retencja danych

Grupa robocza art. 29 wydała negatywną opnię na temat proponowanych przez the European Advertising Standards Alliance (EASA) oraz the Internet Advertising Bureau Europe (IAB), kodeksu dobrych praktyk w zakresie internetowej reklamy behawioralnej (Online Behavioural Advertising, OBA). Koncept proponowany przez organizacje polega m.in. na tym, że stworzono serwis, w którym - wedle założeń animatorów pomysłu - użytkownicy Sieci mogą wyrazić sprzeciw wobec wykorzystywania ich danych w czasie realizowania behawioralnych kampanii reklamowych. Przy samych kreacjach reklamowych prezentowanych na stronach członków organizacji miała być prezentowana specjalna ikonka, która miała kierować (poprzez link) do serwisu youronlinechoices.eu. Grupa robocza art 29 uznała jednak, że zaproponowane rozwiązanie nie spełnia wymagań dyrektywy o ochronie prywatności (dyrektywy 2002/58/WE po zmianach dyrektywą 2009/136/WE). Zdaniem Grupy zaproponowane rozwiązanie może być szkodliwe dla użytkowników, ale też dla samej branży reklamowej, jeśli "wierzy ona, że przez wdrożenie tego kodeksu dobrych praktyk spełni wymagania europejskiej dyrektywy".

Warto odnotować 99-stronicową opinię Prokuratora Generalnego, którą przygotował dla Trybunału Konstytucyjnego. Opinia powstała w związku z wnioskami Rzecznika Praw Obywatelskich z dnia 25 czerwca 2011 r. oraz z dnia 1 sierpnia 2011 r. o stwierdzenie niezgodności przepisów szeregu ustaw (m.in. ustawy o Policji, o Agencji Bezpieczeństwa Wewnętrznego, o Centralnym Biurze Antykorupcyjnym, itp) z art. 2 i art. 47 w związku z art. 31 ust. 3 Konstytucji RP, a także z art. 49 w związku z art. 31 ust. 3 Konstytucji i art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności, a także z art. 51 ust. 2 Konstytucji (a to w zakresie, w jakim kwestionowane przez RPO przepisy, zezwalając na pozyskiwanie danych (art. 180c i 180d ustawy Prawo telekomunikacyjne), nie przewidują zniszczenia tych danych, które nie zawierają informacji mających znaczenie dla prowadzonego postępowania). Generalnie RPO zakwestionowała szereg przepisów dotyczących tzw. retencji danych telekomunikacyjnych. No i Prokurator Generalny poparł stanowisko Rzecznika Praw Obywatelskich.

W czasie dzisiejszej debaty w Parlamencie Europejskim (por. Notatki z debaty w Parlamencie Europejskim o przejrzystości działania UE i o dostępie do dokumentów) podniesiono, że decyzje w Radzie UE zapadają za zamkniętymi drzwiami i obywatele wyobrażają sobie, że to Unia Europejska każe coś zrobić krajom członkowskim, podczas gdy jest przeciwnie - to rządy państw członkowskich podejmują decyzje wpływające na działania UE. W dniu, w którym odbyła się parlamentarna debata nad przejrzystością procesu politycznego w UE - Rada UE podjęła decyzję o przyjęciu Anti-Counterfeiting Trade Agreement (ACTA).
Aktualizacja: wydaje się jednak, że ze względu na przesunięcie się punktów agendy Rada jednak nie przyjęła swojego stanowiska w sprawie ACTA. Będę się przyglądał sprawie.

