Przed kilkoma dniami popełniliśmy publikację Czy wolno pobrać bazę z wycieku, żeby sprawdzić, czy są w niej nasze dane? Niniejszy wpis jest jego naturalną kontynuacją.
Wyciekła baza klientów dużego serwisu. Badacz bezpieczeństwa pobiera plik, żeby ustalić, co dokładnie zostało ujawnione. Dziennikarz sprawdza kilkadziesiąt rekordów, aby potwierdzić autentyczność materiału. Firma porównuje bazę z własnym CRM-em, żeby dowiedzieć się, których klientów dotyczy incydent. Zwykły użytkownik wyszukuje w pliku własny adres e-mail. Ktoś inny tworzy z danych statystykę: ile procent rekordów zawiera numer telefonu, ile PESEL, a ile adres zamieszkania.
W potocznym języku wszystkie te osoby po prostu „analizują wyciek”. W języku prawa ochrony danych sytuacja wygląda jednak inaczej, ponieważ RODO posługuje się niezwykle szerokim pojęciem „przetwarzania danych”. W praktyce moment, w którym analiza staje się przetwarzaniem, następuje znacznie wcześniej, niż większość osób intuicyjnie zakłada.
Co więcej, może się okazać, że samo pobranie pliku, zapisanie go na dysku i otwarcie w Excelu jest już przetwarzaniem danych osobowych. Nie oznacza to jeszcze automatycznie, że ktoś łamie prawo. To dwa zupełnie różne pytania, które bardzo często są ze sobą mylone.
Przetwarzanie danych brzmi poważniej, niż wygląda w RODO
Gdy słyszymy o „przetwarzaniu danych osobowych”, łatwo wyobrazić sobie bank, operatora telekomunikacyjnego albo Facebooka utrzymującego wielomilionową bazę użytkowników. Tymczasem definicja zawarta w RODO jest znacznie szersza. Za przetwarzanie uznaje się właściwie każdą operację wykonywaną na danych osobowych: ich zbieranie, utrwalanie, organizowanie, przechowywanie, modyfikowanie, wyszukiwanie, przeglądanie, wykorzystywanie, udostępnianie, łączenie, ograniczanie, usuwanie czy niszczenie.
To prowadzi do pozornie absurdalnego wniosku. Jeżeli otrzymamy plik CSV zawierający sto tysięcy adresów e-mail i zapiszemy go na dysku, dane są już przez nas przechowywane. Jeżeli otworzymy plik, pojawia się ich przeglądanie. Jeżeli wyszukamy własne nazwisko, wykonujemy operację wyszukiwania. Jeżeli przekopiujemy pięć podejrzanych rekordów do drugiego arkusza, dochodzi do dalszego wykorzystywania i organizowania informacji.
Wszystkie te czynności mieszczą się w językowej i prawnej definicji przetwarzania. Nie istnieje więc jakaś magiczna granica, za którą dopiero zaczyna się „prawdziwe RODO”. Analiza danych osobowych sama jest ich przetwarzaniem.
I właśnie dlatego pytanie z tytułu warto lekko odwrócić. Nie powinniśmy pytać wyłącznie: „kiedy analiza zaczyna być przetwarzaniem?”. Znacznie ciekawsze jest pytanie: „kiedy przetwarzanie prowadzone podczas analizy zaczyna wymagać od nas spełnienia konkretnych obowiązków i kiedy może stać się bezprawne?”
Samo „przetwarzanie” nie oznacza naruszenia prawa
To jedno z najważniejszych rozróżnień w całej dyskusji o RODO. W języku potocznym słowo „przetwarzanie” bywa używane niemal jak zarzut: ktoś „przetwarza moje dane”, więc prawdopodobnie robi coś podejrzanego.
Tymczasem RODO zostało stworzone właśnie po to, żeby regulować legalne przetwarzanie danych. Każdy bank, sklep internetowy, pracodawca, przychodnia czy operator telefoniczny codziennie przetwarza ogromne ilości informacji i sama ta czynność nie jest niczym niewłaściwym.
Problem pojawia się dopiero wtedy, gdy nie istnieje odpowiednia podstawa prawna, cel jest niedopuszczalny, zakres danych jest nadmierny, informacje przechowywane są zbyt długo, nie są właściwie zabezpieczone albo administrator narusza prawa osób, których dotyczą.
RODO wymaga między innymi zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu oraz minimalizacji danych. Informacje powinny być adekwatne i ograniczone do tego, co rzeczywiście niezbędne do realizowanego celu.
