Podcast o Prawo technologii informacyjnych i cyberbezpieczeństwo

Přepis

Klára: Wyobraźcie sobie studentkę, powiedzmy, Vikę. Cały semestr sumiennie robiła notatki, pięknie je opracowała i wrzuciła na publiczny dysk w chmurze, żeby mogła się nimi podzielić z kumplami przed egzaminem dyplomowym. Super pomysł, co nie? No ale co, jeśli w tych notatkach pojawią się fragmenty skryptów chronionych prawem autorskim? Kto za to ponosi odpowiedzialność? Vika? Czy może ta ogromna firma, która prowadzi chmurę?

Klára: To jest właśnie to pytanie, które może namieszać w głowie. Słuchacie Studyfi Podcast, a dzisiaj z ekspertem Tomaszem przyjrzymy się prawu technologii informacyjnych i komunikacyjnych. No więc, Tomaszu, jak to w końcu jest? Kto ma problem, gdy Vika udostępni coś, czego nie powinna?

Tomáš: Świetne pytanie, Klaro! A odpowiedź jest... skomplikowana. Prawo rozróżnia trzy podstawowe role, w jakich może znaleźć się dostawca usług internetowych. Wyobraź sobie to jako trzy różne rodzaje transportu informacji.

Klára: Transportu? Dobrze, to brzmi zrozumiale. Jestem ciekawa.

Tomáš: Pierwszy to tak zwany „mere conduit”, czyli zwykłe przesyłanie danych. To jest twój dostawca połączenia internetowego. Jego rola jest jak rola listonosza. Czy listonosza interesuje, czy w liście wysyłasz przepis na babkę, czy plany podboju świata?

Klára: W ogóle nie. On tylko dostarcza kopertę z punktu A do punktu B. Nie wolno mu jej nawet otworzyć.

Tomáš: Dokładnie! Dostawca połączenia nie jest odpowiedzialny za treść, jeśli sam nie zainicjował przesyłania, nie wybrał odbiorcy i co najważniejsze – w żaden sposób nie zmienił treści tego, co jest wysyłane. Państwo może mu co prawda nakazać zablokowanie konkretnego adresu, na przykład nielegalnego kasyna online, ale nie może mu nakazać przeszukiwania wszystkich danych swoich użytkowników.

Klára: Rozumiem. Czyli listonosz jest poza odpowiedzialnością. Jaka jest ta druga rola?

Tomáš: Drugą jest „caching”, czyli buforowanie. Robią to na przykład usługi CDN, które przyspieszają ładowanie stron internetowych, przechowując ich kopie na różnych serwerach na całym świecie. To jest jak biblioteka, która kupuje dziesięć egzemplarzy najbardziej pożądanej książki, żeby ludzie nie musieli na nią czekać.

Klára: Czyli kiedy chcę przeczytać artykuł z Nowego Jorku, dane nie muszą lecieć przez cały ocean, bo kopia jest już gdzieś bliżej, na przykład we Frankfurcie?

Tomáš: Dokładnie tak! A dostawca takiej usługi nie jest odpowiedzialny za treść, jeśli jej nie zmienia i co najważniejsze, jeśli usunie dane od razu, gdy zostaną usunięte z oryginalnego serwera. Kiedy autor wycofuje książkę ze sprzedaży, biblioteka też musi przestać wypożyczać swoje egzemplarze.

Klára: To ma sens. A teraz dochodzimy do tej chmury naszej Viki, prawda? To będzie chyba ten trzeci typ.

Tomáš: Zgadza się. Trzeci i najciekawszy to „hosting”. To są wszystkie usługi, gdzie użytkownicy sami wrzucają treści. Facebook, YouTube, fora dyskusyjne i tak, również dyski w chmurze. Tutaj dostawca jest jak właściciel publicznej tablicy ogłoszeń.

Klára: A on za wiadomości na tablicy nie odpowiada... dopóki nie dowie się o problemie?

Tomáš: Bingo! Nazywa się to zasadą „notice-and-takedown”. Dopóki dostawca nie wie, że na jego platformie znajduje się nielegalna treść, jest w porządku. Ale gdy tylko ktoś go o tym poinformuje – czy to poszkodowany autor, czy ktokolwiek inny – musi działać. I to natychmiast.

