W dniach od 23 do 25 czerwca odbywają się w Trójmieście IV Dni Otwarte GIODO. Mówiąc najogólniej, jest to wydarzenie edukacyjno-informacyjne obejmujące m.in. konferencje naukowe i szkoleniowe. Program Dni Otwartych jest dostępny na stronie GIODO.

Dziennik Internautów jest patronem medialnym wydarzenia i jeszcze przed rozpoczęciem imprezy mieliśmy okazję rozmawiać z dr Wojciechem Wiewiórowskim, Generalnym Inspektorem Ochrony Danych Osobowych. Spytaliśmy go o problemy, jakie będą omawiane w czasie Dni Otwartych. 

* * *

DI: Do kogo ta impreza jest adresowana, kto powinien się nią zainteresować i czego może oczekiwać?

GIODO: Dni Otwarte GIODO są zawsze kierowane do bardzo szeroko rozumianego lokalnego środowiska osób zajmujących się ochroną danych osobowych, które rzadziej mogą pojawiać się w Warszawie na różnego rodzaju spotkaniach, konferencjach czy debatach, także tych organizowanych przez GIODO. To też powoduje, że staramy się bardzo różnicować tematykę i formę spotkań odbywających się podczas Dni Otwartych GIODO. Jednym z nich będzie konferencja naukowa, która w oczywisty sposób jest skierowana do środowiska naukowego, ale również do środowiska praktyków. Zwłaszcza tych, którzy zajmują się zagadnieniami przetwarzania danych przy pomocy nowych technik komunikacyjnych, bowiem tytuł konferencji organizowanej na Uniwersytecie Gdańskim brzmi „Ochrona prywatności w świecie nowych technologii komunikacyjnych”. Jest ona zaadresowana także do osób, które pełnią rolę administratorów bezpieczeństwa informacji oraz do przedsiębiorców, którzy na lokalnym rynku działają w sektorze komunikacji elektronicznej czy też nowych rozwiązań technologicznych dotyczących telefonii komórkowej, serwisów internetowych, platform sprzedażowych itp.

Poza tym podczas Dni Otwartych organizujemy spotkania z przedsiębiorcami oraz szkolenia dla pracowników Urzędu Miasta Gdańska i Urzędu Miasta Gdyni oraz podległych im jednostek komunalnych. Uczestniczymy również w szkoleniu zorganizowanym dla sędziów sądu okręgowego w Gdańsku. W czasie Dni Otwartych GIODO będę też uczestniczył w kierowanych do sektora obronności i zarządzania kryzysowego targach Balt Military Expo oraz związanej z nimi konferencji dotyczącej systemów informatycznych. Można więc powiedzieć, że staramy się przenieść to, co w ciągu 362 dni roku robimy w Warszawie, do miasta, które nas gości przez kolejne 3 dni roku. Wcześniej takie spotkania odbyły się w Dąbrowie Górniczej, Krakowie i Poznaniu. W kolejnych miesiącach chcemy zawitać do kolejnych ośrodków w Polsce.

Czytając zaproszenie i program, zwróciłem uwagę na informację dotyczącą systemów eMaritime. Zastanawiam się, o co chodzi?

(...) Systemy eMaritime to są systemy elektronicznego zarządzania tym, co dotyczy gospodarki morskiej. Najczęściej są one zlokalizowane w porcie bądź w instytucji go obsługującej, ale coraz częściej mające charakter sieci łączącej wszystkie porty w danym kraju albo nawet szerzej - rozprzestrzeniające się na więcej niż jeden kraj. Najprościej mówiąc, statek wchodzący do portu musi przekazać około 80 różnego rodzaju dokumentów, poczynając od tych, które dotyczą towaru, przez te, które dotyczą marynarzy, po te, które odnoszą się do samego statku, jego pasażerów, także tych, którzy mają szczególne wymagania lub którzy powinni podlegać kwarantannie. Kiedyś takie informacje do portu i poszczególnych instytucji publicznych, które mają obowiązek je zbierać, rzeczywiście były przekazywane na papierze i dostarczał je makler bądź agent morski.

W tej chwili programy typu eMaritime powodują, że jedna paczka elektroniczna wysyłana jest do jednego okienka, w którym następuje ich rozdział na poszczególne instytucje, do których powinny informacje trafić, takie jak port, instytucje go obsługujące, kontrahenci zainteresowani poszczególnymi towarami, załadowców i wszystkich, którzy uczestniczą w całym łańcuchu logistycznym. Rozbudowane systemy eMaritime to też systemy, które umożliwiają zawieranie umów pomiędzy uczestnikami rynku morskiego, a niejednokrotnie są połączone z systemami służącymi np. do zarządzania kryzysowego, co powoduje, że dane w nich gromadzone są jednocześnie danymi z instytucji publicznych i rejestrów publicznych oraz danymi, które pozyskiwane są od podmiotów prywatnych. Mamy więc do czynienia z klasycznym przykładem łączenia wielu baz danych w rękach jednego huba, którym czasem bywa port, czasem Urząd Morski, a czasem inna instytucja publiczna.

Dni Otwarte GIODO mają być pomocne w zwiększaniu świadomości ludzi, urzędników na temat ochrony danych osobowych. Jak Pan ocenia zmiany zachodzące w tej świadomości w ostatnich latach?

