W najnowszym materiale rozmawiamy o projekcie Rentgendroid – naszym narzędziu do audytu aplikacji mobilnych. Zdradzamy kulisy jego rozwoju oraz wyzwania, z którymi mierzy się fundacja.

Podsumowujemy też nasze ostatnie wydarzenia, prelekcje i wystąpienia, m.in. podczas I Forum Obywatelstwa Cyfrowego, gdzie dzieliliśmy się wiedzą o sieci Fediverse. Opowiadamy także o naszych rekomendacjach dla klubów rozwoju cyfrowego, pokazując, jak skutecznie wspierać lokalne społeczności w rozwijaniu umiejętności cyfrowych.

W części technologicznej dzielimy się doświadczeniami z automatyzacjami w HomeAssistant, jailbreakowaniem konsoli PS4 Pro, a także przyglądamy się trendom w e-commerce w Polsce – w tym forsowanemu wdrażaniu AI tam, gdzie często nie wnosi realnej wartości oraz zakupom na TikToku.

Linki do odcinka

Dołącz do naszych rozmów i działań

Dla tych, którzy jeszcze nie wiedzą — od ponad roku działa nasze forum — miejsce żywych dyskusji o prawie i technologii. Wspólnie pomagamy w rozwiązywaniu problemów technicznych i prawnych oraz dzielimy się praktyczną wiedzą.

Konto umożliwia aktywny udział w rozmowach, a wybrane wątki można także śledzić i wchodzić z nimi w interakcje przez sieć Fediverse.

Przebieg sprawy

Sprawa zaczęła się w 2019 roku, kiedy organizacja NOYB złożyła skargę do CNIL (francuskiego odpowiednika naszego UODO). Mimo że wydawca otrzymał nakaz poprawy praktyk już w 2021 roku, a postępowanie formalnie zamknięto w 2022, kolejne kontrole w latach 2023 i 2025 wykazały, że problem nie został rozwiązany przez firmę — w wyniku czego została na nią nałożona kara. CNIL podkreślił, że wysokość kary odzwierciedla fakt, iż naruszenia były kontynuowane mimo wyraźnych ostrzeżeń.

Co dokładnie było nie tak?

To nie był zwykły błąd techniczny, ale szereg celowych działań mających na celu wymuszenie śledzenia:

• Wydawca automatycznie umieszczał ciasteczka śledzące na urządzeniach, zanim użytkownik w ogóle zdążył zobaczyć banner z prośbą o zgodę.
• Wiele ciasteczek służących do personalizacji reklam oznaczano jako „techniczne” lub „niezbędne”, co miało sugerować, że są wymagane do działania strony i nie można ich wyłączyć.
• Analiza wykazała, że nawet gdy użytkownik wyraźnie kliknął przycisk odmowy, skrypty śledzące i tak były uruchamiane.
• Według analizy NOYB, mimo braku zgody, dane o zachowaniu użytkowników były przesyłane do 375 zewnętrznych partnerów reklamowych.

Dokumentacja sprawy:

• Oficjalny komunikat NCIL (j. angielski)
• Pełna treść decyzji (wyroku) w serwisie Légifrance (j. francuski)

Co możesz zrobić Ty? Praktyczne wskazówki dla świadomego użytkownika

Pamiętaj, że jako użytkownik masz realne narzędzia do obrony przed taką „samowolką” wydawców. Oto jak chronić swoją prywatność:

Wykorzystaj profile przeglądarki

Większość przeglądarek pozwala na tworzenie oddzielnych profili. Używaj jednego do stron, które wymagają logowania (np. bankowości), a drugiego do przeglądania sieci. To skutecznie utrudnia sieciom reklamowym łączenie Twojej aktywności w jedną całość.

Regularnie usuwaj ciasteczka

Ciasteczka reklamowe budują Twój cyfrowy portret. Regularne ich czyszczenie (lub ustawienie automatycznego usuwania przy zamknięciu przeglądarki) sprawia, że dla algorytmów śledzących stajesz się „czystą kartą”.

Korzystaj z rozszerzeń do blokowania reklam

Narzędzia pokroju np. uBlock Origin, to nie tylko bloker reklam, ale potężne narzędzie ochrony prywatności. Skutecznie blokuje skrypty śledzące oraz utrudnia tzw. fingerprinting (cyfrowe odciski palców), czyli metodę identyfikacji użytkownika na podstawie unikalnej konfiguracji jego przeglądarki i sprzętu. Więcej o tym, jak uBlock chroni przed fingerprintingiem, przeczytasz w dokumentacji narzędzia.

Skanuj strony „Rentgenem” i reaguj

Widzisz stronę, która wydaje Ci się podejrzana? Skorzystaj z naszego narzędzia Rentgen, aby sprawdzić, ile firm śledzi Cię po wejściu na dany portal. Jeśli widzisz, że strona ignoruje Twoje ustawienia lub stosuje nieuczciwe praktyki, nie wahaj się zgłosić skargi do UODO (Urząd Ochrony Danych Osobowych) wbudowanym generatorem skarg. Firmy zmieniają swoje podejście dopiero wtedy, gdy brak szacunku dla użytkownika zaczyna ich boleć finansowo.

Chcesz dowiedzieć się więcej o mechanizmach śledzenia?

Sprawdź nasz wcześniejszy artykuł o sposobach na śledzenie użytkowników:

Przegląd sposobów na śledzenie użytkowników Internetu

Internet jest pełen technologii, które pomagają zarówno nam, jak i wszechobecnym reklamodawcom. Opisujemy najważniejsze z nich i tłumaczymy zasady ich działania.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Dokumentacja sprawy:

• Oficjalny komunikat NCIL (j. angielski)
• Pełna treść decyzji (wyroku) w serwisie Légifrance (j. francuski)

Pozostałe źródła

Rentgen — pobierz to rozszerzenie do 🦊 Firefoksa (pl)

Rentgen to wtyczka, która automatycznie wizualizuje, jakie dane zostały ~~wykradzione~~ wysłane do podmiotów trzecich przez odwiedzane strony. Pozwala wygenerować raport lub treść maila, który można wysłać do administratora strony i/lub UODO.

“Internet. Time to act!” Foundation

Rentgen - prześwietl stronę internetową i wygeneruj maila do administratora

Z radością ogłaszamy premierę owocu ostatnich miesięcy naszej ciężkiej pracy: wtyczki do Firefoxa, która analizuje skrypty na stronach i na podstawie zebranych danych ułatwia sformułowanie maila do administratora strony opisującego potencjalne problemy ze zgodnością z RODO.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

uBlock Origin - Free, open-source ad blocker extension

uBlock Origin is a free, open-source ad blocker extension and content blocker. Block ads on YouTube, Twitch, and across the web with low CPU and memory usage. Available for Firefox, Edge, Opera, and Chrome via uBlock Origin Lite.

uBlock OriginRaymond Hill

W dniu 3 grudnia 2025 r. Europejska Rada Ochrony Danych (EROD) przyjęła Rekomendacje 2/2025 dotyczące podstaw prawnych wymagania zakładania konta użytkownika w e-commerce (dalej: „Rekomendacje”). Projekt został poddany konsultacjom społecznym, które zakończyły się 12 lutego 2026 r.

Konto w zamian za zakupy – czy to bezpieczna transakcja dla Twoich danych?

W Rekomendacjach odniesiono się do praktyki stosowanej przez wiele sklepów internetowych, polegającej na uzależnianiu możliwości przeglądania ofert lub dokonania zakupu produktu od uprzedniego założenia konta użytkownika. Jednocześnie wskazano na wynikające z tego potencjalne zagrożenia dla praw podstawowych i wolności osób fizycznych, w szczególności:

1. przetwarzanie szerszego zakresu danych osobowych, niż jest to niezbędne do przeglądania ofert lub dokonania zakupu;
2. przechowywanie danych osobowych przez okres dłuższy, niż jest to konieczne do dokonania zakupu i dostarczenia zamówienia;
3. zwiększone ryzyko naruszenia ochrony danych osobowych (np. wycieku, uzyskania nieautoryzowanego dostępu, niewłaściwego wykorzystania), wynikające z ich długotrwałego przechowywania;
4. możliwość wykorzystania skradzionych danych osobowych ze szkodą dla podmiotów danych, np. w celu kradzieży tożsamości, składania fałszywych zamówień lub prowadzenia działań phishingowych;
5. wykorzystywanie zebranych danych do profilowania i kierowania spersonalizowanych rekomendacji, bez odpowiedniej podstawy prawnej;
6. stosowanie zwodniczych interfejsów (dark patterns), które mogą skłaniać użytkowników do ujawnienia szerszego zakresu danych osobowych, niż jest to obiektywnie konieczne do dokonania zakupu i dostarczenia produktu.

Kiedy sklep internetowy może wymagać założenia konta?

EROD dokonała analizy najczęściej przywoływanych przez sklepy internetowe podstaw prawnych przetwarzania danych osobowych w związku z wymogiem zakładania konta użytkownika, tj.: wykonania umowy (art. 6 ust. 1 lit. b RODO), wypełnienia obowiązku prawnego (art. 6 ust. 1 lit. c RODO) oraz prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO).

W wielu przypadkach kluczowe znaczenie dla oceny, czy dana podstawa prawna może uzasadniać wymaganie założenia konta, ma tzw. test niezbędności. Administrator powinien wykazać, że założenie konta użytkownika (i związane z nim przetwarzanie danych osobowych) jest obiektywnie niezbędne, np. do wykonania umowy lub realizacji prawnie uzasadnionego interesu. Test niezbędności wymaga również zbadania, czy nie istnieją alternatywne, jednakowo skuteczne środki do osiągnięcia określonego celu, które wiążą się z mniejszą ingerencją w prawa podstawowe i wolności osób, których dane dotyczą.

Poniżej przedstawiono, w jaki sposób EROD zastosowała test niezbędności do poszczególnych podstaw prawnych.

I. Wykonanie umowy (art. 6 ust. 1 lit. b RODO)

Jednorazowy zakup

Zgodnie z Rekomendacjami założenie konta w sklepie internetowym nie jest niezbędne do dokonania jednorazowego zakupu. Dane niezbędne do wykonania umowy i realizacji zamówienia mogą zostać pozyskane bez konieczności utworzenia konta, chociażby w postaci opcji złożenia zamówienia bez dokonywania rejestracji, co potwierdza praktyka stosowana przez niektóre sklepy internetowe. W konsekwencji art. 6 ust. 1 lit. b RODO nie może stanowić podstawy do wymogu założenia konta w celu dokonania jednorazowego zakupu.

Usługi subskrypcyjne

Subskrypcje określonych usług cechujące się długotrwałym stosunkiem umownym pomiędzy użytkownikiem a administratorem danych mogą uzasadniać wymóg założenia konta. Takie konto może być potrzebne do dokonywania identyfikacji użytkownika (w przypadku odnawialnych subskrypcji), a także umożliwia dostęp do zawartości oferowanej przez subskrybowaną usługę, bezpieczny i szybki kontakt z dostawcą usługi oraz sprawdzanie lub dokonywanie zmian w statusie subskrypcji.

Art. 6 ust. 1 lit. b RODO może stanowić podstawę do przetwarzania danych osobowych w związku z założeniem konta dla celów świadczenia usług subskrypcyjnych pod warunkiem, że:

1. takie konto ma służyć wyłącznie do uzyskania dostępu do zasubskrybowanej usługi;
2. istnieje faktycznie zawarta ważna umowa łącząca użytkownika z administratorem.

Przesłanka wykonania umowy może stanowić podstawę przetwarzania danych osobowych wyłącznie przez okres obowiązywania umowy.

Dostęp do ofert specjalnych

Niekiedy strony internetowe wymagają założenia konta, aby użytkownik mógł skorzystać ze specjalnych ofert. W tym przypadku ponownie należy zastosować test niezbędności i zadać pytanie, czy założenie konta jest niezbędne do uzyskania dostępu do ofert promocyjnych. Odpowiedź na to pytanie będzie uzależniona od okoliczności danego przypadku.

Przykład 1

Sklep internetowy oferuje zniżki członkowskie dla osób, które założą konto. Tego typu członkostwo nie wymaga spełnienia żadnych innych kryteriów, prócz założenia konta i przekazania swoich danych osobowych. Nie można wówczas mówić o „zamkniętej społeczności” z dostępem do ekskluzywnych ofert. W takiej sytuacji założenie konta nie jest obiektywnie niezbędne do wykonania umowy, ponieważ samo członkostwo nie wiąże się z odrębnym świadczeniem, a jedynym warunkiem uzyskania dostępu do ofert jest przekazanie danych osobowych.

Przykład 2

Sklep internetowy organizuje sprzedaż z wczesnym dostępem tylko dla lojalnych klientów poprzez wysłanie indywidualnych zaproszeń. W przeciwieństwie do przykładu 1, pojawia się dodatkowe kryterium w postaci długotrwałej relacji pomiędzy klientem a sklepem internetowym. Oferty specjalne przeznaczone dla zaproszonych osób, będących stałymi klientami, mogą tym samym uzasadniać założenie konta. Takie konto może być niezbędne do ograniczenia dostępu do ofert specjalnych dla ograniczonej i wybranej grupy osób, spełniających określone kryteria. Wówczas można przyjąć art. 6 ust. 1 lit. b RODO jako podstawę przetwarzania danych osobowych, z zastrzeżeniem, że założenie konta w „zamkniętej społeczności” staje się głównym przedmiotem umowy.

Zakup warunkowy

Niektóre sklepy internetowe oferują zakup określonych produktów lub usług dla określonych grup użytkowników, np. posiadających status studenta. Założenie konta może być niezbędne w celu weryfikacji użytkownika i zarządzania zamówieniem. Weryfikacja jest jednak możliwa przy użyciu innych środków, niewymagających zakładania konta, chociażby poprzez zabezpieczony formularz online pozwalający na przesłanie odpowiednich dokumentów (np. legitymacji studenckiej) i dokonanie zakupu. W takiej sytuacji administrator nie powinien powoływać się na wykonanie umowy jako podstawę przetwarzania danych, ponieważ istnieją równie skuteczne, a mniej ingerujące w prywatność środki weryfikacji.

Spersonalizowane rekomendacje, usługi posprzedażowe i wykonywanie praw konsumenckich

Niektóre sklepy internetowe uzasadniają wymóg założenia konta przy dokonywaniu zakupu, aby móc przesyłać klientom spersonalizowane rekomendacje. Przeciętny klient najczęściej nie jest jednak świadomy i nie przewiduje, że przedmiot zawieranej umowy wykracza poza dokonanie zakupu. Co więcej, wymiana i zwrot towaru, składanie reklamacji czy wykonywanie praw z tytułu rękojmi i gwarancji, mogą odbywać się bez zakładania konta, np. poprzez stosowanie hiperłączy wysyłanych na adres e-mail, które pozwalałyby na obsługę klienta. Przetwarzanie danych w celu personalizacji nie może być więc uznane za obiektywnie niezbędne do realizacji podstawowego świadczenia polegającego na sprzedaży towaru.

