Dobry scenariusz i świetnie przygotowana gra to nie wszystko. Poza warstwą kreatywną, na twórców gier czeka szereg formalności i szczegółów organizacyjnych, o które należy zadbać. Sprawdź, dlaczego ochrona danych osobowych jest tak ważna przy organizacji gier miejskich w swojej bibliotece i jak nią zarządzać.
Ochrona danych osobowych od A do Z
Osoby podejmujące się organizacji gry mobilnej muszą znać przepisy prawne, które dotyczą kwestii ochrony danych osobowych. Organizatorzy popełniają masę błędów w tym zakresie. Najczęściej dotyczą one całkowitego pomijania przepisów RODO przy przeprowadzaniu gry, lub… nadmiernego rozbudowania formalności i tworzeniu zbędnych dokumentów, które mają zabezpieczyć interes instytucji. Poniżej przedstawiamy podstawowe wytyczne dotyczące tego zagadnienia.
Organizator musi podjąć cztery kroki, które zapewnią zgodność działań z przepisami RODO:
- określenie rodzaju przetwarzanych danych;
- zadbanie o uzyskanie zgody na ich przetwarzanie;
- spełnienie obowiązku informacyjnego;
- po rozgrywce należy pamiętać o usunięciu danych, w momencie gdy nie będą już potrzebne.
Gromadź tylko niezbędne dane osobowe
Zazwyczaj, gdy organizujemy grę, to planujemy także dobrze promowaną, premierową rozgrywkę. Często odbywa się ona w blasku fleszy fotoreporterów, a całość wydarzenia wieńczy spotkanie z nagrodami dla najlepszych graczy. To właśnie z tych powodów musimy zadbać o właściwe zgromadzenie danych osobowych.
Definicja danych osobowych mówi, że są wszystkie informacje, które umożliwiają zidentyfikowanie danej osoby fizycznej. Jako organizator gry musimy się zastanowić, które z informacji są niezbędne do przeprowadzenia wydarzenia. W przypadku gry skierowanej do osób niepełnoletnich – potrzebna będzie zgoda rodzica lub opiekuna prawnego na uczestnictwo, zawierająca imię i nazwisko dziecka oraz dorosłego.
Poza tym niektórzy organizatorzy mogą chcieć zbierać numery telefonu w przypadku kłopotów Gracza na trasie – np. zgubienia się. Możemy potrzebować także zgody na podpisanie zdjęć najlepszych graczy (imię, nazwisko, pseudonim podczas gry i zgoda na sam wizerunek gracza). W przypadku zaplanowanych nagród rzeczowych gracz zwycięzca musi pokwitować odebranie ich (swoim imieniem i nazwiskiem). Po zastanowieniu się nad wszystkimi z podobnych do wymienionych sytuacji, naturalnie tworzy nam się lista niezbędnych danych osobowych graczy. Właśnie w ten sposób ograniczamy zakres zbieranych danych, a więc działamy zgodnie z obowiązującą zasadą minimalizacji pozyskiwanych danych osobowych (art. 5, ust. 1, lit. c rozporządzenia RODO). Nie zbieramy więcej informacji, niż naprawdę potrzebujemy.
Uzyskaj jasną zgodę gracza
W każdej z przeprowadzanych gier musimy zadbać, aby gracz mógł jasno i klarownie wyrazić zgodę na grę i wymienione warunki, także w kontekście ochrony danych osobowych. Jest to czynnik niezbędny do tego, aby nasze działania były właściwe w świetle zapisów RODO.
Istotne jest, aby każdy gracz już na pierwszy rzut oka zauważył, że jest pytany o wyrażenie zgody. Klauzula mówiąca o tym (znajdująca się zazwyczaj w regulaminie gry) musi być odpowiednio widoczna na tle innych treści. Pytanie o zgodę powinno być dobrze wyróżnione, a sama jej treść napisana w sposób przystępny.
Co ważne – organizator nie może łączyć ze sobą zgody na przetwarzanie danych osobowych i zgody na wykorzystanie wizerunku. Są to dwa odrębne zagadnienia prawne i dlatego wymagają osobnego zapisu. Pamiętajmy jednak, że w niektórych przypadkach w ogóle nie potrzebujemy uzyskiwać zgody od gracza na udostępnianie wizerunku. Wówczas wystarczy zamieścić informację o możliwym wykorzystaniu wizerunku bezpośrednio w regulaminie gry.
Kwestie dotyczące wykorzystania wizerunku graczy oraz wykonanych przez nich fotografii omówione będą w osobnym artykule.
