Dalsze boje o usunięcie danych z Naszej-klasy (sąd i prokuratura wydały postanowienia)

Aczkolwiek nie mam wątpliwości, że o odpowiedzialności karnej N-K nie ma co w takim przypadku mówić.

--
pozdrawiam serdecznie, Olgierd

Tak się zastanawiam. Ktoś umieścił moje zdjęcie z moim nazwiskiem bez mojej zgody. Należy rozpatrzyć dwa przypadki:
a) nie znam (naprawdę) żadnych danych sprawcy
b) wiem, kto to zrobił
Jeżeli ma miejsce przypadek a), to w jaki sposób mogę wystąpić na drodze cywilnej, czyli sprawić by moje zdjęcie zostało usunięte?

Przypadek b) też nie jest jednoznaczny. Zrozumiałe jest, że jak znam dane adresowe Nowaka, czy innego Wiśniewskiego, to sprawa jest prosta. Ale co, gdy ich nie znam? Co gorsza, sprawca może przebywać stale za granicą nie tylko Polski, ale i Unii Europejskiej. Jak ustalić personalia sprawcy? Skoro nie jest to przestępstwo, to policja/prokuratura tego nie zrobi. Detektywa mógłbym sobie wynająć wiedząc, że sprawca mieszka(ł) tu czy tam a teraz pewnie bywa pod tym adresem odwiedzając rodziców. Ale sprawca zagraniczny to porażka - tylko z nakazem mogę próbować go namierzyć na podstawie IP. A nakazu nie dostanę...
A może się mylę? Jak to jest, gdy przysłowiowy Nowak zawinił, a ja nie wiem, gdzie go szukać ?

Czy zostało ono ostatecznie usunięte (przez administratorów, bądź umieszczających je użytkowników) ? Bo nie wiem jaki jest kontekst:
- wymiana pism między NK, sądem, prokuraturą, GIODO - i nic z tego nie zostało uznane za "wiarygodną wiadomość"

- podpis został usunięty, ale pokrzywdzony domaga się ukarania NK za ten czas zanim to nastąpiło?

Amanda napisał(a)

Czy zostało ono ostatecznie usunięte (przez administratorów, bądź umieszczających je użytkowników)? Bo nie wiem jaki jest kontekst:
- wymiana pism między NK, sądem, prokuraturą, GIODO - i nic z tego nie zostało uznane za "wiarygodną wiadomość"
- podpis został usunięty, ale pokrzywdzony domaga się ukarania NK za ten czas zanim to nastąpiło?

Pierwszego komentował nie będę, może to rodzaj ułomności urzędów, a może „miłość nierobienia nic”

A dane (imię i nazwisko) i zdjęcia są nadal na portalu NK (skąd Amanda ma taką wiedzę? ja to sprawdzałem przed chwilą)

Olgierd napisał

Aczkolwiek nie mam wątpliwości, że o odpowiedzialności karnej N-K nie ma co w takim przypadku mówić.

A przecież danych nie można przetwarzać bez zgody i wiedzy podmiotu danych chyba że wymagają tego ważne cele, zapisane w ustawie, co więcej w/g ustawy jest odpowiedzialność karna!

W swojej decyzji GIODO uznał:

1. GIODO uznał NK za administratora danych.
(NK nie ma ma umowy na piśmie z powierzającym dane, wobec tego w myśl KC faktu powierzenia danych przed sądem nie będzie mógł udowodnić, a przy takim niedopełnieniu ustawy to po stronie NK leży fakt dowodu powierzenia danych, zamieszczenie to nie powierzenie, ponadto w regulaminie NK sama nazywa się administratorem danych w portalu).

2. GIODO informacje o mnie uznał za przetwarzane moje dane osobowe przez portal NK.
(z tym się chyba każdy musi się zgodzić, po pierwsze jest to zgodne z ustawą o ODO, po drugie przecież to ustalił urząd GIODO).

3. Zawiadomienia i wezwania, które wysyłałem do NK są bezsprzecznie wiarygodnymi informacjami o bezprawnym charakterze danych
(w tym aspekcie nie ma chyba wątpliwości, choć art. 14 U o ŚUDE nie precyzuje formy odpowiedzialności karnej za nieuniemożliwienie dostępu do danych, to w piśmiennictwie jest kilkukrotnie taka odpowiedzialność wskazana).

