Nie ma protestów na ulicach w imię obrony prywatności. Ludzie myślą, że są beneficjentami tych rozwiązań – mają darmowe konto na Facebooku.
Jakub Dymek: Dlaczego warto chronić dane osobowe?
Jędrzej Niklas, Fundacja Panoptykon: Z kilku powodów. Współczesna gospodarka rynkowa to właściwie cyfrowy kapitalizm, gdzie najważniejsze jest zbieranie informacji oraz ich wymiana. Informacje o człowieku to ostatni, jeszcze nie do końca skonsumowany zasób, który wielki biznes może wykorzystać do pomnażania zysków. A to, czy my te informacje chcemy udostępniać, powinno być wynikiem naszej decyzji. Wymiana informacjami rozgrywa się na dwóch poziomach: biznesu i państwa. Po aferze PRISM wiemy już, że informacje o nas fruwają po całym świecie, a inwigilacja jest czymś powszechnym. Ale czy powinniśmy się z tą wiedzą dobrze czuć? To chyba pytanie retoryczne.
Co jest stawką tej gry o dane?
Na pewno duże pieniądze, po stronie biznesu. Chodzi o kolosalny rynek obrotu danymi. Stały się one po prostu globalną walutą. Obecnie nie ma w internecie usług, które oferowane są za darmo. Jeżeli mówi się nam, że coś jest za darmo – zazwyczaj płacimy za to swoimi danymi.
Co właściwie kryje się za określeniem „dane osobowe”? Można pomyśleć, że dane są czymś, co mamy wpisane w dowód osobisty czy prawo jazdy, a państwo i tak ma do tych informacji dostęp. W dzisiejszych czasach – jak mówisz: cyfrowego kapitalizmu – potrzebna jest chyba inna definicja niż to potoczne rozumienie?
Tak. Dotychczasowe ramy prawne regulujące stosunek do danych pochodzą z 1995 roku, a więc z czasów kiedy 1% Europejczyków i Europejek miał dostęp do internetu. Ta sytuacja zmieniła się diametralnie.
Czy danymi osobowymi są jedynie nasz NIP i PESEL, czy może także nasz adres IP i cookies?
To problem, wokół którego toczy się właśnie dyskusja. Przedstawiciele biznesu na przykład chcieliby, żeby definicja danych osobowych była jak najwęższa. To kluczowe zagadnienie, choć w kontekście ochrony danych definicja jest jednym z kilku zasadniczych problemów.
Spory o definicję to teoria, a co z praktyką ochrony danych?
Bywa bardzo różna. Przykłady pokazują, że nie zawsze nasze dane są najlepiej chronione. Całkiem niedawno w Niemczech ujawniono skandal, który został nazwany największą aferą dotyczącą prywatności po II wojnie światowej. Okazało się, że niewiarygodne ilości danych gromadzonych za pomocą systemu elektronicznych recept zostały przekazane korporacjom farmaceutycznym. U nas tak gigantycznych skandali jeszcze nie było, ale właściwie nie wiadomo czy dlatego, że system jest tak dobry, czy tak dziurawy, że nie da się pewnych nadużyć wyłapać.
Ale pomimo takich skandali wciąż jest rzesza osób, które w wyniku mniejszych kompetencji cyfrowych – albo dlatego, że internet nie jest dla nich podstawowym narzędziem kontaktów towarzyskich – wciąż uważają, że ochrona danych nie jest podstawowym problemem związanym z siecią. Jak komuś wyjaśnić, co właściwie znaczy „wykorzystywanie danych”?
Można odwołać się do przykładu amerykańskiego, który zresztą odzwierciedla ogólnoświatową tendencję. Przy ocenie zdolności kredytowej niektóre banki wyraziły chęć zbierania informacji pochodzących z portali społecznościowych, można więc sprawdzić – na przykład – czy ktoś chodzi często na imprezy albo jakie strony lubi. Z kolei na podstawie analizy wyciągów z kart kredytowych można wskazać, że ktoś regularnie kupuje alkohol czy papierosy. Z tego bank może wnosić, że dana osoba prowadzi raczej ryzykowny tryb życia, nie dba o swoje zdrowie. Jakie to ma konsekwencje? Bardzo proste – może nie dostać kredytu.
Czyli żyjemy właściwie w społeczeństwie panoptycznym, a wprowadzono ten model tylnymi drzwiami?
