Wyobraźmy sobie sytuację, która jeszcze kilka lat temu mogłaby wydawać się abstrakcyjna. Na forum, w komunikatorze albo serwisie do udostępniania plików trafiamy na link do bazy, która według autora pochodzi z dużej polskiej firmy. W środku mają znajdować się imiona, nazwiska, adresy, telefony i numery PESEL miliona osób. Pobieramy kilka megabajtów, otwieramy plik i szybko okazuje się, że dane wyglądają wiarygodnie.

Co teraz? Można sprawdzić siebie? Znajomego? Wysłać próbkę dziennikarzowi? Powiadomić firmę? Przesłać całość CERT Polska? A może najlepiej natychmiast skasować plik i udawać, że nigdy go nie widzieliśmy? Problem jest ciekawy właśnie dlatego, że dobra intencja nie zawsze prowadzi do prawidłowej metody działania.

Sam fakt znalezienia bazy nie czyni Cię sprawcą wycieku

Trzeba zacząć od rozdzielenia dwóch rzeczy. Osoba, która znalazła już opublikowany plik, znajduje się w zupełnie innej sytuacji niż człowiek, który włamał się do systemu, przełamał zabezpieczenia i sam dane wykradł. Polski Kodeks karny penalizuje m.in. uzyskiwanie bez uprawnienia dostępu do informacji poprzez przełamanie lub ominięcie zabezpieczeń oraz nieuprawniony dostęp do systemu informatycznego.

Nie oznacza to jednak, że wszystko, co wydarzy się później, jest prawnie obojętne. Jeżeli pobieramy milion rekordów, zaczynamy przechowywać cudze dane. Jeżeli je przeglądamy, wyszukujemy, kopiujemy czy porządkujemy, wykonujemy kolejne operacje na informacjach dotyczących konkretnych osób. W języku RODO są to formy przetwarzania danych, choć samo słowo „przetwarzanie” nie oznacza jeszcze automatycznie działania bezprawnego.

Pierwsza zasada: nie powiększaj szkody

Najgorszą reakcją byłoby rozpoczęcie dalszego rozpowszechniania bazy pod hasłem „zobaczcie, naprawdę wyciekło”. Każda kolejna kopia zwiększa liczbę miejsc, nad którymi osoby poszkodowane straciły kontrolę. Fakt, że informacje już zostały ujawnione przez przestępcę, nie zamienia ich w dobro publiczne, którym można dowolnie obracać.

Jeżeli chcemy udowodnić, że baza istnieje, najczęściej nie ma potrzeby publikowania pełnych rekordów. Można opisać strukturę danych, podać liczbę pól, zakres informacji albo pokazać odpowiednio zanonimizowany fragment. Zasada minimalizacji z RODO sprowadza się w praktyce do bardzo zdroworozsądkowego pytania: skoro do osiągnięcia celu nie potrzebujesz nazwiska, PESEL-u i adresu konkretnego człowieka, to po co je ujawniać?

Czy można sprawdzić siebie?

To jeden z najbardziej naturalnych odruchów. Jeśli baza rzekomo pochodzi ze sklepu, z którego korzystaliśmy, chcemy wiedzieć, czy nasz PESEL albo telefon rzeczywiście tam występuje. W przypadku osoby działającej wyłącznie prywatnie może mieć znaczenie tzw. wyjątek osobisty lub domowy w RODO, ale nie jest to pozwolenie na dowolne działania z cudzymi danymi.

Znacznie bezpieczniejsze jest skorzystanie z oficjalnego narzędzia, komunikatu administratora albo systemu wyszukiwania przygotowanego właśnie po to, aby użytkownik nie musiał pobierać całej bazy. Paradoks polega przecież na tym, że żeby znaleźć jeden własny PESEL, nie potrzebujemy wejść w posiadanie PESEL-i miliona innych osób.

A znajomego?

Tu argument robi się słabszy. Jeżeli szukamy siebie, możemy przynajmniej wskazać własny interes w ustaleniu zakresu naruszenia. Jeżeli zaczynamy sprawdzać sąsiada, pracownika, byłego partnera albo osobę publiczną wyłącznie z ciekawości, coraz trudniej mówić o ochronie własnej prywatności.

