W dzisiejszym wpisie omawiamy ważne orzeczenie Trybunału Sprawiedliwości UE, które ma duże znaczenie dla wszystkich Sprzedawców Internetowych oraz Właścicieli serwisów internetowych korzystających na stronie swojego sklepu lub serwisu internetowego z wtyczek społecznościowych serwisu Facebook (np. przycisk Lubię to!, Udostępnij lub logowanie za pomocą danych logowania do serwisu Facebook). W skrócie – w takim wypadku stajesz się współadministratorem danych osobowych razem z Facebookiem i tym samym musisz wypełniać wobec osób korzystających z witryn obowiązek informacyjny (art. 13 ogólnego rozporządzenia o ochronie danych ─ Rozporządzanie RODO).
Jeżeli spełniasz ten warunek, to koniecznie zapoznaj się z dalszą częścią artykułu oraz zaktualizuj swoją politykę prywatności o wymagane informacje. Ważne! Nasi Klienci posiadający aktywną opiekę prawników Prokonsumencki.pl otrzymają lub już otrzymali stosowną aktualizację polityki prywatności wraz ze skróconą klauzulą informacyjną na swoją skrzynkę mailową do wdrożenia na stronie sklepu, tak aby właściwie dostosować się do zmian w prawie. Jeżeli nie jesteś jeszcze naszym Klientem albo nie jesteś już objętym naszym monitoringiem, to zapraszamy do kontaktu.
Co wyrok Trybunału Sprawiedliwości UE oznacza dla Sprzedawców Internetowych
Z wyroku, który 29 lipca 2019 r. wydał Trybunał Sprawiedliwości UE. Chodzi o wyrok TSUE z 29 lipca 2019 r. w sprawie C-40/17* Fashion ID GmbH & Co.KG przeciwko Verbraucherzentrale NRW eV. wynika, że Sprzedawca Internetowy (ale także właściciel serwisu internetowego) korzystający na swojej stronie z wtyczki spółecznościowe serwisu Facebook staje się administratorem danych osobowych wspólnie z Facebook Ireland, w odniesieniu do operacji gromadzenia danych osobowych osób odwiedzających jej witrynę internetową i ich ujawniania poprzez transmisję.
W tym wyroku wskazano konkretnie wtyczkę Lubię To, ale podobne zasady działania w omawianym zakresie mają także inne wtyczki społecznościowe udostępniane przez Facebooka – np. Udostępnij lub logowanie za pomocą danych logowania do serwisu Facebook.
Trybunał wskazał, że w takim wypadku:
- odpowiedzialność sprzedawcy jest ograniczona do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby rzeczywiście on określa, mianowicie gromadzenia rozpatrywanych danych i ich ujawniania poprzez transmisję;
- podmiot prowadzący witrynę powinien mieć podstawę do takiego przetwarzania danych osobowych – TSUE wskazał tutaj na dwie możliwe podstawy – uzasadniony interes administratora lub zgoda;
- na sprzedawcy ciąży obowiązek informacyjny, przy czym jednak informacja, jaką ten ostatni musi przedstawić osobie, której dane dotyczą, powinna odnosić się wyłącznie do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby on określa.
Reasumując – mając takie wtyczki na stronie stajemy się współadministratorami danych razem z Facebookiem, co z kolei powoduje, że musimy w tym zakresie spełnić dodatkowy obowiązek informacyjny wobec osób odwiedzających naszą witrynę – najczęściej ten obowiązek będzie spełniany w polityce prywatności. Pamiętajmy jednak, że niezależnie od zmian na stronie sklepu konieczna jest aktualizacja w tym zakresie dokumentacji wewnętrznej RODO (polityki bezpieczeństwa lub innego właściwego dokumentu).
Pełna treść orzeczenia dostępna jest tutaj: Wyrok TSUE z 29 lipca 2019 r. w sprawie C-40/17* Fashion ID GmbH & Co.KG przeciwko Verbraucherzentrale NRW eV.
Stanowisko Prezesa UODO na temat wtyczki Lubię To na stronie internetowej
W odpowiedzi na powyższe orzeczenie TSUE swoje stanowisko zajął także Prezes UODO (Urzędu Ochrony Danych Oosobowych). Prezes UODO zwrócił uwagę przede wszystkim na:
- obowiązek informacyjny na stronie sklepu / serwisu / strony internetowej (np. polityka prywatności):
Urząd Ochrony Danych Osobowych przypomina podmiotom korzystającym z wtyczek społecznościowych Facebooka „Lubię to”, aby wypełniać wobec osób korzystających z witryn obowiązek informacyjny (art. 13 ogólnego rozporządzenia o ochronie danych ─ RODO). Osoba odwiedzająca taką witrynę musi wiedzieć, że operator przekazuje jej dane Facebookowi. Dane to informacje o adresie IP i identyfikatorze przeglądarki użytkownika. Sklepy internetowe czy inne podmioty prowadzące działalność przez Internet powinny uzupełnić klauzule informacyjne na swoich stronach internetowych, jeżeli dotychczas takich informacji nie zamieściły, a korzystają z wtyczki społecznościowe „Lubię to”. Obowiązek informacyjny powinien być spełniony przed gromadzeniem i przekazywaniem danych Facebookowi.
