#059: Przestrzegaj prawa na swojej stronie WWW - Wojciech Wawrzak

Regulamin teoretycznie również każdej stronie internetowej byłby przydatny, ale ja lubię mówić swoim klientom, że podejdźmy do tego pragmatycznie. Zastanówmy się, jakie funkcje nasza strona oferuje. Bo jeżeli, przykładowo, mamy zwykły landing page z ofertą i ewentualnie z formularzem kontaktowym, To co my byśmy w tym regulaminie mieli napisać? Owszem, czysto teoretycznie świadczymy usługę drogą elektroniczną polegającą na możliwości zapewnienia użytkownikowi korzystania z serwisu. Ale to jest taka sztuka dla sztuki, no bo nikt nie będzie składał reklamacji w związku z tym, że formularz kontaktowy nie zadziałał. Więc jeżeli mamy tylko stronę czysto informacyjną, bez regulaminu się obejdziemy. Natomiast jeżeli mamy jakieś funkcje dalej idące, rejestracja konta użytkownika, złożenie zamówienia, wystawienie opinii, dodanie komentarza, stworzenie jakiejś wizytówki użytkownika, to jak najbardziej wtedy taki regulamin powinniśmy mieć i to nie tylko go mieć, ale również odebrać jego akceptację od użytkownika, czyli zaprojektować mechanizm, gdzie użytkownik zaakceptuje ten regulamin, tak jak robi to na przykład w sklepie internetowym przy składaniu zamówienia.

Checkbox albo po prostu może informacja, czy to jest dobra praktyka. To jest dobra praktyka, to się wiąże z czymś, co prawnicy określają jako warstwowa koncepcja realizacji obowiązku informacyjnego. My powiedzieliśmy sobie o polityce prywatności i w polityce prywatności ten formularz kontaktowy powinien być szeroko opisany. Ale to jest jakby druga warstwa, taka szczegółowa. A pierwsza warstwa w tej koncepcji to jest jakaś warstwa widoczna dla użytkownika w miejscu, gdzie on podejmuje konkretną akcję. Czyli jeżeli on widzi formularz kontaktowy, to przy tym formularzu powinna się pojawić jakaś skrócona klauzula informacyjna, informująca o jakichś podstawach i odsyłająca do polityki prywatności, jeżeli by chciał przeczytać szczegóły. Akurat, gdy chodzi o formularz kontaktowy, ja nie jestem zwolennikiem odbierania akceptacji i wprowadzenia checkboxa, że akceptuję politykę prywatności, bądź jeszcze wyrażam zgodę na przetwarzanie danych osobowych.

Bo taką czynność jak obsługa zapytań przychodzących przez formularz kontaktowy można oprzeć na prawnie uzasadnionym interesie administratora i nie odbierać żadnej zgody, a wyłącznie informować. Więc można sobie dodać na przykład klauzulę informacyjną. Dane podane w formularzu będą przetwarzane przez Wojciecha Wawrzaka w celu obsługi zapytania na zasadach opisanych szczegółowo w polityce prywatności. Polityka prywatności podlinkowana i jesteśmy wtedy w takim idealnym świecie, bo realizujemy obowiązek informacyjny warstwowo. W pierwszej warstwie krótka informacja, w drugiej warstwie szczegóły w polityce prywatności. Nie przytłaczamy dla użytkownika. To jest dla użytkownika przyjemne, jasne, proste. O to właśnie chodzi. A czy po, nie wiem, wysłaniu oferty i na przykład po jakimś tam czasie warto wysłać użytkownikowi informację, że twoje dane z maila, z zapytania zostały przez nas usłonięte i nie przetwarzamy już żadnych twoich danych?