Nie wiem czy tylnymi. Do pewnego stopnia wszyscy to akceptujemy, nie ma protestów na ulicach w imię obrony prywatności. Ludzie myślą, że są beneficjentami tych rozwiązań – mają darmowe konto na Facebooku, pocztę na gmailu. Kluczem jest jednak świadomość i myślenie o zagrożeniach. Musimy wiedzieć, że np. nasza aktywność w internecie jest śledzona i że nasze maile są skanowe, aby chociażby dostarczyć nam spersonalizowaną reklamę.
A co z odpowiedzią na tę sytuację, jaką może stanowić planowane rozporządzenia o ochronie danych osobowych, nad którą pracuje Komisja Europejska i Europarlament, i które jest jednym ze sztandarowych projektów Viviane Reding?
Obecnie obowiązuje dyrektywa z 1995 roku, która została różnie wdrożona przez każde z 28 państw Unii. W jej miejsce ma teraz wejść rozporządzenie, które ma charakter bezpośredni. To znaczy, że w całej Unii Europejskiej będzie obowiązywać dokładnie to samo prawo ochrony danych osobowych. Przy pracy nad rozporządzeniem w Parlamencie Europejskim wprowadzono 4 tys. poprawek. Można to jedynie porównać z negocjacjami w sprawie budżetu europejskiego. I wśród tych poprawek było już prawie wszystko: od propozycji rozwalającej niemalże całe rozporządzenie po propozycję jeszcze ściślejszej ochrony. Równolegle z procesem legislacyjnym w parlamencie toczy się praca na rozporządzeniem w Radzie Unii Europejskiej, gdzie dyskutują państwa. I tam pojawiają się kolejne poprawki. Mamy do czynienia z prawdziwym monstrum, z którego w końcu – być może – powstanie coś wspólnego dla wszystkich. Zbliżają się też wybory, a w tle jest afera z PRISM, co jeszcze komplikuje sprawę – a czasu wcale nie ma tak dużo.
Ujawnienie funkcjonowania systemu PRISM może uruchomić nowe procesy polityczne?
Właściwie już uruchomiło. „Der Spiegel” wskazywał na to, że Niemcy są narodem najbardziej inwigilowanym przez Amerykanów w ramach systemu PRISM. Te informacje zostały potem skorygowane, ale to wystarczyło, by Angela Merkel – która dysponuje wyjątkowo mocnym głosem w Unii – powiedziała: „Tak, potrzebujemy lepszych standardów ochrony danych osobowych”. Do tego doszła wspólna deklaracja francusko-niemiecka, która też może wpłynąć bardzo pozytywnie na cały proces. Warto w tym kontekście przyjrzeć się historii jednego artykułu, który z rozporządzenia wypadł wskutek mocnego lobbingu USA. Ten artykuł dawał lepsze gwarancje ochrony danych dotyczących Europejczyków w przypadku przekazania informacji do krajów trzecich, np. do Stanów Zjednoczonych. Teraz dyskutuje się nad jego przywróceniem. Dzięki takim sytuacjom dyskusja nad rozporządzeniem dostaje poweru.
Z jednej strony są tendencje umożliwiające zmianę i zwiększające świadomość, a z drugiej lobbing? Viviane Reding powiedziała przecież, że takiego najazdu lobbystów na Brukselę jeszcze nie widziała.
A Viviane Reding zęby zjadła na polityce europejskiej, więc trzeba jej wierzyć. Faktycznie tak jest i nie ukrywajmy: organizacje społeczne też są w tej sprawie lobbystami. Amelia Andersdottir, szwedzka posłanka reprezentująca Partię Piratów, opublikowała na swojej stronie wszystkie dokumenty, które spływają do niej w tej sprawie. Są też tam liczne głosy ze Stanów Zjednoczonych, bo to firmy amerykańskie najbardziej stracą, a przynajmniej myślą, że stracą. Reforma spowoduje, że firmy amerykańskie będą musiały, w końcu, zacząć przestrzegać europejskiego prawa, jeśli będą chciały oferować Europejczykom swoje usługi.
A w efekcie działań części lobbystów biznesowych mówi się o tragicznych konsekwencjach gospodarczych, które rzekomo mają być konsekwencją lepszej ochrony danych.
