Sprawdzasz, kiedy skończy się remont ulicy. Zaglądasz do Biuletynu Informacji Publicznej, kupujesz bilet do Orientarium albo korzystasz z Karty Łodzianina. Zwykłe sprawy, które tysiące mieszkańców załatwiają każdego dnia, często bez dłuższego zastanowienia.
Pytania pojawiają się dopiero wtedy, gdy zajrzymy za kulisy tych usług. Co dzieje się z danymi użytkownika? Jakie narzędzia uruchamiają się podczas wizyty na miejskiej stronie? Dokąd trafiają zbierane informacje i kto właściwie za cały ten proces odpowiada?
Dla mieszkańca strona miejska jest po prostu stroną miejską. Jeżeli widzi herb Łodzi, nazwę miejskiej instytucji albo usługę finansowaną ze środków publicznych, ma prawo oczekiwać, że jego prywatność będzie chroniona według jasnych i jednakowych zasad. Nie powinien analizować kodu strony ani sprawdzać, która jednostka podpisała umowę z dostawcą konkretnego narzędzia.
Nie szukamy pretekstu do kolejnej politycznej awantury. Zależy nam na wyjaśnieniu, jak chronione są dane mieszkańców korzystających z publicznych usług. Z tego powodu jako Stowarzyszenie Łódź Cała Naprzód! skierowaliśmy sprawę do Rzecznika Praw Obywatelskich oraz Najwyższej Izby Kontroli.
Dane mieszkańców Łodzi: od audytu stron do pytań o cały system
W tamtym roku portal Dadalo opublikował analizę techniczną miejskich stron internetowych. Jej wyniki wskazywały, że na części witryn narzędzia Google mogły uruchamiać się, zanim użytkownik zdążył wyrazić zgodę na ich działanie.
Początkowo wyglądało to jak jeszcze jeden spór o cookies i konfigurację stron. Temat brzmi technicznie, a dla większości osób komunikat o plikach cookie stał się czymś, co odruchowo zamyka się lub akceptuje, żeby jak najszybciej przejść do właściwej treści. Tyle że za takim komunikatem działa konkretny system, który powinien zapamiętać wybór użytkownika i odpowiednio sterować narzędziami analitycznymi oraz reklamowymi.
Jednym z jego elementów jest Google Consent Mode. Mechanizm przekazuje narzędziom Google informację, na jakie sposoby przetwarzania danych zgodził się użytkownik. Przy wejściu na stronę otrzymuje on ustawienie początkowe, a po kliknięciu odpowiedniej opcji na banerze zgody status powinien zostać zaktualizowany zgodnie z wyborem odwiedzającego.
Po ludzku można porównać to do zestawu przełączników. Jeden dotyczy analityki, drugi reklamy, kolejne wykorzystania danych do celów reklamowych czy personalizacji. Strona powinna wiedzieć, które z nich użytkownik włączył, a których nie. Znaczenie ma również kolejność: najpierw musi pojawić się wybór mieszkańca, dopiero później system powinien uwzględnić jego decyzję.
Wątpliwości opisane w audycie dotyczyły właśnie tego momentu. Narzędzia Google mogły uruchamiać się, zanim osoba odwiedzająca stronę zdążyła cokolwiek wybrać. Użytkownik widział więc dopiero pytanie o zgodę, podczas gdy część procesów mogła już działać w tle. Z jego punktu widzenia różnica jest zasadnicza. Zgoda udzielona po fakcie nie spełnia tej samej funkcji co świadoma decyzja podjęta przed uruchomieniem danego narzędzia.
Lektura kolejnych dokumentów przesuwała środek ciężkości całej sprawy. Kod zamieszczony na stronach okazał się tylko fragmentem szerszego problemu: sposobu, w jaki zorganizowany jest cyfrowy system miasta.
Mieszkaniec widzi logo Łodzi i ma prawo zakładać, że korzysta ze strony miasta. Nie musi wiedzieć, że za jeden portal odpowiada Biblioteka Miejska, za Kartę Łodzianina Łódzka Organizacja Turystyczna, a poszczególne elementy systemu pozostają w gestii kolejnych podmiotów. Z jego perspektywy wszystkie te witryny i usługi tworzą jedną miejską przestrzeń.
Odpowiedź udzielona radnym pokazała znacznie bardziej skomplikowany układ, z odpowiedzialnością rozłożoną między różne instytucje. Takie rozproszenie utrudnia mieszkańcowi ustalenie, kto podejmuje decyzje dotyczące jego danych i do kogo powinien się zwrócić, gdy chce uzyskać wyjaśnienia.