Ustawa o ŚUDE
Art. 14. 1. Nie ponosi odpowiedzialności za przechowywane dane ten, kto udostępniając zasoby systemu teleinformatycznego w celu przechowywania danych przez usługobiorcę, nie wie o bezprawnym charakterze danych lub związanej z nimi działalności, a w razie otrzymania urzędowego zawiadomienia lub uzyskania wiarygodnej wiadomości o bezprawnym charakterze danych lub związanej z nimi działalności niezwłocznie uniemożliwi dostęp do tych danych.

Ustawa o ODO ;
Art. 54. Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
a teraz za co ta odpowiedzialność :
Art. 33. 1. Na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej:
1) jakie dane osobowe zawiera zbiór,
2) w jaki sposób zebrano dane,
3) w jakim celu i zakresie dane są przetwarzane,
4) w jakim zakresie oraz komu dane zostały udostępnione.
2. Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie.

Art. 25. 1. W przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:
1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych,
3) źródle danych,
4) prawie dostępu do treści swoich danych oraz ich poprawiania,
5) uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.
2. Przepisu ust. 1 nie stosuje się, jeżeli: 1) przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą,
3) dane te są niezbędne do badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej, ich przetwarzanie nie narusza praw lub wolności osoby, której dane dotyczą, a spełnienie wymagań określonych w ust. 1 wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania,
5) dane są przetwarzane przez administratora, o którym mowa w art. 3 ust. 1 i ust. 2 pkt 1, na podstawie przepisów prawa,
6) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.

Ale prawo prawem a życie sobie, a może ja coś źle pojmuję, prawnikiem nie jestem …na początku prosiłem NK o usuniecie nazwiska, wystarczyło usunąć….

Pozdrawiam
Tomasz W

administratorem takich danych jest ten, kto je umieszcza.

Czy to jest absolutnie pewne? Czyli - jeśli przykładowo stworzę serwis "moi znajomi" - do rejestracji będę wymagał tylko adresu email (przyjmijmy, że nie jest to dana osobowa) i dam każdemu możliwość aby wpisywał pełne dane swoich znajomych i decydował komu je udostępniać - to od ochrona danych osobowych mojego serwisu (mnie) nie dotyczy?

UODO Dz.U. 1997 nr 133 poz 883
Ustawa z dnia 29 sierpnia 1997 r o ochronie danych osobowych

Art. 31. 1. Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych.

(czy Nasza Klasa sp. z o.o. ma takie umowy?)

2. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

(czy umowa świadczenia usług Nasza Klasa sp. z o.o. z użytkownikami portalu reguluje zakres i cel przetwarzania danych?)

3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.
4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową.
5. Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19.

(...)

Art. 39. 1. Administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:
1) imię i nazwisko osoby upoważnionej,
2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,
3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.
2. Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

(chciałbym zobaczyć taka ewidencję?)

GIODO pan Serzycki na konferencji poświęconej Naszej Klasie powiedział: “Każdy powinien przeczytać regulamin, który tam jest zawarty (…) W tym regulaminie jest bardzo dużo miejsca poświęconego zasadom ochrony danych osobowych, i tutaj trzeba oddać hołd tym, którzy stworzyli, twórcom, portalu Nasza-klasa.pl, dlatego że rzeczywiście w sposób profesjonalny podeszli do tematu i bardzo dużo miejsca - jak powiedziałem wcześniej - poświęcili zasadom ochrony danych osobowych“. Bardzo dziwią mnie te słowa nie poparte żadnymi przepisami prawa.

Urząd GIODO musi zgodnie z obowiązującą wykładnią prawną zawsze stać na stanowisku, że akceptacja regulaminu, czy też polityki prywatności zamieszczonych na stronie nie są jednoznaczne z wyrażeniem zgody i spełnieniem obowiązków informacyjnych wynikających z ustawy o ochronie danych osobowych (Dz.U z 2000 r. Nr 98, poz 1071 z późn. Zm.).
Nasza Klasa sp z o.o. przetwarza dane swoich użytkowników (obecnie około 9 milionów a także i moje mimo, że nie jestem użytkownikiem portalu, bez mojej zgody). Dane zarejestrowanych użytkowników przetwarza na podstawie zgody, akceptacji regulaminu. Gdyby były wątpliwości, co do zasad przetwarzania danych osobowych twierdzi tak sama Nasza-Klasa sp. z o.o. ma w art. 5.1 regulaminu portalu ma zastosowanie Art. 7 pkt 1 ustawy o ochronie danych osobowych, który stanowi, że zgoda to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.

Rejestrując się na Naszej Klasie nigdzie nie wyrażamy niestety wyraźnej, bezpośredniej zgody na przetwarzanie danych. Akceptujemy jedynie Regulamin, wyrażamy zgodę na jego przestrzeganie… Zgoda na przetwarzanie danych jest więc “dorozumiana z oświadczenia woli o innej treści” - a to jest niezgodne z prawem - ergo zgoda jest nieskuteczna.

