Prawo w social mediach w DACH: fanpage a RODO, BFSG i prawa do muzyki

Prawo w social mediach: dlaczego firmowe profile dotykają jednocześnie kilku dziedzin prawa

Konto firmowe na LinkedInie, Instagramie czy TikToku dotyka z prawnego punktu widzenia kilku obszarów naraz: przetwarzania danych, reklamy, korzystania z utworów chronionych prawem autorskim, dóbr osobistych, a od 2026 r. także przejrzystości AI. Każdy z tych obszarów ma własne podstawy prawne, własne organy nadzorcze i własne sankcje. Typowym błędem w zespołach marketingowych są luki w odpowiedzialności: ochroną danych zajmuje się IOD, oznaczaniem reklam agencja, a licencjami muzycznymi nikt.

Ten artykuł daje dwie rzeczy. Po pierwsze mapę, która pokazuje, gdzie omawiany jest dany temat prawny i kto odpowiada za niego w firmie. Po drugie pogłębione omówienie tematów, którymi artykuł zajmuje się sam: ochrony danych na fanpage'ach, wtyczek społecznościowych po wyroku Fashion ID, zdjęć pracowników i prawa do wizerunku, transferu danych do USA na podstawie Data Privacy Framework oraz dostępności zgodnie z BFSG. Wszystkie informacje odzwierciedlają stan na sierpień 2026 r. i nie zastępują porady prawnej. Konkretne wdrożenie należy uzgodnić z wyspecjalizowanym prawnikiem lub inspektorem ochrony danych.

Mapa prawna: tematy, źródła prawa, odpowiedzialność

Tabela przypisuje każdy temat prawny do źródła prawa, głównego ryzyka i komórki, która powinna za niego odpowiadać w firmie. Jak te obowiązki wpływają na całościowe planowanie, pokazuje przegląd podstaw i strategii w social mediach.

Ważne przy przypisywaniu odpowiedzialności: sankcje znacznie różnią się skalą. Naruszenia obowiązków w zakresie przejrzystości z AI Act kosztują do 15 mln EUR lub 3% światowego rocznego obrotu, a w BFSG górna granica wynosi 100 000 EUR. Przy oznaczaniu reklam i muzyce codzienne ryzyko jest mniejsze, za to prawdopodobieństwo wystąpienia wyższe: wezwania do zaniechania naruszeń i usunięcia treści zdarzają się regularnie, kary pieniężne rzadko. Model governance z jasnymi poziomami akceptacji, opisany w artykule o rolach, akceptacjach i workflow, pozwala trwale obsługiwać te tematy. Bez stałej osoby odpowiedzialnej za każdy wiersz każdy z nich prędzej czy później umknie uwadze.

RODO i fanpage na Facebooku: współadministrowanie danymi

TSUE orzekł w sprawie Wirtschaftsakademie Schleswig-Holstein (C-210/16), że podmiot prowadzący fanpage na Facebooku odpowiada wspólnie z Facebookiem za przetwarzanie danych odwiedzających. Wyrok z 5 czerwca 2018 r. zapadł jeszcze na gruncie dawnej dyrektywy o ochronie danych; dziś odpowiada temu art. 26 RODO. Najważniejsze jest uzasadnienie: kto parametryzuje statystyki Insights, czyli ustawia filtry grup docelowych i zleca analizy, współdecyduje o celach i sposobach przetwarzania. To, że technologię obsługuje Meta, nie zwalnia prowadzącego stronę z odpowiedzialności.

W Niemczech Federalny Sąd Administracyjny potwierdził ten wynik 11 września 2019 r. (6 C 15.18). Wyższy Sąd Administracyjny w Szlezwiku 25 listopada 2021 r. (4 LB 20/13) uznał za zgodny z prawem nakaz dezaktywacji wydany w 2011 r. przez organ ochrony danych kraju związkowego i doprecyzował zakres: współodpowiedzialność dotyczy przetwarzania związanego z cookies i Insights, a nie tworzenia profili i przechowywania danych do celów reklamowych, które prowadzi Meta.

