Większość krajów zdecydowała się na ograniczanie praw obywateli, aby chronić zdrowie i życie obywateli. A jak to wygląda w Polsce? Zgodnie z art. 68 Konstytucji RP Władze publiczne są obowiązane do zwalczania chorób epidemicznych i zapobiegania negatywnym dla zdrowia skutkom degradacji środowiska.
Aby spełnić ten obowiązek władze postawiły m.in. na izolację społeczną i kwarantannę. Wiadomo jednak, że w wielomilionowym kraju znajdzie się grupa ludzi, która nie będzie przestrzegać zasad, nawet jeżeli ich nieprzestrzeganie są zagrożone wysokimi karami pieniężnymi a nawet pozbawieniem wolności. W celu zatrzymania pandemii, państwo jest wstanie poświęcić inne konstytucyjne prawa, jak chociażby wolność człowieka (art. 30 i 31 Konstytucji RP). Ale czy tylko? Ostatnie działania w Polsce i na świecie wskazują, że ograniczaniu ulegają również prawa do prywatności (art. 47 Konstytucji RP) oraz dotyczące naszych danych osobowych (art. 51 Konstytucji RP). Większość z nas pewnie powie, że na wojnie nie myśli się o kosztach i należy poświęcić wiele dóbr w imię tego najważniejszego – zdrowia i życia. Pytanie tylko czy działania, które skutkują ograniczeniem naszej prywatności są na tyle skuteczne, abyśmy mogli się z tym zgodzić. A przede wszystkim, czy po pokonaniu tego wirusa, rządzący do tej kontroli się nadto nie przyzwyczają.
W Europie pierwszym takim działaniem było żądanie Komisji Europejskiej danych lokalizacyjnych od operatorów telefonii komórkowych. Jak zapewniają urzędnicy, są to dane zanonimizowane, na podstawie których nie będzie można zidentyfikować konkretnej osoby. Ponadto, po wygaśnięciu epidemii, dane te zostaną trwale usunięte. Informacje te mają pomóc instytucjom unijnym w prześledzeniu tempa i kierunku rozprzestrzeniania się wirusa, a także do ustalenia, w których miejscach w danym momencie potrzebne są dodatkowe zasoby medyczne. Dane są anonimowe, więc w opinii urzędników, rozwiązania te nie naruszają przepisów o ochronie danych osobowych.
Jeżeli są to dane zanonimizowane to o co tyle szumu?
Po pierwsze, choć zidentyfikowanie konkretnej osoby na podstawie zanonimizowanych metadanych jest bardzo trudne, to jednak nie jest niemożliwe. Po drugie, z tym usuwaniem danych po spełnieniu celu ich zbierania, też bywa różnie co dobitnie pokazała afera Cambridge Analytica. Po trzecie, często „nadzwyczajne środki” lubią stawać się następnie codziennością (przypomnijmy chociażby rok 2001 i początek walki USA z terroryzmem). Swoimi obawami podzielił się również Europejski Inspektor Ochrony Danych (EDPS, dr Wojciech Wiewiórski) w liście do Roberto Viola (Dyrektora Generalnego ds. Sieci Komunikacyjnych, Treści i Technologii Komisji Europejskiej). Uważa on między innymi, że Komisja powinna jasno zdefiniować zestaw danych, które chce uzyskać i zapewnić przejrzystość wobec społeczeństwa, aby uniknąć ewentualnych nieporozumień. Ponadto zauważa, że choć dane te ze względu na ich anonimizację, nie wchodzą w zakres danych osobowych, niemniej jednak dalej obowiązują zasady bezpieczeństwa informacji (Decyzja Komisji 2017/464). Dlatego poza zapewnieniem odpowiedniego bezpieczeństwa transmisji danych, wskazane byłoby również ograniczenie dostępu do danych upoważnionym ekspertom w dziedzinie epidemiologii przestrzennej, ochrony danych i nauki o danych. Na końcu EDPS podkreślił, że takie zmiany zwykle nie obejmują możliwość cofnięcia się, gdy nagły wypadek zniknie. Dlatego takie rozwiązanie powinno być wciąż uznawane za nadzwyczajne.
