Jako jedną z naczelnych zasad w ochronie danych osobowych, RODO wprowadza tzw. zasadę przejrzystości. Wymusza ona, aby wszelka komunikacja skierowana do ludzi, których dane posiadamy, była formułowana w prosty i zrozumiały sposób. Prostota języka stosowanego do redagowania komunikatów została przez europejskiego ustawodawcę postawiona na równi z zasadą zgodności z prawem i rzetelności, co sugeruje, że stanowi ona kluczowy pierwiastek nowego podejścia do ochrony prywatności.

Z operacyjnego punktu widzenia, zasada przejrzystości może okazać się najbardziej rewolucyjnym elementem RODO. Przekłada się ona bowiem na odczuwalną, funkcjonalną, społeczną korzyść z wprowadzenia nowego prawa i pozwala osobom, których dane są wykorzystywane, sprawować nadzór nad dotyczącymi ich procesami.

Poniższy tekst wyjaśnia szczegółowo, czego dotyczy zasada przejrzystości oraz jak, w praktyce się z niej wywiązać.

Co głosi zasada przejrzystości?

Zagadnieniu treści oraz jakości komunikacji Urząd Ochrony Danych Osobowych poświęcił ostatnie spotkanie organizowane w ramach cyklu szkoleń dla inspektorów ochrony danych. Materiał ten dostępny jest od tygodnia na kanale regulatora w serwisie Youtube. Prawdę mówiąc, uważam, że jest to, przynajmniej jak do tej pory, najlepsze szkolenie w cyklu. Zachęcam więc osoby zainteresowane do zapoznania się z pełną jego treścią.

Przechodząc jednak do głównego wątku tego artykułu, RODO nakazuje traktować czytelność komunikatów jako źródło potencjalnego ryzyka naruszenia praw lub wolności osób, których dane wykorzystujemy. Nasza stara krajowa ustawa nie posiadała podobnych zapisów. W konsekwencji, w praktyce ochrony danych osobowych, dawniej nie przykładano przesadnej wagi do językowej strony klauzul informacyjnych. Niestety, przyzwyczajenie to nadal rzutuje mocno na sposób, w jaki powiadamiamy o przetwarzaniu.

Mówiąc najprościej, nowe podejście nakazuje nam odejść do komunikacji w języku prawniczym na rzecz stosowania zapisów, które są zrozumiałe dla grupy odbiorców danej informacji. Konkretnie, RODO wymaga aby powiadomienia były:

  1. Zwięzłe, a więc możliwie krótkie, a jeżeli to nie jest możliwe, podzielone wewnętrznie w wyraźny sposób na fragmenty, z których każdy stanowi swoistą zamkniętą całość;
  2. Przejrzyste czyli uwypuklające faktyczny sens i przekaz, zredagowane w sposób, który zmniejsza ryzyko ich przeoczenia albo podświadomego powiązania z inną sprawą;
  3. Zrozumiałe, przez co należy rozumieć, że ich treść musi być wystarczająca do poprawnego i dogłębnego zorientowania się w specyfice konkretnych czynności na danych, które mają mieć miejsce;
  4. Opracowane w łatwo dostępnej formie, a więc zlokalizowane (np. na stronie www) w intuicyjny sposób, wizualnie czytelne, możliwe musi być również wielokrotne ich otwarcie, powracanie do nich;
  5. i wreszcie, zredagowane z wykorzystaniem jasnego i prostego języka czyli napisane w sposób zrozumiały dla odbiorcy, z możliwie niskim udziałem terminologii fachowej (idealnie bez zastosowania takiego słownictwa) oraz tak, aby nie zatajały treści ani nie utrudniały jej poprawnego zrozumienia.

Kiedy stosować się do tej zasady?

RODO nie pozostawia w tej kwestii wątpliwości. Wskazuje mianowicie, że o przejrzystość należy zadbać w każdym przypadku kiedy:

  1. Realizujemy tzw. obowiązek informacyjny, a więc powiadamiamy ludzi o zamiarze sięgnięcia po ich dane osobowe lub o otrzymaniu takich danych;
  2. Prowadząc komunikację z osobami chcącymi skorzystać z przysługujących im praw, a więc, przykładowo, wnioskującymi o dostęp do swoich danych, ich skorygowanie lub ograniczenie ich wykorzystywania na określonych polach;
  3. Powiadamiamy osoby poszkodowane o naruszeniu ochrony danych osobowych.

Co istotne, przepis nie wzmiankuje o konieczności wykazania tak daleko idącej dbałości o język kiedy prowadzimy konsultacje jako element procesu oceny skutków dla ochrony danych (DPIA). Jest to znaczne ułatwienie i zarazem dość istotny sygnał. Po pierwsze bowiem, precyzyjne uchwycenie czynników ryzyka w ocenie skutków nierzadko wymaga dogłębnej wiedzy prawniczej, w dziedzinie socjologii lub technicznej. Prowadzenie komunikacji w tym obszarze bez stosowania terminologii fachowej mogłoby być bardzo trudne i prowadziłoby do licznych nieporozumień. Zarazem jednak, po drugie, prawodawca sygnalizuje tym wyłączeniem, że grupa respondentów, dobranych do konsultowania ryzyka naruszenia praw lub wolności, musi być wyselekcjonowana w taki sposób, aby osoby te były przygotowane i zdolne do prowadzenia komunikacji językiem specjalistycznym.