II. Obowiązek prawny (art. 6 ust. 1 lit. c RODO)

Przepisy prawa mogą nakładać na administratorów obowiązek przechowywania określonych danych osobowych klientów dla celów podatkowych i rachunkowych. Obowiązki te dotyczą jednak konkretnych operacji przetwarzania danych osobowych, takich jak wystawienie i archiwizacja faktur, a nie utrzymywania kont użytkowników jako takich.

Tego rodzaju przetwarzanie może odbywać się bez konieczności zakładania konta, np. w oparciu o dane przekazane jednorazowo przy składaniu zamówienia. Brak konta nie pozbawia również użytkowników możliwości skutecznego wykonywania swoich praw na gruncie RODO - ich identyfikacja i weryfikacja mogą nastąpić przy użyciu innych środków.

W konsekwencji art. 6 ust. 1 lit. c RODO co do zasady nie może stanowić podstawy prawnej do wymagania założenia konta użytkownika, ponieważ obowiązek prawny nie obejmuje takiego działania, a wymóg rejestracji nie spełnia kryterium niezbędności.

III. Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO)

Oparcie przetwarzania danych osobowych na art. 6 ust. 1 lit. f. RODO wymaga łącznego spełnienia trzech przesłanek:

1. istnienia prawnie uzasadnionego interesu realizowanego przez administratora lub stronę trzecią;
2. niezbędności przetwarzania  do realizacji tego interesu (test niezbędności);
3. braku przeważającego charakteru interesów, praw lub wolności osoby, której dane dotyczą wobec prawnie uzasadnionego interesu administratora lub strony trzeciej (test równowagi).

W ramach testu równowagi należy uwzględnić wpływ przetwarzania na interesy, podstawowe prawa i wolności osoby, której dane dotyczą, a także jej uzasadnione oczekiwania co do zakresu i czasu przetwarzania danych.

Śledzenie i dokonywanie zmian w zamówieniu

Śledzenie zamówienia i dokonywanie w nim zmian co do zasady jest możliwe bez konieczności zakładania konta użytkownika. Informacje o statusie przesyłki mogą być przesyłane za pomocą wiadomości e-mail, np. poprzez numer przesyłki wraz z hiperłączem do strony umożliwiającej jej śledzenie. Zmiany w zamówieniu mogą być realizowane poprzez kontakt się z obsługą klienta (telefonicznie lub mailowo) lub za pośrednictwem dedykowanego linku zawartego w potwierdzeniu zamówienia.

Przeciętny konsument nie może również rozsądnie oczekiwać, że jego dane osobowe będą przetwarzane w celu śledzenia zamówienia dłużej niż do momentu jego doręczenia, ani w celu modyfikacji zamówienia – dłużej niż do momentu jego wysyłki.

Budowanie lojalności klienta

Administrator może powoływać się na prawnie uzasadniony interes polegający na budowaniu relacji z klientami, np. poprzez oferowanie spersonalizowanych ofert, zniżek lub innych specjalnych korzyści (np. programów lojalnościowych). Należy jednak pamiętać, że przetwarzanie danych osobowych w celach marketingowych lub personalizacyjnych będzie w praktyce najczęściej wymagało, zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO).

Co istotne, pozyskanie danych do celów marketingowych nie wymaga założenia obowiązkowego konta użytkownika. Sklepy internetowe nie powinny również odgórnie zakładać, że użytkownicy – w szczególności przed dokonaniem pierwszego zakupu - oczekują przetwarzania ich danych osobowych w celu personalizacji ofert. W konsekwencji trudno uznać, że obowiązkowa rejestracja spełnia test niezbędności oraz test równowagi.

Umożliwienie złożenia dalszych zamówień

Argument, zgodnie z którym konto użytkownika ułatwia dokonywanie przyszłych zakupów, również nie przesądza o spełnieniu testu niezbędności. Decyzja o ponownym skorzystaniu z usług sklepu internetowego zależy wyłącznie od woli konsumenta. Osoba dokonująca jednorazowego zakupu nie może rozsądnie oczekiwać, że jej dane osobowe będą przetwarzane przez czas nieokreślony wyłącznie w celu dokonywania ewentualnych przyszłych transakcji. W takich przypadkach obowiązkowa rejestracja wykracza poza zakres obiektywnie niezbędnego przetwarzania.

Zapobieganie oszustwom

Wymóg założenia konta może potencjalnie ułatwiać wykrywanie i zapobieganie oszustwom, np. poprzez analizę typowych zachowań użytkowników i identyfikowanie odstępstw od nich. W odniesieniu do niezbędności EROD wskazuje, że w praktyce historia aktywności nie jest dostępna po założeniu i użyciu konta po raz pierwszy, co utrudnia ustalenie wzorca „typowego” zachowania użytkownika. Ponadto użytkownicy często korzystają z różnych urządzeń i sieci, co może zostać błędnie zinterpretowane jako próba oszustwa.

Konta użytkowników mogą również stać się przedmiotem nadużyć, zwiększając ryzyko szkody po stronie osób, których dane dotyczą. Nawet w sytuacji, gdy test niezbędności zostałby uznany za spełniony, przeprowadzenie testu równowagi może okazać się szczególnie trudne. Administrator powinien bowiem precyzyjnie wskazać rodzaje oszustw, którym zamierza przeciwdziałać, oraz wykazać, że zakres przetwarzanych danych osobowych pozostaje proporcjonalny do tego celu.

Dobrowolność rejestracji i tryb gościa jako standard ochrony danych

EROD wskazała alternatywę dla obowiązku założenia konta w sklepie internetowym. Użytkownicy powinni mieć realny wybór między dobrowolnym założeniem konta a przeglądaniem ofert i dokonaniem zakupu w tzw. trybie gościa..  Korzyści wynikające z posiadania konta powinny być konsekwencją świadomej decyzji użytkownika, a nie warunkiem koniecznym do zawarcia umowy.

Model ten pozwala ograniczyć przetwarzanie danych do zakresu niezbędnego dla realizacji konkretnej usługi, bez gromadzenia dodatkowych informacji wyłącznie na potrzeby przyszłych, potencjalnych transakcji. Jednocześnie dobrowolne założenie konta umożliwia oferowanie dodatkowych funkcjonalności, takich jak historia zamówień, obsługa kolejnych zamówień, spersonalizowane oferty czy programy lojalnościowe – pod warunkiem wskazania odrębnych celów i odpowiednich podstaw prawnych przetwarzania.

Dobrowolne założenie konta oraz tryb gościa nie stanowią samoistnych celów przetwarzania. Administrator powinien każdorazowo określić konkretny cel oraz podstawę prawną, np. art. 6 ust. 1 lit. b RODO w przypadku wykonania umowy lub  art. 6 ust. 1 lit. a RODO  w odniesieniu do działań marketingowych.

Takie podejście lepiej wpisuje się w wynikające z art. 25 RODO zasady privacy by design i privacy by default. Wymagają one projektowania i wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających efektywną implementację zasad ochrony danych osobowych, takich jak zasada legalności, przejrzystości, celowości i minimalizacji danych. Kluczowe znaczenie ma także przejrzyste informowanie użytkowników o różnicach między zakupem bez rejestracji a założeniem konta, tak aby mogli oni świadomie zdecydować o zakresie przetwarzania swoich danych.

Podsumowanie

Z analizy Rekomendacji wynika, że obowiązkowe założenie konta w sklepie internetowym może być uzasadnione jedynie w ograniczonych przypadkach, takich jak usługi subskrypcyjne czy dostęp do rzeczywiście ograniczonych ofert specjalnych. W innych przypadkach wymóg założenia konta co do zasady nie spełnia testu niezbędności ani testu równowagi, a tym samym nie znajduje wystarczającego oparcia w art. 6 ust. 1 RODO, tj. nie jest niezbędne do osiągnięcia celów wskazywanych przez sklepy internetowe. Cele te mogą zostać spełnione za pomocą innych środków.

Rozwiązaniem zgodnym z zasadami ochrony danych osobowych jest zapewnienie użytkownikom realnego wyboru między założenia konta a dokonaniem zakupu bez konieczności rejestracji.

Źródła

• https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2025/recommendations-22025-legal-basis-requiring_pl
• https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=PL

Po dwóch latach wytężonej pracy udało nam się spełnić wszystkie wymagania formalne i organizacyjne, dzięki czemu w listopadzie 2025 r. nasza Fundacja uzyskała status Organizacji Pożytku Publicznego!

To oznacza, że w tym roku możecie przekazać 1,5% podatku na działania Fundacji „Internet. Czas działać!”. Dzięki Waszemu wsparciu możemy jeszcze skuteczniej realizować projekty i rozwijać inicjatywy, które realnie wzmacniają prywatność i prawa obywateli w cyfrowym świecie. Każde 1,5% to mała decyzja przy wypełnianiu formularza, a dla nas ogromna pomoc!

Jak przekazać 1,5%?

W rocznym zeznaniu podatkowym wystarczy wpisać nasz numer

PIT za dany rok podatkowy można rozliczyć w terminie od 15 lutego do 30 kwietnia, wybierając jedną z kilku opcji:

• przez usługę Twój e-PIT,
• za pomocą e-Deklaracji,
• składając formularz papierowy,
• korzystając z jednego z bezpłatnych programów online do rozliczeń (upewnij się, że umożliwia on przekazanie 1,5% podatku dowolnie wybranej organizacji, a nie tylko jednej wskazanej).

Dziękujemy, że jesteście z nami! 🙏

Jeśli możecie, udostępnijcie tę informację dalej — razem możemy skuteczniej walczyć o prawo do prywatności i kontroli nad technologią!

Dołącz do naszych rozmów i działań

Dla tych, którzy jeszcze nie wiedzą — od ponad roku działa nasze forum — miejsce żywych dyskusji o prawie i technologii. Wspólnie pomagamy w rozwiązywaniu problemów technicznych i prawnych oraz dzielimy się praktyczną wiedzą.

Konto umożliwia aktywny udział w rozmowach, a wybrane wątki można także śledzić i wchodzić z nimi w interakcje przez sieć Fediverse.

Sąd Administracyjny w Hanowerze wydał przełomowy wyrok (sygn. 10 A 5385/22), który może zakończyć erę manipulacyjnych banerów cookies. Sąd orzekł, że jeśli na stronie internetowej istnieje przycisk „Zaakceptuj wszystko”, to musi się tam znajdować równie łatwo dostępny i widoczny przycisk „Odrzuć wszystko” [1]. Chociaż orzeczenie formalnie dotyczy tylko jednego niemieckiego wydawcy, jego znaczenie jest uniwersalne, ponieważ opiera się na przepisach RODO [2] obowiązujących w całej Unii Europejskiej, w tym w Polsce. Dla firm to jasny sygnał, że utrudnianie odmowy jest nielegalne, a dla organów nadzorczych, jak polski Prezes UODO, to potężne narzędzie w walce o cyfrową prywatność obywateli.

Wyrok z 19 marca 2025 r. (sygn. 10 A 5385/22) jest wynikiem sporu między niemieckim wydawcą prasowym, Neue Osnabrücker Zeitung (NOZ), a organem ochrony danych Dolnej Saksonii (LfD Niedersachsen) [3].

Kontekst: Czym są manipulacyjne „Dark Patterns”?

Sprawa dotyczy powszechnej praktyki znanej jako „dark patterns” (manipulacyjne wzorce projektowe). Właściciele stron internetowych celowo projektują banery zgód tak, aby nakłonić użytkownika do podjęcia pożądanej przez nich decyzji.

W praktyce wygląda to tak, że przycisk „Zaakceptuj wszystko” jest duży, kolorowy i dostępny jednym kliknięciem. Natomiast opcja odmowy jest ukryta, wymaga przejścia do „ustawień zaawansowanych”, a następnie ręcznego odznaczania dziesiątek pól wyboru. Taka konstrukcja żeruje na zniecierpliwieniu użytkownika, który – chcąc jak najszybciej dostać się do treści – klika „Akceptuj”, mimo że w rzeczywistości nie chciałby udostępniać swoich danych.

Przebieg sprawy (NOZ przeciwko LfD)

Spór prawny toczył się między organem ochrony danych Dolnej Saksonii (LfD Niedersachsen) a dużym regionalnym wydawcą prasowym, Neue Osnabrücker Zeitung (NOZ).

1. Nakaz regulatora: Organ LfD, po zbadaniu sprawy, wydał nakaz administracyjny, w którym zażądał od NOZ zmiany baneru cookie. Regulator uznał, że baner, który nie posiadał opcji „Odrzuć wszystko” na pierwszej warstwie, narusza RODO, ponieważ zgoda pozyskana w ten sposób nie spełnia warunku dobrowolności.
2. Skarga wydawcy: Firma NOZ nie zgodziła się z tą decyzją i zaskarżyła nakaz do Sądu Administracyjnego w Hanowerze (Verwaltungsgericht Hannover). Wydawca argumentował m.in., że jego proces pozyskiwania zgody jest wystarczający.
3. Wyrok sądu: Sąd w wyroku z 19 marca 2025 r. w całości oddalił skargę wydawcy i w pełni poparł stanowisko organu ochrony danych. Sąd potwierdził, że baner NOZ był manipulacyjny i nie zapewniał legalnej zgody.

Podstawa prawna orzeczenia

Sąd oparł swoją decyzję na solidnej podstawie prawnej, łącząc przepisy unijne i krajowe. Jest to kluczowe dla zrozumienia, dlaczego wyrok ten ma znaczenie dla Polski.

1. Przepisy uniwersalne – RODO

Regulacje te obowiązują identycznie we wszystkich krajach UE, w tym w Polsce:

• Art. 4(11) RODO (Definicja zgody): Sąd uznał, że zgoda pozyskana przez baner NOZ nie była „dobrowolna” (freiwillig) ani „jednoznaczna” (unmissverständlich). Jeśli droga do odmowy jest znacząco trudniejsza niż do akceptacji, zasada dobrowolności zostaje złamana.
• Art. 6(1)(a) RODO (Legalność przetwarzania): Aby legalnie przetwarzać dane (np. w celach marketingowych), art. 6 ust. 1 RODO wymaga posiadania jednej z kilku podstaw prawnych, w tym zgody. W tym przypadku, skoro zgoda nie została uzyskana zgodnie z atrybutami jej definicji z art. 4 RODO (nie była dobrowolna i jednoznaczna), a nie znalazła również zastosowania żadna inna podstawa prawna z art. 6 ust. 1 – przetwarzanie danych było nielegalne.
• Art. 58(2) RODO (Uprawnienia naprawcze): Sąd potwierdził, że organ nadzorczy (LfD) miał pełne prawo wydać nakaz zmiany baneru, korzystając ze swoich uprawnień naprawczych.