Klára: Natychmiast oznacza co? W ciągu kilku minut?

Tomáš: Właśnie w tym tkwi haczyk. „Natychmiast” jest interpretowane różnie. W Niemczech na przykład sąd uznał, że jeśli osoba odpowiedzialna jest na urlopie, to się to nie liczy. U nas takiego przypadku jeszcze nie było. Ale ogólnie oznacza to, że nie możesz ignorować zgłoszenia przez tydzień.

Klára: Czyli Vika ponosi pierwotną odpowiedzialność, ale jeśli ktoś to zgłosi, a usługa chmurowa nic nie zrobi, to ona też już w tym siedzi. Dobrze to rozumiem?

Tomáš: Absolutnie prawidłowo. Jest jeszcze jeden wyjątek – jeśli dysk w chmurze sam stwarzałby wrażenie, że ta treść jest jego, na przykład aktywnie by ją promował, wtedy odpowiedzialność byłaby znacznie bardziej bezpośrednia.

Klára: Dobrze, czyli działa zasada „zgłoś i usuń”. Ale czy taki Facebook albo YouTube nie powinien aktywnie kontrolować, co ludzie tam wrzucają? Żeby zapobiec problemom?

Tomáš: To świetna uwaga i prowadzi nas do kolejnego dużego tematu: aktywnego monitoringu. A tutaj prawo, konkretnie europejskie rozporządzenie DSA, jest dość jasne. Dostawcom generalnie nie nakłada się obowiązku proaktywnego monitorowania wszystkich treści.

Klára: Dlaczego nie? Przecież to rozwiązałoby mnóstwo problemów z nielegalnymi treściami, prawda?

Tomáš: Może, ale jakim kosztem? Wyobraź sobie, że poczta musiałaby czytać każdy twój list. Byłoby to ogromne naruszenie prywatności i wolności słowa. Poza tym byłoby to technicznie i finansowo niewykonalne. Dlatego ogólny, prewencyjny nadzór nad wszystkimi użytkownikami jest zakazany.

Klára: Czyli żadnego dużego sita, które wyłapywałoby wszystko, co złe, od razu przy wrzucaniu?

Tomáš: Dokładnie. Ale uwaga, to nie znaczy, że nie mają żadnych obowiązków. Po pierwsze, mogą i często dobrowolnie wprowadzają filtry. A po drugie, sąd lub inny organ może im nakazać ukierunkowany nadzór. Na przykład śledzić jednego konkretnego użytkownika, który wielokrotnie sprzedaje podróbki.

Klára: Aha, czyli nie ogólny nadzór, ale ukierunkowany już tak. To duża różnica.

Tomáš: Ogromna. Słynna jest sprawa L'Oréal kontra eBay. eBay musiał wprowadzić środki, aby na jego platformie nie sprzedawano podróbek kosmetyków L'Oréal. Nie chodziło o kontrolę wszystkiego, ale o wprowadzenie mechanizmów prewencyjnych przeciwko konkretnemu, powtarzającemu się problemowi.

Klára: Czyli to taka zbalansowana odpowiedzialność. Nie jesteś policjantem, ale też nie możesz chować głowy w piasek, gdy na twoim podwórku dzieje się coś nielegalnego.

Tomáš: Idealnie powiedziane. Dostawca ma obowiązek działać, gdy zostanie powiadomiony, i ma obowiązek prewencyjny, aby problemom zapobiegać rozsądnymi środkami. Ale nie musi być wszechwiedzącym Wielkim Bratem.

Klára: Przejdźmy dalej. Często słyszymy o cyberbezpieczeństwie i o Narodowym Urzędzie Bezpieczeństwa Cybernetycznego i Informacyjnego, czyli NÚKIB. Kto właściwie musi słuchać tego urzędu?

Tomáš: To kluczowe pytanie. Ustawa o cyberbezpieczeństwie definiuje tak zwane „podmioty zobowiązane”. A jest ich niemało. Wyobraź sobie wszystko, od czego zależy nasze społeczeństwo.