Z jednej strony nie mam wątpliwości, że świadomość w tym zakresie wzrasta. Świadczy o tym chociażby to, że o ile w 2007 roku do prowadzonego przez GIODO jawnego ogólnopolskiego rejestru zbiorów danych zgłoszonych zostało 4850 zbiorów, o tyle w 2013 roku zarejestrowaliśmy ich 28.264, a więc nastąpił ponad sześciokrotny wzrost liczby zgłoszeń. I choć mówimy o zbiorach danych, to tak naprawdę z reguły rejestrowane są systemy informatyczne, filing systems, jak je określa dyrektywa.

A gdy ponadto weźmiemy pod uwagę, że wpływa do nas czterokrotnie więcej skarg, sześciokrotnie więcej pytań o interpretację przepisów prawnych, to świadczy to o tym, że świadomość wagi ochrony prywatności i danych osobowych znaczenie się zwiększa.

Z drugiej strony, kiedy patrzymy na to, jak zachowujemy się na co dzień, jakie błędy popełniamy, jeśli chodzi o ochronę naszych danych (...) można powiedzieć, że błędy pozostają te same. Niestety, nie jesteśmy w pełni świadomi, w jaki sposób dane są pozyskiwane i w jaki sposób mogą być wykorzystywane również przeciwko nam. Mamy pretensje o to, że dzwonią do nas firmy telemarketingowe, które dysponują naszymi danymi, ale często zapominamy, że kilka lat temu, wyrabiając sobie kartę punktową czy kartę lojalnościową, zgodziliśmy się na to, żeby nasz numer telefonu i nazwisko zostały udostępnione "podmiotom współpracującym" z firmą, której podaliśmy nasze dane. Kiedy bank prosi nas o dostarczenie informacji o przepływach finansowych na wszystkich naszych kontach we wszystkich bankach, to nie zadajemy pytania "a po co wam to?", tylko po prostu je udostępniamy.

Całkiem niedawno jeden z banków właśnie o takie dane mnie poprosił, oferując mi stosunkowo drobną usługę płatniczą, zaś na moje pytanie "a po co wam te informacje?" zdołano podać tylko jeden rzeczywisty powód, jakim było ustalenie, czy poświadczone przez pracodawcę moje wynagrodzenie rzeczywiście wpływa na któreś z moich kont. W związku z tym poinformowałem bank, że jak rozumiem, chodzi o wyciąg sześciu operacji z ostatnich sześciu miesięcy na jednym z moich kont, i że taki dokument dostarczę. I choć wcześniej żądano informacji o wszystkich operacjach na moich kontach, ostatecznie na moją propozycję przystano. Gdybym przekazał rozbudowane dane, bank na ich podstawie miałby możliwość stworzenia mojego profilu, tj. ustalenia, ile wydaję na kino, ile na płyty, a także mógłby je wykorzystać do zaoferowania mi kolejnego swojego produktu.

Na jednej z konferencji podczas Dni Otwartych GIODO będzie też mowa o tej unijnej reformie ochrony danych. Jakich zmian z tego powodu, z punktu widzenia Polski, się Pan spodziewa?

Parlament Europejski przyjął już tekst nowego unijnego rozporządzenia, zaś jego projekt, nad którym debatuje teraz Rada UE, jest mocno zaawansowany. Możemy więc powiedzieć, co się w tym akcie prawnym będzie znajdowało, choć nie znamy jeszcze szczegółów niektórych rozwiązań.

Z pewnością jedną z ważniejszych zmian będzie wprowadzenie systemu one stop shop, w którym przedsiębiorca rozlicza się ze swoich obowiązków w jednym miejscu, w tym, w którym rzeczywiście prowadzi działalność, a nie przed wszystkimi organami ochrony danych osobowych we wszystkich krajach członkowskich UE, co biorąc pod uwagę niedawne orzeczenie Europejskiego Trybunału Sprawiedliwości w sprawie usuwania danych z wyników wyszukiwania Google, stało się tym bardziej widoczne. Unaocznia ono, że dyrektywa umożliwia stworzenie 28 różnych systemów oceny w 28 krajach, a nie systemu, w którym współpracujący ze sobą rzecznicy ochrony danych osobowych są w stanie odpowiedzieć na problem dotyczący dostarczycieli usług w całej Europie.

Rozporządzenie ma doprowadzić m.in. do tego, by nie utracić możliwości zgłaszania skarg w każdym z krajów UE, ale ułatwić ich rozpatrywanie jako skarg ogólnoeuropejskich wówczas, gdy problem wykracza poza granice jednego kraju. Jego wejście w życie ma się przyczynić do wyeliminowania obowiązków utrudniających działanie przedsiębiorców, jak choćby rejestracja zbiorów, bo informacja o tym, że do Biura GIODO wpływa w związku z tym 28 tysięcy wniosków, poza wartością statystyczną zbyt wielkiej wartości dodanej dla państwa i dla ochrony danych osobowych nie przedstawia.

Dużo większa wartość dodana byłaby wtedy, gdyby podmioty, które przetwarzają dane, przeprowadziły na przykład prawidłową ocenę wpływu działania, które podejmują, na ochronę prywatności. I nie musiałyby jej dostarczać do jakiejś instytucji publicznej, ale konieczność jej opracowania powodowałaby, że musiałyby zadać sobie niezbędne pytania dotyczące ochrony prywatności, na które musiałyby udzielić odpowiedzi. Ponadto liczę na to, że unijne rozporządzenie przyniesie też odpowiedź na kilka praktycznych pytań, które stawiane są chociażby w takich sprawach, jak właśnie wspomniane już usuwanie wyników wyszukiwania przez Google.