Dziś odbyło się spotkanie "grupy Dialog" (organizacje społeczne, izby gospodarcze i internauci). Minister Michał Boni przedstawił zespół ministerialny, a także przedstawił agendę zadań ministerialnych (przy czym zaznaczył na początku, że MAiC jest ministerstwem w stanie organizacji); Wśród tematów poruszanych były m.in. re-use informacji publicznych, sporo miejsca poświęcono w dyskusji prawu autorskiemu (chociaż jest to domena Ministerstwa Kultury i Dziedzictwa Narodowego), poruszana była kwestia retencji danych i ochrony danych osobowych, prawa prasowego, sprawy nowelizacji ustawy o świadczeniu usług drogą elektroniczną, konsultacji społecznych w procesie legislacyjnym. Spodziewamy się noweli ustawy o działach administracji rządowej, która doprecyzuje pewne kwestie na styku zainteresowań nowego ministerstwa i ministerstwa kultury. Dowiedzieliśmy się m.in., że kwestie audiowizualnych usług medialnych na żądanie trafić mają pod opiekę min. Administracji i Cyfryzacji. Spotkanie miało charakter "otwarcia". Ministerstwo ma zrobić z niego notatkę. Ja sam jestem wielkim kibicem tego ministerstwa i mam zamiar zarażać optymizmem w tym obszarze każdego, kto będzie chciał mnie słuchać, ale zabierając głos powiedziałem również, że jeśli teraz nie powstanie API do serwisów internetowych całego rządu, to dokładnie będzie wiadomo, kto tego nie zrobił.

Dziś zapadł ciekawy wyrok Trybunału Sprawiedliwości w sprawie C-70/10. Trybunał uznał, że prawo Unii Europejskiej stoi na przeszkodzie wydanemu przez sąd krajowy nakazowi zobowiązującemu dostawcę dostępu do Internetu do wdrożenia systemu filtrowania mającego na celu zapobieganie niezgodnemu z prawem pobieraniu plików. Co więcej - Trybunał uznał, że tego typu nakaz nie jest zgodny z zakazem nakładania na takiego usługodawcę ogólnego obowiązku nadzoru ani z wymogiem zapewnienia odpowiedniej równowagi pomiędzy, z jednej strony, prawem własności intelektualnej, a, z drugiej strony, wolnością prowadzenia działalności gospodarczej, prawem do ochrony danych osobowych oraz wolnością otrzymywania i przekazywania informacji. Mamy zatem wyrok, w którym łączą się rozważania o ochronie prawa autorskiego oraz neutralności sieci, a także problem filtrowania (moderowania, blokowania, zwłaszcza jeśli chodzi o usługi peer-2-peer) treści przesyłanych w Sieci. Nie można nakładać ogólnego obowiązku, ale - co pośrednio, jak uważam, wynika z tego wyroku - jeśli dostawca dostępu do Internetu sam zdecyduje się wprowadzić taki nadzór lub wprowadzi system filtrowania - może ponosić odpowiedzialność za treści przesyłane w Sieci przez osoby trzecie, a dodatkowo będzie musiał spełnić wszystkie (dodatkowe) przesłanki ochrony danych osobowych, ochrony konkurencji i konsumentów. Generalnie: udostępnianie "neutralnej sieci" jest mniej ryzykowne dla przedsiębiorców, niż takiej, która jest "zarządzana" w zależności od "rodzaju" przesyłanych treści.

W kontekście neutralności sieci oraz zarządzania siecią warto zastanowić się nad tym, czy pojawiają się jakieś konsekwencje (a jeśli tak, to jakie) w sytuacji, w której jakiś podmiot wybiera lub modyfikuje informacje zawarte w przekazie danych, gdy świadczy usługi obejmujące transmisję w sieci telekomunikacyjnej. Generalne zasady przedsiębiorców telekomunikacyjnych za niewykonanie lub nienależyte wykonanie usługi telekomunikacyjnej znajdują się w art. 104 i następnych ustawy Prawo telekomunikacyjne, które - z delikatną modyfikacją - odnoszą się do zasad odpowiedzialności Kodeksu cywilnego. Możliwa odpowiedzialność nie ogranicza się tylko do odpowiedzialności cywilnej - wszak obowiązuje nas cały system prawny. Jeśli ktoś "rozpowszechnia", "prezentuje", "umożliwia dostęp", "przesyła", "zmienia dane" ale także np. "pomaga w zbyciu", a istnieją przepisy karne związane z takimi czynnościami, to również trzeba je brać pod uwagę. Również te, które mówią o pomocnictwie. W tej dyskusji będzie miał zastosowanie również art. 12 ustawy o świadczeniu usług drogą elektroniczną, który wyłącza odpowiedzialność niektórych podmiotów za "zwykły przesył" (wyłączenie to - jak uważam - dotyczy zarówno odpowiedzialności karnej, jak i cywilnej). Zastanawiam się tylko, czy coś takiego w ogóle istnieje?

