RODO a Facebook

Przetwarzanie danych osobowych w ramach portalu Facebook

W efekcie tego, iż portal Facebook stał się nieodłącznym elementem codziennego życia wielu z jego użytkowników, którzy wykorzystują go w ramach swojego życia prywatnego lub zawodowego, bazy danych tego portalu zawierają ogromne ilości informacji o każdej z osób, która z niego korzysta. Obejmują one nie tylko dane umożliwiające identyfikację określonego człowieka, ale także historię jego kontaktów, listę znajomych, zapisy rozmów z innymi użytkownikami, dane o zainteresowaniach, poglądach lub wizerunku określonej osoby.  Wskazują również na to, które treści w szczególny sposób interesują danego użytkownika, a które nie są dla niego istotne.

Użytkownicy portalu Facebook, dokonując na nim rejestracji, zobowiązani są do podania określonych danych osobowych. W związku z zarejestrowaniem swojego konta na portalu, użytkownik zawiera umowę z portalem Facebook, na mocy której Facebook świadczy usługi drogą elektroniczną na rzecz osób, które zdecydowały się skorzystać z jego funkcjonalności. Poszczególne postanowienia tej umowy zawarte są w regulaminie portalu społecznościowego.

Tym samym podstawą do przetwarzania danych osobowych użytkowników Facebooka jest niezbędność ich przetwarzania w celu wykonania umowy zawartej z portalem. W związku z tym, Facebook nie jest zobowiązany do zbierania zgody na przetwarzanie danych osobowych swoich użytkowników w tym zakresie, w jakim jest to niezbędne do świadczenia usług na rzecz swoich użytkowników.  W takim przypadku nie ma znaczenia brak odpłatności za daną usługę. Możliwe jest bowiem zawarcie umowy, w ramach której poszczególni użytkownicy nie są zobowiązani do zapłaty jakichkolwiek kwot pieniężnych związanych z korzystaniem z usług portalu społecznościowego.

Czy Facebook musi przestrzegać przepisów RODO?

Facebook świadczy swoje usługi na całym świecie, w tym na terenie Unii Europejskiej. Portal społecznościowy jest dostosowany do tego, że korzystają z niego osoby z różnych państw i umożliwia np. wyświetlanie treści w swoim języku ojczystym czy też (w przypadku biznesowych usług Facebooka) płacenie w swojej lokalnej walucie. Tym samym możliwe jest uznanie, że Facebook nie ogranicza swojego zasięgu jedynie do terenu Stanów Zjednoczonych.

Przepisy RODO wskazują, że zasady wynikające z rozporządzenia ogólnego o ochronie danych (czyli właśnie RODO) stosuje się nie tylko do podmiotów, które mają siedzibę na terenie Unii Europejskiej. Powinny być uwzględniane także przez te podmioty które świadczą usługi skierowane do do osób, przebywających na terenie Unii Europejskiej, nawet jeśli administrator danych lub podmiot przetwarzający (czyli podmiot, który świadczy usługi) nie ma siedziby na terenie Unii Europejskiej. Istotne jest natomiast to, że taka organizacja oferuje towary lub usługi osobom przebywającym na terenie Unii Europejskiej w Unii – niezależnie od tego, czy wymaga się od tych osób zapłaty lub monitoruje zachowania tych osób.

Portal Facebook kieruje swoje usługi również do osób na terenie Unii Europejskiej. Ponadto, monitoruje zachowania osób których dane dotyczą, badając np. ich preferencje zakupowe, poglądy i zainteresowania, aby następnie skierować do tych osób dedykowane oferty handlowe.

Co więcej, zgodnie z treścią regulaminu świadczenia usług portalu Facebook oraz polityką prywatności tego portalu, administratorem danych osobowych użytkowników spoza terenu USA lub Kanady jest Spółka Facebook Ireland, a więc organizacja mająca swoją siedzibę na terenie Unii Europejskiej. Również z tego powodu Facebook musi przetwarzać dane osobowe swoich użytkowników, uwzględniając wymogi wskazane w treści RODO.