On dotyczy tylko tego, co przetwarzamy i Google to zbiera. Dobrze to rozumiem? Wiesz co, dla mnie Google Consent Mode to jest po prostu pewien standard związany z aktywowaniem tych trackerów śledzących. I pozostaje teraz oczywiście kwestia tego, Jak bardzo inwazyjne są poszczególne metody śledzenia. Bo przykładowo, jeżeli to jest Google Ads, to wiadomo, że w wyniku tego śledzenia będą podejmowane jakieś dalsze kroki. Tworzony jest profil użytkownika, są targetowane reklamy i faktycznie Google się skupia na to, żeby tu była zgoda. Ale jak sobie prześledzimy różnego rodzaju rozwiązania, na przykład właśnie komentarze diskusa, jakiś czat przez Tavk.io osadzony na stronie, Jakieś system mailingowy, który nam pozwala wyzwalać pop-upy typu MailerLite, to się okaże, że wszystkie te narzędzia, które aktywują jakieś funkcje na naszej stronie, również gromadzą pewne informacje.

No i znowu wniosek, nie powinno się to odbywać. Bardzo piękny, ale czy to oznacza, że Google Analytics w Europie powinien w ogóle zostać wyłączony i nie powinniśmy móc z tego korzystać? No oczywistym jest, że będziemy dalej z tego korzystać, na przykład opisując w Polityce Prywatności, że korzystamy z Google Analytics, w związku z czym pewne informacje gromadzone za pośrednictwem skryptu śledzącego Google Analytics będą udostępniane do Stanów Zjednoczonych, Google zapewnia ich bezpieczeństwo, nie masz się czego obawiać, bla bla bla. No i w ten sposób to rozwiązujemy jakimś tam opisem w polityce prywatności. I chyba byśmy zamknęli ten temat, bo jakbyśmy chcieli zrobić webinar o zasadach transferu danych do państw trzecich, to myślę, że po pierwsze nie byłoby to interesujące dla Twoich słuchaczy, bo to bardziej wykład prawny, a po drugie temat jest, mam wrażenie, na co najmniej godzinę, półtorej godziny rozmowy.

Ale to podlinkujemy, żebyśmy już teraz troszeczkę nie przytłoczyli kogoś tym nadmiarem informacji. Możemy przejść do takiego tematu jak DSA, akt o usługach cyfrowych z lutego 2024, więc już tak naprawdę rok. Mam właśnie pytanie, bo ja się o tym dowiedziałem z Twojego newslettera. Tak zacząłem, liznąłem temat i tam czytam hostowanie, czyli mając stronę i na przykład system komentarzy, to my hostujemy te komentarze na swojej stronie, więc jesteśmy hostingodawcą. Gdzie hostingodawca, no to rozumiemy, że to jest firma, która hostuje naszą stronę WWW, a tutaj się okazuje, że to nagle my jako właściciel strony jesteśmy hostingodawcą.

Jakbyś mógł coś więcej powiedzieć o tym DSA, co to w ogóle jest, czym to się, jak to po roku wygląda, no i generalnie rozjaśnić temat. Ja przygotowując materiały o DSA, ukułem sobie takie zdanie, które mi się bardzo spodobało i Ty też jesteś hostingodawcą, nawet jak Ci się wydaje, że nie jesteś, bo jest totalną prawdą to, co mówisz, że my jako laicy w takim języku potocznym kojarzymy hostingodawcę z tą firmą, której płacimy co miesiąc, co rok za to, że ma szastrona gdzieś tam leży na jakimś serwerze. To jest dla nas hostingodawca. Tymczasem w rozumieniu DSA, czyli takiego unijnego rozporządzenia, podobnego do RODO, w sensie podobnego ono tak samo jest stosowane, dotyczy innej tematyki, hostingodawcą jest tak zwany każdy podmiot, który przechowuje informacje użytkowników.