Można więc przetwarzać dane i robić to zgodnie z prawem. Można również analizować wyciek w uzasadnionym celu, ale zrobić to w sposób zdecydowanie zbyt szeroki.
Pobranie pliku może być pierwszą czynnością przetwarzania
Wyobraźmy sobie badacza, który dowiaduje się o dużym wycieku. W sieci pojawia się plik o rozmiarze kilku gigabajtów. Badacz pobiera go, żeby sprawdzić, czy informacje są prawdziwe.
Już w tym momencie na jego nośniku znajduje się kopia cudzych danych. Jeżeli baza zawiera informacje pozwalające zidentyfikować konkretne osoby – nazwiska, adresy e-mail, telefony, identyfikatory albo inne zestawienia pozwalające przypisać rekord człowiekowi – mamy do czynienia z danymi osobowymi. Ich zapisanie i przechowywanie jest jedną z czynności wymienionych wprost w definicji przetwarzania.
Nie oznacza to jednak, że samo pobranie pliku automatycznie przesądza o nielegalności działania. Znaczenie będą miały między innymi okoliczności, charakter podmiotu, cel analizy, zakres danych, sposób ich zabezpieczenia i dalsze działania.
To fundamentalna różnica między stwierdzeniem: „ta osoba przetwarza dane” a: „ta osoba przetwarza dane bezprawnie”. Pierwsze może być oczywiste już po pobraniu pliku. Drugie wymaga znacznie bardziej skomplikowanej oceny.
Otwarcie pliku i oglądanie rekordów też jest przetwarzaniem
Jeszcze ciekawsza sytuacja zaczyna się po otwarciu bazy. RODO wprost wymienia consultation, czyli przeglądanie lub zapoznawanie się z danymi, jako jedną z form przetwarzania. Nie trzeba więc tworzyć własnej bazy, wykonywać skomplikowanej analityki ani publikować wyników. Samo zapoznawanie się z konkretnymi rekordami jest operacją wykonywaną na danych osobowych.
Jeżeli więc dziennikarz otrzymuje plik i otwiera dwadzieścia rekordów, aby sprawdzić, czy baza wygląda autentycznie, prawnie nadal wykonuje operacje na danych. To samo dotyczy administratora firmy próbującego ustalić, które pola zostały ujawnione czy specjalisty bezpieczeństwa oceniającego strukturę wycieku.
Nie oznacza to, że wszyscy znajdują się w identycznej sytuacji prawnej. Ich cele mogą być zupełnie różne. Dziennikarz może działać w związku z wolnością wypowiedzi i działalnością prasową, firma może analizować własny incydent w celu realizacji obowiązków związanych z naruszeniem danych, a badacz bezpieczeństwa może próbować zapobiec kolejnym szkodom.
Ta sama czynność techniczna może więc podlegać zupełnie różnej ocenie prawnej w zależności od kontekstu.
„Tylko wyszukałem własny adres” nadal oznacza operację na całym zbiorze
Przy poprzednim artykule pojawiał się przykład użytkownika pobierającego wyciek wyłącznie po to, żeby znaleźć siebie. Z technicznego punktu widzenia wpisuje adres w wyszukiwarkę programu i po sekundzie otrzymuje jeden wynik.
Intuicyjnie wygląda to tak, jakby operował wyłącznie na swoim rekordzie.
W rzeczywistości sytuacja może wyglądać inaczej. Żeby przeprowadzić wyszukiwanie, użytkownik wszedł wcześniej w posiadanie całego zbioru i przechowuje go na swoim urządzeniu. To, że świadomie przeczytał tylko jeden wiersz, nie powoduje automatycznie, że pozostałe milion rekordów przestało istnieć na jego dysku.
W przypadku zwykłej osoby fizycznej może oczywiście pojawić się wyjątek przewidziany dla czynności o charakterze czysto osobistym lub domowym. Artykuł 2 ust. 2 lit. c RODO wyłącza takie przetwarzanie z zakresu rozporządzenia.
Problem zaczyna się wtedy, gdy użytkownik wykracza poza rzeczywiście osobisty charakter działania. Zachowuje kolekcję wycieków, regularnie wyszukuje inne osoby, analizuje dane na zlecenie, wykorzystuje je zawodowo albo buduje publiczną usługę. Wtedy trudno nadal twierdzić, że mamy wyłącznie prywatne sprawdzenie własnego rekordu.
Tworzenie statystyk może być przetwarzaniem – ale wynik nie zawsze musi nim pozostać
Załóżmy teraz, że badacz nie interesuje się poszczególnymi ludźmi. Chce jedynie odpowiedzieć na pytania:
- jaki procent rekordów zawiera numer telefonu,
- ilu użytkowników posiada adres w domenie Gmail,
- ile rekordów zawiera PESEL,
- jaki jest udział danych z poszczególnych krajów.