Przetwarzanie danych zgodnie z programem tarcza prywatności

Istotne jest również to, że Facebook dobrowolnie przystąpił do programu tarcza prywatności. Jest to stworzony przez Unię Europejską i rząd USA specjalny program, na mocy którego podmioty amerykańskie mogą dobrowolnie zadeklarować, że przestrzegają unijnych regulacji dotyczących ochrony danych osobowych. Jednym z podmiotów, który złożył stosowną deklarację jest właśnie Facebook Inc. Oznacza to, że amerykański departament handlu może kontrolować przestrzeganie zasad wynikających z RODO właśnie przez tę amerykańską spółkę. Ponadto, osoby których dane dotyczą, będące obywatelami Unii Europejskiej mogą zgłaszać skargi związane z ewentualnym złamaniem przepisów wynikających z RODO przez Facebook do swoich lokalnych organów nadzorczych, zajmujących się ochroną danych osobowych. W Polsce takim organem będzie Prezes Urzędu Ochrony Danych Osobowych. Warto również podkreślić, że przystępując do programu tarcza prywatności Facebook zobowiązuje się do wdrożenia odpowiednich technicznych i organizacyjnych zabezpieczeń przetwarzanych przez siebie danych. Może to obejmować np. wdrożenie polityki bezpieczeństwa danych osobowych czy też przeciwdziałanie naruszeniom ochrony danych osobowych.

Klauzule dotyczące ochrony danych osobowych

Z uwagi na to, że Facebook jako administrator danych swoich użytkowników jest zobowiązany do tego, aby przestrzegać unijnych regulacji dotyczących ochrony danych osobowych, powinien on stosować w ramach swojego portalu klauzule dotyczące ochrony danych osobowych zgodne z RODO. Dotyczy to w szczególności kwestii informowania osób, których dane dotyczą o tym, że ich dane osobowe są przetwarzane, wraz z szeregiem informacji na ten temat czy też uzyskiwanie odpowiednich zgód na przetwarzanie danych osobowych użytkowników, których treść spełniała będzie wymogi rozporządzenia. Stosownie do treści przepisów RODO, zgoda powinna być bowiem wyrażona dobrowolnie, jednoznacznie, świadomie, a jej treść musi być odpowiednio skonkretyzowana. Ponadto zgoda powinna być wyrażona w drodze oświadczenia lub wyraźnego działania potwierdzającego. Tym samym akceptacja zgód poprzez zaakceptowanie samego regulaminu świadczenia usługi jest niewystarczająca. Na tej podstawie Facebook może przetwarzać dane osobowe jedynie w celu umożliwienia korzystania ze swoich funkcjonalności. W przypadku jednak gdy chce wykorzystywać dane osobowe użytkowników w innych celach, przykładowo aby wyświetlać im dedykowane oferty marketingowe, oparte na ich dotychczasowych preferencjach, historii odwiedzanych stron internetowych, wieku, płci czy też lokalizacji, powinien uzyskać w tym zakresie odrębną zgodę na przetwarzanie danych osobowych.

Prawo do bycia zapomnianym na przykładzie portalu Facebook

RODO umożliwia osobom, których dane dotyczą skorzystanie z możliwości zażądania usunięcia swoich danych osobowych. W przypadku bowiem gdy dany użytkownik nie chce już korzystać z usług portalu i informuje portal o swojej decyzji, brak jest już podstawy prawnej do dalszego przetwarzania danych osobowych takiego użytkownika. Nie są bowiem one już niezbędne administratorowi do dalszego świadczenia usługi. W związku z tym użytkownik ma prawo zażądać od Facebooka usunięcia wszystkich danych osobowych, które go dotyczą, a portal zobowiązany jest do spełnienia takiego żądania i wykasowania wszystkich informacji o tej osobie. Ponadto, jeżeli Facebook przekazał te dane innym podmiotom, powinien uwzględnić tę kwestię i zobowiązać dalszych odbiorców danych osobowych do tego, aby również dokonali ich usunięcia.

Sprawdź również:

• Nowa Ustawa o Ochronie Danych Osobowych - porównanie
• Analiza ryzyka zgodnie z RODO
• Rejestr czynności przetwarzania