Cei care folosesc, în scop personal, informaţii de pe rețelele de socializare despre alte persoane nu trebuie să respecte GDPR

În mod normal, orice prelucrare de date cu caracter personal, adică orice activitate prin care informaţii despre o persoană fizică ce pot fi folosite pentru identificarea ei (nume, informaţii bancare etc.) sunt folosite cu un anumit scop (inclusiv pentru colectare şi stocare, de exemplu) trebuie să se facă în baza GDPR (pentru mai multe detalii despre ce înseamnă prelucrare de date cu caracter personal, vezi acest articol).

GDPR prevede chestiuni precum informarea prealabilă a persoanei vizate de prelucrarea informaţiilor menţionate anterior sau necesitatea existenţei unui temei (de exemplu, consimţământul) pentru prelucrarea de asemenea informaţii .

În schimb, GDPR „nu se aplică prelucrării datelor cu caracter personal (...) de către o persoană fizică, în cadrul unei activităţi exclusiv personale sau domestice”. Un exemplu de astfel de activitate există chiar în preambulul GDPR  (la punctul 18): activităţi de pe reţele de socializare. Astfel, dacă o persoană fizică ar folosi, de exemplu, o reţea de socializare pentru activităţi precum colectarea datelor de contact ale unor avocaţi, pentru sine, nu ar trebui să aibă în vedere prevederile GDPR.

Totuşi, chiar şi cei care desfăşoară astfel de activităţi trebuie să ţină cont de câteva aspecte.

Pentru început, contează foarte mult cât de mulţi oameni au acces la datele cu care operează o persoană. Mai exact, într-un articol de pe un blog al Universitatii KU Leuven, este scos în evidenţă faptul că activitatea de prelucrare a datelor nu trebuie să se facă prin publicarea pe internet a datelor colectate în aşa fel încât datele să ajungă la îndemâna unui număr nedeterminat de oameni.

În baza exemplului de mai sus, dacă o anumită persoană cere, prin intermediul Facebook, să îi fie recomandaţi avocaţi pentru o problemă personală, făcând o listă cu cei pe care i-a descoperit şi incluzând-o în postare, situaţia se schimbă. În acel caz, numărul de oameni care ar putea vedea acea postare şi, astfel, lista cu datele unor persoane, devine, practic, nelimitat. Astfel, nu mai e aplicabilă exceptarea pentru activităţi strict personale, prevederile GDPR redevenind efective.

În mod similar, dacă o persoană divulgă orice informaţii despre altcineva (de exemplu, un „check-in” la apartamentul persoanei din urmă sau informaţii cu privire la nota obţinută de persoana din urmă la un examen), pe Facebook, iar acele informaţii ajung să fie accesibile unui număr nedeterminat de persoane, se poate considera, cel puţin teoretic, că GDPR e aplicabil.

Până la urmă, Facebook e un spaţiu public, iar protejarea informaţiilor precum celor de mai sus ar fi inefectivă dacă GDPR nu s-ar aplica, în anumite cazuri, chiar şi activităţilor strict personale desfăşurare de către persoane fizice.

Astfel, chiar dacă reiese, din preambulul GDPR, că activităţile de pe reţelele de socializare pot fi manifestări ale unor activităţi exclusiv personale, persoana care operează prelucrarea datelor trebuie să aibă grijă cu privire la numărul de potenţiale persoane care pot accesa datele respective.
  
În plus, activitatea trebuie sa fie strict personală. Prin urmare, orice activitate personală care se desfăşoară prin intermediul aceleiaşi platforme prin care se desfăşoară şi o activitate profesională nu atrage inaplicabilitatea GDPR.

În concret, pentru cine are un cont pe o reţea de socializare pe care îl foloseşte atât în scop personal, cât şi în scop profesional (de exemplu, cineva foloseşte un cont de Facebook prin care preia adresele clienţilor în scopul livrării unor produse, dar foloseşte acel cont şi pentru conversaţii private), GDPR se va aplica.

De asemenea, de multe ori poate fi grea separarea prelucrării datelor făcute în scop personal de prelucrarea făcută în scop profesional, într-un asemenea context.

Atenţie! Astfel cum menţionează cei de la Frost Brown Todd LLC, companiile care prelucrează date nu vor beneficia de excepţia neaplicării GDPR, chiar şi în cazul în care prelucrarea nu se face în scop comercial, ci doar în scop privat. Motivul este că nu este îndeplinită condiţia prealabilă pentru aplicarea exceptării: prelucrarea să se facă, în scop exclusiv privat, de către o persoană fizică.