Klára: Czyli... elektrownie, szpitale, banki, transport?

Tomáš: Dokładnie. To tak zwana krytyczna infrastruktura informacyjna i dostawcy usług podstawowych. Ich awaria miałaby ogromny wpływ na gospodarkę i codzienne życie ludzi. Ponadto należą tu na przykład dostawcy internetu i ważne systemy państwowe.

Klára: A co z usługami cyfrowymi? Na przykład wyszukiwarki czy usługi chmurowe, o których mówiliśmy?

Tomáš: Tak, również one. Ustawa pamięta również o dostawcach usług cyfrowych, takich jak rynki online, chmury i wyszukiwarki. Każda z tych kategorii ma nieco inne obowiązki, od zgłaszania incydentów po wprowadzenie konkretnych środków bezpieczeństwa.

Klára: A słyszałam, że szykuje się zmiana. Jakaś dyrektywa NIS2. Co to dla nas oznacza?

Tomáš: Oznacza to dużą sprawę. Nowa ustawa, która implementuje dyrektywę NIS2, dramatycznie rozszerzy liczbę podmiotów zobowiązanych. Będzie to dotyczyć znacznie więcej firm z różnych branż, takich jak energetyka, transport, a nawet sieci społecznościowe.

Klára: Czyli więcej firm będzie musiało raportować do NÚKIB i wprowadzać środki bezpieczeństwa?

Tomáš: Dokładnie tak. Nowo firmy będą dzielone na tryby wyższych i niższych obowiązków. A co ciekawe, najwyższe kierownictwo firm będzie miało obowiązek aktywnie kształcić się w zakresie cyberbezpieczeństwa. Nie będzie już można wymigiwać się, że „informatycy lepiej to rozumieją”.

Klára: To brzmi jak krok w dobrym kierunku. Cyberbezpieczeństwo dotyczy wszystkich.

Tomáš: Zdecydowanie. A kary za nieprzestrzeganie będą znacznie wyższe. Celem jest po prostu zwiększenie ogólnej odporności państwa na zagrożenia cybernetyczne.

Klára: Skoro już mówimy o zagrożeniach, jakie właściwie NÚKIB ma narzędzia, żeby sobie z nimi radzić? Co może zrobić, gdy coś się wydarzy?

Tomáš: NÚKIB ma w rękawie kilka asów. Możemy je podzielić na prewencyjne i reaktywne. Te pierwsze, prewencja, to środki bezpieczeństwa. To są w zasadzie standardy i wewnętrzne normy, które podmioty zobowiązane muszą wdrożyć. Na przykład szkolenie pracowników lub zabezpieczenie sieci.

Klára: A co, jeśli pojawi się jakieś nowe zagrożenie, o którym jeszcze nie wiadomo?

Tomáš: Na ten przypadek istnieje „ostrzeżenie”. NÚKIB publikuje je na swoich stronach i powiadamia podmioty zobowiązane. Samo w sobie nic ci nie nakazuje. Ale... jeśli zignorujesz ostrzeżenie, a potem poniesiesz szkodę, na którą to ostrzeżenie wskazywało, jesteś za nią w pełni odpowiedzialny. Naruszyłeś obowiązek prewencyjny.

Klára: To sprytne. To jak ostrzeżenie meteorologiczne przed burzą. Nie musisz chować mebli ogrodowych, ale jeśli potem wichura je zabierze, nie możesz się dziwić.

Tomáš: Idealne porównanie! No a potem są te narzędzia reaktywne, gdy incydent już trwa. Tam mamy „środki reaktywne” i „środki ochronne”.

Klára: Jaka jest między nimi różnica?

Tomáš: Środek reaktywny to natychmiastowa reakcja na konkretny incydent, dla konkretnego adresata. To tak, jakby strażacy przyjechali do pożaru i kazali ci ewakuować dom. Musisz posłuchać od razu. I musisz im zgłosić, że to zrobiłeś.

Klára: A ten ochronny?

