Autor: Jakub Bonowicz

Forum dyskusyjne – usuwanie konta i postów byłego użytkownika

Jestem administratorem forum dyskusyjnego. Jeden z użytkowników zażądał usunięcia konta i wszystkich swoich postów. Konto oczywiście usunąłem, zastanawiam się jednak, co zrobić z postami. Obecnie są oznaczone jako wpisy osoby usuniętej – ich usuwanie po kolei zajmie mi sporo czasu i wprowadzi chaos w wątkach. Czy faktycznie muszę usuwać te posty? Przesyłam też nasz regulamin.

Są dwie kwestie – usunięcia konta i usunięcia postów.

Konto jest Pan bezwzględnie obowiązany usunąć, jeśli zawiera jakiekolwiek dane osobowe użytkownika.

Znajduje tutaj zastosowanie ustawa z 18.07.2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204). Zgodnie z art. 2 pkt 4 ustawy świadczenie usług drogą elektroniczną oznacza „wykonanie usługi świadczonej bez jednoczesnej obecności stron (na odległość), poprzez przekaz danych na indywidualne żądanie usługobiorcy, przesyłanej i otrzymywanej za pomocą urządzeń do elektronicznego przetwarzania, włącznie z kompresją cyfrową, i przechowywania danych, która jest w całości nadawana, odbierana lub transmitowana za pomocą sieci telekomunikacyjnej w rozumieniu ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne”. W tym wypadku usługa świadczona przez administratora forum internetowego polega na udostępnianiu zasobu teleinformatycznego w celu przechowywania danych przez usługobiorców (art. 14 ust. 1 ustawy). Przepisy tej ustawy nakładają na administratora (usługodawcę) określone obowiązki, które nie są zależne od tego, czy usługi są świadczone odpłatnie, czy nieodpłatnie (jak w przypadku forum internetowego).

Zgodnie z art. 16 ust. 1 „do przetwarzania danych osobowych w rozumieniu ustawy z 29.08.1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926) w związku ze świadczeniem usług drogą elektroniczną stosuje się przepisy tej ustawy, o ile przepisy niniejszego rozdziału nie stanowią inaczej”. Zatem w przypadku przetwarzania danych osobowych przez usługodawcę w związku ze świadczeniem przez niego usług drogą elektroniczną mamy do czynienia z zasadą kumulatywnej ochrony danych osobowych użytkownika (usługobiorcy) – stosujemy zarówno przepisy ustawy o ochronie danych osobowych, jak i przepisy ustawy o świadczeniu usług drogą elektroniczną, z czego ta druga ustawa ma tutaj pierwszeństwo, a zapewnia ona silniejszą ochronę. Po pierwsze, zgodnie z art. 17 dane osobowe usługobiorcy mogą być przetwarzane przez usługodawcę wyłącznie w celu i zakresie określonym w ustawie o świadczeniu usług drogą elektroniczną. Ustawa zatem wyznacza dopuszczalne granice przetwarzania danych. Po drugie, zgodnie z art. 16 ust. 2 „dane osobowe podlegają ochronie przewidzianej w ustawie o świadczeniu usług drogą elektroniczną w zakresie ich przetwarzania, niezależnie od tego, czy jest ono dokonywane w zbiorach danych”. Nie ma więc w ogóle znaczenia, czy dane zbierane przez usługodawców (administratorów) tworzą jakiś zbiór, czy nie i czy istniał obowiązek rejestracji, czy też nie. Jest to zresztą zharmonizowane z art. 2 ust. 2 pkt 2 ustawy o ochronie danych osobowych, zgodnie z którym ustawę stosuje się do przetwarzania danych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych. Ponieważ zwykle przy świadczeniu usług drogą elektroniczną dane osobowe są przetwarzane w systemie informatycznym, zatem art. 2 ust. 2 pkt 2 ustawy o ochronie danych osobowych i art. 16 ust. 2 ustawy o świadczeniu usług drogą elektroniczną mają tą samą treść (w tym wypadku).