Sąd Administracyjny w Kolonii uchylił 17 lipca 2025 r. (13 K 1419/23) zakaz prowadzenia strony Federalnego Urzędu Prasowego na Facebooku. Zdaniem sądu zgodę na cookies musi uzyskiwać wyłącznie Meta, a Federalny Urząd Prasowy może dalej prowadzić swoją stronę. Federalna pełnomocniczka ds. ochrony danych (BfDI) wniosła apelację do Wyższego Sądu Administracyjnego w Münsterze. Sytuacja prawna pozostaje więc sporna. Kto chce działać bezpiecznie, nadal wypełnia obowiązki wynikające z art. 26 RODO.

Co to oznacza w praktyce? Trzy rzeczy, których potrzebuje konto firmowe na platformach Meta:

• Umowa o współadministrowaniu: Prowadzenie fanpage'a wymaga umowy zgodnie z art. 26 RODO. Musi ona zostać zawarta i dołączona do dokumentacji przetwarzania.
• Przejrzystość: Polityka prywatności firmy musi obejmować prowadzenie fanpage'a, korzystanie z Insights i rolę Meta. Link z fanpage'a do polityki prywatności to minimalny standard.
• Podstawa prawna: Firma musi umieć wskazać podstawę prawną przetwarzania danych w Insights. Test równowagi powinien tu udokumentować inspektor ochrony danych, a nie dział marketingu.

Wyrok TSUE w tym samym stopniu dotyczy firm austriackich; szwajcarskich wtedy, gdy zwracają się do użytkowników z UE, przy czym szwajcarskie przepisy o ochronie danych stanowią dodatkowy poziom. Orzecznictwo formalnie odnosi się do Facebooka, ale zasada dotyczy każdej platformy z podobnymi funkcjami statystyk, a więc także Instagram Insights czy LinkedIn Page Analytics. Czy organy nadzorcze sprawdzają tu równie surowo, pozostaje otwarte; struktura ryzyka jest w każdym razie taka sama.

Fashion ID: wtyczki społecznościowe na własnej stronie internetowej

Drugi element nie dotyczy konta, lecz firmowej strony internetowej. W sprawie Fashion ID (C-40/17) TSUE orzekł 29 lipca 2019 r., że operator strony internetowej z osadzonym przyciskiem „Lubię to” Facebooka może odpowiadać wspólnie z Facebookiem za zbieranie i przekazywanie danych odwiedzających. Kluczowe jest to, że przycisk przesyła dane do Facebooka od razu po załadowaniu strony, niezależnie od tego, czy odwiedzający kliknie i czy w ogóle ma konto na Facebooku.

Współodpowiedzialność kończy się na przekazaniu danych. Za to, co Facebook później z nimi robi, operator strony nie odpowiada. W praktyce wynika z tego jasny standard, co do którego panuje dziś szeroki konsensus:

• Żadnych bezpośrednio osadzonych wtyczek: Przyciski „Lubię to”, „Udostępnij” i „Obserwuj”, które przy wczytaniu strony wysyłają dane do platformy, nie powinny trafiać na stronę bez zgody.
• Rozwiązanie dwuklikowe lub statyczne linki: Statyczny link do profilu firmy niczego nie przesyła. Kto chce mieć funkcje udostępniania, aktywuje wtyczkę dopiero po uzyskaniu zgody.
• Uwzględnienie zarządzania zgodami: Wtyczki społecznościowe i osadzone posty (embed z Instagrama, embed z LinkedIna, odtwarzacz YouTube) powinny stanowić osobną kategorię w zapytaniu o zgodę, a nie być ukryte pod „Funkcjonalne”.

Wyrok Fashion ID to powód, dla którego rzetelne agencje umieszczają osadzone feedy społecznościowe na firmowych stronach internetowych już tylko za zgodą lub jako kopie renderowane po stronie serwera. Rezygnacja z nich niewiele kosztuje: statyczny link do profilu spełnia tę samą funkcję bez przesyłania danych.