Nie tak dawno, w październiku, Europejski Inspektor Ochrony Danych Osobowych Peter Hustinx opublikował swoje stanowisko w sprawie otwartego internetu i neutralności Sieci. To opinia, która dotyczy Komunikatu Komisji i na ten temat, nad którym kilka dni temu pochylał się Parlament Europejski (por. Debata Parlamentu Europejskiego na temat otwartego internetu oraz neutralności Sieci). W swojej opinii Peter Hustinx odnosił się oczywiście do problematyki praw podstawowych, ochrony prywatności i ochrony danych użytkowników końcowych, które to obszary również wiążą się z net neutrality. Dlatego warto przybliżyć tezy tej opinii.

W kontekście ostatnich komentarzy (por. Nie chodzi o cenzurę internetu, a o procedurę notice and takedown) przypomniałem sobie o tym, że należy odnotować treść wyroku Sądu Najwyższego z lipca 2011 roku, o którym wstępnie pisałem w tekście Ważne kto w Elblągu nacisnął enter, nie kto jest właścicielem komputera. Otóż dziś można napisać o tym więcej. Chodziło w tej sprawie o powództwo osoby fizycznej przeciwko pewnej gminie o ochronę dóbr osobistych i zapłatę. Ciekawe w tym jest to, że powód domagał się ochrony, co miałoby polegać na "opublikowaniu na stronach gazety internetowej pozwanej" przeproszenia za to, że za pośrednictwem serwera należącego do Urzędu Miasta E. doszło do zamieszczenia bezpodstawnych oskarżeń pod adresem powoda, dotyczących czynów, których on nie popełnił oraz o zasądzenie od strony pozwanej na rzecz Ośrodka Wsparcia dla Dzieci i Młodzieży kwoty 500 zł. Mamy więc sytuację, w której strona internetowa gminy traktowana jest jak "gazeta internetowa", a jeśli nie do końca, to z sytuacją, w której zasoby gminy służą do publikowania takiej gazety (por. Czy "własne" serwisy internetowe administracji publicznej działają legalnie?). Najpierw rozstrzygał Sąd Okręgowy, który oddalił powództwo przeciwko gminie. Potem Sąd Apelacyjny, a następnie kasację oddalił Sąd Najwyższy, chociaż nie we wszystkim zgodził się z poprzednikami.

W imieniu organizatorów zapraszam na konferencję pt. "Nadzór niekontrolowany? Nowe wyzwania dla wolności". Konferencja będzie podsumowaniem projektu "Monitoring działań władz publicznych dotyczących problematyki społeczeństwa nadzorowanego", realizowanego z grantu Fundacji Batorego. Konferencja została objęta patronatem Rzecznika Praw Obywatelskich oraz Generalnego Inspektora Ochrony Danych Osobowych.

6. września 2011 r. Naczelny Sąd Administracyjny wydał wyrok (sygn. I OSK 1476/10), z którego wynika, że wyrażona na życzenie pracodawcy pisemna zgoda pracownika na pobranie i przetworzenie jego danych osobowych, w tym przypadku danych biometrycznych - charakterystycznych punktach linii papilarnych palców pracowników przetwarzanych w celu ewidencji czasu pracy, narusza prawa pracownika i swobodę wyrażenia przez niego woli. Zdaniem NSA "brak równowagi w relacji pracodawca-pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych)", wykracza poza zamknięty katalog danych możliwych do przetwarzania przez pracodawcę na gruncie art. 22¹ Kodeksu pracy, a rozszerzenie tego katalogu przez dopuszczenie zastosowania art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych "prowadziłoby do naruszenia zasady adekwatności wyrażonej w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych".