Aby prywatność była lepiej chroniona - 6 postulatów Fundacji Panoptykon

Co zrobić, żeby nasza prywatność była dobrze chroniona? Czy wystarczy, że sami o to zadbamy? W cyfrowym świecie, gdzie niemal każdy ruch oznacza udostępnianie danych osobowych, a możliwości ich wykorzystania wciąż się poszerzają, nawet najbardziej świadomy użytkownik może nie dać rady. Poleganie na indywidualnych strategiach ochrony prywatności to niebezpieczna fikcja – wygodna tylko dla tych, którzy swoje modele biznesowe budują w oparciu o komercjalizację naszych danych.

Globalny rynek napędzany naszymi danymi - nową cyfrową walutą – domaga się regulacji, tak jak kiedyś spekulacja w sektorze finansowym czy eksploatacja środowiska naturalnego. Konkretną szansą na jej wprowadzenie jest europejska reforma prawa ochrony danych osobowych, zainicjowana przez komisarz Viviane Reding. Żeby tę szansę dobrze wykorzystać, musimy jednak jasno sformułować nasze postulaty i zawalczyć o ich realizację w Parlamencie Europejskim.

Obecnie nad projektem rozporządzenia o ochronie danych osobowych pracuje Parlament Europejski, a następnie czeka nas tak zwany trialog: negocjacje między Parlamentem, Radą Unii Europejskiej (czyli przedstawicielami rządów) a Komisją Europejską. Poziom skomplikowania tego procesu i liczba uczestniczących w nim aktorów nie pozwala przewidzieć, jaki będzie ostateczny kształt rozporządzenia, które ma obowiązywać w każdym z 27 krajów Unii. Wszystkie karty jeszcze są na stole – możemy bardzo dużo wygrać dla naszej prywatności, ale i równie dużo stracić. Rozstrzygające będą najbliższe miesiące i decyzje, jakie podejmą m.in. polski rząd i polscy eurodeputowani. Próbujemy im pomóc, formułując nasze najważniejsze postulaty:  

(1) Mocne i szczelne definicje

Po pierwsze: odpowiednio skonstruowane definicje. To fundament projektowanego rozporządzenia, określający, co będzie rozumiane pod takimi pojęciami jak "dane osobowe", "podmiot danych" czy "zgoda na przetwarzanie danych". Nasze dane powinny być traktowane jako "osobowe" nie tylko wtedy, gdy dotyczą możliwej do zidentyfikowania osoby. W wielu przypadkach, szczególnie w Internecie, identyfikacja wcale nie jest konieczna do naruszenia naszej prywatności – coraz częściej wystarcza tymczasowy identyfikator, który zdradza nasz internetowy profil. Właśnie dlatego potrzebujemy odpowiednio szerokiej definicji "danych osobowych".

(2) Rzeczywista kontrola nad własnymi danymi

Równie fundamentalną kwestią jest to, kto i na jakich zasadach będzie decydował o przetwarzaniu naszych danych i w jakim zakresie będziemy to my sami. Projekt rozporządzenia przewiduje aż sześć podstaw, w oparciu o które nasze dane mogą być przetwarzane. Tym bardziej musimy zadbać o to, żeby nie było w nich dziur, które pozwoliłyby na utratę kontroli nad tym procesem.

Jedną z takich podstaw jest zgoda osoby, której dane dotyczą (udzielamy jej na każdym kroku). W teorii to właśnie ta podstawa powinna dawać nam pełną kontrolę nad wykorzystaniem naszych danych. Niestety, niektórzy eurodeputowani uważają, że koncepcja "zgody" powinna zostać zmieniona tak, aby zgodę na przetwarzanie danych można było domniemywać z naszego zachowania. W praktyce otwiera to drogę do oczywistych nadużyć. Uważamy, że taka definicja zgody stawia całą koncepcję autonomii informacyjnej na głowie. I nie tylko my: według badania Eurobarometru aż 74% obywateli UE chciałoby udzielać wyraźnej zgody przed rozpoczęciem gromadzenia i przetwarzania ich danych w Internecie.

Kolejną – najbardziej kontrowersyjną – podstawą przetwarzania naszych danych jest tzw. uzasadniony interes administratora. To pojęcie bardzo niejasne, zakładające uznaniowość, a faktycznie dobrą wolę, administratora naszych danych. To sam administrator (z zasady zainteresowany ich eksploatacją) ma decydować o tym, czy dane mogą być przetwarzane bez naszej zgody, właśnie dlatego i tylko dlatego, że jest to w jego "uzasadnionym interesie". Uważamy, że administrator danych nie powinien być sędzią we własnej sprawie. Ta podstawa powinna całkowicie zniknąć z rozporządzenia, a przynajmniej zostać lepiej zdefiniowana i obudowana dodatkowymi gwarancjami.

(3) Transparentność: bez informacji nie ma rzeczywistej kontroli

Warunkiem rzeczywistej kontroli nad tym, jak nasze dane są wykorzystywane, jest prawo do uzyskania informacji o tym, jakie dane, w jaki sposób i w jakim celu są przetwarzane. Zapewnienie takiego prawa – szczególnie w kontekście bardziej zaawansowanych technik, takich jak profilowanie – to nasz kolejny postulat.