To, że technicznie możemy wpisać cudze nazwisko w wyszukiwarkę pliku, nie odpowiada jeszcze na pytanie, czy powinniśmy to robić. Dostępność informacji nie jest równoznaczna z prawem do dowolnego zaglądania w cyfrową historię innych ludzi. Szczególnie gdy baza zawiera dane dotyczące zdrowia, życia prywatnego albo inne informacje, których dana osoba nigdy nie zdecydowała się nam ujawnić.

Czy wysłać bazę firmie?

Jeżeli rzeczywiście dotyczy ona konkretnej organizacji, poinformowanie jej o znalezisku może być rozsądne. Nie zawsze jednak konieczne jest wysyłanie całego pliku w załączniku. Często wystarczy przekazać informację, gdzie materiał został opublikowany, opisać jego strukturę i udostępnić minimalną próbkę konieczną do weryfikacji.

Firma, która stwierdzi naruszenie danych osobowych, ma obowiązek ocenić ryzyko i – gdy nie jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności osób – zgłosić je organowi nadzorczemu, co do zasady w ciągu 72 godzin od stwierdzenia naruszenia. Przy wysokim ryzyku pojawia się również obowiązek zawiadomienia zainteresowanych osób.

CERT Polska jest lepszym adresatem niż grupa na Facebooku

Jeżeli nie wiemy, jak postąpić, rozsądniejsze od publicznego wrzucania materiałów jest zgłoszenie incydentu do CERT Polska albo odpowiedniej instytucji. Specjaliści mogą zweryfikować zdarzenie bez potrzeby robienia z niego publicznej giełdy cudzych danych.

Najważniejsza zasada brzmi więc przewrotnie: znalezienie wycieku nie nakłada na nas obowiązku zostania samozwańczym śledczym. Możemy pomóc, przekazując informację właściwym osobom i ograniczając dalsze rozpowszechnianie.

PESEL ma jeszcze jeden szczególny ciężar

Numer PESEL nie jest automatycznie „danymi szczególnej kategorii” w rozumieniu art. 9 RODO tak jak informacja o zdrowiu czy orientacji seksualnej. Jest jednak trwałym identyfikatorem, którego nie zmieniamy przy każdym incydencie tak jak hasła, dlatego połączenie go z imieniem, nazwiskiem i dodatkowymi informacjami może powodować poważne ryzyko dla zainteresowanej osoby.

Z tego powodu publikowanie pełnego numeru jako „dowodu wycieku” jest zazwyczaj całkowicie zbędne. Do pokazania problemu wystarczy fragment odpowiednio zamaskowany. Internet nie potrzebuje drugiego wycieku stworzonego przez ludzi, którzy chcieli nagłośnić pierwszy.

• Przeczytaj także: Czy faktycznie da się wziąć kredyt „na numer PESEL”? Wyjaśniamy, jak działa kradzież tożsamości

Najważniejsze pytanie brzmi: po co właściwie chcesz tych danych?

To najlepszy test zdrowego rozsądku. Jeżeli odpowiedzią jest „żeby ostrzec firmę”, potrzebujesz ograniczonego zestawu informacji. Jeżeli „żeby sprawdzić siebie”, warto najpierw poszukać narzędzia, które nie wymaga pobierania całości. Jeżeli natomiast odpowiedź brzmi „bo jestem ciekawy, kto jeszcze tam jest”, przestaliśmy mówić o bezpieczeństwie i zaczęliśmy mówić o zaglądaniu w cudzą prywatność.

Najbezpieczniejsza reakcja na znalezioną bazę jest więc mało widowiskowa: nie rozpowszechniaj jej, nie kolekcjonuj jej dla zabawy, nie przeglądaj ludzi z ciekawości i zgłoś incydent tym, którzy rzeczywiście powinni się nim zająć. To, że ktoś pierwszy złamał zasady i wykradł dane, nie daje reszcie internetu prawa do robienia z nimi wszystkiego, co technicznie możliwe.

• Przeczytaj także: Czy warto zastrzec PESEL? Co daje i przed czym nie chroni. Rozważania