Prawo do wizerunku: zdjęcia pracowników na kontach firmowych

Tu kryje się temat z najwyższym prawdopodobieństwem wystąpienia problemu i najsłabszą dokumentacją w większości firm. Zdjęcia zespołu, fotografie z eventów, rolki zza kulis, portrety pracowników w postach rekrutacyjnych: wszystko to są dane osobowe, a jednocześnie ingerencja w dobra osobiste osoby na zdjęciu. Prawo do wizerunku oznacza, że każdy co do zasady sam decyduje, czy i w jakim kontekście jego wizerunek zostanie opublikowany.

W stosunku pracy dochodzi do tego szczególna okoliczność: zgoda musi być dobrowolna, a dobrowolność w relacji między pracodawcą a pracownikiem jest strukturalnie wątpliwa. Zgoda ukryta w umowie o pracę lub pobierana hurtowo podczas onboardingu ma więc niewielką wartość. Co sprawdza się w praktyce:

• Odrębna, pisemna zgoda: Osobny dokument, niezależny od umowy o pracę, który określa cel, platformy, rodzaj wykorzystania (organiczne, płatne, rekrutacja, strona internetowa) i okres.
• Prawdziwa swoboda wyboru: Odmowa nie może wiązać się z negatywnymi konsekwencjami i musi to być zapisane w dokumencie. Kto nie chce być na zdjęciach, nie jest zapraszany do zdjęcia zespołu.
• Możliwość odwołania zgody: Zgodę można odwołać w każdej chwili. Firma potrzebuje procesu, który w razie odwołania zgody lub odejścia pracownika odnajdzie i usunie odpowiednie posty. Bez rejestru zasobów z przypisaniem osób jest to niemożliwe.
• Powiązanie z kontekstem: Zdjęcie z letniej imprezy firmowej nie obejmuje wykorzystania jako testimonial w płatnej kampanii. Każdy cel wykraczający poza pierwotną zgodę wymaga nowej zgody.
• Osoby trzecie na zdjęciu: Klienci, goście, dzieci pracowników na eventach. Pomagają tu tabliczki informacyjne i strefy foto, ale nie zastępują zgody na celowe portrety.

W programach corporate influencer pytanie się przesuwa: kto publikuje na własnym profilu, sam decyduje o swoim wizerunku. Firma musi jednak ustalić, z jakich zasobów (logotypów, zdjęć produktów, zdjęć klientów) pracownicy mogą korzystać i jak wygląda oznaczanie. Artykuł o budowie programu employee advocacy omawia wytyczne w tym zakresie.

Uwaga dotycząca generatywnej AI: kto wykorzystuje zdjęcia pracowników jako materiał wejściowy do wariantów generowanych przez AI albo tworzy syntetyczne postacie podobne do prawdziwych pracowników, porusza się w obszarze, w którym brakuje utrwalonego orzecznictwa. Dodatkowo obowiązuje tu obowiązek oznaczania zgodnie z art. 50 AI Act, zob. artykuł o obowiązkach w zakresie przejrzystości z artykułu 50.

Data Privacy Framework: przekazywanie danych do Meta, Google i innych

Każde konto firmowe na amerykańskiej platformie oznacza transfer danych do USA. Od decyzji stwierdzającej odpowiedni stopień ochrony z 10 lipca 2023 r. dane osobowe mogą trafiać do firm z USA uczestniczących w EU-US Data Privacy Framework. Amerykańskie podmioty dużych platform są nim objęte, o ile mają certyfikację. Dla codziennej pracy w social mediach oznacza to, że podstawa prawna transferu obecnie istnieje.

Niepewność dotyczy trwałości. Sąd UE oddalił 3 września 2025 r. skargę o stwierdzenie nieważności ram (Latombe, T-553/23), odwołanie przed TSUE (C-703/25 P) jest w toku. Czy ramy się tam utrzymają, pozostaje otwarte. W dyskusji eksperckiej to ryzyko funkcjonuje pod hasłem „Schrems III”. Dlatego warto się przygotować:

• Priorytet dla danych first-party: Newsletter, CRM i dane z własnej strony internetowej pozostają pod Twoją kontrolą, niezależnie od ram transferu.
• Hosting w UE dla własnych narzędzi: Narzędzia do zarządzania social mediami, analitykę i automatyzacje najlepiej wybierać z serwerami w UE.
• Dokumentacja transferów: W rejestrze czynności przetwarzania zapisz, które platformy otrzymują dane i na jakiej podstawie. Jeśli ramy upadną, ta lista będzie punktem wyjścia do przejścia na standardowe klauzule umowne.