2. Prawo niemieckie – TDDDG

Prawo to implementuje unijną dyrektywę ePrivacy:

• § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) [5]: Jest to niemiecki odpowiednik polskiego art. 399 ustawy z dnia 12 lipca 2024 roku, „Prawo komunikacji elektronicznej” [6]. Przepis ten mówi, że przechowywanie informacji (np. cookie) na urządzeniu użytkownika wymaga jego uprzedniej zgody.
• Kluczowe powiązanie: Niemiecka ustawa wprost stwierdza, że zgoda wymagana przez § 25 TDDDG musi spełniać wysokie standardy określone w RODO.

Sąd połączył oba akty prawne: baner był niezgodny z § 25TDDDG, ponieważ zgoda, której wymagał, była nieważna w świetle definicji z RODO.

Co to oznacza na przyszłość?

Należy podkreślić, że wyrok niemieckiego sądu administracyjnego nie ma żadnej mocy wiążącej w Polsce. Nie wywiera on bezpośrednich skutków prawnych dla polskich firm i nie stanowi podstawy prawnej dla działań krajowych organów. Jeżeli na bazie tego orzeczenia ukształtuje się szersza linia orzecznicza w Europie, będziemy mogli mówić o pewnej praktyce. Jednak prawnie wiążący dla polskich sądów i organów byłby dopiero wyrok Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w podobnej sprawie.

Co więcej, optymistyczne wnioski dla Polski są niestety trudne do obrony ze względu na specyficzną strukturę nadzoru. W Niemczech jeden organ (w tym przypadku LfD) jest właściwy zarówno w sprawach RODO, jak i krajowej ustawy TDDDG (implementującej ePrivacy). W Polsce kompetencje te są niestety podzielone:

1. Prezes UODO nadzoruje przestrzeganie RODO (a więc ochrony danych osobowych).
2. Prezes UKE nadzoruje Prawo Komunikacji Elektronicznej (PKE), ustawy która reguluje m.in. kwestie instalowania oprogramowania (w tym cookies) na urządzeniu końcowym.

W praktyce Prezes UKE nie zajmuje się aktywnie egzekwowaniem przepisów o cookies, a do urzędu nie ma prostego trybu skargowego, jak w przypadku UODO. Sam fakt, że zgoda na cookies musi odpowiadać definicji z RODO, nie daje automatycznie Prezesowi UODO jurysdykcji do kontrolowania samego mechanizmu baneru, co do którego właściwy powinien być właśnie UKE.

Dlatego wyrok ten należy traktować jako ważną wskazówkę i inspirację — jest to sygnał, że problem manipulacyjnych banerów jest w Europie dostrzegany. Pozostaje mieć nadzieję, że ta tendencja i świadomość znaczenia problemu dotrą kiedyś również do Polski i naszych organów nadzorczych.

Powiązane artykuły

Jak złożyć skargę do UODO? Co to daje?

Masowe składanie skarg może przynieść oczekiwane rezultaty. Tłumaczymy, jak złożyć skuteczną skargę do UODO i UKE.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

„Cenimy twoją prywatność”

Okienka ze „zgodą RODO” denerwują nas wszystkich. My jako prywatnościowi masochiści oddaliśmy się ich lekturze i torturze. Okazało się, że w wielu przypadkach okienka o RODO są bezużyteczne - nie dają nam kontroli nad naszymi danymi, tylko stwarzają takie pozory.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

5 faktów o „zgodzie” w RODO

Czy zawsze trzeba mieć zgodę na przetwarzanie danych osobowych? Jakie warunki musi spełniać zgoda, aby była ważna? Jaka przyszłość czeka oferowanie rabatów w zamian za zgodę marketingową?

Fundacja Internet. Czas działać!Kuba Orlik

Jak RODO definiuje zgodę?

„Zgoda” to jedno z najważniejszych pojęć zdefiniowanych w RODO. Słowo „zgoda” jest jednak często niewłaściwie używane w politykach prywatności czy dyskusjach na temat bezpieczeństwa danych.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Bibliografia

[1] Jacobs, S. (2025, 23 maja). German court rules cookie banners must offer "reject all" button. TechSpot.https://www.techspot.com/news/108043-german-court-takes-stand-against-manipulative-cookie-banners.html

[2] Parlament Europejski i Rada Unii Europejskiej. (2016, 27 kwietnia). Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=celex:32016R0679

[3] Krajowy Komisarz ds. Ochrony Danych Osobowych Dolnej Saksonii (20 maja 2025 r.). Orzeczenie w sprawie manipulacyjnych banerów dotyczących plików cookie:przycisk „Odrzuć wszystkie” jest obowiązkowy..https://www.lfd.niedersachsen.de/startseite/infothek/presseinformationen/urteil-zu-manipulativem-cookie-banner-alles-ablehnen-schaltflache-ist-ein-muss-241960.html

[4] Sąd Administracyjny w Hanowerze. (2025, 19 marca). Wyrok, sygn. akt: 10 A 5385/22. Dolnosaksoński System Informacji Regulacyjnej (NI-VORIS).https://voris.wolterskluwer-online.de/browse/document/230df5cf-d76c-4561-9499-e44445a96f11

[5] Ustawa z dnia 23 czerwca 2021 r. o ochronie danych osobowych i ochronie prywatności w telekomunikacji i usługach cyfrowych (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – TDDDG) (BGBl. I S. 1858). https://gesetz-tdddg.de/25-tdddg/

[6] Ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (Dz. U. z 2024 r. Poz. 1221): https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20240001221/T/D20241221L.pdf

Składając skargę do Prezesa UODO, skarżący musi podać swój adres zamieszkania. To wymóg formalny. Problem polega na tym, że ten adres jest częścią akt sprawy, które są udostępniane podmiotowi, na którego działania wnoszona jest skarga. Uważamy, że to poważne zagrożenie dla prywatności i bezpieczeństwa osób, które mają odwagę walczyć o swoje prawa, dlatego złożyliśmy oficjalną petycję do Prezesa UODO. Pomóż nam zmienić obowiązującą praktykę i dołącz do naszej petycji!

Aktualna praktyka Urzędu Ochrony Danych Osobowych pokazuje, że urzędnicy odmawiają uwzględnienia wniosku skarżącego o nieujawnianie jego adresu zamieszkania podmiotowi, którego dotyczy skarga, mimo że dla wielu osób jest on podstawowym środkiem ostrożności. Jako podstawę urzędnicy wskazują przepisy kodeksu postępowania administracyjnego (KPA). Przyjrzyjmy się zatem tym przepisom.

Podanie urzędowi adresu zamieszkania jest konieczne

Zgodnie z wymogami KPA osoba wnosząca skargę do organu administracji publicznej rzeczywiście jest zobowiązana do podania swojego adresu zamieszkania, nawet jeżeli skargę składa elektronicznie. UODO na swojej stronie internetowej wprost wskazuje, że skarga niezawierająca adresu pozostanie bez rozpoznania z uwagi na brak możliwości kontaktu. Można dyskutować z tym argumentem, ale nie da się ukryć, że w wielu wypadkach będzie on zasadny. Na chwilę obecną wydaje się, że nie wymaga on rewizji, ponieważ większy problem leży gdzie indziej. A mianowicie w kwestii, że adres zamieszkania, jako element pisma inicjującego postępowanie, staje się integralną częścią akt sprawy, a wgląd do nich jest podstawowym prawem strony postępowania administracyjnego, a więc w tym wypadku podmiotu, na którego działania wnoszona jest skarga. O ile w sprawach, gdzie strony postępowania znają się nawzajem (np. w relacji pracownik-pracodawca), nie rodzi to dodatkowych zagrożeń, o tyle w wielu innych przypadkach sytuacja wygląda zgoła odmiennie.

Dotyczy to w szczególności skarg na podmioty działające w internecie (np. w związku z naruszeniem przepisów dotyczących cookies, nieprawidłowościami w politykach prywatności czy niechcianym marketingiem), gdzie skarżący i podmiot naruszający co do zasady nie mają bliższej relacji, która uzasadniałaby posiadanie adresu zamieszkania skarżącego. Ujawnienie w takim przypadku prywatnego adresu zamieszkania skarżącego stronie, której zarzuca się naruszenie prawa, tworzy realne i poważne ryzyko. Może ono obejmować próby wywarcia presji, działania odwetowe, nękanie czy inne formy naruszenia miru domowego. Taka perspektywa bez wątpienia wywołuje u wielu obywateli uzasadnione obawy, skutkujące tzw. „efektem mrożącym” i rezygnacją z dochodzenia swoich praw w obawie przed konsekwencjami. Jako Fundacja, która działa na rzecz ochrony praw cyfrowych, dostajemy takie sygnały od obywateli, że jest to główny czynnik blokujący wniesienie skargi na podmiot, który przetwarza dane osobowe w sposób naruszający przepisy.

Dysproporcja uprawnień

W postępowaniu skargowym w sprawie naruszenia przepisów o ochronie danych osobowych zauważyć można również dysproporcję pomiędzy uprawnieniami skarżącego a podmiotu, przeciwko któremu wnoszona jest skarga, a który jest zazwyczaj przedsiębiorcą. Zgodnie z art. 65 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych przedsiębiorca może zastrzec informacje, dokumenty lub ich części zawierające tajemnicę przedsiębiorstwa, przedstawiane Prezesowi UODO. Oczywiście jest to zasadny przepis. Tajemnica przedsiębiorstwa powinna być chroniona i jak widać jej ochrona jest już w miarę trwałym standardem prawnym. Jednak takim standardem ciągle nie jest ochrona danych osób fizycznych, które dochodzą swoich praw w różnego rodzaju postępowaniach, a których określonego rodzaju dane (np. adres zamieszkania) nie mogą być zastrzeżone tylko do wiadomości organu, który prowadzi postępowanie — nawet gdy nie są to informacje, które są niezbędne drugiej stronie do merytorycznej obrony. Uważamy, że czas to zmienić, dlatego wystąpiliśmy z petycją do Prezesa UODO.

Możliwe rozwiązania

W naszej ocenie wskazany problem mógłby zostać rozwiązany na dwóch poziomach:

1. proceduralnym — poprzez taką organizację obiegu dokumentów w postępowaniach prowadzonych przez Prezesa UODO, aby adres zamieszkania skarżącego nie był włączany do materiału dowodowego udostępnianego stronie przeciwnej, ale umieszczany np. w załączniku adresowym przeznaczonym tylko do wiadomości organu prowadzącego postępowanie — na podstawie analizy ryzyka dla praw i wolności osoby skarżącej przeprowadzanej przez organ w ramach konkretnego postępowania;
2. legislacyjnym — poprzez wprowadzenie do ustawy o ochronie danych osobowych lub KPA szczególnych regulacji dotyczących postępowań przed Prezesem UODO, które gwarantowałyby ochronę danych adresowych skarżących poprzez ich nieujawnianie stronie, której dotyczy skarga, o ile nie jest to absolutnie niezbędne dla rozstrzygnięcia sprawy.

W przypadku zmian na poziomie legislacyjnym warto również byłoby zastanowić się nad systemową zmianą prawa, ponieważ omawiany problem nie jest specyficzny wyłącznie dla postępowań prowadzonych przez Prezesa Urzędu Ochrony Danych Osobowych. Dotyczy różnego rodzaju postępowań, przede wszystkim cywilnych i administracyjnych, w których osoba fizyczna występuje w roli inicjatora postępowania przeciwko innemu podmiotowi, z którym pozostaje w konflikcie, nierzadko silniejszemu organizacyjnie i finansowo. Adres zamieszkania inicjatora postępowania rzadko kiedy jest informacją merytorycznie niezbędną drugiej stronie do obrony. Konieczność jego ujawnienia w wielu sprawach jest nieproporcjonalnym obciążeniem, które może niweczyć cel samego postępowania – uzyskanie ochrony prawnej. Problem ten dotyka nie tylko stron, ale również innych uczestników, takich jak świadkowie czy biegli.

W postępowaniu karnym zostało już w tym zakresie wypracowane pewne rozwiązanie, które mogłoby stanowić dobry punkt wyjścia do rozważań nad kompleksową zmianą prawa. Chodzi mianowicie o art. 148a § 1 KPK, który stanowi, że:

W protokole nie zamieszcza się danych dotyczących miejsca zamieszkania i miejsca pracy, a także numeru telefonu, telefaksu ani adresu poczty elektronicznej pokrzywdzonych i świadków uczestniczących w czynności. Dane te, niezamieszczone w protokole, zamieszcza się w załączniku do protokołu, który przechowuje się w załączniku adresowym do akt sprawy, do wiadomości organu prowadzącego postępowanie.

Problem ochrony prywatności osób, które biorą udział w różnego rodzaju postępowaniach prowadzonych przez organy władzy powinien wreszcie doczekać się kompleksowych rozwiązań. Mamy nadzieję, że nasza petycja zapoczątkuje dobre zmiany w tym obszarze.

Od 10 października 2025 r. w całej Unii Europejskiej zaczęło obowiązywać Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/900 z dnia 13 marca 2024 r. w sprawie przejrzystości i targetowania reklamy politycznej. To odpowiedź UE na lata kampanii, w których obywatele – zwłaszcza w Internecie – oglądali polityczne przekazy, często nie wiedząc, że to reklama, kto za nią płaci ani dlaczego akurat oni ją widzą.

Dlaczego Unia uznała, że potrzebne są nowe przepisy? Co właściwie oznacza „reklama polityczna” w rozumieniu prawa? Jakie obowiązki nakładają one na reklamodawców i platformy? I wreszcie — jakie prawa zyskują odbiorcy takich przekazów? Na te pytania odpowiadamy poniżej.

Dlaczego UE zdecydowała się uregulować reklamy polityczne?

Celem rozporządzenia jest wzmocnienie demokracji i ochrona integralności wyborów oraz referendów – zwłaszcza w erze mediów społecznościowych i precyzyjnego targetowania reklam.
Do tej pory każde państwo członkowskie miało własne przepisy, najczęściej skupione na reklamie telewizyjnej i drukowanej. W sieci brakowało jasnych zasad — użytkownik często nie wiedział, że ma do czynienia z płatną reklamą polityczną, a nie zwykłym postem.

Kampanie internetowe coraz częściej opierają się na analizie zachowań użytkowników i profilowaniu ich preferencji. To rodzi ryzyko manipulacji, zamykania ludzi w tzw. bańkach informacyjnych oraz emisji ukrytych przekazów, których nikt poza wąską grupą odbiorców nie widzi. Dodatkowo pojawiły się obawy dotyczące wpływu podmiotów spoza UE, które mogą finansować reklamy polityczne, by oddziaływać na wynik wyborów lub proces legislacyjny.