Aby uzyskać takie statystyki, musi najpierw wykonać operacje na źródłowych danych osobowych. Sam proces analizy nadal jest więc przetwarzaniem.
Co innego może dotyczyć końcowego wyniku. Jeżeli rezultatem jest informacja w rodzaju „37 proc. rekordów zawierało numer telefonu”, która nie pozwala już zidentyfikować konkretnych osób, publikujemy zupełnie inny rodzaj informacji niż wtedy, gdy pokazujemy tabelę z nazwiskami.
RODO przewiduje, że przetwarzanie statystyczne powinno respektować zasadę minimalizacji, a jeżeli cel można osiągnąć przy pomocy danych, które nie pozwalają albo przestały pozwalać na identyfikację osób, powinno się właśnie tak postępować. Artykuł 89 wskazuje również pseudonimizację jako jeden ze środków mogących ograniczać ryzyko.
W praktyce oznacza to bardzo rozsądną zasadę: do policzenia stu tysięcy rekordów możemy potrzebować danych źródłowych przez chwilę. Nie oznacza to, że musimy przechowywać je przez następne dziesięć lat.
Anonimizacja nie jest tym samym co pseudonimizacja
To rozróżnienie ma ogromne znaczenie przy analizowaniu wycieków.
Wyobraźmy sobie, że z bazy usuwamy imię i nazwisko, ale pozostawiamy niezmieniony adres e-mail albo zamiast adresu wpisujemy jego stały identyfikator. Możemy mieć poczucie, że dane zostały „anonimizowane”, podczas gdy często jest to jedynie pseudonimizacja.
Pseudonimizacja ogranicza bezpośrednią identyfikację osoby, ale nie musi powodować, że dane przestają być danymi osobowymi. EDPB poświęciła temu osobne wytyczne, a samo RODO traktuje pseudonimizację jako środek ochronny, nie jako automatyczny sposób wyłączenia całego zbioru spod przepisów.
Prawdziwa anonimizacja musi prowadzić do sytuacji, w której osoby nie można już zidentyfikować w rozsądnie możliwy sposób. To znacznie trudniejsze niż wykasowanie kolumny z nazwiskiem.
W praktyce baza:
Jan Kowalski – [email protected] – Warszawapo usunięciu nazwiska nadal może bez problemu identyfikować Jana Kowalskiego.
To szczególnie istotne przy publikowaniu wyników analiz. Czasem autor materiału przekonany jest, że „zanonimizował” rekord, podczas gdy pozostawił w nim wystarczająco dużo informacji, żeby odnalezienie konkretnej osoby zajęło kilkanaście sekund.
Dane medyczne i inne szczególne kategorie radykalnie podnoszą stawkę
Nie wszystkie wycieki są takie same. Baza newslettera zawierająca wyłącznie adresy e-mail to zupełnie inny poziom ryzyka niż wyciek z placówki medycznej, serwisu dotyczącego życia seksualnego albo organizacji ujawniającej przekonania religijne czy polityczne.
Artykuł 9 RODO wprowadza szczególne zasady dotyczące między innymi informacji o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, członkostwie w związkach zawodowych, danych genetycznych, określonych danych biometrycznych oraz informacji o życiu seksualnym i orientacji seksualnej. Co do zasady ich przetwarzanie jest zabronione, chyba że zachodzi jedna z przewidzianych w rozporządzeniu przesłanek.
To oznacza, że argument „mamy prawnie uzasadniony interes” nie musi wystarczyć, gdy analiza wchodzi w obszar szczególnych kategorii danych. Pojawia się dodatkowy poziom prawny.
Wyobraźmy sobie badacza analizującego wyciek danych pacjentów. Do określenia skali incydentu może nie być konieczne poznawanie konkretnych diagnoz poszczególnych osób. Jeżeli wystarczy ustalenie, że pole „diagnoza” występuje w 70 proc. rekordów, przeglądanie kolejnych historii choroby „z ciekawości” byłoby bardzo trudne do obrony zasadą niezbędności.
To dobry przykład pokazujący, dlaczego cel nie usprawiedliwia automatycznie całego zakresu analizy.
W którym momencie badacz staje się administratorem danych?
To jedno z ciekawszych pytań.
RODO definiuje administratora jako podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli więc niezależny badacz sam decyduje: „pobieram tę bazę, zachowuję ją przez sześć miesięcy, analizuję określone pola i publikuję raport”, bardzo trudno powiedzieć, że wykonuje jedynie neutralne czynności techniczne na cudze polecenie. Sam określa cel oraz podstawowe sposoby wykorzystania danych.