Żeby ta gwarancja miała realny wymiar, informacje o przetwarzaniu naszych danych muszą być sformułowane w sposób prosty, zwięzły i zrozumiały. Dziś ani dostarczenie rzetelnych informacji o przetwarzaniu danych, ani ich przystępne podanie nie są w standardzie usług internetowych. Przebrnięcie przez tzw. warunki świadczenia usług – w tym politykę prywatności – i nadążanie za ich częstymi zmianami stanowi wyzwanie nawet dla ekspertów. Potwierdza to projekt "Terms of Service; Didn't Read", będący reakcją na "największe kłamstwo Internetu", czyli nasze bierne zgadzanie się na długie i skomplikowane regulaminy, których nie jesteśmy w stanie dokładnie przeczytać ani w całości zrozumieć.

(4) Maksymalna ochrona prywatności w opcji "domyślnej"

Kolejnym z listy naszych kluczowych postulatów jest wprowadzenie "domyślnej" ochrony prywatności (privacy by default) – czyli obowiązku zapewnienia, że w momencie, w którym zaczynamy z korzystać z danego serwisu czy usługi, mamy zapewnioną maksymalną ochronę prywatności. Dopiero w następnym kroku możemy sami wybrać niższy poziom ochrony i zdecydować, jakimi danymi rzeczywiście chcemy się dzielić. Dotychczas ten wybór należał do dostawców usług, a więc często "opcją domyślną" było udostępnianie wszystkich danych – czego nie każdy użytkownik był świadomy.

Koncepcja "domyślnej" ochrony prywatności oznacza radykalną zmianę w naszych relacjach z dostawcami usług, które wykorzystują dane osobowe, a wręcz odwrócenie dotychczasowego układu sił. Jeśli ten model uda się wprowadzić w życie, nie będziemy już musieli tropić dziur w polityce prywatności, przez które wyciekają nasze dane, gdyż od samego początku odpowiedzialność za zapewnienie naszym danym maksymalnej ochrony będzie spoczywać na dostawcy usługi.

(5) Profilowanie

Profilowanie oznacza automatyczne przetwarzanie informacji o nas po to, żeby zbudować pewne założenia na temat naszych cech, rutyn życiowych i możliwych działań. Opiera się na algorytmach, które z założenia są niedoskonałe, ponieważ wykorzystują korelacje statystyczne obarczone dużym marginesem błędu. Istotą profilowania jest dzielenie ludzi na kategorie, które mają pomóc profilującemu w podejmowaniu konkretnych decyzji, np. jaką reklamę nam wyświetlić, jakie wyniki wyszukiwania odpowiedzieć, jaką cenę nam zaproponować. W efekcie pojawia się poważne ryzyko wykluczenia lub dyskryminacji: odmowy kredytu ze względu na "rozrzutność" przy zakupach, podwyższonej składki ubezpieczeniowej ze względu na "ryzykowny” tryb życia, podwyższonej ceny usługi lub towaru ze względu na "lepszy" kraj pochodzenia lub korzystanie z droższego sprzętu komputerowego itd.

Ze względu na te zagrożenia profilowanie nastawione na odgadywanie naszych cech lub preferencji wzbudza duże kontrowersje. Uważamy, że prawo powinno ograniczać możliwość tworzenia tego typu profili i ich wykorzystywania przy podejmowaniu istotnych dla konsumentów decyzji. Takie decyzje mogą być podejmowane w oparciu o automatycznie wygenerowany profil tylko w ramach wyjątków, chyba że sami wyraziliśmy na to zgodę. Żeby zapobiec dyskryminacji, w procesie profilowania nie powinny być również wykorzystywane dane wrażliwe, takie jak nasza płeć, orientacja seksualna czy pochodzenie etniczne. Powinniśmy mieć też prawo do informacji o tym, według jakich reguł i w jakim celu jest tworzony nasz profil oraz – jeśli nie odpowiada nam decyzja podjęta na jego podstawie – w miejsce automatu mógł interweniować człowiek.

(6) Takie same standardy dla firm i instytucji spoza Unii Europejskiej

Nawet najlepsza regulacja na poziomie unijnym niewiele jednak zmieni bez gwarancji, że te same standardy prawne będą obowiązywały firmy działające na europejskim rynku, ale zarejestrowane poza granicami Unii Europejskiej. Projekt rozporządzenia o ochronie danych przygotowany przez Komisję Europejską uwzględnia ten postulat: wszystkie firmy, które kierują swoje usługi do obywateli Unii Europejskiej lub przynajmniej monitorują ich zachowanie w sieci, mają stosować się do takich samych, europejskich, zasad.

Dużym wyzwaniem na tym polu są również transfery danych poza granice Unii oraz ich wykorzystywanie przez podmioty zagraniczne. Nowe rozporządzenie musi przynajmniej zagwarantować, żeby eksport naszych danych odbywał się w zgodzie z minimalnymi wymogami europejskiego prawa. Wreszcie, bardzo realnym zagrożeniem jest przekazywanie naszych danych osobowych zagranicznym organom ścigania przez prywatne firmy. Na tym polu potrzebujemy dodatkowych gwarancji – przede wszystkim zapewnienia, że nasze dane będą udostępnianie obcym służbom wyłącznie na podstawie umów międzynarodowych gwarantujących analogiczny poziom ochrony naszych praw.

***

Ile z tych gwarancji znajdziemy w ostatecznym kształcie rozporządzenia, wciąż nie wiadomo. Najważniejsze rozdanie jeszcze przed nami: parlamentarna Komisja Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych ma w planach rozpatrzenie wszystkich (prawie czterech tysięcy!) poprawek, jakie złożyli członkowie poszczególnych komisji opiniujących ten projekt. To głosowanie odbędzie się już 29 maja.

Barbara Gubernat, Katarzyna Szymielewicz