W odpowiedzi na te wyzwania Unia zdecydowała się wprowadzić jednolite zasady dla wszystkich państw członkowskich. Ponieważ rozporządzenie obowiązuje bezpośrednio, nie wymaga implementacji do prawa krajowego. Dzięki temu te same reguły będą stosowane wobec kampanii prowadzonych w różnych krajach — co ma szczególne znaczenie w kontekście globalnych platform reklamowych.

Co to jest reklama polityczna według nowych przepisów?

Kluczowym zagadnieniem jest zrozumienie, co uznaje się za reklamę polityczną. Definicja w rozporządzeniu jest szeroka i obejmuje przygotowanie, publikację, promowanie lub rozpowszechnianie przekazu – zwykle za wynagrodzeniem – jeśli:

1. Reklama pochodzi od podmiotu politycznego (np. partii, komitetu, kandydata) i nie ma charakteru prywatnego lub czysto handlowego,
       np. jeśli kandydat promuje własny hotel, to nie jest reklama polityczna.
2. lub przekaz, niezależnie od nadawcy, ma na celu wpływanie na wynik wyborów, referendum, zachowanie wyborcze lub proces legislacyjny – na poziomie unijnym, krajowym, regionalnym lub lokalnym.

Wystarczy spełnienie jednego z tych warunków. Oznacza to, że regulacja obejmie nie tylko partie czy kandydatów, ale także organizacje społeczne i inne podmioty, jeśli ich przekazy mogą realnie wpływać na decyzje polityczne.

Co nie jest reklamą polityczną?

Zgodnie z rozporządzeniem, za reklamę polityczną nie będą uznawane m.in.:

• komunikaty organów publicznych dotyczące organizacji wyborów lub referendów (np. informacja o terminach czy sposobie głosowania),
• oficjalna komunikacja rządowa, jeśli nie ma na celu wpływania na wynik wyborów lub proces legislacyjny,
• prezentacje kandydatów w ramach przewidzianych przez prawo, np. w debatach wyborczych lub w mediach publicznych.

W praktyce granica między reklamą polityczną a zwykłą komunikacją społeczną może być nieostra. O tym, czy dany materiał będzie podlegał regulacji, decyduje przede wszystkim jego cel i kontekst, a nie forma (baner, film, post). Pomocne w ocenie mają być wytyczne Komisji Europejskiej, które doprecyzowują definicje i przykłady.

Obowiązki podmiotów publikujących reklamy polityczne

Nowe przepisy nakładają obowiązki na wszystkie podmioty uczestniczące w łańcuchu tworzenia i emisji reklam politycznych – od sponsorów, przez agencje marketingowe („dostawcy reklamy politycznej”), po platformy internetowe („wydawcy reklamy politycznej”).

1. Oznaczanie reklam

Każda reklama polityczna musi być wyraźnie oznaczona. Odbiorca ma od razu wiedzieć, że ma do czynienia z przekazem politycznym.
Oznaczenie powinno zawierać m.in.:

• informację, że to reklama polityczna,
• dane sponsora (kto za nią płaci),
• wskazanie, z jakimi wyborami, referendum lub procesem legislacyjnym jest związana,
• informację, czy użyto targetowania lub narzędzi optymalizacji przekazu.

Dodatkowo wymagane będzie tzw. ogłoszenie o przejrzystości (transparency notice), czyli zestaw szczegółowych danych dostępny np. po kliknięciu w baner. Ma ono zawierać m.in. okres emisji, wysokość wydatków, kryteria targetowania i opis grupy docelowej.

2. Zasady targetowania

Targetowanie oparte na danych osobowych będzie możliwe tylko w wyjątkowych przypadkach – gdy:

• dane zostały zebrane bezpośrednio od użytkownika,
• użytkownik wyraził wyraźną zgodę na ich wykorzystanie w reklamie politycznej,
• nie wykorzystano danych szczególnych kategorii (np. dotyczących poglądów politycznych, zdrowia, religii).

Zakazane będzie też targetowanie osób, które nie ukończą wieku uprawniającego do głosowania w ciągu najbliższego roku.

3. Dokumentacja i nadzór

Podmioty zaangażowane w kampanie polityczne będą musiały:

• przechowywać informacje o emisjach,
• udostępniać je organom nadzorczym,
• współpracować przy kontrolach,
• przekazywać dane do krajowych lub unijnych repozytoriów reklam politycznych.

Dzięki temu reklamy nie znikną bez śladu – będzie można prześledzić ich treść, finansowanie i grupy docelowe.

Prawa odbiorców reklamy politycznej

Nowe przepisy mają również wymiar obywatelski – wzmacniają prawa użytkowników Internetu.

Odbiorca ma prawo od razu rozpoznać, że widzi reklamę polityczną, oraz uzyskać informacje o:

• źródle finansowania reklamy,
• związku reklamy z konkretną kampanią lub ustawą,
• okresie emisji,
• kwocie przeznaczonej na reklamę (w określonych progach).

Użytkownik ma też prawo wiedzieć, dlaczego to właśnie jemu wyświetlono daną reklamę, czyli poznać:

• kryteria targetowania (np. wiek, lokalizacja, zainteresowania),
• źródła danych wykorzystanych do profilowania,
• informacje o ewentualnym użyciu algorytmów lub automatycznych decyzji.

Rozporządzenie wzmacnia prawa wynikające już z RODO – w tym prawo sprzeciwu wobec przetwarzania danych w celach marketingowych oraz prawo wycofania zgody.
Platformy i reklamodawcy będą musieli zapewnić użytkownikom łatwy sposób wyłączenia reklam politycznych lub przynajmniej ich targetowania (np. przez ustawienia konta).

Wprowadzono też jasne zakazy dotyczące targetowania na podstawie danych szczególnych kategorii oraz kierowania reklam do dzieci i nastolatków.

Dzięki wymogom dotyczącym repozytoriów kampanii politycznych:

• obywatele będą mogli sprawdzić po czasie, jakie reklamy były emitowane, przez kogo i w jakim kontekście,
• organizacje społeczne, badacze i media zyskają narzędzie do kontroli przejrzystości życia publicznego.

Odbiorca ma również prawo zgłaszać nieprawidłowości dotyczące reklamy politycznej. Platformy będą musiały umożliwić takie zgłoszenia i reagować, np. poprzez usunięcie lub poprawienie reklamy.

W razie braku reakcji można będzie zwrócić się do właściwego organu nadzorczego – w Polsce będzie to Prezes UODO w zakresie danych osobowych, a w pozostałych przypadkach – inny organ wskazany w krajowych przepisach wykonawczych (których jeszcze nie przyjęto).

Jak reagują największe platformy?

Nowe przepisy już dziś wpływają na politykę globalnych firm internetowych.
Google ogłosiło, że w związku z Rozporządzeniem 2024/900 przestanie emitować reklamy polityczne skierowane do użytkowników w UE – w tym na YouTube. Firma wskazała, że definicja reklamy politycznej jest szeroka, trudna do automatycznego rozpoznania, a ryzyko błędów w jej stosowaniu zbyt duże.

Podobną decyzję podjęła Meta (Facebook, Instagram, Threads), która zapowiedziała, że od października 2025 r. całkowicie wstrzyma reklamy polityczne, wyborcze i dotyczące kwestii społecznych. Meta tłumaczy, że nowe przepisy są „trudne do wdrożenia” i wiążą się z dużą niepewnością prawną. Jednocześnie podkreśla, że treści polityczne publikowane w sposób organiczny (np. posty czy dyskusje) pozostaną dozwolone – zablokowane zostanie jedynie ich płatne promowanie.

Dla użytkowników oznacza to, że w najbliższych latach reklamy polityczne w Internecie staną się rzadsze, a tam, gdzie się pojawią – lepiej oznaczone i bardziej przejrzyste.

Co to oznacza dla polskich użytkowników?

Nowe rozporządzenie będzie miało znaczenie zarówno przy wyborach krajowych, samorządowych, jak i europejskich. Użytkownicy zyskają większą kontrolę nad tym, jakie treści polityczne do nich docierają, a podmioty prowadzące kampanie będą musiały działać w sposób jawny, odpowiedzialny i zgodny z unijnymi zasadami przejrzystości.

W praktyce oznacza to więcej informacji, mniej manipulacji – i być może bardziej uczciwą debatę publiczną w sieci.

Podsumowanie

Nowe unijne rozporządzenie o reklamie politycznej to krok w stronę większej przejrzystości życia publicznego w cyfrowym świecie. Ujednolicając zasady, Unia chce ograniczyć manipulacje, ukryte wpływy i nadużycia w kampaniach wyborczych. Dla obywateli oznacza to większą świadomość, kto i dlaczego kieruje do nich przekaz polityczny. Dla podmiotów prowadzących kampanie – konieczność większej odpowiedzialności, dokumentowania działań i respektowania zasad ochrony danych osobowych. W efekcie reklama polityczna w Internecie ma stać się nie tylko bardziej widoczna, ale przede wszystkim – uczciwsza i łatwiejsza do zrozumienia.

Dyrektor Generalny Lasów Państwowych zarządził, aby każda jednostka organizacyjna Lasów Państwowych prowadziła konto na Facebooku.

Każda jednostka organizacyjna Lasów Państwowych zobowiązana jest do prowadzenia oficjalnej strony internetowej jednostki oraz profilu na platformie społecznościowej Facebook. Dopuszcza się równoczesne prowadzenie profili w innych serwisach społecznościowych, jednak obecność na Facebooku jest obligatoryjna.

§3 ust. 1 Zarządzenia nr 44 Dyrektora Generalnego Lasów Państwowych z dnia 14 maja 2025 r.

Uważamy, że takie zarządzenie jest niedopuszczalne.

Wystosowaliśmy w tej materii petycję do Dyrektora Generalnego Lasów Państwowych. Możesz dodać swój podpis tutaj:

Facebook nie może być oficjalnym kanałem komunikacji jednostek Lasów Państwowych

Do Dyrektora Generalnego Lasów Państwowych ul. Grójecka 127 02-124 WarszawaPetycjaw sprawie wycofania obowiązku prowadzenia profili w serwisie Facebook przez jednostki organizacyjne Lasów PaństwowychSzanowny Panie Dyrektorze,apelujemy o rewizję i wycofani…

Petycjeonline.com

Odcinek #41

Ten sam temat poruszamy w najnowszym odcinku podcastu, którego możecie posłuchać za pomocą poniższych platform (część z nich jest utrzymywana przez nas):

Naruszenie zasad neutralności technologicznej i równego dostępu

Obowiązkowe wykorzystanie jednej, konkretnej platformy społecznościowej – i to działającej na podstawie amerykańskiego prawa – prowadzi do faworyzowania jednego komercyjnego podmiotu oraz uzależniania komunikacji publicznej od jego decyzji biznesowych i regulaminów.

Ryzyko naruszenia RODO i praw pracowniczych

W celu prowadzenia oficjalnych kanałów informacyjnych na Facebooku, rzecznicy prasowi jednostek LP są zmuszani do wyrażenia zgody na przetwarzanie ich danych osobowych przez firmę Meta, co de facto stanowi warunek wykonywania obowiązków publicznych. Może dojść nawet do sytuacji, w której Facebook zażąda od pracownika jednostki do wysłania mu skanu dokumentu tożsamości - a jeżeli odmówi, to straci dostęp do platformy - i tym samym nie będzie mógł wykonywać obowiązków służbowych. Pracownicy instytucji publicznej nie powinni być zmuszani do przekazywania danych komercyjnemu podmiotowi zagranicznemu w celu realizacji swoich obowiązków służbowych.

Brak kontroli nad treściami i arbitralna cenzura ze strony Facebooka

Serwis Facebook znany jest z arbitralnego usuwania treści i blokowania kont, często bez jasnego uzasadnienia i z bardzo ograniczoną możliwością skutecznego odwołania się od decyzji. W efekcie publikacje jednostek Lasów Państwowych mogą być w każdej chwili usunięte lub ukryte, bez uprzedzenia i bez możliwości szybkiego przywrócenia. Instytucja publiczna, jaką są Lasy Państwowe, nie powinna uzależniać swojej oficjalnej komunikacji od platformy, nad którą nie ma żadnej kontroli redakcyjnej ani technicznej. Ryzyko cenzury, manipulacji zasięgiem lub nieautoryzowanego usuwania treści stoi w sprzeczności z zasadą przejrzystości i stabilności przekazu publicznego.

Propozycja rozwiązania alternatywnego

Proponujemy, aby obowiązkowym i nadrzędnym kanałem komunikacji każdej jednostki organizacyjnej LP była oficjalna strona internetowa, zawierająca aktualne informacje w formacie dostępnym również poprzez kanał RSS. Takie rozwiązanie:

• zapewni otwarty, równy dostęp do informacji dla wszystkich obywateli z zachowaniem prywatności,
• umożliwi ich automatyczną agregację przez media i organizacje społeczne,
• nie będzie uzależnione od działalności podmiotów trzecich.

Media społecznościowe, w tym Facebook, mogą pełnić funkcję pomocniczą, ale nie powinny być podstawowym źródłem informacji od instytucji publicznej.

Źródła, materiały

• Treść zarządzenia LP;
• Nasza petycja

Inne materiały poruszone w odcinku podcastu

Śledzące parametry w adresach URL, czyli o fbclid i tym podobnych

Czy wiecie, że udostępniając linki do materiałów z Facebooka czy YouTube, możecie nieświadomie narażać swoich znajomych na śledzenie ich aktywności przez podmioty zewnętrzne?

Fundacja Internet. Czas działać!Agnieszka Rapcewicz

Co jeśli nie Facebook, Instagram i reszta? Fediverse!

Coraz głośniej robi się o problemach związanych z sieciami społecznościowymi. Kto ma ostateczną decyzję o tym, jakie treści mogą się znaleźć na Facebooku? Dlaczego prywatna firma może zamknąć konto na Twitterze? Co ma zrobić twórca, któremu algorytm YouTube’a niesłusznie zdemonetyzował filmik?

Fundacja Internet. Czas działać!Kuba Orlik

Dlaczego firmom zależy na tym, abyśmy instalowali aplikacje mobilne?

„Zainstaluj naszą aplikację mobilną!” - krzyczą do nas wyskakujące okienka na rosnącej ilości stron. Jakie korzyści daje autorom stron internetowych wpychanie nam aplikacji mobilnych?

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Życie bez Facebooka, media społecznościowe

Opowiadamy o naszych doświadczeniach i korzyściach z nieposiadania konta na Facebooku. Przedstawiamy negatywne konsekwencje takie jak manipulacja, polaryzacja społeczeństwa czy też silne uzależnienie, jakie niesie za sobą korzystanie z Facebooka.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Wśród nich niemal na pewno znajdzie się zgoda na wykorzystanie wizerunku dziecka. Na co zwrócić uwagę i jak uniknąć niezgodnego z prawem przetwarzania wizerunku dzieci? O tym piszemy poniżej.