Zgodnie z art. 6 ust. 1 ustawy o ochronie danych osobowych „w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników, określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Zatem to, czy dane podane przy rejestracji użytkowników w serwisie są objęte ochroną, zależy od tego, czy spełniają one kryteria z tego przepisu. Sam adres e-mail może być albo nie daną osobową. Przykładowo adres e-mail taki jak johnnnyy28@wp.pl nie będzie daną osobową, bo nie jest na jego podstawie możliwe zidentyfikowanie osoby fizycznej, a nawet jeśli jest, to wymaga to nadmiernych kosztów, czasu lub działań. Ale już adres typu Jan.kowalski@nazwa.firmy.pl jest daną osobową – zawiera imię, nazwisko oraz nazwę firmy, w której pracuje właściciel adresu, co pozwala na jego bezproblemową identyfikację. Również maile zawierające imię i nazwisko będą zwykle danymi osobowymi. Ponadto wiele danych, które same w sobie nie są danymi osobowymi, może nimi być w zestawieniu z innymi. Np. imię nie jest daną osobową, ale imię w zestawieniu z nazwiskiem – zwykle tak, a imię, nazwisko + data urodzenia już z całą pewnością tak.

Znajdzie zastosowanie art. 19 ust. 1 ustawy o świadczeniu usług drogą elektroniczną, zgodnie z którym „usługodawca nie może przetwarzać danych osobowych usługobiorcy po zakończenia korzystania z usługi świadczonej drogą elektroniczną”, z wyjątkiem przetwarzania tych spośród danych, które są:

1. niezbędne do rozliczenia usługi oraz roszczeń z tytułu płatności za korzystanie z usługi (jeśli usługa była bezpłatna, to przepis ten nie ma zastosowania);
2. niezbędne do celów reklamy, badania rynku oraz zachowań i preferencji usługobiorców, z przeznaczeniem wyników tych badań na potrzeby polepszenia jakości usług świadczonych przez usługodawcę, ale tylko za zgodą usługobiorcy;
3. dopuszczone do przetwarzania na podstawie odrębnych ustaw lub umowy;
4. niezbędne do wyjaśnienia okoliczności niedozwolonego korzystania z usługi, o którym mowa w art. 21 ust. 1.

Jeśli np. wypowiedzi użytkownika na forum zostałyby usunięte z powodu naruszenia przez niego regulaminu forum, to administrator może przetwarzać dane osobowe w podanym zakresie. Zgodnie bowiem z art. 21 ust. 1 „w przypadku uzyskania przez usługodawcę wiadomości o korzystaniu przez usługobiorcę z usługi świadczonej drogą elektroniczną niezgodnie z regulaminem lub z obowiązującymi przepisami (niedozwolone korzystanie), usługodawca może przetwarzać dane osobowe usługobiorcy, w zakresie niezbędnym do ustalenia odpowiedzialności usługobiorcy, pod warunkiem że utrwali dla celów dowodowych fakt uzyskania oraz treść tych wiadomości”. Natomiast jeśli coś takiego nie miało miejsca, użytkownik przestrzegał regulaminu forum, nie było żadnych zgłoszeń co do jego wypowiedzi, to art. 21 ust. 1 nie znajdzie zastosowania i administrator ma obowiązek usunąć dane.

Tak więc z zakazu przetwarzania danych osobowych użytkownika po zakończeniu korzystania przez niego usługi wynika nakaz usunięcia jego konta.

Natomiast drugą kwestią jest usunięcie postów.

Otóż cały problem polega na tym, iż regulamin nie zawiera żadnej regulacji na ten temat. Jako osoba mająca duże doświadczenie w obsłudze e-commerce i autor bardzo wielu takich czy podobnych regulaminów, niestety nie mogę się pozytywnie wypowiedzieć na temat Państwa regulaminu. Określa on dość szczegółowo zasady publikacji treści, natomiast nie zawiera podstawowej rzeczy. Żadne przepis regulaminu wprost nie wskazuje, że użytkownik wyraża zgodę na publikowanie na forum jego treści, co – jak się wydaje – powinno być oczywistym przepisem regulaminu. A skoro nie ma przepisu, iż użytkownik wyraża zgodę na publikację jego treści, to tym bardziej nie może być przepisu określającego, iż użytkownik nie może żądać ich usunięcia.

Nie ma wątpliwości moim zdaniem, że bezwzględnie powinien Pan (przy braku regulacji w regulaminie) usunąć te oznaczenia autora wypowiedzi, które stanowią dane osobowe. Nie wiem, jak podpisywał się użytkownik pod postami, ale jeśli np. charakterystycznym imieniem i nazwiskiem czy adresem e-mail, to wtedy mogą być to dane osobowe. Jeśli był to tylko nick, to w zasadzie nie ma obowiązku jego usuwania, bo sam nick jako taki jeszcze nie stanowi danej osobowej. Obowiązek usunięcia danych osobowych oznaczających autora wypowiedzi wynika z zakazu przetwarzania danych osobowych przez usługodawcę po zakończeniu korzystania z użytkownika z usługi, chyba że użytkownik wyraził zgodę na pozostawienie jego danych przy postach (taka zgoda powinna być w regulaminie).