Ale nie chodzi o to, że on fizycznie przechowuje, tylko jak gdyby stwarza im taką możliwość. Więc jeżeli masz na swojej stronie internetowej system komentarzy, To dzięki Tobie te komentarze są na tej stronie dostępne, Ty je przechowujesz. Hostingodawca faktyczny, można powiedzieć, jest Twoim podwykonawcą. Ty go zatrudniasz po to, żeby on je przechowywał, ale dla Ciebie, bo to Ty decydujesz, że te komentarze włączasz i faktycznie stajesz się tym hostingodawcą. To nie dotyczy oczywiście tylko komentarzy, bo to dotyczy na przykład różnego rodzaju platform edukacyjnych, które stają się coraz bardziej popularne i nawet mali przedsiębiorcy tworzą takie swoje Mini platformy edukacyjne, gdzie zbierają jakąś społeczność zainteresowaną konkretnym tematem. Na przykład robią to na Circle. No i tam ludzie mogą publikować różne swoje posty, różne swoje treści, stworzyć wizytówkę użytkownika.

No coś jak Facebook, tylko na mniejszą skalę. I to też są oczywiście dostawcy hostingu, no bo przechowują pewne informacje, które użytkownicy przesyłają i nie mają za bardzo nad nimi kontroli. No i w tym całym DSA, w tym zakresie, jeżeli chodzi o ten hosting, Chodzi o to, żeby stworzyć pewne mechanizmy cywilizowanej moderacji. No bo wszystko zaczęło się od tego, że na przykład Facebook miał taką władzę, że może sobie jedne treści wyciąć, inne promować, inni nad tym nie sprawuje kontroli. A więc chcieliśmy zrobić jakieś unijne prawo, które miałoby jakieś standardy tej moderacji treści narzucić. No i pod tym przykryciem, również dla tych małych hostingodawców, właścicieli stron z komentarzami, właścicieli platform edukacyjnych, właścicieli platform kursowych, gdzie użytkownicy mogą komentować,

Pojawiło się szereg nowych obowiązków związanych z tym, że tacy właściciele stron powinni w swoich regulaminach przewidzieć pewne wymogi wynikające z tego DSA. Powinni wprowadzić katalog tego, co można robić, czego nie można robić, co można publikować, czego nie można. Wprowadzić jakieś zasady moderacji, czyli w jaki sposób my sprawdzamy te treści, czy ich nie sprawdzamy, co się stanie, kiedy wykryjemy treść, która nie powinna mieć miejsca. Powinni wprowadzić mechanizm możliwości zgłaszania, czyli ty na przykład wchodzisz sobie na jakąś stronę internetową, na jakiś forum i na tym forum ludzie jakimś dziwnym trafem dyskutują o twojej firmie i w jakiś sposób twoją firmę oczerniają, nie zgadzasz się z tym. Powinieneś mieć możliwość do administratora tej strony wysłać zgłoszenia, żądania np. usunięcia tych treści, bo uważasz, że one naruszają Twoje dobre imię.

No i ten właściciel tej strony powinien w odpowiedni sposób na to zareagować, rozpatrzyć takie zgłoszenie, poinformować się o decyzji i tamtych wymogów związanych z DSA jest całkiem sporo. Znowu, nie będę ich chyba teraz omawiał, bo to nie ma sensu, natomiast akurat o DSA mam przygotowany bardzo wyczerpujący poradnik na blogu, więc do niego podlinkujemy i ten, kto stwierdzi, że potencjalnie do niego DSA może znajdować zastosowanie, bo jest tym hostingodawcą, mimo że mu się wydawało, że nie jest, to będzie mógł sobie doczytać. No właśnie, ale jeżeli mówimy o komentarzach, które są zarządzane przez Diskasa na przykład, no to nie jest tak, że to oni są tym hostingodawcą, bo trzymają te treści, bo tam jest jakiś IP i tak dalej. Czy to jednak, że to się wyświetla na naszej stronie, to my jesteśmy?