Wizerunek dziecka to dane osobowe

Wizerunek, podobnie jak imię, nazwisko czy numer PESEL, stanowi dane osobowe. Oznacza to, że jego przetwarzanie podlega ochronie wynikającej z RODO. Dodatkowo zasady rozpowszechniania wizerunku opisuje ustawa o prawie autorskim i prawach pokrewnych.

Rodzice powinni być świadomi, że podpisując zgodę, faktycznie powierzają szkole prawo do rozpowszechniania wizerunku swojego dziecka – często bez późniejszej możliwości kontroli wykorzystania tego wizerunku. To z kolei wiąże się z potencjalnym ryzykiem. Zdjęcia raz umieszczone w Internecie mogą krążyć bez kontroli placówki i być trudne do usunięcia. Oczywiście w wielu przypadkach stoi za tym dobra intencja, ponieważ szkoły chcą dzielić się osiągnięciami uczniów i budować poczucie wspólnoty. Problem polega na tym, że dla osiągnięcia wspomnianego celu wcale nie trzeba publikować wszędzie wizerunków dzieci…

Rodzice często nie wiedzą, że mają pełne prawo odmówić wyrażenia zgody, albo obawiają się, że brak wyrażenia zgody spowoduje nieprzyjemności czy wykluczenie dziecka z życia klasy, czy szkoły. A to nieprawda. Odmowa zgody nie może w żaden sposób ograniczać dziecka w uczestnictwie w aktywnościach klasowych czy szkolnych.

Kiedy zgoda jest wymagana, a kiedy nie?

Warto wiedzieć, że placówka oświatowa nie zawsze potrzebuje zgody rodzica, aby zrobić zdjęcie dziecku. Jeżeli fotografia służy wyłącznie do dokumentacji wewnętrznej (np. w dzienniku elektronicznym, archiwum szkoły, sprawozdaniach wewnętrznych czy kronice klasowej, która nie jest upubliczniana), szkoła może powołać się na tzw. prawnie uzasadniony interes administratora. W takim przypadku zdjęcia nie są publikowane na zewnątrz i zasadniczo nie wymagają zgody na przetwarzanie danych osobowych.

Zdarzają się także sytuacje, w których rozpowszechnienie wizerunku dziecka nie wymaga zgody na podstawie przepisów ustawy o prawie autorskim i prawach pokrewnych (art. 81). Dotyczy to w szczególności przypadków, gdy wizerunek stanowi jedynie szczegół większej całości, takiej jak zgromadzenie, krajobraz czy publiczna impreza.

Oznacza to, że jeżeli uczeń znajduje się np. na zdjęciu grupowym z akademii czy szkolnego apelu (jeśli są to imprezy otwarte dla szerszego grona gości, takie jak np. rozpoczęcie czy zakończenie roku, dzień szkoły itp.) i nie jest głównym obiektem fotografii, publikacja takiego zdjęcia nie wymaga odrębnej zgody rodzica. Natomiast w każdym innym przypadku, gdy dziecko jest wyraźnie rozpoznawalne i stanowi główny temat zdjęcia, a wizerunek trafia do Internetu, publikacji prasowych czy innych, zgoda jest konieczna. To rodzic (lub inny przedstawiciel ustawowy) decyduje, czy wizerunek jego dziecka może być w ten sposób rozpowszechniany. I to właśnie ten moment jest kluczowy, bo po publikacji zdjęcia w Internecie kontrola nad nim staje się praktycznie niemożliwa. Zdjęcie może być kopiowane, udostępniane dalej czy wykorzystywane w niepożądanym kontekście.

Na ten temat wypowiadał się również Prezes Urzędu Ochrony Danych Osobowych, który przygotował poradniki dla szkół i rodziców. Warto do nich zajrzeć. To praktyczne materiały, które pomagają rozwiać wątpliwości związane z prawidłowym przetwarzaniem wizerunku: „Wizerunek dziecka w Internecie. Publikować czy nie?”, Ochrona wizerunku dzieci – dedykowane materiały.

Najczęstsze błędy szkół i przedszkoli

Praktyka pokazuje, że placówki często popełniają powtarzalne błędy. Oto one:

• „Zgody w pakiecie” – zgoda na publikację zdjęć jest zaszyta w umowie, regulaminie czy karcie zapisu do placówki. To niedopuszczalne, bo zgoda musi być dobrowolna i wyrażona osobno, a nie jako „warunek” przyjęcia dziecka. Oto żywy przykład z umowy z pewną szkołą:

1. Na podstawie art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) wyrażamy zgodę na przetwarzanie danych osobowych Ucznia przez Stowarzyszenie w celu wykonywania czynności edukacyjnych związanych z zawartą Umową.
2. Na podstawie art. 9 ust. 2 lit. a w zw. z art. 9 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych):
   wyrażamy zgodę na przetwarzanie danych osobowych wrażliwych Ucznia obejmujących informacje o stanie jego zdrowia, w szczególności:
   1. alergiach;
   2. diecie;
   3. przebytych urazach;
   4. przewlekłych chorobach;
   5. niepełnosprawności;
   6. wyników badań lekarskich i specjalistycznych orzeczeń;
   7. badań i konsultacji psychologicznych;
   przez Stowarzyszenie w celu zapewnienia Uczniowi prawidłowej opieki w trakcie świadczenia na jego rzecz usług edukacyjnych na podstawie zawartej umowy o naukę.

• Zgody blankietowe – bez wskazania celu, miejsca i formy publikacji (np. „zgadzam się na wykorzystanie wizerunku mojego dziecka”). Tak sformułowana zgoda nie spełnia wymogów RODO. Jako rodzic, przed wyrażeniem zgody na wykorzystanie wizerunku Twojego dziecka powinieneś zostać poinformowany dokładnie o celu wykorzystania wizerunku (cele promocyjne szkoły czy przedszkola, informowanie o aktywnościach placówki itp.), miejscach, w jakich wizerunek będzie publikowany (np. strona internetowa, profil placówki na Facebooku itp.) i formach wykorzystania wizerunku dziecka (np. materiały drukowane, plakaty, posty na Facebooku itp.)
• Brak dobrowolności – informowanie, że bez wyrażenia zgody nie będzie można realizować umowy zawartej ze szkołą (w przypadku placówek prywatnych). To totalny absurd i oczywiste naruszenie RODO. Zgoda jest zawsze dobrowolna i można jej nie udzielić albo ją wycofać bez żadnych negatywnych konsekwencji. Niechlubny przykład z prawdziwej umowy dotyczący zgód przywołanych w punkcie „Zgody w pakiecie”:

4. Rodzice przyjmują do wiadomości, że wyrażenie zgód wskazanych w ust. 1 i 2 powyżej jest dobrowolne, jednakże ich niewyrażenie może spowodować brak możliwości wykonania Umowy przez Stowarzyszenie.

• Brak informacji o cofnięciu zgody – placówka nie informuje rodzica o prawie do wycofania zgody na wykorzystanie wizerunku dziecka, a rodzic ma pełne prawo wycofać ją w każdej chwili, bez podawania przyczyny i bez negatywnych konsekwencji dla siebie czy dziecka.
• Presja środowiska – sugestie, że brak zgody „wykluczy dziecko z życia szkoły”. To nieprawda. Szkoła nie może uzależniać udziału w wydarzeniach od publikacji wizerunku dziecka.
• Inne „dark patterns” – takie skonstruowanie zgody, że np. rodzic poprzez jeden podpis ma złożyć kilka oświadczeń o wyrażeniu zgody na różne cele, a nie ma możliwości wyrażenia albo odmówienia zgody tylko na wybrane cele. Przykład z formularza przekazanego przez jedno z przedszkoli, gdzie zgody są zamieszczone „ciągiem”:

ZGODA NA WYKORZYSTANIE DANYCH OSOBOWYCH DZIECKA I JEGO OPIEKUNA PRAWNEGO W CELACH INFORMACYJNYCH I PROMOCYJNYCH

• Wyrażam zgodę na przetwarzanie przez XXX danych osobowych mojego dziecka …………………………………………………………………………………………………………………….. (imię i nazwisko dziecka) w celu i zakresie niezbędnym do realizacji działań informacyjnych i promocyjnych,w tym umieszczania danych osobowych mojego dziecka na stronie internetowej XXX, na profilach internetowych XXX (np. Facebook), w materiałach prasowych (np. w gazetach, w telewizji) oraz w materiałach informacyjnych i promocyjnych przekazywanych przez XXX innym osobom.
• Wyrażam zgodę na przetwarzanie przez XXX moich danych osobowych w celu i zakresie niezbędnym do realizacji działań informacyjnych i promocyjnych, w tym umieszczania moich danych osobowych na stronie internetowej XXX, na profilach internetowych XXX(np. Facebook), w materiałach prasowych (np. w gazetach, w telewizji) oraz w materiałach informacyjnych i promocyjnych przekazywanych przez XXX innym osobom.
• Wyrażam zgodę na przetwarzanie przez XXX danych osobowych mojego dziecka …………………………………….…………. (imię i nazwisko dziecka) w postaci wizerunku, uwidocznionego w szczególności na zdjęciach i w materiałach filmowych, zarejestrowanego podczas zajęć i uroczystości oraz uczestnictwa w programach, projektach, konkursach organizowanych przez Żłobek, w celu i zakresie niezbędnym do realizacji działań promocyjnych, w tym umieszczania wizerunku mojego dziecka na stronie internetowej XXX, na profilach internetowych XXX (np. Facebook), w materiałach prasowych (np. w gazetach, w telewizji) oraz w materiałach informacyjnych i promocyjnych przekazywanych przez XXX innym osobom.
• Wyrażam zgodę na przetwarzanie przez XXX moich danych osobowych w postaci wizerunku, uwidocznionego w szczególności na zdjęciach i w materiałach filmowych, zarejestrowanego podczas zajęć i uroczystości oraz uczestnictwa w programach, projektach, konkursach organizowanych przez XXX, w celu i zakresie niezbędnym do realizacji działań promocyjnych, w tym umieszczania mojego wizerunku na stronie internetowej XXX, na profilach internetowych XXX (np. Facebook), w materiałach prasowych (np. w gazetach, w telewizji) oraz w materiałach informacyjnych i promocyjnych przekazywanych przez XXX innym osobom.
• Wyrażam zgodę na przetwarzanie przez XXX danych osobowych mojego dziecka/dzieci, które nie uczęszczają do niniejszego żłobka, w postaci wizerunku, uwidocznionego w szczególności na zdjęciach i w materiałach filmowych, zarejestrowanego podczas zajęć dodatkowych i uroczystości oraz uczestnictwa w programach, projektach, konkursach organizowanych przez XXX, w celu i zakresie niezbędnym do realizacji działań promocyjnych, w tym umieszczania wizerunku mojego dziecka na stronie internetowej XXX, na profilach internetowych XXX (np. Facebook), w materiałach prasowych (np. w gazetach, w telewizji) oraz w materiałach informacyjnych i promocyjnych przekazywanych przez XXX innym osobom.

………….………………….………………………………….

(data i czytelny podpis opiekuna prawnego dziecka)

Prawa rodzica: kontrola i cofnięcie zgody

Jak już zasygnalizowaliśmy wyżej, zgoda jest dobrowolna. Można jej udzielić, ale można także odmówić – i to bez żadnych negatywnych konsekwencji dla dziecka czy rodzica. Cofnięcie zgody jest możliwe w dowolnym momencie, a szkoła od tej chwili nie powinna publikować nowych zdjęć, na których dziecko jest widoczne.

Rodzic może też poprosić o usunięcie już opublikowanych zdjęć, jeśli zgoda została wycofana. Choć w praktyce bywa to trudne w przypadku mediów społecznościowych, szkoła ma obowiązek wykazać, że podejmuje realne działania w tym kierunku.

Warto jednak pamiętać, że prawo do prywatności przysługuje nie tylko rodzicowi, ale przede wszystkim dziecku. Nawet jeśli dziecko nie ma formalnej zdolności do wyrażenia zgody, jego zdanie nie może być ignorowane. Jeżeli uczeń mówi, że nie chce, aby jego wizerunek był publikowany, należy to uszanować, niezależnie od wieku. Przy podejmowaniu decyzji o wyrażeniu zgody na przetwarzanie danych osobowych dziecka powinno się brać pod uwagę stopień dojrzałości dziecka i jego prawo do współdecydowania o swoich danych osobowych.

Dobre praktyki chroniące wizerunek

Są sposoby, aby szkoły i przedszkola mogły dokumentować życie swojej społeczności, jednocześnie dbając o prywatność uczniów. Do dobrych praktyk należą m.in.:

• Udostępnianie zdjęć w zamkniętych, bezpiecznych kanałach – np. dedykowane foldery w chmurze dostępne tylko dla rodziców, zamiast otwartych portali społecznościowych.
• Publikacja zdjęć grupowych – w których dziecko nie jest w centrum kadru i nie można go łatwo zidentyfikować.
• Anonimizacja – unikanie podpisywania zdjęć pełnymi danymi uczniów, zakrywanie twarzy dzieci emotikonami.
• Ograniczenie zakresu zgody – np. zgoda wyłącznie na publikację w gazetce szkolnej, ale już nie na Facebooku.
• Uwzględnianie zdania dziecka – nawet najmłodsi mają prawo decydować, czy chcą być widoczni na zdjęciach. To ważny element edukacji o prywatności i cyfrowym bezpieczeństwie. Szkoła powinna respektować sytuacje, w których uczeń mówi „nie chcę zdjęcia” lub „nie zgadzam się na publikację mojego wizerunku”.
• Edukacja rodziców i uczniów – organizowanie spotkań informacyjnych, przekazywanie materiałów PUODO i zachęcanie do świadomego podejmowania decyzji.

Podsumowanie: świadoma decyzja chroni dziecko

Zdjęcia z wycieczki, akademii czy zawodów sportowych to piękna pamiątka, ale publikacja wizerunku dziecka w sieci wiąże się z odpowiedzialnością. Dlatego rodzice powinni dokładnie analizować treść zgód podsuwanych przez szkoły i inne placówki edukacyjne. Dobrowolność, możliwość cofnięcia zgody i precyzyjne określenie celu to absolutne minimum, którego należy wymagać. Należy także reagować, gdy placówka publikuje zdjęcia dzieci w Internecie bez uprzedniego zapytania o zgodę przedstawiciela ustawowego.

Dobre praktyki pozwalają znaleźć kompromis: szkoła może dokumentować i promować swoje działania, a jednocześnie szanować prywatność dzieci. Warto korzystać z poradników PUODO, które w przystępny sposób tłumaczą, jak robić to zgodnie z prawem i zdrowym rozsądkiem. Świadoma decyzja rodzica to najlepsza ochrona prywatności dziecka i gwarancja, że jego wizerunek nie trafi w niepowołane ręce.

