Przetwarzanie danych osób trzecich: hamburski inspektor ochrony danych osobowych vs. Facebook

W myśl zasady, że warto uzyskać po lekturze tekstu kilka informacji, jak: kto, co, kiedy, itp., wypada odnotować doniesienia medialne o działaniach hamburskiego pełnomocnika ds danych osobowych związanych z serwisem Facebook. Chodzi o przetwarzanie danych osób, które nie są klientami tego serwisu, a których dane są przetwarzane w wyniku uzyskania ich od udostępniających swoje skrzynki kontaktowe (adresów poczty elektronicznej i numerów telefonicznych). Za pomocą takiego mechanizmu Facebook usiłuje poszerzać bazę kliencką, a regulator z Hamburga uważa, że dochodzi do naruszenia zasad przetwarzania danych osobowych. Jednocześnie warto postawić kilka pytań, wśród których jednym z ciekawszych jest chyba to, przeciwko komu hamburski regulator wszczął procedurę kontrolną? Przeciwko spółce z Kalifornii (USA), czy przeciwko spółce niemieckiej?

Kto? W Niemczech struktura regulatorów ochrony danych osobowych jest nieco bardziej skomplikowana niż w Polsce. Tam maja pełnomocników ds ochrony danych osobowych w poszczególnych Landach (Landesbeauftragte für den Datenschutz, Datenschutz Aufsichtsbehörden). Jednym z takich pełnomocników jest prof. Dr. Johannes Caspar, który jest regulatorem dla Hamburga (Aufsichtsbehörde für den Datenschutz im nicht-öffentlichen Bereich in Hamburg, Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit).

Kiedy? Tenże inspektor dwa miesiące temu opublikował na stronach urzędu tekst Sammlung der Daten von Nicht-Nutzern durch Facebook unzulässig, co przetłumaczymy na język polski, jako "niedopuszczalne jest gromadzenie przez Facebook danych o innych osobach" (bez ich zgody - trzeba by dodać). A chodzi o to, że już od połowy lutego hamburski Komisarz ds. Ochrony Danych i Wolności Informacji przygląda się działaniom serwisu Facebook, ponieważ otrzymuje od obywateli skargi. Zaniepokojenie wzbudziło zwłaszcza to, że ktoś, kto nie jest użytkownikiem serwisu otrzymuje komunikaty zachęcające go do przyłączenia się do tej sieci powiązań. Skąd Facebook zna dane osób, które nie są klientami tej firmy? Jedną z odpowiedzi jest to, że użytkownicy serwisu zachęcani są do dzielenia się ze spółką swoimi kontaktami, by spółka mogła rozszerzyć bazę konsumencką.

Co? Johannes Caspar jednak stwierdził, że dochodzi tu do pozyskiwania danych osobowych "za plecami" osób, których dane dotyczą, a to jest sprzeczne z zasadą bezpośredniego pozyskania danych od osoby (§ 4 Abs. 2 des Bundesdatenschutzgesetzes (BDSG) - federalnej ustawy o ochronie danych osobowych). Analizował również sytuację związaną z ewentualną możliwością przetwarzania danych po ich uzyskaniu nie od osoby, której dane dotyczą i doszedł do wniosku, że w analizowanej sytuacji spółka nie przestrzega zasad takiego przetwarzania danych (podobnie, jak w Polsce, należałoby spełnić wobec osoby, której dane dotyczą, szereg obowiązków informacyjnych, zapewnić też prawo sprzeciwu, etc.).

Z dostępnych komunikatów nie potrafię wywnioskować jakiemu właściwie podmiotowi przygląda się inspektor hamburski. Czy przygląda się spółce z siedzibą w Niemczech, czy też może spółce amerykańskiej? Jest tylko zasygnalizowana wątpliwość, czy przetwarzanie przez serwis Facebook danych pozyskanych od Niemców nie leży w sprzeczności z zasadami prawa międzynarodowego, w szczególności umów związanych z przekazywaniem danych osobowych z Unii Europejskiej do USA.

Prof. Johannes Caspar wezwał Facebook do przestrzegania niemieckich przepisów, w szczególności wezwał do zaprzestania przetwarzania danych osób, które nie są klientami wydawcy serwisu (bez ich wyraźnej zgody). Tak było w kwietniu.

