Piotr Ślusarczyk
RODO zaczęło mieć zastosowanie już niemal trzy miesiące temu. Po trzęsieniu ziemi powoli opada już kurz, a z mglistych rad i interpretacji klarują się modele i rozwiązania, które zaczynają być powielaną praktyką przy przetwarzaniu danych w komunikacji z mediami. Jaka konstrukcja prawna przetwarzania dominuje w działach komunikacji firm i agencjach public relations?
Prawnie uzasadniony interes - możliwy do wykorzystania i wygodny
Z naszych obserwacji wynika, że optymalną, a zarazem dominującą konstrukcją prawną gromadzenia i wykorzystania danych do komunikacji z mediami, jest prawnie uzasadniony interes administratora. Wynika to z faktu, że dane do komunikacji z mediami są zwykle publicznie dostępne na stronach internetowych mediów, a podstawa prawna określona przez artykuł 6 ust 1 lit f RODO pozwala przetwarzać takie dane zgodnie z prawem.
Wykorzystując jednak tę podstawę prawną, należy wypełnić obowiązek informacyjny względem osób, których dane dotyczą. Obowiązek ten trzeba zrealizować w okresie do 30 dni od zebrania danych, ale nie później niż pierwszą informacją wysłaną do tych osób (art. 14 ust. 3 lit. b).
Obwiązek informacyjny w przypadku tej podstawy prawnej jest zwykle wysyłany mailem. Musi zawierać informacje określone w artykule 14 ust. 1, w tym między innymi informować o prawie do wyrażenia sprzeciwu wobec przetwarzania. Wiadomo też, że wysyłka maila z obowiązkiem z wykorzystaniem ukrytej listy odbiorców może zostać zakwestionowana.
Zgoda - bezpieczna i perspektywiczna
Postrzeganą jako najbardziej bezpieczną podstawą przetwarzania jest zgoda pozyskana bezpośrednio od osoby, której dane dotyczą (art. 6 ust. 1 lit a). Odebranie od dziennikarza zgody na komunikację, to nie tylko możliwość wykorzystania innej podstawy przetwarzania danych, ale również spełnienie wymogów innych aktów prawnych, takich jak: Ustawa o świadczeniu usług drogą elektroniczną oraz Prawo telekomunikacyjne. Chodzi oczywiście o wyrażenie zgody na wysyłanie informacji.
Kanały komunikacji i łączenie zgód
RODO daje większą elastyczność w zakresie sposobu odbierania zgody i możliwości ewentualnego łączenia zgód. W tym zakresie nie są jednak tak liberalne inne akty prawne, gdzie dalej obowiązującą praktyką będzie oddzielna zgoda dla każdego kanału komunikacji.
W przypadku komunikacji z mediami dominują dwa kanały: mail oraz bezpośredni kontakt telefoniczny. Nie są to jednak kanały równoległe, a kontakt telefoniczny ma zwykle charakter pomocniczy. Z tego powodu wiele firm, definiując klauzule zgody dotyczące komunikacji z mediami, zdecydowało się świadomie połączyć zgodę na wysyłkę informacji mailem z możliwością bezpośredniego kontaktu telefonicznego. Argumentem za takim podejściem jest również specyfika media relations jako wąsko i precyzyjnie zdefiniowanego zestawu działań.
Cele przetwarzania danych i zakresy danych w komunikacji z mediami
Wprawdzie przed wejściem RODO zdarzały się przymiarki do ograniczenia przetwarzanych danych po 25 maja tylko do adresu poczty elektronicznej dziennikarza, ale to już przeszłość. Aktualnie zakresy przetwarzanych danych odzwierciedlają określone cele. Typowym i pożądanym zestawem danych w komunikacji z mediami jest zwykle: imię, nazwisko, mail, redakcja i telefon. Dotyczy to w szczególności formularzy subskrypcji w biurach prasowych i newsroomach firmowych.
W takim przypadku klauzula zgody, określająca cel przetwarzania na formularzu, obejmuje wysyłanie informacji prasowych i kontakt bezpośredni dotyczący współpracy medialnej - mailowy i telefoniczny. Oczywiście, aby być bardziej zgodnym z interpretacjami dotyczącymi łączenia zgód, można je rozbić na formularzach na dwa akapity i dwie zgody (checkboxy). Na formularzach widać jednak tendencję do tego, aby przynajmniej w zakresie maila i telefonicznego kontaktu bezpośredniego, te zgody łączyć.
Częściej można spotkać się z oddzielną zgodą dotyczącą wysyłania zaproszeń czy press-packów tradycyjną pocztą lub za pośrednictwem kurierów. To wydaje się być uzasadnione w przypadku agencji public relations i niektórych branż. Taki zabieg jest też zapewne dodatkową wartością, która może zachęcać do wypełnienia formularza przez dziennikarza.
Skrajnym przypadkiem w biurach prasowych jest zbieranie nawet czterech osobnych zgód na cztery kanały komunikacji. Oprócz maila, telefonu i adresu pocztowego, odbierana jest wówczas zgoda na komunikację za pośrednictwem SMS.