Brnijmy dalej - chociaż sama nieskuteczność zgody to już gwóźdź do trumny. Administrator danych, a takim administratorem jest spółka Nasza Klasa, jest zobowiązany w rozumieniu ustawy (Dz.U z 2000 r. Nr 98, poz 1071 z późn. Zm.) do poinformowania wszystkich osób, których dane są przetwarzane, o:

1. adresie swojej siedziby i pełnej nazwie,

2. celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,

3. prawie dostępu do treści swoich danych oraz ich poprawiania,

4. dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Czyżbyście ktoś miał nadzieję, że serwis spełnia te wymogi? Cóż, są to nadzieje płonne. Owszem, adres siedziby i nazwę znajdujemy, po dłuższych poszukiwaniach, w art. 3.1 Regulaminu. A reszta?

Weźmy na cel, cel przetwarzania danych, w brzmieniu regulaminu portalu ; “Dane osobowe oraz informacje zawarte w formularzu rejestracyjnym wykorzystywane będą przez Administratora do zawarcia, zmiany, rozwiązania umowy z Użytkownikiem oraz zapewnienia jak najwyższej jakości świadczonych usług.” Niby OK, ale już widać pewne niekonsekwencje - to w końcu zbieramy dane na podstawie zgody, czy w celu wywiązania się z umowy? Brak jest jakiejś jednolitej koncepcji.

Ale dalej trafiamy na prawdziwy majstersztyk, napisane jest: “Administrator uprawniony jest do ujawnienia danych osobowych wyłącznie podmiotom upoważnionym na podstawie właściwych przepisów prawa, zgodnie z zasadami Polityki Ochrony Prywatności, postanowieniami Regulaminu i obowiązującymi przepisami prawa.” Czytając ten zapis zgodnie z zasadami interpretacji norm, dochodzimy do wniosku, że udostępnienie danych może nastąpić wyłącznie podmiotom upoważnionym na podstawie właściwych przepisów prawa. Nikomu innemu! Ani jednemu użytkownikowi portalu…
W regulaminie brak też informacji o tym, czy dane są podawane dobrowolnie, czy też jesteśmy do tego zobligowani przepisem prawa, jakiego prawa ? Mamy nawet, nieco wprowadzające w błąd stwierdzenie, iż “Użytkownik ma obowiązek aktualizować dane podane w formularzu rejestracyjnym niezwłocznie po każdej zmianie tych danych.” Z czego wynika ten obowiązek, już się nie dowiadujemy.

Na koniec wrócę jeszcze do tematu zgody. Przetwarzanie danych wrażliwych (a do takich zalicza się wizerunek, jako ujawniający pochodzenie rasowe) wymaga uzyskania zgody pisemnej. Z problemem tym borykają się wszelkie serwisy społecznościowe, randkowe itp. Furtką pozwalająca na uniknięcie pisemnej zgody, którą obecnie w naszym kraju przez Internet zebrać jeszcze trudno, jest zamieszczanie zdjęć w taki sposób, by były dostępne wszelkim osobom odwiedzającym portal. Korzystamy wtedy z wyjątku przewidzianego w art. 27 ust. 2 pkt 8 ustawy o ochronie danych osobowych. W Naszej Klasie jest jednak inaczej. Zdjęć nie obejrzymy, bez zarejestrowania. Zdjęcia (profil) możemy zastrzec. Czyli, moim zdaniem, nici z “podania do wiadomości publicznej” - publicznej, czyli powszechnie dostępnej. Dodatkową kwestią są oczywiście wizerunki innych osób widniejących na zamieszczanych zdjęciach (klasowych i nie tylko). Tu nie ma już na 100% osobistego podania do wiadomości publicznej, czyli pisemna zgoda jest obowiązkowa…
Podsumowując, po wstępnej analizie regulaminu, uważam, że Nasza Klasa:

1. nie zebrała skutecznych pozwoleń na przetwarzanie danych swoich użytkowników,

2. nie spełniła w całości obowiązku informacyjnego,

3. udostępnia dane niezgodnie z własnym Regulaminem,

4. przetwarza dane wrażliwe bez pisemnych zezwolenia.