Słyszymy „Będzie kryzys, spadnie konkurencyjność, ludzie stracą pracę”. Do tego dołączają się też przedsiębiorcy w Polsce, strasząc na przykład, że upadnie polska branża reklamowa. A to nieprawda. Jakieś racje po stronie biznesowej są, ale trzeba zachować proporcje. A o tym mitycznym wręcz lobbingu amerykańskim słyszymy też dlatego, że zaangażowana w to jest po prostu administracja amerykańska, na przykład ambasador przy Unii, który wysyła sygnały, że to jest także ich interes.
Kto jeszcze bierze udział w tym przeciąganiu liny? NGOsy, biznes…
Komisja Europejska, która ma swoje racje. Są też oczywiście politycy z różnych stron. Po jednej stronie mamy lewicę i zielonych, ale już socjaliści są bardziej podzieleni, chadecy nie mówią jednym głosem, liberałowie są trochę bardziej skupieni na kwestiach biznesowych. Nie ma jednak prostego podziału, szczególnie po PRISM ludzie widzą, że temat jest ważny – liberałowie też mówią, że choć trzeba dbać o biznes, to prywatność też jest ważna i należy ją chronić.
Nie ma jeszcze pewności co wejdzie w skład rozporządzenia. A jak powinno wyglądać dobre prawo?
Przede wszystkim niezwykle ważna jest szeroka definicja danych osobowych. Chronione powinny być także tymczasowe identyfikatory internetowe, bo to też prowadzi do naruszeń prywatności, nie tylko udostępnianie „oczywistych” danych, jak NIP czy PESEL. Po drugie: jesteśmy za tym, żeby zgoda na przetwarzanie danych była zgodą jasno wyrażoną, gdzie użytkownik mówi: „Tak, zgadzam się na przetwarzanie”. Osoba będąca, jak to się mówi, podmiotem danych osobowych, musi wiedzieć, na co się zgadza, i nie powinno być tak, że ktoś wnioskuje z naszego zachowania w sieci, iż zgadzamy się na szerokie użycie naszych danych.
Po trzecie: trzeba uregulować profilowanie. To kolejna z newralgicznych spraw poruszanych w tym rozporządzeniu. Osoba, która jest profilowana, powinna wiedzieć pod jakim kątem się ją sprawdza i w jakim celu są używane jej dane, jakie dane składają się na ten profil i czy na podstawie pewnych informacji, których udostępnienia się od niej domaga, może potem na przykład nie dostać kredytu. Czwarty punkt to kwestia tak zwanego „uzasadnionego interesu administratora”. Nazywamy to „koniem trojańskim” całego projektu – zbyt duża uznaniowość w zastosowaniu tego paragrafu może podważyć pozytywne skutki wprowadzenia rozporządzania. Podstawą dla przetwarzania danych powinna być umowa czy zgoda obywatela, a „uzasadniony interes” daje administratorom danych pretekst do tego, by coś ważnego nagle wymyślić i na tej podstawie gromadzić i przetwarzać dane.
Z badań Eurostatu wynika, że blisko 80% Europejczyków i Europejek czuje, że ich dane nie są wystarczająco chronione, a z prywatnością w ogóle dzieje się coś niedobrego. To zdradza, że mamy do czynienia nie z chwilową luką w ustawodawstwie, ale z problemem kulturowym, który jest wynikiem jakiejś szerokiej zmiany – wynikającej z samej logiki liberalizmu i prywatyzacji takich kwestii jak odpowiedzialność za własne bezpieczeństwo. Czy najlepsze nawet prawo może być odpowiedzią na taką zmianę?
Jestem prawnikiem i wierzę w możliwość kreowania lepszej rzeczywistości poprzez prawo. Ale ludzie mogą nie chcieć korzystać ze swoich uprawnień, mogą o nich nie wiedzieć, może ono być za skomplikowane – a prawo dotyczące ochrony danych jest skomplikowane – i właśnie z tych powodów za prawem powinna iść szeroko zaplanowana akcja uświadamiająca. Trzeba to powiedzieć: masz prawo nie zgadzać się na bezprawne użycie twoich danych.
Czytaj też:
Edwin Bendyk, Samotność Vviane Reding
Katarzyna Szymielewicz, Kto tu gra na emocjach?
Katarzyna Szymielewicz, Euroatlantycki impas na życzenie
Mateusz Curyło, I ty jesteś funkcjonariuszem amerykańskiego wywiadu
