RODO w praktyce eventowej i blogowej — zgody, listy, monitoring i kary

RODO w polskim wydaniu to nie teoria. To codzienna praktyka organizatora eventów i blogera. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000) + RODO (rozporządzenie UE 2016/679) = łącznie około 300 stron przepisów. Poniżej konkretne wymogi, które dotyczą Ciebie.

Zgoda newsletterowa. Bloger zbiera adresy email do newslettera. Wymóg: zgoda dobrowolna, konkretna, świadoma i jednoznaczna. Checkbox musi być niezaznaczony. Nie możesz uzależniać dostępu do treści od zgody marketingowej. Cel: wysyłka informacji handlowych. Brak zgody: UOKiK nakłada kary do 10% obrotu. W 2024 roku kilka kar za brak zgód RODO w newsletterach.

Lista uczestników eventu. Zbierasz imię, nazwisko, email, firmę, stanowisko. Podstawa: art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy) lub lit. f (prawnie uzasadniony interes). Potrzebujesz klauzuli informacyjnej: kto jest administratorem, jakie dane, cel, okres przechowywania, prawa osoby. Okres: 3–5 lat po evencie (przedawnienie roszczeń).

Udostępnianie listy sponsorom. Sponsor chce mailing do uczestników. Bez zgody uczestnika — nie możesz. Potrzebujesz osobnej zgody: „Czy wyrażasz zgodę na przekazanie Twoich danych sponsorom X, Y, Z w celu kontaktu handlowym?". Brak zgody: naruszenie art. 6 RODO, kara do 20 000 000 EUR lub 4% rocznego obrotu.

Monitoring wizyjny. Kamery na konferencji. Obowiązki: tablice informacyjne przy wejściu, zgoda uczestników (lub podstawa prawna — prawnie uzasadniony interes), ograniczenie dostępu do nagrań, okres przechowywania max 30 dni (chyba że incydent). Brak: art. 6 RODO, skarga do PUODO.

Cookies na blogu. Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. 2002 nr 144 poz. 1204) — obowiązek polityki cookies i zgody na pliki nie-niezbędne. W praktyce: baner cookies z możliwością wyboru, polityka cookies opisująca rodzaje plików, cele, okres przechowywania. Brak: UOKiK, kary do 10% obrotu.

Publikacje sponsorowane. Oznaczenie obowiązkowe: „Współpraca reklamowa" lub „Artykuł sponsorowany". Nie wystarczy „Partner" czy wewnętrzne oznaczenie. UOKiK w 2024 roku nałożył kary za nieoznaczone treści. Standard: pierwszy akapit, wyraźnie, czcionką czytelną.

Przechowywanie danych. Dane uczestników eventu i subskrybentów newslettera przechowujesz na swoim komputerze lub w chmurze. Wymóg: zabezpieczenia techniczne i organizacyjne. Szyfrowanie, hasła, ograniczenie dostępu. Umowa powierzenia z dostawcą narzędzia (np. MailerLite, GetResponse). Brak: kara za brak zabezpieczeń.

Prawa osoby: dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu. Każda osoba może zażądać usunięcia danych. Masz 30 dni na odpowiedź. Brak odpowiedzi: skarga do PUODO.

Lista kontrolna Velcorentis: (1) polityka prywatności na blogu, (2) klauzula informacyjna RODO dla uczestników eventu, (3) zgoda na newsletter z double opt-in, (4) zgoda na udostępnienie danych sponsorom, (5) monitoring — tablice info, (6) cookies — baner i polityka, (7) oznaczenie publikacji sponsorowanych, (8) umowa powierzenia z dostawcami narzędzi, (9) procedura odpowiedzi na żądania osób, (10) backup danych.

Koszt wdrożenia RODO u specjalisty: 3000–8000 PLN. Koszt kary: od 10 000 PLN do 4% obrotu. Rachunek: wdrożenie jest tańsze niż jedna kontrola.