Tomáš: Środek ochronny wydawany jest na podstawie oceny incydentu i ma na celu zapobieganie podobnym sytuacjom w przyszłości. To raczej tak, jakby po powodzi zbudowano wał przeciwpowodziowy. To jest nauka z kryzysu.

Klára: Na koniec przyjrzyjmy się tej najciemniejszej stronie – przestępstwom. Kiedy ktoś popełnia przestępstwo za pomocą komputera, jak to właściwie jest klasyfikowane? Czy to wszystko na jedno kopyto?

Tomáš: W ogóle nie. Kodeks karny ładnie to rozróżnia. Możemy to uprościć do trzech kategorii. Pierwsze to czyny, które są całkowicie zależne od komputera, tak zwane „cyber-dependent”.

Klára: Co by to było? Na przykład zhakowanie banku?

Tomáš: Dokładnie. Albo stworzenie i rozpowszechnianie wirusa. Bez sieci komputerowej takie przestępstwo w ogóle nie mogłoby istnieć. Druga kategoria to czyny, które są tylko „umożliwione” przez komputer – „cyber-enabled”.

Klára: Jak na przykład... oszustwo przez e-mail, phishing?

Tomáš: Tak. Oszustwo jako takie istniało zawsze, ale komputer nadaje mu nowy wymiar, umożliwia popełnianie go na dużą skalę i anonimowo. A trzecia kategoria to czyny, gdzie komputer jest tylko narzędziem, „cyber-supported”. Na przykład gdy terroryści planują atak przez zaszyfrowaną komunikację.

Klára: Rozumiem. Czyli zależy od tego, jaką rolę komputer odgrywa w całym tym czynie.

Tomáš: Dokładnie tak. A międzynarodowe konwencje, na przykład Konwencja o cyberprzestępczości, dzielą to jeszcze w zależności od tego, na co atak jest skierowany. Czy na poufność i integralność danych, jak podsłuch czy usuwanie plików, czy też chodzi o przestępstwa związane z treścią, jak na przykład pornografia dziecięca.

Klára: Jest tego naprawdę dużo. Człowiek nawet nie zdaje sobie sprawy, jak złożone ramy prawne stoją za całym światem cyfrowym.

Tomáš: A to dzisiaj tylko lekko ślizgaliśmy się po powierzchni. Ale myślę, że do podstawowej orientacji to wystarczy. Najważniejsze jest pamiętać, że internet nie jest żadną próżnią prawną. Zasady obowiązują również tutaj.

Klára: Dokładnie. A skoro mówimy o zasadach, to od razu przychodzi mi na myśl prawo karne. To jest najtwardsza forma zasad. Co dokładnie w świecie online jest więc uważane za przestępstwo? Nie wystarczy powiedzieć 'hacking'.

Tomáš: To zdecydowanie nie. Prawnicy uwielbiają precyzyjne definicje. Każde przestępstwo ma coś, co nazywamy 'znamionami czynu zabronionego'. Wyobraź sobie to jako przepis na ciasto. Musisz mieć wszystkie odpowiednie składniki, żeby to było to konkretne ciasto.

Klára: Przepis na zbrodnię? To brzmi ciekawie. Jakie są więc te składniki?

Tomáš: Są cztery. Podmiot, czyli sprawca. Przedmiot, czyli to, co jest chronione – na przykład prywatność lub mienie. Potem strona przedmiotowa, czyli sam czyn i jego skutek. I na koniec strona podmiotowa, czyli zamiar. Bez wszystkich czterech to po prostu nie jest przestępstwo.

Klára: Aha, czyli nie wystarczy, że coś się stanie. Musi być udowodnione, że sprawca chciał to zrobić. To ma sens.

Tomáš: Dokładnie tak. A żeby być konkretnym, możemy spojrzeć na kilka przykładów. Klasyka to nieuprawniony dostęp do systemu komputerowego. To jest ten hacking. To tak, jakbyś włamał się komuś do cyfrowego domu.

Klára: Dobre porównanie. Co dalej?

Tomáš: Na przykład naruszenie tajemnicy korespondencji – to jest, gdy przeczytasz czyjeś e-maile lub wiadomości na Messengerze. Albo jeszcze gorzej, nieuprawnione pozyskanie środka płatniczego, gdy wyłudzisz od kogoś dane do karty.