Dziś w Sieci czytamy szereg doniesień dotyczących działań hamburskiego regulatora. Jest np. depesza PAP pt. Niemcy podejmują kroki prawne przeciwko Facebookowi, która opiera się na depeszy AP: Germany takes legal steps against Facebook. Dowiadujemy się z niej, że biuro hamburskiego regulatora (a więc nie całe Niemcy) uruchomiło procedurę kontrolną, że Facebook ma czas do 11 sierpnia, by formalnie ustosunkować się do zgłoszonych zarzutów, od czego też zależy, czy procedura będzie kontynuowana (a więc nie, że wydawca serwisu Facebook zostanie na pewno ukarany).

Nie wynika z tych depesz i informacji, czy hamburski regulator wysłał zarzuty do Palo Alto w Kalifornii (USA), czy przekazał je w inny sposób (i komu). Przypominana jest jednak historia zarzutów dotyczących Google Street View, gdy okazało się, że samochody jeżdżące po ulicach niemieckich miast gromadziły również informacje o "otwartych" sieciach bezprzewodowych w okolicach, przez które przejeżdżały (są zresztą notatki na ten temat na stronach hamburskiego regulatora: Google-Street-View-Fahrten werden auch zum Scannen von WLAN-Netzen genutzt, WLAN Desaster – Rückhaltlose und zügige Aufklärung gefordert oraz WLAN-Scanning durch Google – Überprüfung hat begonnen; nota bene: o działaniach szwajcarskiego regulatora ochrony danych osobowych pisałem w tekście Google Street View - kłopoty w Szwajcarii).

A na marginesie jeszcze warto przypomnieć tekst Poruszenie związane ze zmianą regulaminu nk.pl, co robię właściwie tylko po to, by odnotować komentarz Tomasza Grynkiewicza dla Wyborcza.biz: Stryjek z Naszej-klasy przeniósł się na Facebooka. Pisze on w kontekście zmian w regulaminie nk.pl, że Facebook i inne serwisu mają czasem dalej idące regulaminy niż nk, pozyskują zgody na przetwarzanie informacji na wielu różnych polach, ale nie zawsze je potem wykorzystują. Dlaczego:

I tu warto odpowiedzieć sobie na pytanie: skoro zapisy są od lat, dlaczego nie ma kubków ze zdjęciami z Facebooka? Z dwóch powodów: po pierwsze, Facebook doskonale wie, co to by była za granda, gdyby zdjęć tak użył. Po drugie, takich zapisów, podobnie jak Blip, Grono czy Nasza-klasa, potrzebuje na razie z zupełnie innych powodów. Przykładowo: do wyświetlania naszego zdjęcia w grach - widzą je inni gracze, wraz z naszymi osiągnięciami. A poza serwisem? Każda strona internetowa może zdjęcia swoich fanów z Facebooka wyświetlać u siebie...

Ale w przypadku sygnalizowanego zamieszania w Hamburgu raczej należałoby przywołać inną sprawę z polskiego podwórka, mianowicie historię opublikowania w serwisie nasza-klasa.pl zdjęcia klasowego. Zdjęcie opublikował ktoś, kto był użytkownikiem serwisu, ale na zdjęciu znajdował się wizerunek kogoś, kto użytkownikiem serwisu nie był i nie zamierzał nim być. Tu jest właśnie ta analogia do przetwarzania danych o osobach, które potencjalnie mogłyby być konsumentami przedsiębiorstwa, ale same w tym celu nie przekazały przedsiębiorstwu swoich danych.

Jak znam życie Facebook odpowie, że on nie przetwarza tych danych, a informacje do swoich znajomych przesyła sam "udostępniający swoje skrzynki kontaktowe" (jak chciałby hamburski regulator) użytkownik Facebooka.

Przeczytaj:

• Podpis pod zdjęciem w NK - uzasadnienie wyroku WSA w Warszawie (sygn. II SA/Wa 1495/08)
• Zdjęcie w Naszej-klasie: GIODO przegrał kasację (Naszej-klasy) w NSA
• O tym, że Sąd Apelacyjny potwierdził odpowiedzialność NK za naruszenie dóbr osobistych
• Uzasadnienie wyroku Sądu Apelacyjnego we Wrocławiu (sygn. I A Ca 1202/09)
• Wykorzystanie wizerunku w reklamie w "serwisie społecznościowym" naruszeniem dóbr osobistych

PS
Tymczasem 29 czerwca GIODO wydał kolejną decyzję w tej sprawie zdjęcia klasowego. GIODO uchyla zaskarżoną wcześniej decyzję administracyjną z 27 maja 2008 roku i odmawia uwzględnienia wniosku...