Szczegóły dotyczące weryfikacji certyfikacji, standardowych klauzul umownych i Transfer Impact Assessment znajdziesz w artykule o transferze danych do USA jako państwa trzeciego.

Dostępność: co BFSG oznacza dla social mediów

Ustawa o wzmocnieniu dostępności (BFSG) obowiązuje w Niemczech od 28 czerwca 2025 r. i wdraża dyrektywę UE 2019/882. Dotyczy e-commerce B2C, sklepów internetowych, aplikacji i stron internetowych z usługami dla konsumentów. Wymagania opierają się na WCAG i EN 301 549, a deklaracja dostępności jest obowiązkowa. Dla produktów, które przed tym terminem zgodnie z prawem były w użyciu, § 38 BFSG przewiduje okres przejściowy do 27 czerwca 2030 r. BFSG to prawo niemieckie. W Austrii tę samą dyrektywę wdraża ustawa o dostępności (BaFG). Obowiązuje ona firmy, które od 28 czerwca 2025 r. wprowadzają do obrotu lub świadczą produkty albo usługi wymienione w ustawie w sposób wyczerpujący, przede wszystkim w segmencie B2C, takie jak sklepy internetowe czy portale rezerwacji online. Naruszenia stanowią wykroczenia administracyjne zagrożone grzywną do 80 000 euro. Szwajcaria jako państwo spoza UE nie jest związana dyrektywą. Szwajcarscy dostawcy obsługujący konsumentów w UE powinni sprawdzić prawo danego państwa członkowskiego.

Same posty w social mediach nie podlegają BFSG. Obowiązek dotyczy miejsc, do których prowadzą posty: landing page'y, ścieżek zakupowych w sklepie, formularzy leadowych, narzędzi do rezerwacji. Kampania paid social, która kieruje na niedostępną stronę sprzedażową, generuje ryzyko nie w poście, lecz w miejscu docelowym. Mimo to dostępność opłaca się także w treściach: napisy, teksty alternatywne i odpowiedni kontrast działają na wszystkich platformach jednocześnie jako dźwignia zasięgu. Obowiązek compliance i logika zasięgów wskazują tu ten sam kierunek.

Pozostałe tematy prawne w skrócie

Cztery tematy z mapy wymagają w tym miejscu jedynie krótkiego omówienia, bo ich szczegółowe opracowanie znajduje się gdzie indziej.

Oznaczanie reklam: Federalny Trybunał Sprawiedliwości (BGH) orzekł 9 września 2021 r. w trzech sprawach influencerów, że komercyjny cel trzeba ujawnić, gdy w zamian otrzymuje się świadczenie wzajemne, ale same tap tagi nie rodzą obowiązku oznaczania; link do strony producenta z reguły uznaje się za nadmiar przekazu reklamowego. Austria i Szwajcaria mają własne przepisy o nieuczciwej konkurencji, a zasada oddzielania reklamy od treści redakcyjnych obowiązuje wszędzie. Nasze stanowisko: w razie wątpliwości oznaczaj, również w przypadku własnych pracowników.

Muzyka: Standardowa biblioteka muzyczna TikToka i Instagrama jest dla kont firmowych ograniczona. TikTok wyraźnie zaznacza, że firmy przy wszystkich działaniach komercyjnych muszą korzystać z Commercial Music Library. Poza bibliotekami platform do muzyki w filmach firmowych potrzebujesz zgody posiadaczy praw: prawa synchronizacji od wydawcy muzycznego lub autora, a w przypadku istniejącego nagrania praw wytwórni jako producenta fonogramu (§ 85 UrhG w Niemczech, § 76 UrhG w Austrii). Licencja z GEMA (DE), AKM (AT) lub SUISA (CH) sama tego nie obejmuje. GEMA na przykład nie udziela prawa synchronizacji do celów reklamowych. W praktyce sprawdzają się licencjonowane biblioteki production music lub stock. Trendujący dźwięk, z którego twórca może swobodnie korzystać, dla konta firmowego jest problemem licencyjnym.