To może oznaczać wejście w rolę administratora wobec prowadzonego przez siebie procesu.
Podobny problem pojawia się wtedy, gdy firma świadcząca usługę bezpieczeństwa otrzymuje bazę od klienta, ale zaczyna używać jej również do własnych celów. UODO zwraca uwagę, że podmiot przetwarzający, który samodzielnie zaczyna określać cele i sposoby przetwarzania powierzonych mu danych, może w odniesieniu do tych operacji zostać potraktowany jako administrator.
Czyli samo nazwanie siebie „badaczem”, „analitykiem” albo „procesorem” nie przesądza o rzeczywistej roli.
„Badania naukowe” również nie są zaklęciem zwalniającym z RODO
Można spotkać argument: skoro analizujemy dane w celach badawczych albo statystycznych, mamy większą swobodę.
Rzeczywiście RODO przewiduje szczególne rozwiązania dotyczące badań naukowych, historycznych, statystyki i archiwizacji w interesie publicznym. Nie oznacza to jednak wyłączenia takich działań spod prawa ochrony danych.
Artykuł 89 wręcz wyraźnie wymaga odpowiednich zabezpieczeń praw i wolności osób, których dane dotyczą, a w szczególności poszanowania zasady minimalizacji. Jeżeli cel można osiągnąć przy wykorzystaniu danych, które nie pozwalają już identyfikować konkretnych osób, rozporządzenie wskazuje, że należy właśnie tak postąpić.
Badanie może więc uzasadniać określone operacje, ale nie jest przepustką do zbierania wszystkich możliwych danych „bo kiedyś mogą się przydać”. I znowu wracamy do jednego z najważniejszych pytań tej serii: czy naprawdę potrzebujesz tych danych do celu, który deklarujesz?
Co z prawnie uzasadnionym interesem?
W wielu analizach bezpieczeństwa naturalnie pojawia się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora lub strony trzeciej. Ochrona systemów, przeciwdziałanie nadużyciom czy analiza zagrożeń mogą być bardzo poważnymi interesami. Nie wystarczy jednak samo ich wskazanie.
Europejska Rada Ochrony Danych opisuje trzyetapową ocenę: musi istnieć rzeczywisty i zgodny z prawem interes, przetwarzanie musi być do jego realizacji rzeczywiście niezbędne, a następnie interes administratora trzeba zestawić z prawami, interesami i uzasadnionymi oczekiwaniami osób, których dane dotyczą.
W przypadku wycieku prowadzi to do bardzo praktycznych pytań. Czy trzeba przechowywać wszystkie rekordy, czy wystarczy próbka? Czy potrzebujemy pełnych numerów PESEL, czy można je zamaskować? Czy adresy można zahashować? Czy konieczne jest przechowywanie pliku po zakończeniu analizy? Czy wyniki można opublikować jako statystyki zamiast rekordów dotyczących konkretnych ludzi?
Im więcej na te pytania istnieje mniej ingerujących odpowiedzi, tym trudniej uzasadnić bardziej inwazyjną metodę.
A co z obowiązkiem poinformowania miliona osób?
Tu pojawia się kolejny interesujący problem.
Jeżeli organizacja uzyskuje dane osobowe nie od osób, których one dotyczą, art. 14 RODO co do zasady przewiduje obowiązek przekazania im określonych informacji – między innymi o administratorze, celu, podstawie prawnej, kategoriach danych oraz źródle ich pochodzenia. Rozporządzenie przewiduje przy tym określone wyjątki, m.in. sytuacje, gdy przekazanie informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku w określonych okolicznościach.
W przypadku bazy zawierającej kilka milionów osób problem staje się bardzo realny. Badacz może posiadać dane tych ludzi, mimo że żadna z tych osób nigdy mu ich nie przekazała i prawdopodobnie nawet nie wie o istnieniu jego projektu.
To kolejny dowód na to, że pobranie ogromnej bazy i powiedzenie „robię research” może uruchamiać znacznie więcej kwestii prawnych, niż wynikałoby z samej technicznej czynności analizy.
Weryfikacja autentyczności to co innego niż przeglądanie bazy dla ciekawości
Cel ma ogromne znaczenie również przy ocenie zakresu potrzebnej analizy.
Dziennikarz otrzymuje bazę rzekomo pochodzącą z dużej firmy. Aby potwierdzić materiał, może potrzebować sprawdzić kilka niezależnych rekordów, zestawić je z innymi informacjami i skontaktować się z firmą albo osobami dotkniętymi wyciekiem.
