Ochrona danych osobowych w serwisach internetowych

Przetwarzając dane osobowe użytkownika serwisu, operator – poza wieloma przesłankami dopuszczającymi i warunkującymi ich przetwarzanie, wskazanymi w [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=1C86F92A172C504D97BA2B98576CCD46?id=166335]ustawie o ochronie danych osobowych (DzU z 1997 r. nr 133, poz. 883[/link]; dalej uodo) – musi uwzględniać cel przetwarzania danych.

Zgodnie z art. 23 ust. 1 pkt 5 przetwarzanie danych osobowych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych (operatora serwisu), i nie narusza praw i wolności osoby, której dane dotyczą.

Ponadto administrator danych powinien szczególnie starannie chronić interesy osób, których one dotyczą. W szczególności jest obowiązany zapewnić, aby dane te były przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (art. 26 ust. 1 pkt 4 uodo).

[srodtytul]Tylko w celu przetwarzania[/srodtytul]

Przytoczone przepisy wyraźnie wskazują, że operator serwisu może przechowywać dane osobowe (a także je przetwarzać) tak długo, jak długo będzie realizowany cel ich przetwarzania. Cele przetwarzania określa najczęściej administrator danych, aczkolwiek mają one nierzadko ścisły związek z prowadzoną przez niego działalnością.

Podstawowymi celami przetwarzania danych osobowych użytkowników serwisu internetowego (w tym zbierania i wykonywania innych operacji na danych) będzie więc świadczenie przez operatora usług użytkownikom (np. umożliwienie zamieszczania w serwisie ogłoszeń czy aukcji internetowych) oraz realizacja umowy zawartej z użytkownikiem, na mocy której wspomniane usługi są świadczone.

[srodtytul]Użytkownik może żądać usunięcia[/srodtytul]

Jak już było wspomniane, przepisy uodo stanowią także o prawnie usprawiedliwionych celach przetwarzania danych. Jest to pojęcie nieostre, aczkolwiek analizując regulacje można wskazać, że celem takim będzie każdy mający oparcie w przepisach prawa. W szczególności, jak podaje ustawodawca, będzie to marketing bezpośredni własnych produktów lub usług administratora danych czy dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Swoboda operatora serwisu, przetwarzającego dane osobowe, w zakresie określania długości okresu ich przechowywania i przetwarzania podlega istotnym ograniczeniom. Znajdują one swój wyraz w możliwości skorzystania z przewidzianych w uodo uprawnień i narzędzi kontrolnych, przysługujących użytkownikom serwisu, których dane przetwarza operator.

Oprócz uprawnienia do uzyskania informacji o celu, zakresie i sposobie przetwarzania danych użytkownik może również zażądać m.in. usunięcia danych przez operatora, jeżeli są one już zbędne dla realizacji celu, którego zostały zebrane. W razie zgłoszenia takiego żądania – o ile użytkownik wykaże, że jego dane osobowe są zbędne do realizacji celu ich zebrania – operator jest obowiązany, bez zbędnej zwłoki, do usunięcia danych osobowych użytkownika.

Co istotne, w razie niedopełnienia wspomnianego obowiązku przez operatora, użytkownik, którego dane dotyczą, może zwrócić się do generalnego inspektora ochrony danych osobowych z wnioskiem o nakazanie tego.

Innym narzędziem kontrolnym jest sprzeciw wobec przetwarzania danych, który użytkownik może złożyć, gdy operator zamierza przetwarzać dane w celach marketingowych. Po wniesieniu takiego sprzeciwu przetwarzanie jest niedopuszczalne. Należy mieć jednak na uwadze, że w takim wypadku operator serwisu może, dla uniknięcia ponownego wykorzystania danych w celach objętych sprzeciwem, nadal przechowywać imię (imiona) i nazwisko użytkownika wraz z jego numerem PESEL lub adresem.

Jak wynika z powyższego, przechowywanie i przetwarzanie przez operatora serwisu internetowego danych osobowych jego użytkowników nie jest pozbawione ograniczeń. Niedopuszczalnym zjawiskiem byłoby bowiem pozostawienie operatorom możliwości w pełni samodzielnego decydowania o okresie przechowywania i przetwarzania danych osobowych użytkowników.

Opisane uprawnienia i narzędzia kontrolne użytkowników serwisów pozwalają do pewnego stopnia sprawować kontrolę nad procesem przetwarzania danych osobowych oraz niezbędnym okresem ich przechowywania przez operatora.

[srodtytul]Gdy klient nie płaci[/srodtytul]

Nie można jednak zapominać, że jednymi z podstawowych przesłanek zezwalających operatorom na przechowywanie i przetwarzanie danych osobowych użytkowników jest z jednej strony obowiązek udostępnienia danych użytkowników organom państwowym i innym podmiotom, uprawnionym do ich otrzymania (patrz ramka), z drugiej możliwość ich przetwarzania w celu dochodzenia przez operatora roszczeń z tytułu prowadzonej przez niego działalności gospodarczej (w formie serwisu internetowego, z którego korzysta użytkownik).

Jeśli zatem dane użytkownika zostały zebrane i były dalej przetwarzane przez operatora w celu świadczenia usługi w ramach serwisu (np. jednorazowego zamieszczenia ogłoszenia bez konieczności rejestracji użytkownika w serwisie), a usługa ta została wykonana (ogłoszenie zostało zamieszczone i upłynął termin jego prezentacji w serwisie), ale doszło do złamania regulaminu serwisu przez użytkownika (np. nie uiścił on opłaty, uiścił ją w niepełnej wysokości lub naruszył przepisy prawa), to dane osobowe użytkownika będą mogły nadal być przetwarzane i przechowywane przez operatora.

Nawet jednak wówczas przetwarzanie i przechowywanie będzie możliwe nie dłużej niż do chwili otrzymania przez niego wszystkich należności lub tak długo, jak długo uprawniony organ państwowy lub inny podmiot będzie mógł zwrócić się do operatora o udostępnienie tych danych.

[ramka][b]Służby mogą zażądać dostępu[/b]

Dane osobowe użytkowników serwisu, przetwarzane i przechowywane w danym celu przez operatora, mogą być wykorzystane przez osoby lub podmioty uprawnione do ich otrzymania od operatora na mocy przepisów prawa.

Dotyczy to m.in. organów państwa, którym operator jest zobowiązany udostępnić dane użytkowników na potrzeby prowadzonych przez te organy postępowań (art. 29 ust. 1 uodo oraz art. 18 ust. 6 [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=DFA77552EA949AF6736E40A6BBB086AE?id=166837]ustawy o świadczeniu usług drogą elektroniczną[/link]).

Podając swoje dane osobowe operatorowi, użytkownik serwisu powinien liczyć się z tym, że będzie z tych danych korzystał nie tylko operator, ale też podmioty, które na podstawie stosownych przepisów są uprawnione do wystąpienia do operatora z wnioskiem o udostępnienie danych.[/ramka]