Moim zdaniem jesteśmy i my, i Diskas. To znaczy, to stwarza dla użytkownika komfortową sytuację, że jak mu się na przykład komentarz na twojej stronie nie spodoba, Bo będzie na przykład właśnie w jakiś sposób dla niego oczerniający, naruszający dobre imię, to on może uderzyć do ciebie i może uderzyć również do diskasa. No bo ty też masz możliwość moderacji tych komentarzy, więc nie możemy patrzeć tylko przez pryzmat tego, kto faktycznie je trzyma w swoich zasobach serwerowych. Tylko kto tak naprawdę ma nad nimi jakąś władzę? Kto może decydować, że pewne komentarze się pojawiają, pewne się nie pojawiają? Kto może je moderować? I tak dalej. OK. Dobrze, to myślę, że tutaj temat wyczerpany jest we wpisie na Twoim blogu. Podlinkujemy, tak jak powiedziałeś.

Ja jeszcze tylko bym dodał o hostowaniu stron WWW np. w firmach hostingowych z Unii Europejskiej, spoza Unii Europejskiej. Czy tutaj znowu wracamy do tematu wysyłania danych poza Unię Europejską? To jest bliźniaczy temat? No najczęściej tak, bo najczęściej w związku z tym, że my hostujemy stronę na serwerze, to w naszej bazie danych często odkładają się pewne dane osobowe o użytkownikach, o zamówieniach, O przesłanych formularzach kontaktowych, opinie, no cokolwiek. Jeżeli mamy dane osobowe w naszej bazie danych, no to ten nasz hostingodawca je przechowuje. Dla nas najbezpieczniej byłoby, żeby on je przechował w infrastrukturze zlokalizowanej w Unii Europejskiej. No i na tym etapie bym po prostu dokonywał selekcji naszego wyboru hostingodawcy, bo jesteśmy w stanie znaleźć hostingodawców, którzy będą mieli serwery w Unii Europejskiej.

I dla nas jest to bezpieczniejsze, bo nie musimy spełniać wymogów transferu danych do USA. No i tutaj wykupując usługę hostingową mamy też regulamin, jakąś tam umowę, coś tam czekujemy na starcie, żeby móc założyć hosting, więc już te firmy trochę dbają o to, one się zabezpieczają, my akceptując ten regulamin Warto, żebyśmy go przeczytali pewnie, ale że tak powiem w większości przypadków, jeżeli firma jest na przykład z Polski, hostuje w Polsce czy tam w Unii Europejskiej i ten regulamin jest poprawny, no to chyba nie mamy się czym martwić. Wiesz, martwić się powinniśmy zawsze, natomiast odchodząc od danych osobowych, bo to jest taki temat, który mało kogo interesuje, bo im się wydaje to niepraktyczne.

Natomiast dlaczego warto przeczytać regulamin hostingowy niezależnie od RODO? Bo przy wyborze hostingodawcy często kierujemy się ceną. I potem to wszystko jest fajne, póki nie dochodzi jakiegoś problemu. Na przykład musimy odtworzyć backup i się okazuje, że my nie mamy opisanej żadnej procedury backupowej i nie mamy jak egzekwować tego backupu. Albo się okazuje, że nasz sklep miał, mieliśmy akcję sprzedażową, był duży ruch i nasz sklep nie wytrzymał, akurat na czas akcji sprzedażowej sklep nie działał. I nagle się okazuje, że nasza umła z hostingodawcą nie przewiduje w ogóle żadnych zasad, na jakich on gwarantuje pewną dostępność i naszych ewentualnych uprawnień w tym zakresie. Więc już pal licho to RODO i pal licho to przykazywanie danych, Ale jeżeli my wiemy, że nasza strona internetowa ma dla nas pracować, my na przykład przez nią coś sprzedajemy i jej wydajność i dostępność jest dla nas ważna, to warto sobie sprawdzić w warunkach tej usługi hostingowej, jakie zobowiązania ma hostingodawca, jakie jej mamy prawa.

