brak podania źródła danych (przy pozyskaniu z zewnątrz)

Brak podania źródła danych przy pozyskaniu z zewnątrz to naruszenie zasady RODO wymagającej wskazania pochodzenia informacji o osobie.

Brak podania źródła danych – czym jest ten problem

Brak podania źródła danych przy pozyskaniu informacji z zewnątrz oznacza sytuację, w której osoba otrzymuje komunikat, pismo, formularz albo inną informację dotyczącą jej danych osobowych, lecz nie dowiaduje się, skąd te dane zostały uzyskane. Chodzi nie tylko o wskazanie ogólnej kategorii źródła, ale o przekazanie zrozumiałej informacji pozwalającej ustalić, w jaki sposób dane znalazły się w posiadaniu administratora. Źródłem może być inna firma, publiczny rejestr, partner handlowy, podmiot pośredniczący, strona internetowa, formularz przekazany przez inną osobę albo system informacyjny należący do zewnętrznej organizacji.

W praktyce problem pojawia się wtedy, gdy administrator zaczyna wykorzystywać dane osoby, mimo że nie zebrał ich bezpośrednio od niej. Osoba może otrzymać wiadomość marketingową, zaproszenie do kontaktu, ofertę współpracy, informację o należności lub wezwanie do uzupełnienia danych, a jednocześnie nie mieć wiedzy, dlaczego właśnie do niej skierowano komunikat. Sam fakt legalnego pozyskania informacji nie zastępuje obowiązku informacyjnego. Potrzebne jest jeszcze wyjaśnienie pochodzenia danych oraz przedstawienie pozostałych wymaganych informacji w sposób jasny i dostępny.

Znaczenie ma także moment przekazania informacji. Nie powinno się odkładać wyjaśnienia źródła danych do chwili, gdy osoba zacznie zadawać pytania albo złoży sprzeciw. Informacja powinna zostać przekazana w odpowiednim czasie, z uwzględnieniem sposobu wykorzystania danych i rodzaju relacji z osobą. Jeżeli dane są używane do pierwszego kontaktu, komunikat kierowany do odbiorcy powinien zawierać również wyjaśnienie, skąd pochodzi jego adres, numer telefonu, identyfikator lub inna informacja pozwalająca na kontakt.

Brak podania źródła danych w kontekście obowiązków administratora

Obowiązek wskazania źródła danych wynika z potrzeby przejrzystego przetwarzania informacji o osobach. Osoba, której dane dotyczą, powinna móc ocenić, czy przekazane informacje są prawidłowe, aktualne i wykorzystywane w zgodnym z prawem celu. Bez wiedzy o pochodzeniu danych trudniej zweryfikować, czy zostały przekazane zgodnie z prawem, czy nie pomylono osób oraz czy zakres informacji nie został nadmiernie rozszerzony.

Wskazanie źródła nie musi oznaczać udostępnienia całej dokumentacji wewnętrznej administratora. Powinno jednak być na tyle konkretne, aby osoba mogła zrozumieć mechanizm pozyskania informacji. Sformułowanie „dane pochodzą ze źródeł zewnętrznych” zwykle nie wyjaśnia sprawy. Bardziej użyteczne będzie wskazanie, że dane przekazał określony partner, uzyskano je z określonego publicznego rejestru albo otrzymano je za pośrednictwem konkretnego formularza. Jeżeli dokładne ujawnienie źródła nie jest możliwe, należy wyjaśnić przyczynę oraz podać możliwie precyzyjny opis pochodzenia.

Wymóg ten należy odróżnić od obowiązku uzyskania zgody. Nie każda podstawa prawna przetwarzania wymaga zgody osoby, ale niezależnie od przyjętej podstawy administrator powinien respektować zasadę przejrzystości. Podobnie samo wskazanie źródła danych nie naprawia innych uchybień, takich jak brak określenia celu, niewłaściwe ustalenie okresu przechowywania, pominięcie informacji o prawach osoby lub brak możliwości łatwego skontaktowania się z administratorem.

Istotna jest również różnica między danymi pozyskanymi od osoby a danymi otrzymanymi z zewnątrz. W pierwszym przypadku osoba zazwyczaj wie, komu przekazała dane i w jakim kontekście. W drugim przypadku może nie wiedzieć o samym przekazaniu, dlatego informacja o źródle ma szczególne znaczenie. Pozwala zorientować się, czy dane uzyskano w związku z wcześniejszą relacją, publiczną działalnością, rejestracją w serwisie, działaniem pośrednika czy innym zdarzeniem.

Brak podania źródła danych a typowe sytuacje naruszenia

Jednym z częstych przykładów jest wykorzystanie listy kontaktowej otrzymanej od zewnętrznego podmiotu. Administrator zaczyna wysyłać wiadomości, lecz ogranicza treść informacji do własnej nazwy i celu kontaktu. Pominięcie informacji o tym, kto przekazał dane, pozbawia odbiorcę możliwości sprawdzenia, czy rzeczywiście miał związek z podmiotem przekazującym oraz czy zakres przekazanych informacji był prawidłowy.

Innym przypadkiem jest korzystanie z danych znalezionych w publicznie dostępnym rejestrze. Publiczna dostępność informacji nie oznacza, że można pominąć obowiązek wyjaśnienia jej pochodzenia. Osoba może nie wiedzieć, że administrator analizuje wpis, zestawia go z innymi informacjami albo wykorzystuje do nawiązania kontaktu. W takim przypadku należy opisać rejestr lub kategorię rejestru oraz wyjaśnić, jakie dane z niego pozyskano.

