O niestandardowej praktyce serwisu randkowego Sympatia.pl dowiedzieliśmy się w efekcie eksperymentu redaktorów Zaufanej Trzeciej Strony (zob. Sympatia niczego się nie nauczyła na błędach Facebooka). Barbara Żbik, rzeczniczka Grupy Onet.pl, wyjaśniła, że zapisy umożliwiające serwisowi takie działanie zawarte są w regulaminie, który podczas rejestracji musi zaakceptować każdy użytkownik. Na prośbę jednego z Czytelników sprawdziliśmy, co myśli o tym GIODO.

Jak dowiedział się Dziennik Internautów, do GIODO nie dotarły żadne sygnały mogące sugerować, że działania Sympatii są sprzeczne z prawem. Grupa Onet.pl zarejestrowała u Generalnego Inspektora Ochrony Danych Osobowych zbiór o nazwie „Sympatia.pl - Baza profili użytkowników”, w którym za podstawę przetwarzania danych osobowych (w tym wizerunku) podała art. 23 ust. 1 pkt 1, pkt 3 i pkt 5 ustawy o ochronie danych osobowych.

- Oznacza to, że serwis ten przetwarza dane swoich użytkowników na podstawie ich zgody, a także dla realizacji zawieranej z nimi umowy oraz dla wypełnienia prawnie usprawiedliwionych celów, którymi są m.in. marketing produktów i usług administratora danych - wyjaśniła Małgorzata Kałużyńska-Jasak, rzecznik prasowy GIODO.

Generalny Inspektor nie prowadził w tej sprawie żadnego postępowania, a z wstępnej analizy regulaminu można wysnuć wniosek, że jeśli serwis Sympatia.pl będzie wykorzystywał zebrane dane osobowe dla celów, które wskazał w regulaminie, i osoby, których dane dotyczą, będą miały tego świadomość, to nie można mówić o nielegalnym przetwarzaniu danych osobowych - napisała przedstawicielka GIODO.

Kiedy przetwarzanie danych osobowych jest legalne?

Nie wszyscy potrafią odpowiedzieć na to pytanie, publikujemy więc poniżej szczegółowe wyjaśnienia GIODO w tej sprawie (pogrubienia pochodzą od redakcji):

Podstawy legalizujące przetwarzanie danych osobowych tzw. zwykłych (jak np. imię i nazwisko, adres zamieszkania, nr PESEL, adres e-mail) ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych wymienia w art. 23 ust. 1 pkt. 1-5. Każda z tych przesłanek jest równoprawna, co oznacza, że wystarczy spełnienie jednej, aby przetwarzanie danych było legalne. Wśród nich znajduje się m.in. zgoda osoby, której dane dotyczą. Przy czym ustawa nie wymaga, aby była to zgoda pisemna (może być też ustna), ale dla celów dowodowych lepiej, gdy jest ona złożona na piśmie. Przy wyrażaniu zgody najważniejsze jest jednak, aby osoba była świadoma, na co się godzi, tzn. komu, w jakim celu i w jakim zakresie udostępnia swoje dane osobowe. Pogląd taki znajduje odzwierciedlenie także w orzecznictwie. W wyroku z 4 kwietnia 2003 r. (sygn. akt II SA 2135/02) Naczelny Sąd Administracyjny uznał, że „Zgoda musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania”. Pamiętać również należy, że zgoda może być odwołana w każdym czasie.

Dla świadomego podjęcia zgody istotne znaczenie ma dopełnienie przez administratora danych tzw. obowiązku informacyjnego wynikającego – w przypadku zbierania danych osobowych od osoby, której one dotyczą – z art. 24 ust. 1 ustawy. Zgodnie z tym przepisem, administrator danych jest obowiązany poinformować osobę, od której pozyskuje dane, o: adresie swojej siedziby i pełnej nazwie (imieniu nazwisku, miejscu zamieszkania – w przypadku gdy administratorem jest osoba fizyczna); celu zbierania danych, a w szczególności o tym, komu zostaną one przekazane; prawie dostępu do treści swoich danych oraz ich poprawiania; dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Administrator danych, który pozyskuje dane osobowe za pośrednictwem zamieszczonego w sieci formularza, może spełnić powyższy obowiązek informacyjny w treści regulaminu, o ile regulamin ten jest dostępny do wglądu i jest możliwość zapoznania się z jego postanowieniami najpóźniej w momencie pozyskiwania danych osobowych. Przy czym spełnienie ww. obowiązku informacyjnego powinno następować niezależnie od wykazania podstawy prawnej (np. zgody) uprawniającej do przetwarzania danych osobowych.

Dodatkowo ustawa nakazuje administratorowi, aby zbierał dane tylko w takim zakresie, jaki jest niezbędny dla osiągnięcia celu ich przetwarzania oraz aby wykorzystywał dane tylko w tym celu, dla którego je pozyskał. W polskim prawie bowiem obowiązuje swoboda zwierania umów. Przystępując do serwisu czy portalu, zawieramy z administratorem danych umowę dotyczącą tego, w jaki sposób nasze dane będą przetwarzane i zgadzamy się na warunki przewidziane w regulaminie.

Reasumując, stwierdzić należy, że każdy sam podejmuje decyzję o ewentualnym korzystaniu z usług oferowanych przez portale internetowe i przekazaniu na te potrzeby swoich danych osobowych. Niemniej przed jej powzięciem powinien przeanalizować, czy podmiot oferujący określoną usługę spełnia wszystkie przewidziane przepisami prawa obowiązki, a ponadto zastanowić się, czy na pewno wie, komu i w jakim celu udostępnia swoje dane osobowe oraz czy są one adekwatne do celu, w jakim je podaje.

Wniosek nasuwa się prosty: zanim zarejestrujemy się w jakimś serwisie, powinniśmy uważnie przeczytać (nie tylko przejrzeć) jego regulamin. Może się bowiem okazać, że obowiązujące w nim zasady nam nie odpowiadają, chociaż są zgodne z prawem.