Nie mam działalności, czy RODO też mnie dotyczy?

Cały Internet jest wypełniony tekstami, poradnikami i szkoleniami o RODO, a część zainteresowanych wciąż ma wątpliwości, czy RODO ich dotyczy. Wszyscy bowiem piszą o przedsiębiorcach. A co z osobami fizycznymi, które nie prowadzą działalności, a przetwarzają dane osobowe?

Jeśli jesteś np. blogerką, która na swoim blogu nic nie sprzedaje, nie jesteś przedsiębiorcą, a swój newsletter wysyłasz tylko, by informować stałych czytelników o nowych postach na blogu, możesz pomyśleć, że Cię nowa regulacja nie dotyczy. Nic bardziej mylnego. Dotyczy Cię RODO – jak najbardziej. 

Dlaczego?

Odpowiedź na to pytanie wymaga pewnego wyjaśnienia. RODO zostało wprowadzone, by spełnić dwa główne cele. Pierwszy to oczywiście ochrona danych osobowych osób fizycznych. Drugi to swobodny przepływ danych osobowych między krajami. Zadaniem RODO jest ujednolicić regulacje dotyczące przepływu i ochrony danych w całej Unii Europejskiej, a także zadbać o bezpieczeństwo danych osób mieszkających na terenie UE, także poza UE.

Uznano, że dotychczasowe regulacje, które wprowadziły u siebie poszczególne kraje UE, mają zbyt wiele niespójności i trzeba to ujednolicić. W dobie Internetu rzeczy i rozwijających się nowych technologii dane są przetwarzane nie tylko przez przedsiębiorców, czy podmioty publiczne, ale także coraz częściej przez osoby fizyczne nie prowadzące działalności gospodarczej.  Dlatego wszelkie przetwarzanie danych osobowych zostaje objęte nowymi regulacjami, niezależnie, kto je przetwarza (jeśli nie robi tego  ramach czynności o czysto osobistym lub domowym charakterze). Zatem przetwarzanie przez osoby fizyczne również jest objęte RODO. 

Wątpliwości nie zostawia preambuła oraz art. 4 RODO:

W art. 4, który zawiera definicje, w pkt 7 mamy opis, kim jest administrator i brzmi on tak:

„administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

Co to oznacza dla Ciebie? Jako blogerka, która wysyła newsletter, jesteś takim administratorem. Twoim celem przetwarzania danych osobowych jest właśnie wysyłka newslettera. Masz także obowiązek określić sposób przetwarzania danych osobowych. Zatem ten zapis sprawia, że RODO Cię dotyczy, mimo że jesteś osobą fizyczną. Rodo wyraźnie mówi osoba fizyczna lub prawna już w pierwszych słowach tej definicji.

Niech Cię nie zmyli jeden z wyjątków

Rozporządzenie RODO przewiduje pewne wyjątki, kiedy przetwarzanie danych osobowych nie podlega regulacji rozporządzenia. Jeden z wyjątków, który może powodować mylne wrażenie, że może dotyczyć blogerów, którzy nie „zarabiają” na blogu, to zapis, że

rozporządzenie nie ma zastosowania do przetwarzania danych osobowych: przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze (art. 2)

oraz podobny zapis w preambule

(18) Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową.

Czym jest działalność osobista lub domowa?

Samo rozporządzenie na to odpowiada we wspomnianym punkcie preambuły:

Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności.

Jeśli po przeczytaniu tego opisu, powstało w Tobie przekonanie, że to właśnie mowa o blogerach, niestety muszę Cię rozczarować. Powyższy wyjątek dotyczy tylko relacji osobistych. Oznacza to mniej więcej tyle, że przetwarzanie danych osobowych (adresów, email, adresów fizycznych, czy np. fotografii oraz imienia i nazwiska) członków rodzimy i przyjaciół oraz znajomych bliższych i dalszych w celu utrzymania z nimi kontaktu i więzi społecznych nie będzie podlegało RODO.

Możesz więc dane takich osób trzymać w swoim notesie, telefonie, czy pliku, czyli możesz je zbierać i wykorzystywać np. do wysyłek kartek lub życzeń świątecznych, możesz poinformować o narodzinach nowego członka rodziny, czy wykorzystać do wysyłki newslettera do bloga, który jest dostępny tylko dla członków rodziny i przyjaciół oraz znajomych (czyli osób, z którymi łączy Cię relacja osobista, a nie sam fakt, że ktoś obcy czyta lub ogląda Twojego bloga).

Jako autor bloga adresowanego do otwartej publiczności wśród swoich subskrybentów masz osoby, z którymi nie łączy Cię relacja osobista. Wystarczy jedna taka osoba w grupie subskrybentów. W związku z tym wyjątek dotyczący przetwarzania danych w celach osobistych i domowych niestety nie dotyczy Twego bloga.

Jeśli jeszcze nie ogarnęłaś RODO u siebie na stronie internetowej lub blogu, możesz to zrobić krok po kroku z pomocą poniższego Pakietu. Spróbuj, to proste. Jasne instrukcje poprowadzą Cię krok po kroku.