Wyszukiwarki internetowe regularnie „skanują” strony WWW, sczytują całą ich treść i umieszczają ją w swojej bazie danych, zwanej „indeksem”. Gdy użytkownik wyszukuje dane hasło, wyszukiwarka znajduje w indeksie strony pasujące do tego hasła i wyświetla listę wyników. Wyszukiwarka stara się wyświetlić użytkownikowi najbardziej użyteczne i pasujące do zapytania wyniki, dlatego lista pasujących wyników jest wyświetlana w kolejności ustalanej przez wyszukiwarkę na podstawie różnych, często niejawnych parametrów.

Jest powód, dla którego te parametry są niejawne — gdyby ktoś poznał sposób, w jaki wyszukiwarka porządkuje („rankuje”) wyniki wyszukiwania, to mógłby wprowadzić zmiany na stronie, które nie wpływają pozytywnie na jej wartość dla czytelnika, ale ogrywają algorytm rankowania wyszukiwarki tak, aby to jego strona pojawiła się wyżej na liście wyników.

Linki do odcinka

Ten sam temat poruszamy w najnowszym odcinku podcastu, którego możecie posłuchać za pomocą poniższych platform:

Czym jest SEO?

SEO, czyli „Search Engine Optimization” to praktyka polegająca właśnie na dostosowywaniu strony tak, aby wyskakiwała wyżej w wynikach wyszukiwania dla danego hasła.

SEO w postaci „łagodnej” jest nieszkodliwe dla użytkowników. Może polegać na odpowiednim dodaniu meta tagów do strony, na używaniu poprawnych tagów HTML, lub na przyspieszeniu czasu ładowania strony. W bardziej szkodliwej postaci specjaliści od SEO wpływają inwazyjnie na treść strony w sposób, który umniejsza jej użyteczność dla użytkownika poprzez np.:

• rozwlekanie treści strony na wiele paragrafów — tak, aby najważniejsze słowa kluczowe były odmienione przez wszystkie przypadki;
• dodawanie nadmiarowej dla czytelnika ilości nagłówków (gdyż słowa zawarte w nagłówkach są „więcej warte” dla algorytmów rankujących);
• niepotrzebne wytłuszczanie słów kluczowych w treści strony.

Na pewno każde z Was doświadczyło tego na własnej skórze, gdy szukaliście informacji o tym, czy w bieżącym tygodniu jest niedziela handlowa, a pierwszym wynikiem była strona, która przez pierwsze kilka ekranów tekstu opowiada o historii słowa „niedziela”. Informacja, którą można przedstawić użytkownikowi w prostej i natychmiast czytelnej formie, jest zagrzebana pod stertą tekstu, który nie jest pisany dla ludzi — tylko dla maszyn.

Taką ścianę tekstu kierowaną nie do użytkownika, ale do robotów wyszukiwarki, nazywamy SEO Bełkotem.

SEO nie jest problemem samym w sobie

Gdyby SEO było używane wyłącznie do tego, aby ułatwić przeglądarce zrozumienie treści kierowanych do użytkowników, to Internet byłby znacznie przyjaźniejszym miejscem. Niestety priorytety na wielu stronach są odwrócone — strony chcą zarabiać na wyświetlaniu reklam, więc istotne jest, aby zebrać na stronie jak największy ruch. Administratorów stron nierzadko nie obchodzi, czy użytkownik znajdzie na stronie to, czego szukał, albo czy korzystanie ze strony będzie przyjemnym i szybkim doświadczeniem. Jeżeli użytkownik odwiedzi stronę, której model biznesowy jest oparty o monetyzację wyświetleń — to strona już „wygrała”, a użytkownik może sobie iść szukać informacji gdzieś indziej.

Prawdziwym winowajcą jest tutaj nie samo SEO, ale model biznesowy oparty o wyświetlanie reklam — bo w tym modelu ważniejsze jest kliknięcie w link, niż samo to, ile wartości dostrzega użytkownik w danej stronie.

Jak można działać? 🔥

Sytuacja nie jest beznadziejna. Możemy podejmować odpowiednie wybory technologiczne, które będą głosem za internetem dla ludzi, a nie dla automatów wyszukiwarek internetowych.

Wspieraj twórców, których treści czytasz / oglądasz / słuchasz

W naszej ocenie dobrostan ekosystemu internetowego będzie osiągalny tylko, jeżeli odejdziemy od modelu biznesowego opartego o wyświetlanie reklam. Dlatego jeżeli masz taką możliwość — rozważ wspieranie Twoich ulubionych twórców poprzez platformy pokroju Zrzutki, Patronite czy Buy me a coffee. To szansa na pokazanie twórcom, że istnieje choć szansa na utrzymanie się z tworzenia w Internecie bez pośrednictwa branży śledzących reklam.

Korzystaj z alternatywnych wyszukiwarek internetowych

Google stara się pokazać wyniki z całego Internetu — i to też jest częścią problemu. Przed automatami Google'a stoi niewyobrażalnie trudne zadanie — przefiltrować praktycznie cały publiczny Internet i wyłonić wartościowe treści. Biorąc pod uwagę ilość stron, które próbują ograć algorytmy Google'a, oraz ilość stron, które generują bezwartościowe treści za pomocą modeli językowych (tzw. „sztucznej inteligencji”) – to zadanie wydaje się wręcz niemożliwe do prawidłowego wykonania.

Na szczęście są alternatywy. Wyszukiwarka Kagi pozwala użytkownikom na obniżenie priorytetu stronom, których użytkownik nie lubi:

Kagi Search Stats

Better search results with no ads. Welcome to Kagi (pronounced kah-gee), a paid search engine that gives power back to the user.

Warto zwrócić też uwagę na projekt Peekr — wyszukiwarkę internetową, którą można hostować samodzielnie i mieć kompletną kontrolę nad tym, które witryny są umieszczane w indeksie, a które nie:

Peekr

Peek through the web! Peekr is a search engine that is developed and hosted in Poland, founded 28 December 2022 as SVMetaSearch.

peekr.orgNove Group

Tak jak wspominaliśmy w 4. odcinku ICD Weekend, to jest doskonała odpowiedź na problem, z którym musi się zmagać Google. Bo zamiast próbować wyłowić cenne wyniki z indeksu pełnego małowartościowych stron, można po prostu wrzucać do indeksu tylko wartościowe strony.

Innym polecanym przez nas przykładem może być wyszukiwarka Qwant, która na podstawie opinii przewijających się na Mastodonie zdaje się być pozbawiona SEO Bełkotu w swoich wynikach wyszukiwania:

Qwant

Fast, reliable answers and still in trust: Qwant does not store your search data, does not sell your personal data and is hosted in Europe.

Qwant

Alternatywnie można wypróbować wyszukiwarkę SearX, która łączy wiele indeksów z wielu wyszukiwarek:

searx

searx - a privacy-respecting, hackable metasearch engine

Chowaj niechciane strony z wyników wyszukiwania

Za pomocą wtyczki uBlacklist możesz schować w wynikach wyszukiwania domeny na podstawie zadanych list blokowania. Możesz tworzyć własną listę blokowania lub korzystać z publicznie dostępnych list:

Subscriptions | uBlacklist

The blacklists featured on this page are user-generated content and are not endorsed, controlled, or verified by the uBlacklist project. These lists are created and maintained by individual contributors based on independent reviews and assessments. As such, they reflect the opinions and judgments of…

uBlacklist

Rozpoczęliśmy proces tworzenia „listy wstydu” stron, które praktykują SEO Bełkot. Póki co jest skromna, ale zdecydowanie poprawia jakość wyników wyszukiwania. Oto jak różnią się pierwsze wyniki wyszukiwania dla hasła „czy dzisiaj jest niedziela handlowa” przed i po zastosowaniu naszej blocklisty:

Nasza blocklista jest dostępna pod tym adresem. Jest napisana w formacie kompatybilnym z opisaną powyżej wtyczką uBlacklist.

uBlacklist

Zapraszamy do zgłaszania stron do tej blocklisty! Aby dodać stronę, daj nam znać na naszym forum:

Forum Internet. Czas działać!

Walczymy o prawo do prywatności i kontroli nad technologią!

Forum Internet. Czas działać!

Podsumowanie

Model biznesowy oparte o śledzące reklamy ma daleko idący negatywny wpływ na kształt Internetu. SEO Bełkot jest jednym z najbardziej jaskrawych tego przykładów. Na szczęście mamy mechanizmy przeciwdziałania — i wspólnymi siłami możemy wywrzeć presję na autorach stron, aby mieli większy szacunek dla nas, naszego intelektu i naszego czasu.

Dodatkowe materiały

GitHub - iorate/ublacklist: Blocks specific sites from appearing in Google search results

Blocks specific sites from appearing in Google search results - iorate/ublacklist

GitHubiorate

blocklisty

blocklisty

Giteaicd

Home

SponsorBlock is a crowdsourced browser extension to skip sponsor segments in YouTube videos.

Sponsorship SkipperCreated by Ajay Ramachandran

Tubular | F-Droid - Free and Open Source Android App Repository

A fork of NewPipe, a free lightweight YouTube frontend for Android.

Free and Open Source Android App Repository

Home

Free premium app for Android boxes and tvs

TeamSmartTeamSmart

Przy współpracy z naszą Grupą Roboczą wykonaliśmy analizę stron www kandydatów na Prezydenta RP w tegorocznych wyborach za pomocą wtyczki Rentgen. Pod uwagę wzięliśmy mechanizmy zbierania zgód na stronach oraz ich przełożenie na zachowanie skryptów śledzących.

Analiza była wykonana w okresie 17 marca 2025 – 17 kwietnia 2025. Dane były ponownie zweryfikowane 22 kwietnia.

Kandydaci startujący w wyborach

Poniżej przedstawiamy skrótowe zestawienie wyników analizy.

Niedoszli kandydaci

Poniżej przedstawiamy zestawienie informacji o niedoszłych kandydatach – osobach, które zapowiadały start w wyborach, ale nie uzbierały odpowiedniej liczby podpisów poparcia.

Wybrane obserwacje

Łatwiejsza odmowa zgód

W 2023 r. wykonaliśmy analizę stron partii politycznych startujących w wyborach parlamentarnych. Widzimy zmianę na lepsze po porównaniu stron kandydatów w wyborach na Prezydenta RP w 2025 r. do stron partii w 2023 r.

9 z 13 stron kandydatów posiada mechanizmy pozyskiwania zgód na cookies i podobne technologie. Wszystkie z tych dziewięciu stron umożliwiają odmowę zgody jednym kliknięciem. Cieszy nas, że już zanika „moda” na okienka cookies, które wymagają wielu kliknięć do odmowy zgody, albo które wprowadzają użytkownika w błąd treściami pokroju „korzystając ze strony wyrażasz zgodę”.

Niestety, większość z badanych stron nie respektuje braku zgody użytkownika i wciąż przetwarza cookiesy przed otrzymaniem zgody lub po jej odmowie. Pozostaje się zastanawiać – po co w ogóle „zawracają głowę” użytkownikom pytaniami o zgodę, skoro ignorują odpowiedź użytkownika?

Niechlubny zwycięzca

Na tle zestawienia mocno wyróżnia się kandydat Rafał Trzaskowski, którego strona nie posiada mechanizmu pozyskiwania zgody, a osadza skrypty śledzące wielu podmiotów (w zestawieniu tabelkowym bije rekord – aż 15 domen z cookiesami i 48 z samą częścią historii przeglądania). Strona wysyła bez zgody użytkownika dane m.in. do Google, Facebooka, adform.net, casalemedia.com (giełdy danych użytkowników na potrzeby reklamowe).

Niespotykana trafność

Strona niedoszłego kandydata Piotra Szumlewicza nie wykorzystuje cookiesów. Autor strony wykazuje się wręcz dumą, gdyż w stopce strony możemy przeczytać komunikat:

Niniejsza strona nie korzysta z plików cookie i nie zbiera danych osobowych.

Cieszy taki poziom świadomości - zwłaszcza, że w trakcie codziennego przeglądania Internetu napotykamy strony, które informują, że korzystają z cookies, a tak naprawdę w ogóle ich nie wykorzystują.

Szczegóły analizy

Poniżej opisujemy, jakie kryteria braliśmy pod uwagę przy analizie stron.

Czy jest mechanizm pozyskiwania zgody?

Sprawdzamy, czy na stronie występuje jakikolwiek mechanizm pozyskiwania zgody. Najczęściej ma postać wyskakującego okienka, w którym trzeba podjąć wybór. Brak okienka o zgodach nie musi świadczyć o braku szacunku dla prywatności – jeżeli strona nie ma skryptów śledzących, a cookiesy używa tylko do celów niezbędnych, to nie musi pytać użytkownika o zgodę na cookies.

W tabeli z podsumowaniem komórka z odpowiedzią na to pytanie dla strony danego kandydata jest pokolorowana na czerwono, jeżeli strona nie ma mechanizmu pozyskiwania zgody, a wysyła dane z cookies do podmiotów trzecich.

Czy można jednym kliknięciem odmówić zgody?

Jeżeli strona używa zgody jako podstawy prawnej przetwarzania danych osobowych, to pytając o tę zgodę, musi dać użytkownikowi możliwość odmowy zgody. Odmowa zgody musi być tak samo łatwa, jak wyrażenie zgody. Jeżeli wyrażenie zgody jest łatwiejsze, niż jej odmowa (na przykład: wymaga mniejszej liczby kliknięć), to tak pozyskana zgoda nie jest ważna w kontekście RODO.

Czy przycisk odmowy zgody jest tak samo wyróżniony, jak przycisk od wyrażania zgody?

O ile prawo nie reguluje tego ściśle, o tyle uważamy, że wyróżnianie przycisku od wyrażania zgody lub sprawianie, że przycisk odmowy zgody jest mniej widoczny, stanowi tzw. Dark Pattern lub Deceptive Design Pattern i sprawia, że zgoda jest wyrażana w bardziej „odruchowy” sposób. Tym pytaniem sprawdzamy, w jakim stopniu zachowanie strony kandydatów wyraża (lub nie) szacunek dla podmiotowości ją odwiedzających.

W tabeli z podsumowaniem komórka z odpowiedzią na to pytanie dla strony danego kandydata jest pokolorowana na czerwono, jeżeli:

1. strona wizualnie wyróżnia przycisk od akceptacji zgód, sprawiając, że jest on bardziej widoczny, wygląda na bardziej klikalny lub w inny sposób zachęca do kliknięcia bardziej, niż przycisk do odmowy zgody; lub
2. strona nie ma mechanizmu pozyskiwania zgody, a wysyła dane z cookies do podmiotów trzecich.

Czy brak zgody jest respektowany?