Klára: Czekaj, czyli nawet jeśli tylko z ciekawości przeczytam koledze wiadomości na jego odblokowanym telefonie, teoretycznie popełniam przestępstwo?

Tomáš: Teoretycznie tak! Oczywiście, mówimy o sytuacjach, gdzie powstanie jakaś szkoda lub krzywda. Ale prawo jest w tym jasne. Nikt nie ma prawa czytać twoich prywatnych wiadomości bez twojej wiedzy.

Klára: To dobrze wiedzieć. A jak właściwie policja takie rzeczy bada? Jak zbierają dowody? Przecież nie mogą mi tak po prostu wparować do domu i zabrać laptopa, prawda?

Tomáš: Tego zdecydowanie nie mogą, nie jesteśmy w filmie akcji. To jest proces. Tak samo jak przy klasycznym przeszukaniu domu, tak i na to 'cyfrowe' potrzebują nakazu od sędziego. Muszą dokładnie uzasadnić, dlaczego chcą przeszukać akurat twój komputer lub telefon.

Klára: A co, jeśli szybko usunę te dowody? To przecież kwestia kilku kliknięć.

Tomáš: To częsty błąd. Tutaj wchodzi w grę coś, co nazywa się 'data retention', czyli przechowywanie danych. Dostawcy internetu muszą zgodnie z prawem przechowywać dane o ruchu przez sześć miesięcy. Więc nawet jeśli usuniesz e-mail ze swojej skrzynki, ślad po jego wysłaniu, w tym skąd i dokąd poszedł, po prostu tam zostanie.

Klára: Wow. To trochę przerażające, ale dla śledztwa chyba ma sens. Czyli podsumowując: cyfrowe ślady są realne, prawie nieusuwalne, a policja ma jasno określone procedury, jak je zabezpieczyć.

Tomáš: Dokładnie tak. Żaden Dziki Zachód. A właśnie o tych cyfrowych śladach i o tym, jak funkcjonują jako dowody w sądzie, możemy porozmawiać więcej następnym razem.

Klára: Cześć i witajcie z powrotem w Studyfi Podcast! Tomaszu, ostatnio napomknąłeś, że cyfrowe ślady to żaden Dziki Zachód. No to chodźmy do tego. Jak z takiego niewidzialnego śladu staje się mocny dowód w sądzie?

Tomáš: Cześć Klaro. Chętnie to rozłożę na czynniki pierwsze. A teraz może zaskoczę słuchaczy... Dla dowodów cyfrowych bowiem nie istnieje żadna specjalna ustawa.

Klára: Czekaj, co? Czyli policja używa zasad, które powstały w czasach, gdy największą technologią był telegraf?

Tomáš: No, nie do końca. Używa się standardowych narzędzi prawa karnego. Ale jest tu jeden duży haczyk – sędzia często nie rozumie kodu źródłowego ani metadanych. To tak, jakbyś dała mu wzór chemiczny zamiast jasnego opisu, co ta substancja robi.

Klára: Rozumiem, czyli potrzebny jest „tłumacz”. Ale jak policja w ogóle dostaje się do tych danych? Przecież nie mogą mi tak po prostu zabrać laptopa.

Tomáš: Ale mogą. A to jest pierwszy i najczęstszy sposób: zabezpieczenie urządzenia. Czy to komputer, telefon, czy tylko pendrive. Jeśli jest to rzecz ważna dla postępowania karnego, musisz ją wydać.

Klára: A co, jeśli odmówię?

Tomáš: Wtedy mogą ci ją odebrać. Typowo dzieje się to na przykład podczas przeszukania domu. Zawsze musi być przy tym osoba niezainteresowana i sporządza się o tym szczegółowy protokół. Żadnych tajnych akcji.

Klára: Dobrze, zajęcie sprzętu ma sens. Ale co z danymi, których fizycznie nie mam przy sobie? Na przykład e-maile lub pliki w chmurze?