Przechodząc z europejskich rozwiązań na nasze krajowe podwórko, należy przede wszystkim wspomnieć o rozwiązaniu zaproponowanym w projekcie nowelizacji ustawy tzw. Tarczy Antykryzysowej 2.0:
Art. 11f. 1. W związku z przeciwdziałaniem COVID-19, podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej, operator w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz. U. z 2019 r. poz. 2460 oraz z 2020 r. poz. 374 i …) jest obowiązany do udostępniania ministrowi właściwemu do spraw informatyzacji danych o lokalizacji, obejmujących okres ostatnich 14 dni, telekomunikacyjnego urządzenia użytkownika końcowego chorego na chorobę zakaźną COVID-19 lub objętego kwarantanną, na żądanie oraz w sposób i w formie ustalonej przez ministra właściwego do spraw informatyzacji.
2. Operator w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne na żądanie ministra właściwego do spraw informatyzacji jest obowiązany do przekazania w sposób i w formie ustalonej przez tego ministra, w celu przeciwdziałania COVID-19, podczas stanu zagrożenia epidemicznego, stanu epidemii albo stanu klęski żywiołowej zanonimizowanych danych o lokalizacji urządzeń końcowych użytkowników końcowych.
3. Zgoda użytkownika końcowego na przetwarzanie i udostępnianie danych, o których mowa w ust. 1 i 2, nie jest wymagana.
Jak widać, ust. 1 nie przewiduje żadnej anonimizacji, tylko chce konkretnych danych o konkretnych osobach. A nie dotyczy to przecież garstki osób, ale dużej i wciąż powiększającej się grupie obywateli, którą można już nazwać statystyką. Jakie to mają być dane? Zgodnie z wyjaśnieniami Ministerstwa: te, które “umożliwią odtworzenie miejsc przebywania osób chorych lub poddanych kwarantannie w ostatnich 14 dniach”. Pierwsze co rzuca się w oczy to brak jasno precyzowanego celu zbierania tych danych. Nie wiemy też czy minister nie będzie co 14 dni ponawiał tych żądań. Nie wiemy również do kiedy ma zamiar trzymać te dane. Ogólnikowość tych zapisów nie odpowiada podstawowym zasadom bezpiecznego przetwarzania danych osobowych.
Przypominam, że już w tym momencie dane osób chorych lub przebywających na kwarantannie są już znane administracji „z urzędu”. Chodzi o obowiązkową aplikację, która kontroluje przestrzeganie zasad kwarantanny. Jak to działa? Każdego dnia kwarantanny objęte nią osoby, które zainstalowały i aktywowały aplikację otrzymują jednego lub kilka SMS-ów z poleceniem wykonania i wysłania selfie.
“W aplikacji wykorzystywana jest geolokalizacja oraz system porównywania twarzy. Dzięki nim wiadomo, że to na pewno ta konkretna osoba i że przechodzi kwarantannę w miejscu zadeklarowanym w formularzu lokalizacyjnym” – wyjaśnia, minister Marek Zagórski.
Czas przeznaczony na wykonanie selfie to 20 minut od otrzymania SMS-a. Po upływie tego czasu osoba objęta kwarantanną dostanie wiadomość przypominającą. Jeżeli w wyznaczonym czasie nie wykonamy zdjęcia będzie to sygnał dla policji, że powinna sprawdzić, czy zasady kwarantanny nie są łamane.”