Sprawdzamy, czy wybory użytkownika mają wpływ na ilość przetwarzanych danych. Nierzadko na stronach www zdarza się, że niektóre skrypty śledzące włączają się jeszcze zanim użytkownik podejmie jakiekolwiek wybory w okienku o zgodzie. Administrator nie może w takiej sytuacji powoływać się na zgodę jako podstawę prawną przetwarzania danych. Jeżeli administrator przetwarza dane niezależnie od zgody osoby, której dane dotyczą, to wyświetlanie okienka z pytaniem o zgodę powoduje tylko stratę czasu czytelnika.

Uznajemy, że brak zgody jest respektowany, jeżeli przy braku zgody użytkownika strona nie wysyła danych z cookiesów do podmiotów trzecich.

Ile jest domen podmiotów trzecich czytających cookies przed/po wyrażeniu zgody?

Za pomocą narzędzia Rentgen sprawdziliśmy, ile jest łącznie zapytań HTTP wygenerowanych przez stronę internetową, które spełniają obydwa następujące warunki:

1. prowadzą do domen, które według naszych heurystyk są domenami podmiotów trzecich;
2. są opatrzone nagłówkami zawierającymi dane z Cookies.

Prawo wymaga, aby dostęp do danych z Cookies był wykonywany tylko, gdy takie przetwarzanie jest konieczne do obsługi strony lub gdy użytkownik wyrazi na to zgodę (zob. Art. 399 ustawy Prawo Komunikacji Elektronicznej). Liczba domen podmiotów trzecich otrzymujących dane z Cookies traktujemy jako podstawowy wyznacznik tego, jak wiele podmiotów otrzymuje informacje o użytkownikach, którzy odwiedzili daną stronę. Dane te mogą być potem używane do profilowania użytkowników.

Cookiesy nie są jedynym narzędziem, jakim posługują się skrypty śledzące – więcej z nich opisujemy w naszym zestawieniu metod na śledzenie użytkowników Internetu:

Przegląd sposobów na śledzenie użytkowników Internetu

Internet jest pełen technologii, które pomagają zarówno nam, jak i wszechobecnym reklamodawcom. Opisujemy najważniejsze z nich i tłumaczymy zasady ich działania.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Komórka odpowiadająca temu pytaniu w tabeli z zestawieniem wyników ma kolor:

• zielony – jeżeli strona nie wysyła danych z cookies przed wyrażeniem zgody lub nie wysyła danych z cookies wcale;
• czerwony – jeżeli strona wysyła dane z cookies przed otrzymaniem zgody użytkownika;

Zakładamy, że do wyświetlania statycznych treści informacyjnych o kandydacie nie jest konieczne wysyłanie danych z cookies podmiotów trzecich, więc wszystkie dane z cookies traktujemy jako wymagające zgody, a nie jako konieczne do wyświetlenia strony.

Ile jest domen podmiotów trzecich otrzymujących część historii przeglądania użytkownika przed/po wyrażeniu zgody?

Rentgen zlicza także liczba zapytań HTTP, które spełniają obydwa następujące warunki:

1. prowadzą do domen, które według naszych heurystyk są domenami podmiotów trzecich;
2. zawierają adres strony, którą aktualnie odwiedza użytkownik – albo samą domenę, albo pełen adres razem ze ścieżką do konkretnej odwiedzanej podstrony.

Takie dane mogą znajdować się w nagłówku Referer, który przeglądarka internetowa automatycznie „dokleja” do zapytań sieciowych. Można jednak skonfigurować swoją stronę tak, aby instruowała przeglądarkę do niewysyłania nagłówka Referer – to jest w rękach administratora strony.

Rentgen zlicza także zapytania, które zawierają adres aktualnie odwiedzanej strony w innych miejscach, niż nagłówek Referer.

Adresy stron, które przeanalizowaliśmy

• Artur Bartoszewicz - https://777.org.pl
• Magdalena Biejat - https://biejat2025.pl
• Grzegorz Braun - https://www.braun2025.pl
• Szymon Hołownia - https://holownia2025.pl
• Marek Jakubiak - https://marekjakubiak2025.pl
• Maciej Maciak - https://kwwrdip.pl
• Sławomir Mentzen - https://mentzen2025.pl
• Karol Nawrocki - https://karolnawrocki2025.pl
• Joanna Senyszyn - https://senyszyn.eu
• Krzysztof Stanowski - https://stanowski2025.de
• Rafał Trzaskowski - https://trzaskowski.pl
• Marek Woch - https://bezpartyjnisamorzadowcy.org.pl/wybory-na-prezydenta-rp-2025
• Adrian Zandberg – https://zandberg2025.pl

• Kamil Całek - https://prezydentcalek.pl
• Dawid Jackiewicz - https://jackiewicz2025.pl
• Jan Kubań - https://kuban2025.pl
• Eugeniusz Maciejewski - https://piast-jmen.pl/wybory-prezydenckie-2020
• Romuald Starosielec - https://starosielec2025.pl
• Piotr Szumlewicz - https://www.szumlewicz2025.pl
• Paweł Tanajno - https://tanajno.pl
• Krzysztof Tołwiński - http://www.fronttolwinski.pl
• Stanisław Żółtek - https://stanislawzoltek.pl

Podziękowania dla grupy roboczej 💛

Ten raport nie powstałby bez zaangażowania i wsparcia członków naszej grupy roboczej — serdecznie dziękujemy wszystkim za pomoc i cenne uwagi!
Jeśli chcesz zaangażować się i wspierać nasze inicjatywy na rzecz lepszego internetu, zapraszamy na nasze forum – czekamy na Ciebie!

Użyte narzędzia

Rentgen — pobierz to rozszerzenie do 🦊 Firefoksa (pl)

Rentgen to wtyczka, która automatycznie wizualizuje, jakie dane zostały ~~wykradzione~~ wysłane do podmiotów trzecich przez odwiedzane strony. Pozwala wygenerować raport lub treść maila, który można wysłać do administratora strony i/lub UODO.

“Internet. Time to act!” Foundation

Rentgen - prześwietl stronę internetową i wygeneruj maila do administratora

Z radością ogłaszamy premierę owocu ostatnich miesięcy naszej ciężkiej pracy: wtyczki do Firefoxa, która analizuje skrypty na stronach i na podstawie zebranych danych ułatwia sformułowanie maila do administratora strony opisującego potencjalne problemy ze zgodnością z RODO.

Fundacja Internet. Czas działać!Arkadiusz Wieczorek

Pobierz najszybszego Firefoksa w historii

Szybsze wczytywanie stron, mniejsze zużycie pamięci i mnóstwo funkcji w nowym Firefoksie.

Mozilla

Firefox Developer Edition

Firefox Developer Edition to oszałamiająco wydajna przeglądarka, oferująca nowoczesne narzędzia dla programistów i najnowsze funkcje, takie jak obsługa CSS Grid i debugowanie bibliotek

Mozilla

What are browser developer tools? - Learn web development | MDN

Every modern web browser includes a powerful suite of developer tools. These tools do a range of things, from inspecting currently-loaded HTML, CSS and JavaScript to showing which assets the page has requested and how long they took to load. This article explains how to use the basic functions of yo…

MDN Web Docs

W życiu zawodowym z coraz większą częstotliwością spotykamy się z koniecznością przewidywania przyszłości (czy to estymując taski, czy próbując przewidzieć nastrój przełożonego). Nic więc dziwnego, że pytanie: „czy liczba numerologiczna konkretnej osoby stanowi dane osobowe?” coraz częściej trafia na biurka inspektorów ochrony danych. Zajrzyjmy w gwiazdy (i w RODO), by znaleźć odpowiedź.

Co mówi RODO?

Na samym wstępie trzeba zaznaczyć, że Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – dalej: RODO) nie wskazuje wprost, czy liczba numerologiczna stanowi dane osobowe, czy nie. Unijny prawodawca celowo zostawił nam otwarty katalog informacji stanowiących dane osobowe, aby przepisy tej regulacji miały szansę być ponadczasowe i odporne na pojawiające się nowe rodzaje danych i sposobów ich przetwarzania.

W Artykule 4 pkt 1) RODO możemy przeczytać, że

„dane osobowe” oznaczają wszelkie informacje [podkr. wł.] o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”) (…)

Wśród przykładowych informacji pozwalających na zidentyfikowanie osoby fizycznej RODO wymienia np. numer identyfikacyjny czy identyfikator internetowy.

Oznacza to, że każda informacja – nawet jeśli wydaje się z pozoru ezoteryczna – może być uznana za dane osobowe, jeśli da się dzięki niej kogoś zidentyfikować.

Choć Prezes UODO ani Europejska Rada Ochrony Danych nie wydali jeszcze wytycznych dotyczących numerologii czy podróży astralnych poza Europejski Obszar Gospodarczy, to jednak zasady ogólne RODO mają tu zastosowanie.

Pozostaje nam więc – nomen omen – wróżenie z fusów. Albo z przepisów.

Szerszy kontekst, czyli nie tylko liczby

O ile liczba numerologiczna (zwana także wibracją drogi życia) jest kluczowym czynnikiem przy wyborze partnerów życiowych lub projektowych, o tyle nie jest jedynym. Na portalach randkowych i w procesach rekrutacyjnych kandydaci są czasami również pytani o takie dane, jak:

• znak zodiaku,
• kolor duszy (zgodnie z testem „jakim kolorem jesteś?”),
• umiejętność mówienia językami.

Jest zatem cały szereg danych, które można próbować kategoryzować (lub nie) jako dane osobowe.

Szerszy kontekst

Należy nadmienić, że konkretna informacja może stanowić dane osobowe tylko, gdy faktycznie dotyczy możliwej do zidentyfikowania osoby. W najprostszym przykładzie, gdy np. zakupimy słownik imion, wybierzemy z niego kilka losowych imion i umieścimy je w bazie danych, to nie przetwarzamy danych osobowych. Gdy jednak przy np. wejściu do budynku odpytujemy ludzi o ich imiona i umieszczamy je w bazie danych, to mamy już do czynienia z przetwarzaniem danych osobowych. Pomimo że rezultat wygląda tak samo — liczy się kontekst.

Podobnie jest z liczbą numerologiczną –  sama w sobie nie stanowi danych osobowych. Nabiera takiego charakteru dopiero wtedy, gdy na jej podstawie można bezpośrednio lub pośrednio zidentyfikować konkretną osobę fizyczną. Kluczowe w definicji danych osobowych zawartej w RODO jest wyrażenie „możliwej do zidentyfikowania” – oznacza to, że nie musimy mieć pełnych danych osoby, której dane dotyczą, aby mówić o danych osobowych. W „Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz” pod redakcją Pawła Litwińskiego (numerologiczna piątka), możemy przeczytać:

Jak zwrócono uwagę w nauce prawa, identyfikacja osoby powinna być rozumiana jako możliwość „fizycznego” wskazania tejże osoby, nie zaś jako ustalenie podstawowych danych tej osoby (...). Analogicznie, identyfikacja osoby nie wymaga znajomości jej imienia lub nazwiska, wymaga natomiast znajomości pewnych unikalnych cech tej osoby, które odróżniają ją od innych osób (...). W ten sam sposób należy więc rozumieć zwrot „można zidentyfikować” - nie tylko jako możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz także jako możliwość wskazania tej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób.

Według tej interpretacji informacja o liczbie numerologicznej danej osoby może stanowić dane osobowe. Gdy przykładowo w bazie mamy tylko 10 osób, i tylko jedna z nich ma wartość liczbową wibracji drogi życia ustawioną na 5, to pozwala nam to jednoznacznie zidentyfikować tę osobę poprzez odróżnienie jej od pozostałych osób z bazy.

Warto nadmienić, że liczba numerologiczna jest obliczana na podstawie daty urodzenia, a więc na podstawie danych, które są bez wątpienia osobowe. Stanowi swoisty rodzaj funkcji haszującej, którą można uznać za metodę pseudonimizacji. Więcej o tych tematach opowiadamy w naszym materiale „Pseudonimizacja a anonimizacja”:

Pseudonimizacja a anonimizacja

Czy patrząc na dane można jednoznacznie stwierdzić, że są anonimowe? Czy np. haszowanie numerów telefonu to skuteczna pseudonimizacja? Adwokatka Agnieszka Rapcewicz i kryptolog dr inż. Michał Ren podejmują próbę pogodzenia prawnych i matematycznych definicji pojęć „anonimizacja” i „pseudonimizacja”.

Fundacja Internet. Czas działać!Agnieszka Rapcewicz

Podsumowanie

Odpowiedź na tytułowe pytanie można streścić jako „to zależy”, albo, jak kto woli – „na dwoje babka wróżyła”.

Należy spojrzeć na szerszy kontekst i cały proces przetwarzania danych, aby prawidłowo podejść do próby klasyfikowania konkretnej informacji jako dane osobowe.

W przyszłości planujemy zająć się analizą prywatności w kalkulatorach numerologicznych oraz zbadać, jak wdrażanie normy ISO 27001 w seansach spirytystycznych wpływa na branżę ghostwritingu.

Linki do odcinka

Lista poruszonych tematów

Apple wyłącza funkcja szyfrowania end-to-end w Wielkiej Brytanii

Apple turns off iCloud encryption feature in UK following reported government legal order

The removal of the Advanced Data Protection (ADP) feature in the U.K. follows the British government reportedly issuing a secret legal demand to Apple to provide it with access to encrypted iCloud accounts.

Cyber Security News | The RecordAlexander Martin

Na żądanie władz UK, Apple wyłącza szyfrowanie end-to-end dla iCloud w Wielkiej Brytanii. Oznacza to, że tamtejsze władze mogą teraz występować o dostęp do danych użytkowników Apple, które zostały kiedykolwiek przesłane do chmury. W efekcie kopie zapasowe iCloud nie będą już chronione szyfrowaniem end-to-end, co pozwoli Apple na dostęp do przechowywanych informacji i przekazywanie ich organom ścigania na żądanie. Do tej pory, dzięki szyfrowaniu, nawet Apple nie mógł uzyskać dostępu do danych użytkownika.

Szwecja chce wprowadzić backdoor do Signala i WhatsAppa

Signal’s CEO: Then We’re Leaving Sweden | Sweden Herald

The government wants Signal and Whatsapp to be forced to store messages sent using the apps

Sweden HeraldTT

Szwedzki rząd chce, aby Signal i WhatsApp były zmuszone do przechowywania wiadomości wysyłanych za pomocą aplikacji. Celem ustawy, planowanej do uchwalenia w przyszłym roku, jest umożliwienie policji i służbom bezpieczeństwa uzyskania dostępu do archiwalnej historii wiadomości osób podejrzanych o przestępstwa. Szefowa Signala ostrzega, że jeśli zapowiadane zmiany w prawie wejdą w życie, wycofają Signala ze Szwecji.

X blokował linki do Signala

Elon Musk’s X blocks links to Signal, the encrypted messaging service

Signal has been a primary method of communication for federal workers looking to blow the whistle on DOGE.

disruptionistMatt Binder

Platforma X, będąca własnością Elona Muska, blokowała przez pewien czas linki do „Signal.me” – adresu URL używanego przez Signal do generowania szybkich linków umożliwiających bezpośredni kontakt za pośrednictwem aplikacji.