Problem występuje też przy przekazywaniu danych przez pośredników, platformy, organizatorów wydarzeń, kontrahentów lub inne podmioty uczestniczące w obsłudze procesu. Administrator może otrzymać dane osoby razem z informacją, że kontakt jest oczekiwany, lecz nie powinien automatycznie uznawać takiej adnotacji za wystarczające wyjaśnienie. Należy ustalić, jakie dane zostały otrzymane, od kogo, kiedy oraz na jakiej podstawie przekazano je dalej.

Za ryzykowne należy uznać także ogólne komunikaty, w których źródło opisano niejasno albo ukryto w bardzo rozbudowanym dokumencie. Informacja może być formalnie obecna, a mimo to niewystarczająca dla zwykłego odbiorcy, jeżeli została sformułowana językiem niezrozumiałym, znajduje się w miejscu trudnym do odnalezienia lub nie odnosi się do konkretnego sposobu pozyskania danych. Przejrzystość wymaga, aby osoba mogła bez nadmiernego wysiłku ustalić, skąd administrator posiada jej informacje.

Brak podania źródła danych – praktyczne wskazówki dla organizacji

Przed rozpoczęciem wykorzystywania danych warto prowadzić rejestr ich pochodzenia. Przy każdym zbiorze lub kategorii informacji można odnotować źródło, datę pozyskania, sposób przekazania, zakres danych oraz cel dalszego wykorzystania. Przydatne jest także wskazanie osoby lub komórki odpowiedzialnej za weryfikację tych informacji. Dzięki temu treść obowiązku informacyjnego nie będzie tworzona wyłącznie na podstawie domysłów.

Należy opracować kilka wariantów komunikatów, dopasowanych do sposobu kontaktu. Inaczej może wyglądać informacja przekazana w wiadomości elektronicznej, inaczej w piśmie, a jeszcze inaczej podczas rozmowy. W każdym wariancie powinno znaleźć się proste wyjaśnienie pochodzenia danych, opis celu kontaktu oraz informacja o prawach osoby. Nie powinno się stosować jednego niezmiennego tekstu, jeżeli organizacja korzysta z wielu źródeł i różnych kategorii informacji.

Warto okresowo sprawdzać, czy opis źródła nadal odpowiada rzeczywistemu przepływowi danych. Zmiana dostawcy, procedury, formularza, partnera lub sposobu pozyskania informacji może sprawić, że wcześniej przygotowana klauzula stanie się nieaktualna. Kontroli wymaga również sytuacja, w której dane są łączone z kilku źródeł. Wtedy osoba powinna otrzymać informację pozwalającą odróżnić podstawowe źródła albo przynajmniej zrozumieć, z jakich kategorii miejsc pochodzą poszczególne informacje.

Jeżeli osoba pyta o pochodzenie danych, odpowiedź powinna być rzeczowa i zgodna z dokumentacją. Nie należy zastępować konkretnej odpowiedzi zapewnieniem, że dane pochodzą z legalnego obrotu albo zostały uzyskane zgodnie z procedurą. Takie stwierdzenia nie wyjaśniają, kto przekazał informacje i w jakim mechanizmie. W razie braku pewności należy najpierw odtworzyć drogę pozyskania danych, a dopiero później udzielić odpowiedzi.

W obszarze ochrony informacji pomocne bywa także uporządkowanie dokumentów, kopii zapasowych, korespondencji i nośników, na których zapisano dane. Warszawskie Pogotowie Komputerowe 24/7 może wesprzeć techniczne uporządkowanie danych na komputerze, tak aby łatwiej było odnaleźć dokumenty związane z procesem ich pozyskania.

Kiedy zgłosić brak podania źródła danych do analizy

Do analizy warto zgłosić sytuację, w której administrator nie potrafi wskazać, od kogo otrzymał dane, nie ma dokumentacji przekazania albo posługuje się listą kontaktową o nieustalonym pochodzeniu. Szczególnej uwagi wymaga przypadek, gdy osoba wielokrotnie prosi o wyjaśnienie, a odpowiedzi pozostają ogólne, niespójne lub ograniczają się do wskazania celu przetwarzania. Może to oznaczać problem nie tylko z samą informacją o źródle, lecz także z rzetelnością całego procesu zarządzania danymi.

Weryfikacji wymaga również nagłe pojawienie się nieznanych dokumentów, plików, wiadomości lub wpisów, które mogą zawierać dane osób pozyskane spoza podstawowego obiegu. W takiej sytuacji należy ustalić, kto utworzył materiał, skąd pochodził, komu go przekazano i czy był wykorzystywany w konkretnym celu. Nie powinno się usuwać materiałów bez wcześniejszego ustalenia, czy mogą być potrzebne do wyjaśnienia pochodzenia danych lub obsługi żądania osoby.

Przydatne może być przygotowanie krótkiej listy kontrolnej: jakie dane zostały otrzymane, kiedy je pozyskano, od jakiego podmiotu, za pośrednictwem jakiego kanału, w jakim celu oraz w którym komunikacie przekazano osobie informację o źródle. Jeżeli któregoś elementu nie da się ustalić, należy opisać lukę i ocenić jej wpływ na dalsze wykorzystywanie danych. Takie podejście ułatwia podjęcie decyzji o ograniczeniu użycia informacji, uzupełnieniu dokumentacji lub przeprowadzeniu szerszej kontroli zgodności.

Brak podania źródła danych nie jest wyłącznie niedoskonałością redakcyjną. Może ograniczać możliwość sprawowania kontroli nad własnymi informacjami, utrudniać sprawdzenie ich poprawności i osłabiać zaufanie do administratora. Prawidłowe wyjaśnienie pochodzenia danych powinno być konkretne, zrozumiałe, możliwe do potwierdzenia w dokumentacji i dostosowane do rzeczywistego sposobu pozyskania informacji.