DSA i przejrzystość reklam: Reklama musi być oznaczona jako reklama i wskazywać, kto ją zleca i dlaczego jest wyświetlana; platformy nie mogą wyświetlać reklam opartych na profilowaniu z użyciem danych wrażliwych ani pokazywać małoletnim reklam opartych na profilowaniu. Bardzo duże platformy prowadzą publiczne repozytoria reklam, do których wgląd mają też konkurenci. Dla zespołów performance oznacza to, że ustawienia grup docelowych, które pozwalają wnioskować o religii, zdrowiu lub orientacji seksualnej, są odrzucane albo kwestionowane po fakcie.

Oznaczanie treści AI: Obowiązki w zakresie przejrzystości z AI Act obowiązują od 2 sierpnia 2026 r.; dla systemów generatywnych, które trafiły na rynek przed tą datą, okres karencji na oznakowanie w formacie nadającym się do odczytu maszynowego trwa do grudnia 2026 r. Komisja opublikowała wytyczne dotyczące obowiązków w zakresie przejrzystości 20 lipca 2026 r. Większość firm to podmioty stosujące. Od nich art. 50 ust. 4 AI Act wymaga ujawniania deepfake'ów, czyli wygenerowanych lub zmanipulowanych przez AI obrazów, filmów i nagrań dźwiękowych, które przypominają prawdziwe osoby, miejsca lub wydarzenia i fałszywie sprawiają wrażenie autentycznych. To samo dotyczy tekstów AI, które mają informować społeczeństwo o sprawach leżących w interesie publicznym, o ile nikt nie poddaje ich kontroli redakcyjnej i nie ponosi za nie odpowiedzialności. Kto buduje i obsługuje własnego chatbota, jest z reguły dostawcą i zgodnie z art. 50 ust. 1 musi zapewnić, by użytkownicy wiedzieli, że rozmawiają z AI. Jak wygląda proces oznaczania na co dzień, opisuje artykuł o praktycznym wdrożeniu art. 50 AI Act.

Typowe błędy i jak ich unikać

Wzorce powtarzają się niezależnie od branży. Fanpage'e działają latami bez udokumentowanej umowy o współadministrowaniu, bo nikt nie czuje się za to odpowiedzialny. Strony internetowe mają przyciski „Lubię to” ze starego motywu. Zdjęcia pracowników nadal pojawiają się w kampaniach, choć dana osoba odeszła z firmy i odwołała zgodę albo nigdy nie wyraziła jej na ten cel. Trendujący dźwięk w rekrutacyjnej rolce pochodzi z prywatnego konta.

Wspólnym mianownikiem jest brak inwentaryzacji. Kto nie wie, jakie konta, wtyczki, zdjęcia i dźwięki są w użyciu, nie przypisze im podstawy prawnej. Jako praktyczna zasada sprawdza się coroczny przegląd zgodności według powyższej mapy: na każdy wiersz jedna osoba odpowiedzialna, jeden dokument, jedna data weryfikacji. Bez takiej ewidencji każde odwołanie zgody i każde zapytanie organu zamienia się w żmudne poszukiwania.

Podsumowanie

Prawo w social mediach w regionie DACH to suma współodpowiedzialności wynikającej z RODO, dóbr osobistych, prawa nieuczciwej konkurencji, prawa autorskiego, DSA, BFSG i AI Act. Jedna lista kontrolna tego nie obejmie. Sankcje sięgają od wezwania do zaniechania naruszeń przez usunięcie treści aż po kary pieniężne rzędu kilkunastu milionów. Nad tymi tematami da się zapanować tylko wtedy, gdy odpowiedzialność i dokumentacja są ustalone przed publikacją posta, a nie dopiero wtedy, gdy napisze organ albo były pracownik.