- zapewnienie podstawy przetwarzania danych osobowych:
Kolejna istotna dla operatorów witryn kwestia, to konieczność dysponowania przesłanką do przetwarzania danych osobowych w zakresie przekazywania tych danych portalowi społecznościowemu Facebook (zgoda, prawnie uzasadniony interes). Zgoda osoby, której dane dotyczą musi być uprzednia, a więc wyrażona przed rozpoczęciem gromadzenia i przekazywania danych. […] Jak orzekł Trybunał Sprawiedliwości w przypadkach, w których przetwarzanie jest konieczne do realizacji uzasadnionych interesów, każdy ze współadministratorów danych, mianowicie operator witryny internetowej i dostawca wtyczki społecznościowe, musi w ramach gromadzenia i przekazywania danych uzasadnić, dlaczego te operację są w jego działalności potrzebne.
- aktualizacja dokumentacji wewnętrznej dot. przetwarzania danych osobowych:
Kolejna niezbędna czynność, to uwzględnienie przez wspomnianych operatorów w ich politykach bezpieczeństwa kwestii przekazywania danych osobowych Facebookowi w związku z korzystaniem z wtyczki „Lubię to”.
- zapewnienie realizacji praw osobom, których dane dotyczą:
Ponieważ operatorzy witryn internetowych wraz z dostawcą wtyczki społecznościowe (Facebook), w zakresie zbierania i transmisji danych Facebookowi, zostali uznani przez Trybunał Sprawiedliwości UE za współadministratoratorów danych osobowych osób odwiedzających te witryny muszą pamiętać o jeszcze jednej ważnej czynności. Powinni oni zapewnić, aby osoba, której dane dotyczą miała całkowitą pewność, do którego administratora danych się zwrócić, jeżeli zamierza wykonać prawo lub prawa przysługujące jej na mocy RODO (art. 26 ust. 2 RODO).
Pełna treść stanowiska UODO dostępna jest tutaj: Użycie wtyczki „Lubię to” prowadzi do współadministrowania danymi osobowymi
Podsumowanie
Wyrok TSUE z 29 lipca 2019 r. w sprawie C-40/17 uświadamia, ze do kwestii przetwarzania danych osobowych należy podchodzić bardzo uważnie – każdy właściciel strony internetowej jest zobowiązany zbadać czy i jakie wtyczki społecznościowe ma zainstalowane na swojej stronie oraz czy i jakie dane przetwarza za ich pośrednictwem. Podobnie bowiem jak w tym konkretnym wypadku może się okazać, ze stajemy się współadministratorami danych i tym samym ponosimy odpowiedzialnośc za ich przetwarzanie oraz za spełnienie wymaganych prawem obowiązków informacyjnych.
Jeżeli zatem korzystasz na swojej stronie z wtyczek społecznościowych Facebooka, to koniecznie dostosuj się do wymogów wskazanych wyżej. Zmiany powinny dotyczyć przede wszystkim polityki prywatności. Dodatkowo, w celu zachowania zasady przejrzystości zalecamy umieścić skróconą klauzulę informacyjną bezpośrednio przy wtyczce Facebooka na stronie sklepu (gwarantuje to, że osoba odwiedzająca stronę, uzyska informację na temat przetwarzania danych). Zdajemy sobie sprawę, że w wielu przypadkach dodanie takiej klauzuli może być problematyczne pod kątem technicznym, dlatego też zalecamy, aby umieścić informację w polityce prywatności, a przy wtyczce serwisu społecznościowego – w miarę możliwości technicznych.
Ważne! Nasi Klienci posiadający aktywną opiekę prawników Prokonsumencki.pl otrzymają lub już otrzymali stosowną aktualizację polityki prywatności wraz ze skróconą klauzulą informacyjną na swoją skrzynkę mailową do wdrożenia na stronie sklepu, tak aby właściwie dostosować się do zmian w prawie. Jeżeli nie jesteś jeszcze naszym Klientem albo nie jesteś już objętym naszym monitoringiem, to zapraszamy do kontaktu.
A czy wtyczka Pinterest ma adekwatne zastosowanie? Tweet , Tumblr czy google?