Pamiętajmy, że jeśli gracze będą mieli mniej niż 16 lat, to powinniśmy uzyskać od ich rodziców pisemną zgodę na uczestnictwo w grze dziecka. We wzorze pisma przekazywanym dorosłym należy zawrzeć punkt dotyczący przetwarzania danych osobowych. Osoby pełnoletnie nie muszą wypełniać dokumentów w wersji papierowej. Najwygodniej jest zawrzeć ich zgodę bezpośrednio w aplikacji tak, aby jedynie gracze, którzy wyrażą zgodę na zapisy regulaminu, mogli rozpocząć zabawę.
Poinformuj gracza
Według wytycznych prawnych (art. 13. RODO) twórcy gry są zobowiązani do spełnienia obowiązku informacyjnego. Jest to nic innego, jak udostępnienie dla gracza zbioru podstawowych informacji dotyczących danych osobowych. Najwygodniej dla obu stron jest, gdy klauzula informacyjna umieszczona jest w regulaminie gry. Powinny zostać zapisane w niej podstawowe informacje, jak:
- określenie tożsamości wraz z danymi kontaktowymi administratora danych i jego Inspektora Ochrony Danych Osobowych (jeśli został powołany);
- wymienienie rodzaju przetwarzanych danych osobowych (jak imię i nazwisko, nr telefonu, wizerunek, itp.);
- jaki jest cel i podstawa prawna przetwarzania danych;
- w niektórych przypadkach konieczne będzie także informowanie o ewentualnych odbiorcach danych lub o ich przekazaniu do państw trzecich, lub organizacji międzynarodowej (albo stwierdzenie o braku takiego przekazania);
- określenie okresu przetwarzania i przechowywania pozyskanych danych;
- poinformowanie gracza o jego prawie do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, cofnięcia zgody, przenoszenia danych, a także o możliwości wniesienia skargi do organu nadzorczego.
Administrator danych musi także zawrzeć dodatkową informację w klauzuli informacyjnej, jeśli planuje wykorzystać pozyskane dane do zautomatyzowanego podejmowania decyzji lub do profilowania uczestników gry.
Pamiętaj o usunięciu danych
Właściwe zarządzanie danymi osobowymi nie kończy się wraz z końcem gry. Ostatnim etapem jest usunięcie danych w momencie, gdy nie są już one niezbędne do celów, które zostały wymienione podczas ich zbierania. Konieczność tą określa artykuł 5 ust. 1 lit. e unijnego rozporządzenia o ochronie danych osobowych. Twórca gry powinien więc je jak najszybciej usunąć, a więc w momencie, gdy nie będą już wykorzystywane bezpośrednio do działań związanych z zabawą. Nie znajdziemy w prawie dokładnych zapisów mówiących, jak długo dane mogą być przechowywane. Zachowując sobie pewien zapas bezpieczeństwa – dokumenty ze zgodami w formie papierowej mogą zostać usunięte np. 2 tygodnie po uroczystym wręczeniu nagród i zakończeniu gry. W przypadku danych wirtualnych warto usunąć elementy zawierającej dane osobowe i ograniczyć się jedynie do statystyki.
Choć przepisy RODO mogą wydawać się nieprzyjazne i spiętrzające niepotrzebne formalności, to dość łatwo jest opanować ich wymogi dla potrzeb gier. Wystarczy raz przygotować sobie zbiór czynności, udostępnianych treści i dokumentów, aby mieć bazę służącą do wykorzystania podczas kolejnych gier. Warto przede wszystkim pamiętać o minimalizacji, a więc proszeniu graczy tylko o dane faktycznie potrzebne podczas rozgrywki.
Osoby, które chcą za wszelką cenę ominąć temat RODO, mogą przygotować grę, która nie wymaga stosowania opisanych procedur. Rozgrywka musi wówczas spełniać kilka wytycznych:
- organizatorzy nie zbierają żadnych danych osobowych od uczestników (możliwe jest podanie pseudonimu);
- po grze nie są przyznawane nagrody;
- nie umieszczamy zdjęć graczy w mediach społecznościowych;
- nie publikujemy rankingów z danymi graczy.
Z przetwarzania danych osobowych rezygnujemy, gdy gra po uroczystej rozgrywce zostaje udostępniona dla wszystkich zainteresowanych.
Najważniejsze przepisy dotyczące przetwarzania danych osobowych.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). (Dz. Urz. UE z 4.05.2016 r. L 119, s. 1).
- Ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000).
- Ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. poz. 730).