Google wyda 5 milionów dolarów na szkolenia AI w Polsce

Google potwierdza, że to nie był błąd: w Polsce na rozwój AI wyda 5 mln zł. W sieci zawrzało

Google oficjalnie potwierdziło kwotę swojej nowej inwestycji w Polsce. Zamiast 5 miliardów dolarów, o których spekulowano w mediach, gigant technologiczny

ANDROID.COM.PL - społeczność entuzjastów technologiiKrzysztof Wilamowski

Google oficjalnie potwierdziło wartość swojej inwestycji, o której spekulowano już wcześniej. W ubiegłym miesiącu odbyła się konferencja prasowa na najwyższym szczeblu, podczas której szefa Google'a, Sundar Pichai, oraz premier RP, Donald Tusk, ogłosili, że Google zainwestuje w Polsce 5 milionów dolarów w ciągu 5 lat, aby przeszkolić milion Polaków w zakresie umiejętności cyfrowych, w tym sztucznej inteligencji. To równowartość 5 dolarów na osobę...

Internet. Czas działać! 🌎 (@icd@mastodon.internet-czas-dzialac.pl)

Attached: 2 images How it started vs how it’s going

Internet. Czas działać! - serwer Mastodona

ReCAPTCHA — darmowa praca ludzi na rzecz Google

A 2023 study concluded CAPTCHAs are ‘a tracking cookie farm for profit masquerading as a security service’ that made us spend 819 million hours clicking on traffic lights to generate nearly $1 trillion for Google

Is that good?

PC GamerTed Litchfield

Badania z 2023 roku wykazały, że narzędzia pokroju CAPTCHA, szczególnie Google reCAPTCHAv2, pełnią funkcję śledzenia użytkowników, zamiast zapewniać bezpieczeństwo przed botami. W ciągu 13 lat użytkownicy spędzili około 819 milionów godzin na rozwiązywaniu tych zagadek, co miało na celu generowanie cennych danych dla Google'a. Szacuje się, że ta praktyka wygenerowała dla firmy prawie 1 bilion dolarów zysków.

Tymczasem w Polsce giganci technologiczni sprawnie unikają opodatkowań.

F-Droid otrzymał spory grant

F-Droid Awarded Open Technology Fund’s FOSS Sustainability Grant | F-Droid - Free and Open Source Android App Repository

We are excited to announce that F-Droid has been awarded $396,044 from theOpen Technology Fund’s FOSS SustainabilityFund.This grant is specifically designed ...

Free and Open Source Android App RepositoryHStill

F-Droid na swojej stronie poinformował, że otrzymał blisko 400 tys. dolarów od Open Technology Fund’s FOSS Sustainability Fund na dalszy rozwój swojego projektu.

Polecane oprogramowanie

Aktualizacje aplikacji bezpośrednio ze źródeł

Obtainium

Obtainium allows you to install and update apps directly from their release pages, and receive notifications when new releases are made available.

Obtainium to aplikacja na Androida, która pozwala instalować i aktualizować aplikacje bezpośrednio ze stron twórców oraz otrzymywać powiadomienia, gdy udostępniane są nowe wydania.

Dodatkowe repozytorium dla F-Droida

IzzyOnDroid F-Droid Repository

This is a repository of apps to be used with your F-Droid client. Applications in this repository are official binaries built by the original application developers, taken from their resp. repositories (mostly Github, GitLab, Codeberg). Updates for the apps are usually fetched daily, and you can exp…

IzzyOnDroid App Repo

IzzyOnDroid oferuje ponad 1200 dodatkowych aplikacji, które możemy pobrać za pomocą F-Droida

Aplikacja do monitorowania i planowania nawyków

Loop Habit Tracker

Loop Habit Tracker to aplikacja na Androida, pozwalająca na monitorowanie i utrzymywanie nawyków. Aplikacja oferuje prosty interfejs, statystyki dotyczące regularności wykonywania nawyków oraz funkcję wykresów do śledzenia postępów. Idealne rozwiązanie dla osób chcących utrzymać swoje noworoczne postanowienia! 😄

Aplikacja do kart lojalnościowych

Catima - The Libre Card Wallet

A Loyalty Card & Ticket Manager for Android

Catima

Catima to aplikacja na Androida, która służy do przechowywania kart lojalnościowych podobnie jak w przypadku rozwiązań Google'a bez konieczności posiadania konta Google i dostępu do internetu. Aplikacja umożliwia zapisywanie kart lojalnościowych, biletów i kuponów w postaci kodów kreskowych oraz QR, dzięki czemu nie ma konieczności noszenia plastikowych kart w portfelu.

Sterowanie ledami w Home Assistant

GitHub - wled/WLED: Control WS2812B and many more types of digital RGB LEDs with an ESP32 over WiFi!

Control WS2812B and many more types of digital RGB LEDs with an ESP32 over WiFi! - wled/WLED

GitHubwled

WLED to open-source'owa implementacja serwera internetowego dla mikrokontrolerów ESP32 i ESP8266, umożliwiająca łatwe sterowanie taśmami LED, takimi jak Neopixel (WS2812B, WS2811, SK6812) oraz chipsetami SPI (WS2801, APA102). Oprogramowanie oferuje szerokie możliwości personalizacji efektów świetlnych, integrację z Home Assistant oraz sterowanie przez wiele różnych interfejsów

Czasami lubimy swoimi myślami wracać do „złotych czasów rootowania” smartfonów, kiedy ta czynność przynosiła same korzyści – nową wersję Androida, dostęp do dodatkowych funkcji i możliwości konfiguracji systemu, a także znacznie szybsze działanie. Instalacja nieoficjalnego systemu często więc wiązała się z daniem „drugiego życia” nawet starszemu smartfonowi.

Dzisiaj jednak tak różowo już nie jest – odblokowanie bootloadera (programu startowego systemu operacyjnego) lub dostępu do roota (czyli uprawnień administratora) potrafi nam mocno utrudnić życie. Te przykrości najmocniej odczujemy przy chęci skorzystania z aplikacji bankowych. Dlaczego? Otóż aplikacje te wykrywają dostęp do roota czy odblokowanego bootloadera i w najlepszym przypadku wyświetlą monit o tym informujący, a w najgorszym – zablokują dostęp do swoich funkcji, a przecież mobilna bankowość to jedna z najchętniej wykorzystywanych możliwości smartfonów.

Jaki jest problem?

Jak to mówią, jako konsumenci możemy głosować pieniędzmi i wybierać te opcje, które najbardziej nam pasują, a w przypadku aplikacji bankowych zapewne wybierzemy tego dostawcę, który najmniej narzuca nam swoje ograniczenia. Niestety, dostęp do informacji mówiących, czy i jak dane aplikacje banków i fintechów działają „pod rootem” nie jest prosty. Takich danych instytucje przecież nie publikują, a sami entuzjaści nie mają obowiązku swojej wiedzy udostępniać innym.

Nasze rozwiązanie? Baza raportów użyteczności aplikacji bankowych!

Dlatego też postanowiliśmy tę wiedzę konsekwentnie zebrać oraz usystematyzować. W ramach tej działalności utworzyliśmy specjalny szkic raportu, w którym podajemy wyniki badań dostępów do poszczególnych funkcji aplikacji bankowych na urządzeniach z nieoficjalnym oprogramowaniem, np. LineageOS oraz z dostępem do uprawnień administratora. Podczas badań brane są pod uwagę przeróżne funkcje, w tym możliwość wykonywania przelewów, dostęp do płatności zbliżeniowych czy logowanie za pomocą zabezpieczeń biometrycznych. Finałem jest wydawana na podstawie wyników ocena doświadczenia obcowania z aplikacją mobilną.

Gdzie publikowane są raporty?

Tworzymy i udostępniamy je w ramach naszego forum, w dziale Mobilne aplikacje bankowe bez Google Play:

🌍 📱💳 Mobilne aplikacje bankowe bez Google Play

Tutaj zbieramy informacje o tym, jak różne polskie aplikacje bankowe działają na telefonach bez Google Play Services. Czy działają płatności zbliżeniowe? Biometria? Czy aplikacja narzeka na roota?

Forum Internet. Czas działać!

Każdy raport ma swój oddzielny wątek, w którym użytkownicy mogą się dowolnie udzielać.

Baza ciągle jest rozwijana, a jak tylko osiągnie optymalny rozmiar, to zostanie udostępniona w ramach jednolitego interfejsu, aby dostęp do danych był jeszcze prostszy i wygodniejszy.

Twój ruch! Czas działać!

Teraz zwrócimy się bezpośrednio do Ciebie, drogi czytelniku. Jeśli chciałbyś dołożyć swoją cegiełkę i podzielić się swoimi doświadczeniami z aplikacjami bankowymi pracującymi na systemach z dostępem do roota, to możesz to zrobić! Już teraz utwórz własny raport na naszym forum i udostępnij zdobytą wiedzę innym użytkownikom. Za każdy wpis serdecznie dziękujemy!

Zobacz wyniki testów · Dołącz do forum

Jest to jak najbardziej możliwe — za sprawą technologii zwanej „AGPS”. Twoje urządzenie w sposób zautomatyzowany wykorzystuje informacje na temat okolicznych sieci Wi-Fi i stacji bazowych, by precyzyjnie ustalać Twoją pozycję. To technologia, z której może korzystać prawie każde urządzenie mobilne. Działa w tle i niemal niewidzialnie wpływa na nasze codzienne funkcjonowanie.

W momencie potrzeby ustalenia lokalizacji urządzenie przesyła usłudze AGPS listę stacji bazowych, sieci Wi-Fi oraz beaconów Bluetooth, które aktualnie znajdują się w zasięgu tego urządzenia, wraz z ich mocą sygnału. Moc sygnału pozwala na ustalenie przybliżonej odległości od każdej anteny, a następnie wykorzystując metodę trilateracji do ustalenia dokładnego położenia.

Prawie każde urządzenie…

Niestety, ta wygoda ma swoją cenę. Dane te nie pojawiają się znikąd! Aby usługa AGPS mogła obliczyć lokalizację, ktoś musiał wcześniej wskazać położenie konkretnych stacji bazowych, sieci Wi-Fi oraz beaconów Bluetooth.

Robisz to Ty – codziennie – być może nawet nieświadomie

Zamkniętość usług AGPS monopolistów

Aby korzystać z AGPS Googla, wymagana jest obecność niewolnego oprogramowania „Usługi Google Play” (ang. Google Play Services) – oprogramowanie to zainstalowane jest zazwyczaj już przez samego producenta telefonu – od razu po wyjęciu z pudełka. To samo oprogramowanie przesyła dane o pobliskich stacjach i sieciach Wi-Fi do dostawcy usługi (tj. Google/Apple), gdy się przemieszczasz.

W przypadku urządzeń z logo nadgryzionego jabłka sytuacja wygląda analogicznie. Z jednej strony mamy do czynienia z pewną synergią: nieświadomie przyczyniasz się do rozbudowy bazy danych w swojej okolicy, aby móc skorzystać danych w okolicy Tobie nieznanej. Z drugiej zaś strony, firmy wykorzystują Twój telefon do budowania zamkniętej bazy danych, działając w sposób hermetyczny. Użytkownicy mają ograniczoną kontrolę nad tym, jakie dane są gromadzone i w jaki sposób – poza rozwojem usługi AGPS – są wykorzystywane.

Inne, otwarte rozwiązania

Przez przeszło 12 lat istniała usługa „Mozilla Location Services”, będąc jedyną otwartą usługą AGPS, jednak została ona zamknięta 10 kwietnia 2024 roku. Na skutek zamknięcia, usługi korzystające z MLS, takie jak microG (otwarta reimplementacja Usług Google Play), z dnia na dzień straciły możliwość ustalania lokalizacji. Na szczęście Mozilla udostępniła do pobrania zbierane przez lata dane tuż przed zamknięciem usługi. Powstały serwisy oferujące korzystanie z archiwalnych wersji bazy danych, ale w formie tylko do odczytu.

Niestety, nie jest to rozwiązanie idealne. Codziennie pojawiają się nowe stacje bazowe i sieci Wi-Fi, a niektóre (rzadziej) są wycofywane. Archiwalna wersja danych szybko traci aktualność, a te usługi z archiwalnymi danymi nie oferują żadnej możliwości aktualizacji danych.

Projekt BeaconDB

W maju 2024 powstał projekt o nazwie „BeaconDB”. Celem projektu jest stworzenie otwartej, a zarazem aktualnej bazy AGPS „od zera” z możliwością wgrywania danych i ustalania lokalizacji. Ponadto, jeśli konkretne miejsce na świecie nie zostało jeszcze „zmapowane”, usługa korzysta z archiwalnych danych zamkniętej już usługi Mozilla Location Services.

W przeciwieństwie do usług Google i Apple – które gromadzą dane o GPS i stacjach bazowych bez wiedzy użytkowników – BeaconDB jest jedyną otwartoźródłową usługą, która nie żeruje na Twoich danych.

Pomóż w budowie otwartej bazy sieci

Usługa BeaconDB opiera się na modelu dobrowolności (opt-in), co oznacza, że pobiera dane tylko od użytkowników, którzy świadomie wyrażają na to zgodę.

W przeciwieństwie do zamkniętych systemów Google czy Apple, BeaconDB jest usługą otwartą. Oznacza to, że każdy może przeglądać kod źródłowy, wnosić swoje zmiany i uczestniczyć w rozwoju usługi. Jeśli chcesz wesprzeć jedyną otwartoźródłową usługę AGPS, możesz pobrać aplikację NeoStumbler z omawianego wcześniej przez naszą fundację F-Droida lub GitHuba, a następnie wybrać w ustawieniach "BeaconDB".

Nie musisz martwić się o to, że NeoStumbler stale zbiera dane bez Twojej wiedzy – aplikacja będzie działać w tle tylko wtedy, gdy samodzielnie uruchomisz skanowanie. Razem możemy zbudować niezależną, otwartą usługę AGPS!

Źródła

beaconDB

microG Project

microG ProjectmicroG Team

NeoStumbler | F-Droid - Free and Open Source Android App Repository

Application for collecting wireless networks to geolocation services

Free and Open Source Android App Repository

GitHub - mjaakko/NeoStumbler: New stumbler application for contributing data to geolocation services

New stumbler application for contributing data to geolocation services - mjaakko/NeoStumbler

GitHubmjaakko

Retiring the Mozilla Location Service

The accuracy of Mozilla Location Service (MLS) has steadily declined. With no plans to restart the stumbler program or increase investments to MLS we have made the decision to retire the service. In 2013, Mozilla launched MLS as an open service to provide geolocation lookups based on publicly obser…

Mozilla Discoursemostlygeek