W Polsce został również wdrożony tzw. chatbot, który dostępny jest na oficjalnym facebookowym profilu Kancelarii Premiera oraz w komunikatorze Messenger. Rozumie pytania zadawane przez użytkowników i automatycznie udziela na nie odpowiedzi. Najczęściej powtarzające się kwestie są też dostępne z wyświetlanej w oknie rozmowy listy. Ministerstwo Cyfryzacji szykuje również aplikację o nazwie ProteGo, która dzięki technologii bluetooth, ma umożliwić zebranie informacji o tym, z kim kontaktował się dany użytkownik. Chiński system bardzo przypomina założenia naszej projektowanej aplikacji ProteGO. System analizuje lokalizację użytkowników i przydziela kolor od którego zależy, czy obywatel wejdzie do sklepu czy będzie mógł skorzystać z komunikacji miejskiej. Jego kolor jest też wysyłany również innym użytkownikom, a istotne informacje trafiają również na serwery chińskiej policji. Tego typu aplikacje stały się tematem podczas 21. posiedzenia plenarnego 2020 r. Europejskiej Rady Ochrony Danych. Poza przypomnieniem podstawowych zasad przy tworzeniu nowych technologii z wykorzystaniem danych osobowych, Rada wskazała na bardzo ważny punkt – kod źródłowy takich aplikacji, powinien być udostępniony publicznie w celu umożliwienia jak najszerszej jego kontroli przez środowisko naukowe.
Jak daleko możemy dojść w wykorzystaniu danych do walki z pandemią?
Przykładem tego, jak mogą być wykorzystywane tego typu przepisy, może być ostatnie żądanie Poczty Polskiej dot. podania listy wyborców przez gminy. Pomijając już kwestie podstawy prawnej, które są bardzo wątpliwe, to chciałbym się przede wszystkim skupić na formie tego żądania oraz sposobie jego spełnienia. To co zrobił operator pocztowy ciężko nawet nazwać „amatorką”. Zwykły mail, w środku nocy, z nieuwierzytelnionym podpisem… Jest to książkowy przykład podawany przez wszystkich Inspektorów ochrony danych, jako próba podszycia się pod znaną instytucję i wymuszenia danych. Do tego dochodzi skandaliczna wręcz forma przekazania tych danych – zwykłym mailem w notatniku, niezabezpieczonym żadnym hasłem! Dane wszystkich uprawnionych obywateli (takich jak PESEL, imię i nazwisko czy adres zamieszkania) miało sobie powędrować niczym spam do skrzynki mailowej jednej ze spółek. Pytanie co w tym czasie robił Inspektor ochrony danych Poczty Polskiej? O ocenę skutków, analizę ryzyka nawet nie pytam, bo choćby antydatował te raporty, nie można się z takiej wpadki wytłumaczyć. Przykład ten nie napawa optymizmem przed przetwarzaniem danych przez administrację rządową na podstawie ww. proponowanych przepisów.
Kolejnym niebezpieczeństwem jest możliwość wycieku takich danych. Jako przykład można przywołać incydent ujawnienia lista osób, które są objęte kwarantanną orzeczoną decyzją administracyjną PPIS w Gnieźnie oraz kwarantanną obowiązkową w związku z przekroczeniem granicy kraju, a także osób odbywających izolację domową w związku ze stwierdzonym zakażeniem koronawirusem SARS-CoV-2.
Na wstępie wspominałem również o dwóch rzeczach. Pierwsza dotyczy zbytniego przyzwyczajenia władz do takich rozwiązań. I nie chodzi tylko o kraje „mniej demokratyczne”. Po zamachach z 11 września 2001 r. w Stanach Zjednoczonych wprowadzono ustawę, która rozszerzała kompetencje służb odpowiedzialnych za bezpieczeństwo (m.in. możliwość stosowania podsłuchu telefonicznego, poczty, komunikatorów bez zgody sądu). Te zapisy miały obowiązywać tylko w okresie zagrożenia terrorystycznego. Jednak władze przez kilkanaście lat przedłużały wciąż obowiązywanie tych zapisów, choć zagrożenie znacznie zmalało. Druga sprawa to zapewnienie usunięcia danych po ustaniu ich celu przetwarzania. Cambridge Analytica, firma która pozyskała od Facebooka dane kilkudziesięciu milionów użytkowników, miała zgodnie z umową wykorzystać je do celów naukowych i następnie usunąć. Nie zrobiła tego jednak i jako podmiot zajmujący się konsultingiem politycznym, wykorzystywała te dane do profilowania użytkowników pod kątem preferencji wyborczych i wpływania na ich polityczne decyzje.
Autor: Tomasz Nowiński CompNet Sp. z o.o.
© Copyright by CompNet Sp. z o. o.