To nie tylko powody do wydania decyzji zakazującej przetwarzania danych, ale cała lista uchybień, za które grozi odpowiedzialność karna. Naprawdę jestem ciekaw, jak odniosą się do przedstawionych wniosków, inspektorzy GIODO wydający ponowną decyzję w mojej sprawie. Może i dość restrykcyjnie interpretuję niektóre zapisy ustawy, ale opieram się na dotychczasowej praktyce GIODO. Absolutnie nie chciałbym zamknięcia serwisu. Nie tędy droga. Pomysł takiego serwisu wydaje się być trafny. Ale dlaczego to ja mam być ofiarą nieznajomości prawa przez urzędników demokratycznego państwa? Moje dane to moje dobra osobiste i one podlegają ochronie prawnej.

Proszę poddać pod rozwagę moje wystąpienie, Ja się nie cofnę i nie pozwolę na łamanie moich praw obywatelskich wynikających, także z zapisów Konstytucji Rzeczpospolitej Polskiej.

Z poważaniem
Tomasz W

Przy okazji tego wątku może warto osadzić tę sytuację w pewnym kontekście, tj. w kontekście dyskusji nt. publikacji raportu z weryfikacji WSI. Dziś w tekście Prezydent nie opublikuje aneksu do raportu nt. WSI w wersji Wprost pisze za PAP:

"Teraz także można by opublikować aneks, ale należałoby usunąć olbrzymią ilość danych osobowych. Taki wariant również rozważam" - zaznaczył prezydent.

Wcześniej - jak niektórzy pamiętają - przy okazji ujawnienia raportu swoje rozważania na temat danych osobowych prowadził Trybunał Konstytucyjny; Trybunał Konstytucyjny uznał część ustawy o ujawnieniu raportu z weryfikacji WSI za niezgodną z konstytucją. Jak relacjonował wówcza serwis Money.pl:

Uzasadniając wyrok sędzia sprawozdawca Janusz Niemcewicz podkreślił, że podanie do wiadomości publicznej danych osobowych stanowi ingerencję w prawo prywatności, a nawet może prowadzić do napiętnowania tych osób.

Czym się różnie serwis Nasza-klasa od raportu z weryfikacji WSI w kontekście ujawniania danych osobowych? W przypadku WSI była ustawa, która dopuszczała (chociaż - co pokazuje wyrok TK, nie do końca) publikację nazwisk. Rzeczpospolita w tekście Prezydent na razie nie może ujawnić aneksu do raportu pisała:

W ustnym uzasadnieniu wyroku sędzia Janusz Niemcewicz mówił, że jeśli ustawa zakładała publikację nazwisk osób, które miały dopuszczać się nieprawidłowości, to jeszcze przed opublikowaniem raportu osoby te powinny mieć zagwarantowane prawo do wysłuchania ich przez komisję weryfikacyjną, mieć dostęp do akt sprawy oraz otwartą drogę do odwołania do sądu.

Niemcewicz podkreślił, że ustawa "godziła się" na głęboką ingerencję w sferę autonomii jednostki, przez co powstało niebezpieczeństwo zamieszczenia w raporcie informacji niezgodnych z prawdą. "Było też poważne ryzyko błędu przy opisie stanu faktycznego przedstawianych spraw" - dodał sędzia.

TK podkreślił, że osoby publiczne muszą liczyć się z krytyką, ale ustawa pozwalała też na ujawnienie danych o osobach prywatnych, które - jak podkreślił Niemcewicz - "mogły liczyć na zachowanie w tajemnicy faktu ich współpracy z WSI".

--
[VaGla] Vigilant Android Generated for Logical Assassination

Ostatnio spotkałem, się z taką sytuacją, że ktoś chcąc naruszyć dobre imię mojej znajomej rozsyłał zaproszenia do jej znajomych zapisanych na portalu n-k. Osoba ta działała z własnych pobudek emocjonalnych jednak w tych "emocjach" ujawniła dane wrażliwe (z art 27 ust o ochronie danych osobowych) mojej znajomej tak na koncie na naszej klasie jak i na reklamowanym na tym koncie blogu.
Po mailu wysłanym do administracji n-k i wskazaniu naruszeń bez zbednej zwłoki n-k zobowiązała się do najpierw ostrzeżenia a później usunięcia konta użytkownika-naruszyciela. Trzeba tu pochwalić administratorów.
Swoją droga znajoma zastanawia się nad złożeniem doniesienia przeciw osobie ujawniającej te dane, które ujawniła z zamierzeniem naruszenia dobrego imienia owej mojej znajomej.

a jednak sie da ;)

http://www.gp24.pl/apps/pbcs.dll/article?AID=/20090731/POMORZE/991566111

http://fakty.interia.pl/fakty_dnia/news/nasza-klasa-przegrala-przed-sadem,1346463