Po zweryfikowaniu autentyczności dalsze przeglądanie tysięcy rekordów wyłącznie dlatego, że zawierają interesujące informacje, przestaje być tak łatwo powiązane z pierwotnym celem.
Podobnie wygląda sytuacja badacza bezpieczeństwa. Jeżeli celem jest ustalenie struktury wycieku, często wystarczy analiza techniczna schematu danych i ograniczonej próbki. Otwieranie indywidualnych historii medycznych, prywatnych wiadomości czy innych szczególnie intymnych danych tylko dlatego, że znalazły się w pliku, trudno uzasadnić samym hasłem „cybersecurity”.
Techniczna możliwość dostępu do informacji nie jest jeszcze powodem, żeby z tej możliwości korzystać.
Publikacja wyników jest kolejnym, osobnym etapem przetwarzania
Załóżmy, że analiza była uzasadniona. Badacz przygotował raport. Co może w nim pokazać?
Tutaj bardzo łatwo ze stosunkowo rozsądnej analizy przejść do zupełnie nowej operacji: ujawnienia lub rozpowszechnienia danych.
Publikując pełny rekord jako przykład, badacz może ponownie rozpowszechnić dane, które pierwotnie znalazły się w internecie wskutek przestępstwa. To, że baza „już wyciekła”, nie powoduje, że dodatkowe jej kopiowanie staje się neutralne.
W większości materiałów do pokazania charakteru naruszenia wystarczy zaciemnić nazwiska, telefony, adresy, numery dokumentów, identyfikatory i inne informacje pozwalające ustalić konkretną osobę. Jeżeli potrzebne jest pokazanie struktury rekordu, można zastosować dane przykładowe.
To podejście jest szczególnie ważne w mediach. Screen prawdziwego rekordu może wyglądać bardziej przekonująco niż spreparowana ilustracja, ale jego wartość dowodowa musi zostać zestawiona z ryzykiem ponownego skrzywdzenia osoby, która już raz padła ofiarą wycieku.
Usunięcie pliku też… jest przetwarzaniem danych
Na koniec mały paradoks prawny.
Jeżeli pobraliśmy wyciek, przeanalizowaliśmy go, a potem bezpiecznie usunęliśmy plik, samo usunięcie również jest czynnością przetwarzania danych. Definicja z art. 4 RODO wprost obejmuje usuwanie i niszczenie informacji.
Oczywiście jest to zwykle ostatnia i bardzo pożądana operacja.
Pokazuje jednak, jak niewiele sensu ma traktowanie słowa „przetwarzanie” jako synonimu czegoś nielegalnego. Zgodne z prawem pozyskanie informacji jest przetwarzaniem. Zabezpieczenie jest związane z przetwarzaniem. Analiza jest przetwarzaniem. Anonimizowanie danych wymaga operacji na nich. Ich usunięcie również.
Kluczowe pytanie nie brzmi więc: „czy przetwarzam cudze dane?” Jeżeli analizujemy prawdziwy wyciek, odpowiedź bardzo często będzie brzmiała: tak. Znacznie ważniejsze brzmi: „czy mam prawo przetwarzać te dane właśnie w taki sposób, w takim zakresie i przez tak długi czas?”
Granica nie przebiega między „analizą” a „przetwarzaniem”
I chyba właśnie tutaj znajduje się największe nieporozumienie.
Nie istnieją dwa odrębne światy, w których po jednej stronie ktoś niewinnie „analizuje wyciek”, a dopiero po przekroczeniu jakiejś granicy zaczyna „przetwarzać dane osobowe”. Jeśli materiał pozwala identyfikować ludzi, to analiza bardzo często od początku jest przetwarzaniem.
Prawdziwa granica przebiega gdzie indziej.
Między analizą niezbędną a nadmierną.
Między weryfikacją kilku rekordów a archiwizowaniem milionów.
Między statystyką pokazującą skalę problemu a publikacją danych konkretnej ofiary.
Między zabezpieczeniem informacji a budowaniem prywatnego archiwum wycieków „na przyszłość”.
Między działaniem potrzebnym do ochrony ludzi a zwykłą ciekawością.
I właśnie dlatego najbardziej rozsądna zasada dla osoby pracującej z wyciekiem jest bardzo prosta: jeżeli jakiejś informacji nie potrzebujesz do realizacji konkretnego celu, postaraj się jej nie zbierać, nie oglądać i nie przechowywać.
RODO nazywa to minimalizacją danych. W świecie wycieków można nazwać to po prostu zdrowym rozsądkiem.