Co do postów, to nie byłoby żadnego problemu, gdyby Pan miał zgodę użytkownika na publikację i na nieusuwanie jego postów po wykasowaniu konta. Natomiast regulamin nic nie mówi (tak jak już wspominałem), czy użytkownik wyraża jakąkolwiek zgodę na publikację, na ile tę zgodę wyraża, czy zgodę może odwołać i czy posty powinny być usunięte, kto jest właścicielem tych postów. Forum to nie prasa – wiadomo, że jeśli ktoś np. udzielił wywiadu dla gazety i opublikowano jego wypowiedź w gazecie, to nie można już tego w żaden sposób usunąć, bo poszło to już to druku. Natomiast zupełnie inaczej jest z forum internetowym – przecież bez problemu można stworzyć infrastrukturę techniczną, która pozwala usunąć wszystkie posty danego użytkownika (wystarczy, że system będzie identyfikował wszystkie posty wstawione przez danego użytkownika) i będzie możliwość usunięcia ich jednym kliknięciem. To, że takiego systemu nie ma, obciąża oczywiście Pana jako właściciela forum. Uznaje się, że administrator powinien przygotować taką infrastrukturę, która pozwala na sprawne wykonywanie jego obowiązków wynikających z przepisów prawa i w żadnym wypadku nie może tłumaczyć się trudnościami technicznymi i tym, że np. chciał zaoszczędzić, nie inwestując w nowoczesne rozwiązania.

W mojej opinii niestety przy braku stosownego przepisu w regulaminie, użytkownik ma prawo żądać usunięcia jego wypowiedzi. Żaden przepis nie przyznaje administratorowi prawa wiecznej publikacji tych wypowiedzi. Coś takiego nie wynika także ze „zwyczaju internetowego” (o jakim coraz częściej się mówi). Gdyby istniał w internecie zwyczaj, że nikt nie może żądać usunięcia swoich postów, to można byłoby się na to powoływać, jako że czynność prawna (umowa – w tym umowa między Panem a użytkownikiem o korzystanie z forum) wywołuje skutki prawne nie tylko wprost w niej (w regulaminie) wyrażone, ale także wynikające z ustawy, zasad współżycia społecznego oraz ustalonych zwyczajów (art. 56 Kodeksu cywilnego). Nie ma ustalonego zwyczaju, z którego wynikałoby, że posty raz naniesione przez użytkownika pozostają na zawsze na forum.

Administrator serwisu (forum) nie może również tłumaczyć się tym, iż nie znał przepisów prawnych odnoszących się do świadczenia usług drogą elektroniczna. Ciężar właściwego sformułowania regulaminu jako wzorca umownego obciąża administratora i wszelkie niejasności i niejednoznaczności należy interpretować na niekorzyść tego, kto taki wzorzec formułował (zasada z łac. in dubio contra proferentum).

Moim zdaniem o niekorzystnym dla Pana wyniku przesądził tutaj źle sformułowany regulamin forum. W mojej opinii niestety należy uczynić zadość żądaniu użytkownika i usunąć jego posty, a złe sformułowanie regulaminu jak i to, że usunięcie jest uciążliwe pod względem technicznym, nie może stanowić wytłumaczenia.

Jednocześnie jeśli jest Pan zainteresowany, świadczymy usługi w zakresie sporządzania profesjonalnych regulaminów. Np. w mojej opinii nie do końca właściwie uregulował Pan kwestie dotyczące odpowiedzialności administratora za wpisy (pisząc, iż Pan je moderuje, co jest błędem). Nie do końca wiem też, jak jest z danymi osobowymi: jeśli przetwarza Pan dane osobowe, to powinien Pan mieć zawartą odpowiednią umowę o powierzenie przetwarzania danych osobowych z firmą hostingową, która spełnia wymogi GIODO (zwykle usługa taka jest bezpłatna w ramach hostingu domeny). No i oczywiście zdecydowanie należałoby dodać odpowiednie przepisy dotyczące wypowiedzi. Zapraszam wiec do dalszego korzystania z naszych usług – ponieważ odpowiednio sformułowany regulamin pozwoli uniknąć na przyszłość takich kłopotów jak ten, straconego czasu i pieniędzy, często znacznie większych niż koszt regulaminu. Oczywiście nie mówię tego w celu reklamowym – jako prawnik mam obowiązek wskazać klientowi, jakie rozwiązania powinien zastosować, by zapewnić zgodność działania serwisu z prawem, jak i maksymalną ochronę swoich praw.

poleć pytanie znajomemu     wersja do druku