Tomáš: Doskonałe pytanie. Tutaj to się dzieli. Jeśli te informacje są swobodnie dostępne, na przykład na publicznym profilu na Facebooku, policja może je po prostu zabezpieczyć. Oczywiście, ponownie musi sporządzić o tym protokół.

Klára: A kiedy profil jest prywatny albo e-maile są zabezpieczone hasłem?

Tomáš: To jest zupełnie inna sytuacja. Prawo traktuje takie dane jako tajemnicę korespondencji lub zamknięty pamiętnik. Bez twojej zgody, czyli na przykład bez hasła, które im dobrowolnie podasz, nie dostaną się do nich.

Klára: Czyli bez hasła mają pecha?

Tomáš: Nie do końca. Mogą poprosić o zezwolenie sędziego. A tutaj jest jedna ciekawostka. Jeśli sprawa jest pilna, mogą uzyskać dostęp do danych nawet bez zezwolenia, ale muszą o nie wystąpić z mocą wsteczną. Jeśli nie otrzymają go w ciągu 48 godzin, muszą zniszczyć wszystkie uzyskane dane.

Klára: Wow. A co trzecia droga? Co jeśli potrzebują danych bezpośrednio od Google'a lub Seznamu?

Tomáš: Dokładnie tak, to jest pozyskanie danych od dostawcy usług. Organy ścigania po prostu je żądają. Dostawcy mają ustawowy obowiązek im sprostać i dostarczyć na przykład informacje o koncie lub dane o ruchu, tak zwane logi.

Klára: A co, jeśli sprawca przeczuwa, że go ścigają, i zacznie wszystko kasować?

Tomáš: Na to też prawo pamięta. Istnieje coś, co nazywa się 'freezing', czyli zamrożenie. Policja może nakazać dostawcy, aby zachował konkretne dane w niezmienionej formie, zanim po nie przyjdą z oficjalnym zezwoleniem.

Klára: Czyli to takie 'moment, nic nie kasuj, już po to idziemy!'

Tomáš: Dokładnie tak to działa. To potężne narzędzie, żeby dowody nie zniknęły, zanim śledczy się do nich dostaną.

Klára: Czyli podsumowując: policja może zająć urządzenie, zażądać danych od dostawców, albo z zezwoleniem sądu dostać się nawet do prywatnych kont. I nawet mogą dane zdalnie 'zamrozić'.

Tomáš: Dokładnie. Pozyskanie danych to jednak tylko pierwszy krok. Następnym razem przyjrzymy się temu, jak weryfikuje się, że nikt nie manipulował dowodem i że jest on w sądzie naprawdę niepodważalny.

Klára: To fascynujące, jak zabezpiecza się cyfrowe dowody. Ale kiedy mówimy o zbieraniu tych wszystkich danych, od razu przychodzi mi na myśl... co z moją prywatnością? Co jeśli te dane są moje? Gdzie jest granica między śledztwem w sprawie przestępstwa a ochroną moich danych osobowych?

Tomáš: Świetne pytanie, Klaro. A to jest dokładnie to, co reguluje Ogólne rozporządzenie o ochronie danych osobowych, które wszyscy znamy pod skrótem RODO. To taka tarcza, która ma nas chronić.

Klára: RODO, postrach wszystkich firm i marketerów. Wszędzie wyskakują nam okienka z prośbą o zgodę. Ale co to właściwie oznacza dla mnie, jako dla zwykłego człowieka?

Tomáš: Oznacza to, że masz swoje dane pod kontrolą. A przynajmniej powinieneś mieć. A do tego najpierw trzeba wiedzieć, czym w ogóle są te 'dane osobowe'.

Klára: Dobrze, to zacznijmy od początku. Co wszystko liczy się jako dane osobowe? Czy to tylko imię i adres?

Tomáš: Skądże, to znacznie szerzej. RODO mówi, że dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Więc oprócz imienia to także zdjęcie na Instagramie, twój adres e-mail, adres IP twojego komputera, czy na przykład dane lokalizacyjne z telefonu.

Klára: Czekaj, nawet adres IP? Czyli w zasadzie wszystko, co da się połączyć ze mną jako z konkretną osobą?