Chcieliśmy więc ustalić trzy podstawowe rzeczy: kto odpowiada za dane mieszkańców, kto konfiguruje wykorzystywane systemy i kto sprawuje nad nimi nadzór.
Odpowiedź wiceprezydenta Tomasza Piotrowskiego przyniosła istotną deklarację. Miasto poinformowało, że nie może wykluczyć opisywanej konfiguracji Google Consent Mode. Zapowiedziało również usunięcie starych kodów i przekazało, że rozważa przeprowadzenie zewnętrznego audytu.
Sama ta odpowiedź nie przesądza, że doszło do naruszenia prawa. Nie potwierdza również, że dane każdego użytkownika zostały wykorzystane w określony sposób. Pokazuje jednak, że zgłoszonych wątpliwości nie można zamknąć stwierdzeniem, że wszystkie miejskie strony działały prawidłowo.
Zapowiedziane działania wymagają wyjaśnienia. Chcemy wiedzieć, dlaczego stare rozwiązania mają zostać usunięte, czemu możliwość zewnętrznego audytu pojawiła się dopiero teraz oraz dlaczego sprawa nabrała biegu dopiero po publikacjach i interpelacji radnych. Odpowiedzi powinny wynikać z rzetelnego sprawdzenia konfiguracji, dokumentów i podziału odpowiedzialności, a nie z kolejnych zapewnień.
Sprawa wykracza poza RODO
Sprowadzenie całego problemu do cookies szybko przestało wystarczać. Dlatego drugi wniosek skierowaliśmy do Najwyższej Izby Kontroli.
Obok ochrony danych pojawił się bowiem temat publicznych pieniędzy i sposobu, w jaki budowano miejski system cyfrowy: jak rozbudowywano Kartę Łodzianina, w jakich okolicznościach powstała aplikacja Łódź.pl, na jakich zasadach miasto współpracuje z partnerami zewnętrznymi i kto nadzoruje całość.
Każde z tych przedsięwzięć może być zarządzane przez inny podmiot, korzystać z innych rozwiązań technicznych i podlegać odmiennym ustaleniom. Mieszkaniec widzi jednak jeden miejski system. Dlatego kontrola powinna objąć nie tylko pojedynczy fragment kodu, lecz również sposób podejmowania decyzji, zawierania umów i sprawowania nadzoru nad całą cyfrową infrastrukturą usług miejskich.
Szczególnego potraktowania wymaga Biuletyn Informacji Publicznej. Większość mieszkańców zagląda tam dopiero wtedy, gdy szuka konkretnego dokumentu — uchwały, zarządzenia, informacji o przetargu czy oświadczenia majątkowego. BIP nie służy rozrywce ani kontaktom towarzyskim. Za jego pośrednictwem korzystamy z konstytucyjnego prawa do informacji publicznej.
Osoba szukająca informacji urzędowej nie ma wygodnej alternatywy. Nie wybierze innego miejskiego BIP-u tylko dlatego, że nie odpowiada jej konfiguracja strony. Musi skorzystać z systemu udostępnionego przez miasto, dlatego standard ochrony prywatności powinien być tam najwyższy.
Mieszkaniec nie powinien przy okazji zastanawiać się, jakie zewnętrzne narzędzia obserwują jego wizytę, jakie informacje zapisują i kto ma do nich dostęp. Odpowiedzialność za bezpieczne ustawienie tych rozwiązań spoczywa na instytucjach, które zdecydowały o ich wdrożeniu.
Kontrola zamiast oskarżeń
Nie przesądzamy, czy prawo zostało złamane, ani nie próbujemy zastępować organów powołanych do wydawania takich ocen. Naszym zadaniem jest wskazanie problemu, zebranie pytań i doprowadzenie do rzetelnego wyjaśnienia sprawy. Dlatego zwróciliśmy się do Rzecznika Praw Obywatelskich oraz Najwyższej Izby Kontroli o jej zbadanie.
Kontrola może wykazać, że część obaw wynikała z błędnej konfiguracji, rozwiązania odziedziczonego po starszych wersjach stron albo niejasnego podziału obowiązków. Może również ujawnić problemy wymagające poważniejszych zmian. Ocena należy do właściwych instytucji — pod warunkiem że otrzymają pełny obraz systemu i dostęp do potrzebnych dokumentów.
Bez względu na wynik tych postępowań mieszkańcy mają prawo wiedzieć, co dzieje się z ich danymi, gdy korzystają z usług własnego miasta.