I może się okazać, że ten pakiet, o którym myśleliśmy, nie będzie dla nas koniecznie satysfakcjonujący i może warto wybrać droższy pakiet, który daje nam większe wsparcie w tym zakresie. Tak, no to tutaj to już mówimy o tym uptime, czyli tam ile procent w miesiącu serwer jest dostępny i tak dalej. Ja bym tylko jeszcze chciał dodać, że bardzo często mając usługę hostingową zakładamy sobie skrzynkę mailową na tym hostingu z własną domeną i te maile trafiają nam na ten hosting, są tam trzymane na tym hostingu. Pewnie w niebezabezpieczonym, niezaszyfrowanym w jakiś sposób, bo z tego, co gdzieś tam rozmawialiśmy, nie pamiętam, który to był odcinek, ale podlinkuję go o prywatności w sieci i tam rozmawialiśmy, że to, że ktoś nam wysyła maila, on po drodze może być zaszyfrowany, ale finalnie leży na hostingu, gdzie administrator może go przeczytać.

Warto po prostu zapytać naszego hostingodawcę o coś takiego, o ten dokument, bo to też będzie dla nas pewnym wyznacznikiem jego profesjonalizmu. Przechodzimy już do ostatniego punktu naszej rozmowy. Oczywiście nie może się obyć bez AI. Treści, obrazy, dźwięk generowany przy pomocy sztucznej inteligencji. Czy można tego legalnie używać na swoich stronach? Czyli na przykład wygeneruję sobie jakiś tekst, nie wiem, blogowy wrzucę i kto jest tego właścicielem? Kto jest autorem? Czy ktoś może nas za to na przykład Nie wiem, ścignąć, pozwać, że tam są użyte jakieś fragmenty z jego książki na przykład. Czy takie przypadki się zdarzają? Oczywiście nie będziemy prowadzić tutaj dzisiaj dyskursu na temat prawno-autorskiej ochrony wytworów sztucznej inteligencji, bo na ten temat już są w tej chwili monografie pisane.

Ja podzielę się kilkoma swoimi spostrzeżeniami praktycznymi. Pierwsze, najważniejsze, jeżeli korzystamy z jakiegoś narzędzia, które dla nas coś tworzy i chcemy to dalej wykorzystywać, to Zacznijmy od analizy regulaminu tego narzędzia, bo w tym regulaminie będzie powiedziane, co my możemy robić i czego nie możemy robić. I to jest dla nas pierwszy punkt wyjścia. Przestrzeganie zasad, na jakich te narzędzia nam licencjonuje. Najczęściej te narzędzia będą nam licencjonować w taki sposób, że możesz robić wszystko, co chcesz i okej, to wtedy wiemy, że przynajmniej narzędzie nas nie blokuje, ale sprawdźmy dla pewności. Po drugie, My nie wiemy, co to narzędzie wygeneruje. Przyjmijmy, że ono generuje coś, co w ogóle nie korzysta z ochrony prawa autorskiego, nie jest utworem, nie jest przejawem działalności twórczej. Spoko, czyli można niby z tego korzystać, ale ja to lubię porównać do sytuacji, w której zatrudniamy na przykład projektanta graficznego, albo copywritera, albo kogoś innego, co ma dla nas coś stworzyć,

Może być przez użytkownika po prostu odbierana jako jakiś skam, no bo skoro nie ma na niej żadnego dokumentu prawnego, nie ma nawet na niej danych administratora, to w tym świecie, gdzie użytkownicy się przyzwyczaili do Terms of Use, Privacy Policy, do tych różnych zgód, To może budzić taką konsternację, czy ja czasem nie trafiłem na jakiś skam? Ok, rozumiem. No chyba, że mówimy o stronach spoza Unii Europejskiej, no to tam nie muszą być takie informacje zawarte, ale z drugiej strony nie powinna taka strona być dostępna dla użytkowników Unii Europejskiej, czyli powinna być zablokowana. Był, pamiętam, taki case, jak wchodziło to słynne RODO, miałem takie narzędzie, taka stronę do archiwizowania różnych artykułów z sieci. I oni tam po prostu te wszystkie linki, taka przechowalnia jakby, i to w pewnym momencie zostało wyłączone tam na ileś miesięcy, bo nie dostosowali tego RODO dla użytkowników z Unii i serwis był w ogóle niedostępny, był wyłączony.