Tomáš: Dokładnie tak. Wyobraź sobie to jako puzzle. Jeden element, na przykład tylko imię 'Klara', cię nie identyfikuje. Ale kiedy dodasz kolejne elementy – miasto, szkołę, zdjęcie – nagle obraz jest kompletny i wiemy, o kogo chodzi. I te pojedyncze elementy są chronione.

Klára: Czyli nawet moje selfie z kotem to chronione dane osobowe?

Tomáš: Jeśli jesteś na nim rozpoznawalna, to tak. To dane biometryczne. Ale nie martw się, RODO nie dotyczy czysto osobistego użytku. Więc zdjęcia w twoim telefonie są bezpieczne, dopóki nie zaczniesz ich masowo udostępniać w celach komercyjnych.

Klára: Dobrze, rozumiem. Wiele rzeczy to dane osobowe. Ale kto i dlaczego może ich używać? Przecież nie każda firma może sobie ściągnąć moje zdjęcia i zacząć je analizować, prawda?

Tomáš: Zdecydowanie nie. Aby ktoś mógł przetwarzać twoje dane, potrzebuje do tego podstawy prawnej. Taki klucz do zamka. A tych kluczy jest według RODO dokładnie sześć.

Klára: Sześć kluczy... To brzmi jak escape room. Jakie to są?

Tomáš: Ten najbardziej znany to twoja zgoda. To to irytujące okienko do klikania. Potem jest wykonanie umowy – na przykład gdy coś zamawiasz z e-sklepu, muszą przetworzyć twój adres, żeby mogli ci to dostarczyć.

Klára: To ma sens. A dalej?

Tomáš: Potem jest wypełnienie obowiązku prawnego – szkoła musi prowadzić rejestry studentów. Dalej ochrona żywotnych interesów, na przykład gdy jesteś nieprzytomna w szpitalu. Albo interes publiczny i prawnie uzasadniony interes administratora. Ale zawsze musi być jasno określony cel. Nie mogą zbierać danych ot tak 'na wszelki wypadek'.

Klára: A kto za to wszystko odpowiada? Kto jest tym 'administratorem', o którym się mówi?

Tomáš: Doskonałe pytanie. Mamy tu dwie główne role: administratora i podmiotu przetwarzającego. Administrator to ten, kto określa, dlaczego i jak dane będą przetwarzane. To jest ten główny mózg operacji i ponosi pełną odpowiedzialność.

Klára: Czyli na przykład sieć społecznościowa, na której mam profil, jest administratorem?

Tomáš: Dokładnie. A potem jest podmiot przetwarzający. To ktoś, kogo administrator zatrudnia, żeby dla niego przetwarzał dane. Na przykład zewnętrzna firma, która dla sieci społecznościowej analizuje dane lub zarządza serwerami. Podmiot przetwarzający jednak tylko wykonuje polecenia administratora. Nie wolno mu robić z danymi, co chce.

Klára: Aha, czyli kiedy coś się zepsuje, mam iść do administratora? Czyli do tej sieci społecznościowej, a nie do firmy, o której nawet nie wiem, że istnieje?

Tomáš: Dokładnie tak. Administrator jest twoim punktem kontaktowym i jest odpowiedzialny za to, żeby twoje dane były bezpieczne, nawet jeśli przetwarza je dla niego ktoś inny.

Klára: No dobrze. Moje dane ktoś zarządza. Ale co ja mogę z tym zrobić? Jakie są moje konkretne prawa?

Tomáš: Masz ich całkiem sporo i są bardzo silne. Po pierwsze, masz prawo dostępu. Możesz w każdej chwili napisać do administratora i zapytać: 'Hej, jakie dane o mnie macie?'. A on musi ci odpowiedzieć.

Klára: Jakbym w bibliotece zażądała spisu wszystkiego, co kiedykolwiek pożyczyłam.

Tomáš: Dokładnie tak. A gdybyś w tym spisie znalazła błąd, masz prawo do sprostowania. Możesz powiedzieć: 'To jest źle, poprawcie to'.