A co z celem przetwarzania dla danych gromadzonych ze źródeł publicznych na podstawie prawnie uzasadnionego interesu administratora?
Jest to ta informacja, którą administrator jest zobowiązany udostępnić tym wszystkim osobom, których dane przetwarza bazując na źródłach publicznych.
Jak je definiują firmy? Przykładowo:
Prowadzenie działań public relations i z zakresu marketingu takich jak udostępnianie informacji prasowych (o interesującym Państwa przedmiocie) oraz informacji o wydarzeniach organizowanych w Państwa okolicy, organizację konferencji prasowych i innych wydarzeń oraz innych akcji promocyjnych.
lub
Cele związane z działalnością [firma] o charakterze public relations, w tym w szczególności do przekazywania komunikatów lub informacji, które będą istotne w kontekście działalności dziennikarskiej i zawodowej.
Nie oceniamy ich poprawności. Myślimy jednak, że będą pomocne przy opracowaniu własnego celu przetwarzania dla komunikacji z mediami lub utwierdzenia się w przekonaniu, że cele w twojej firmie zostały opracowane lepiej.
Formularze czyli interfejs zbierania danych i kontaktu z dziennikarzem
Dużo wątpliwości istnieje cały czas w kwestii formularzy subskrypcji i kontaktu z dziennikarzami. Większość firm ma jednak świadomość, że jest to w zasadzie jedyna szansa na odebranie zgody na wysyłkę i kontakt (nie tylko na przetwarzanie) i komunikację w zgodzie z aktualnym ustawodawstwem.
Trudność przy budowie formularzy sprawia sposób realizacji obowiązku informacyjnego, który jest spory objętościowo i powoduje, że formularz staje się duży. Aby tego uniknąć firmy:
- „zwijają” klauzulę do pytań, które po kliknięciu się rozwijają
- wyświetlają okno, w którym można przewijać pełną treść klauzuli
- „zwijają” większą część klauzuli informacyjnej wyświetlając tylko jej początek, a pełna treść jest dostępna dopiero po kliknięciu
Nadal pojawiają się pomysły odniesienia do polityki prywatności na dodatkowych stronach, jednak takie rozwiązanie budzi wątpliwości większości działów prawnych i praktycznie nie jest już dziś stosowane.
Nic się nie stało, nikogo nie ukarano…
Wprawdzie UODO informuje o setkach zgłoszeń naruszeń, ale nikogo w branży PR jeszcze nie ukarano. Specyfika branży nie stwarza wprawdzie przesadnie dużego ryzyka, ale wcale nie znaczy to, że można wrócić do działania „po staremu”.
Zasady ochrony danych osobowych wynikające z RODO mają charakter ciągły. Oznacza to konieczność ustalenia procedur dopisywania nowych kontaktów do baz danych, czy dodatkowe zadania przy kontakcie z dziennikarzami. Trzeba też pamiętać, że public relations to nie tylko dziennikarze i komunikacja z mediami. Dlatego jeżeli np. chcemy wysłać zaproszenie na konferencję do partnerów biznesowych, nie możemy bez odpowiedniego przygotowania, na chybił-trafił, „wgrać” bazy do systemu newsroomu/biura prasowego i wysłać im zaproszenia. To nowy profil odbiorców, inna podstawa przetwarzania, inny cel, klauzule etc. To po prostu zbiór danych osób, w stosunku do których należy wypełnić obowiązki wynikające z RODO - m.in. każdy, w dowolnym momencie, ma prawo dostępu do swoich danych i informacji o tym, przez kogo i jak są one przetwarzane.
Na pewno przed odpowiedzialnością prawną nie ustrzeże firm ukrycie formularza rejestracyjnego w biurze prasowym i/lub udawanie, że informacje nie są wysyłane do mediów, a baza danych to tylko 100 znajomych dziennikarzy w telefonie rzecznika prasowego. W przypadku dużej firmy lub agencji to raczej zwrócenie uwagi, że coś z tym przetwarzaniem danych może być nie tak.
Trzeba również zauważyć, że wysłanie informacji z indywidualnego maila nie zwalnia firmy z jakichkolwiek obowiązków oraz realizacji praw względem osób, których dane dotyczą. Co więcej - realizację tych praw tylko utrudnia lub wręcz uniemożliwia. Nie mają w przypadku komunikacji z mediami zastosowania wymówki takie jak trudność techniczna czy nieadekwatne koszty.
Jesteś już naszym klientem?
Firmy, które korzystają z naszego oprogramowania i mają wątpliwości, czy aktualna konfiguracja odzwierciedla zastosowaną w organizacji konstrukcję prawną przetwarzania oraz zapewnia realizację praw osób, których dane dotyczą, prosimy o kontakt pod adresem: support@netpr.pl.
Powyższy tekst nie jest poradą prawną i opiera się na obserwacjach działań podejmowanych przez działy PR marek oraz agencje PR.