naszą własnością

Zmiana dogmatu

Wyrok jest o tyle kontrowersyjny, że dotychczas panowano powszechne przekonanie, iż administratorem danych osobowych jest portal, któremu użytkownicy powierzają dane i jednocześnie wyrażają zgodę na takie przetwarzanie oraz godzą się z tym, że ich dane będą udostępniane innym użytkownikom i fanpage'om (w zależności od stopnia ustawień prywatności). Takie założenie miało sens, chociażby z tego względu, że właściciela portalu jest łatwo zidentyfikować oraz pociągnąć do odpowiedzialności w przypadku naruszenia bezpieczeństwa danych lub przekroczenia zakresu przetwarzania danych, na które wyrażono zgodę. Nadto zarządzającemu portalem jest też dużo łatwiej informować użytkowników o przetwarzaniu danych osobowych, kreując wygląd i treść strony, niż właścicielom fanpage'ów czy chociażby administratorom grup otwartych.

Trybunał Sprawiedliwości postanowił jednak, że w związku z tym, iż zarządzający fanpage'em może na podstawie statystyk dostarczanych przez Facebooka kierować ofertę do użytkowników w określonym obszarze geograficznym, przyczynia się on do przetwarzania danych osobowych. Zdaniem Trybunału użytkownik powinien uzyskać stosowną informację na ten temat oraz wyrazić zgodę na przetwarzanie danych w ten sposób.

Nasuwa się więc pytanie, co z odpowiedzialnością współadministratora danych? Zgodnie z orzeczeniem zarówno Facebook, jak i zarządzający fanpage'em są jednakowo odpowiedzialni, choć nie w tym samym zakresie. Ponieważ podmioty te są zaangażowane w przetwarzanie w różnym stopniu oraz na odmiennym etapie tego przetwarzania, poziom odpowiedzialności każdego z nich należy oceniać przy uwzględnieniu wszystkich istotnych okoliczności sprawy.

Co to oznacza dla zarządzających

Po lekturze orzeczenia Trybunału nasuwa się wiele wniosków. Przede wszystkim ryzyko, z jakim wiąże się administrowanie fanpage'em, znacznie się zwiększyło. Dotychczas zarządzający byli przekonani o tym, że odpowiedzialność za dane użytkowników określonego medium społecznościowego ponosi wyłącznie jego właściciel. Beztrosko więc korzystano z narzędzi, które umożliwiają odpowiednie targetowanie wszelkich treści adresowanych do potencjalnych nabywców towarów i usług. Teraz korzystanie z możliwości dotarcia do potencjalnych klientów wiąże się nie tylko z przeznaczeniem znacznych środków pieniężnych na kampanie, ale także z koniecznością rozważenia ryzyka wiążącego się z przetwarzaniem danych osobowych. Dotychczas ten drugi aspekt odpadał. Uważano bowiem, iż ryzyko to ponosi przykładowo Facebook.

Należy przy tym pamiętać, że rozmiar kar za naruszenie przepisów o przetwarzaniu danych osobowych oraz odpowiedzialność odszkodowawcza ustanowiona przez RODO jest znaczna i potrafi działać na wyobraźnię przedsiębiorców.

Po wyroku Trybunału waga odpowiedzialności podmiotu zarządzającego niezwykle wzrosła i skomplikowała się. Nie jest całkiem jasne, czy wszyscy zarządzający fanpage'ami zostają automatycznie współadministratorami, czy tylko ci, którzy kierują oferty do użytkowników na podstawie danych dostarczanych przez Facebooka. Czy korzystanie z danych geometrycznych i wysyłanie reklam do wszystkich na terenie Polski zwiększa odpowiedzialność podmiotu, niż gdyby korzystał wyłącznie z narzędzi pozwalających na kierowanie ofert do mieszkańców najbliższego miasteczka, a może jest wręcz odwrotnie?

Z pewnością po publikacji orzeczenia zarządzający fanpage'ami zaczną nerwowo poszukiwać odpowiedzi na pytanie, czy i w jaki sposób za pomocą strony na Facebooku udostępnić wszystkim odwiedzającym klauzulę informacyjną dotyczącą przetwarzania danych i w jaki sposób pozyskać właściwą zgodę użytkowników. Żadne medium społecznościowe nie przewidziało takich opcji na stronach firmowych.

Pojawiły się również wątpliwości, od kogo dochodzić odpowiedzialności, w przypadku gdy fanpage'em konkretnej marki zarządza zupełnie inny podmiot. Czy współadministrującym jest właściciel marki czy agencja reklamowa, która na co dzień kieruje działaniami ofertowymi poprzez fanpage.

Być może najpierw należy odpowiedzieć na pytanie, w jakim stopniu właściciel marki ma wpływ na decyzje dotyczące wykorzystania narzędzi promocyjnych udostępnianych przez Facebook. W każdym razie właściciele marki, którzy oddają kontrolę nad promocją w mediach społecznościowych podmiotom trzecim, powinni poważnie rozważyć ponowne ustalenie kwestii odpowiedzialności stron umowy marketingowej za działania mające za przedmiot dane osobowe.

Ponadto wydaje się, że orzeczenie Trybunału Sprawiedliwości właśnie wymusiło na właścicielach marki stosowanie umów o powierzenie przetwarzania danych osobowych z podmiotami kierującymi ich fanpage'em.

Komentowany wyrok Trybunału Sprawiedliwości wydaje się zupełnie oderwany od praktyki i podobnie jak spora część regulacji RODO może komplikować najprostsze sprawy, do których przywykli użytkownicy internetu.

Dziecko wylane z kąpielą

Ostatnia aktywność organów UE w zakresie ochrony danych osobowych jest wymuszona rzeczywistością i w kontekście niedawnych afer związanych z Facebookiem wydaje się słuszna. Jednak przepisy i ich interpretacje, przez swą nieelastyczność, prowadzą do wylania dziecka z kąpielą. Internet staje się dziś bardziej uregulowany niż kiedykolwiek i przez to korzystanie z niego może jest w jakimś stopniu bezpieczniejsze (pytanie – na ile), ale jednocześnie nieatrakcyjne jak nigdy przedtem. Zanim uda się dotrzeć do pożądanej treści danej strony WWW, musimy pokonać atakujące nas okienka z informacją o przetwarzaniu danych, stosowaniu plików cookies, ustawieniach przeglądarki etc. Nietrudno wyobrazić sobie, że zirytowany użytkownik sieci nie czyta tych wszystkich przekazów, więc skutek jest odwrotny do zamierzonego.

Trybunał powinien brać pod rozwagę, że społeczeństwo wychowuje się lub już zdążyło przywyknąć do realiów informatycznych i każdy użytkownik internetu dokładnie zdaje sobie sprawę z tego, jakie dane oraz w jakim celu zamieszcza (najczęściej bezpowrotnie) w sieci. Skoro użytkownik mediów społecznościowych godzi się na dobrowolną obecność na danym portalu, to uczestniczy w pewnej społeczności także po to, by uzyskać informacje o innych osobach, o „polubionych" markach, wydarzeniach, i wręcz domaga się, by takie dane były do niego kierowane. Tak jak godzimy się, że nie da się uczestniczyć w społeczności, będąc całkiem anonimowym, tak też od dawna już akceptujemy to, że korzystając z mediów społecznościowych, nie mamy problemu z tym, że są właśnie społecznościowe.

Marcin Wierzbicki jest partnerem i radcą prawnym w Konieczny Wierzbicki Kancelaria Radców Prawnych a Patryk Hatak jest tam aplikantem radcowskim

Dane Osobowe