Klára: A co to słynne 'prawo do bycia zapomnianym'? Mogę im po prostu powiedzieć, żeby mnie całkowicie usunęli?

Tomáš: Tak, to jest prawo do usunięcia danych. Jeśli twoje dane nie są już potrzebne do pierwotnego celu, albo cofnęłaś zgodę, możesz zażądać ich usunięcia. Ale są wyjątki. Na przykład jeśli dane są potrzebne do obrony roszczeń prawnych lub jeśli nakłada to na nich ustawa, to nie mogą cię usunąć.

Klára: Czyli faktury za telefon mi nie usuną, nawet gdybym ich bardzo prosiła, co?

Tomáš: Dokładnie. Prawa rachunkowe są silniejsze. A potem jest jeszcze ważne prawo do wniesienia sprzeciwu. To przydaje się głównie przeciwko marketingowi. Jeśli ktoś wysyła ci reklamy, możesz powiedzieć 'Stop!' i muszą przestać.

Klára: Dobrze, to brzmi świetnie. Czy istnieją jakieś dane, które są chronione jeszcze bardziej niż inne?

Tomáš: Z pewnością. RODO nazywa je 'szczególnymi kategoriami danych osobowych'. Są to informacje o twoim zdrowiu, poglądach politycznych, wyznaniu religijnym, pochodzeniu etnicznym lub orientacji seksualnej. Tutaj ochrona jest znacznie bardziej rygorystyczna.

Klára: Dlaczego akurat te?

Tomáš: Ponieważ ich nadużycie mogłoby spowodować naprawdę poważne problemy, na przykład dyskryminację. Dlatego ich przetwarzanie jest w zasadzie zakazane. Dozwala się na nie tylko w bardzo specyficznych warunkach, takich jak twoja wyraźna zgoda lub na przykład ochrona zdrowia publicznego.

Klára: Czyli moja aplikacja fitness, która śledzi moje tętno, powinna ode mnie chcieć dodatkowej zgody?

Tomáš: Powinna. Przetwarza dane o twoim zdrowiu. I jeszcze jedna rzecz – masz prawo nie podlegać decyzji, którą podjąłby czysto automat, czyli sztuczna inteligencja, jeśli miałoby to dla ciebie konsekwencje prawne lub podobnie istotne.

Klára: Jak na przykład gdy automatycznie odrzucą mi wniosek o pożyczkę bez tego, żeby spojrzał na to człowiek?

Tomáš: Dokładnie taki przypadek. I tutaj istnieją wyjątki, ale ogólnie obowiązuje, że o ważnych sprawach nie powinien decydować tylko algorytm.

Klára: Wow, to było dużo informacji. Spróbujmy to na koniec podsumować. Czyli, dane osobowe to prawie wszystko, co mnie dotyczy. Do ich użycia musi istnieć jasny powód, jeden z sześciu 'kluczy'. A ja mam silne prawa, takie jak prawo do wiedzy, co kto o mnie ma, prawo do sprostowania tego i w wielu przypadkach również prawo do usunięcia tego.

Tomáš: Absolutnie dokładnie to ujęłaś. Kluczowe jest pamiętać, że te dane są wasze. RODO daje nam narzędzia, jak bronić tej własności. Nie bójcie się ich używać. Pytajcie, żądajcie usunięcia i wnoście sprzeciwy. To wasze prawo.

Klára: A to jest myślę świetne przesłanie na koniec nie tylko dzisiejszego odcinka, ale całej naszej miniserii o cyfrowych śladach. Od tego, jak powstają, przez to, jak można je wykorzystać jako dowód, aż po to, jak je chronić. Tomaszu, bardzo ci dziękuję, że tak zrozumiale nam to wszystko wyjaśniłeś.

Tomáš: Ja dziękuję za zaproszenie, Klaro. Było mi przyjemnie.

Klára: I dziękujemy również wam, naszym słuchaczom, że byliście z nami. Mamy nadzieję, że wynieśliście z tego wiele przydatnych informacji. W kolejnym odcinku Studyfi Podcast czeka na was wasza Klara. Trzymajcie się!

Tomáš: Do widzenia.