O zasadzie przejrzystości trzeba więc pamiętać zawsze gdy:

  1. opracowujemy politykę prywatności na stronę www; lub
  2. analogiczne komunikaty na fanpage’ach i profilach w social media;
  3. przygotowujemy regulamin wydarzenia, w ramach którego zawiadamiamy o sięganiu po dane osobowe;
  4. zwracamy się z prośbą o zgodę na przetwarzanie;
  5. komunikujemy klientom lub kontrahentom fakt wejścia w posiadanie dotyczących ich danych;
  6. zawiadamiamy pracowników o zasadach ochrony prywatności w naszej firmie / organizacji;
  7. redagujemy komunikat załączany do ogłoszenia o pracę;
  8. powiadamiamy o stosowaniu monitoringu wizyjnego, monitoringu sieci, monitorowaniu położenia itd.;
  9. prowadzimy korespondencję z osobami zgłaszającymi chęć skorzystania z przysługujących im praw, a więc praktycznie ilekroć otwieramy skrzynkę rodo@… / iod@… i podobne;
  10. przygotowujemy list lub komunikat, w których zawiadamiamy, że doszło u nas do wycieku lub utraty danych;
  11. … i w każdej innej sytuacji, gdy komunikujemy się z Kowalskim, z człowiekiem, którego dane posiadamy.

Co w tym trudnego?

Nowe podejście do komunikacji nastręcza wielu trudności o czysto organizacyjnym, operacyjnym charakterze. Po pierwsze, konieczne staje się przeanalizowanie, do kogo kierujemy informację. Styl, w jakim piszemy powiadomienia musi bowiem być dobrany w taki sposób, aby zapewnić przejrzystość treści dla odbiorcy. Można więc powiedzieć, że poza określeniem treści klauzul, zmuszeni jesteśmy również rzetelnie pracować nad ich formą. Jest to zagadnienie niezwykle problematyczne kiedy komunikat kierowany jest do dzieci i młodzieży lub seniorów.

Konieczność dostosowania języka do potrzeb odbiorcy oznacza również, że znacznie trudniej jest wypracować uniwersalne zapisy, które po drobnych zmianach, pozwoliłby zrealizować obowiązek informacyjny względem wszystkich zainteresowanych grup.

W dalszej kolejności, może okazać się, że zespół, którego siłami zapewniana jest zgodność z prawem o ochronie danych, najzwyczajniej nie dysponuje kompetencjami, które pozwolą mu zagwarantować, że komunikaty będą zrozumiałe dla przeciętnego odbiorcy. Konieczne może okazać się zasięgnięcie opinii językoznawcy lub pedagoga albo zastosowanie dedykowanych narzędzi służących do oceny trudności tekstu.

Ponadto należy podkreślić, że dla specjalisty działającego w branży ochrony danych, nawet hermetyczny język specjalistyczny czy samo tylko powołanie się na określony artykuł przepisu jest w pełni czytelne. Musimy więc, jako wdrażający, na moment okiełznać odruch dorozumienia i postawić się w roli kogoś zupełnie innego – przykładowo: kuriera, aptekarza, studenta czy mechanika samochodowego. To jest mało intuicyjne i wcale nie takie proste.

Oczywiście, pewnym wyjściem z sytuacji jest poddanie wypracowanych zapisów próbie polegającej na symulowanym kontakcie z adresatem. Rozumiem przez to przekazanie ich do zapoznania osobie spoza branży i zapytanie, jak je rozumie. Jest to rozwiązanie rozsądne. Należy jednak pamiętać, że takie testy czytelności przedłużą proces przygotowywania ostatecznego brzmienia powiadomienia. W niektórych przypadkach może to więc stanowić znaczne utrudnienie w kontekście tempa i logiki procesu biznesowego, w którym dochodzi do przetwarzania danych osobowych.

Ostatecznie, należy zdawać sobie sprawę z faktu, że zasada przejrzystości służy uniemożliwieniu administratorom legalnego zatajenia okoliczności przetwarzania przed osobami, których dane dotyczą. Jasną sprawą jest, że mówimy o praktyce nieetycznej, której ze wszech miar nie pochwalam i nie pochwalał bym nawet gdyby prawo nie nakładało w tym obszarze nowych obowiązków. Mimo wszystko jednak, nie będę udawał, że nie zdaję sobie sprawy, że takie działania niestety mają miejsce. Właśnie za utrudnianie dostępu do wiedzy ukarano Google’a. W czasie wspomnianego przeze mnie wcześniej wykładu, pracownicy UODO prezentowali również przykłady powiadomień o naruszeniach, które zostały opracowane w taki sposób, aby nie ujawnić wszystkich istotnych informacji.

Zasada przejrzystości – jak ją realizować?

Bieżąca komunikacja jest o tyle kłopotliwa, że trudno jest przewidzieć jej przebieg lub choćby zgrubnie określić tematykę, której będzie dotyczyć. Punktem wyjścia warto więc uczynić imperatyw kategoryczny Kanta lub mówiąc prościej, pospolitą zasadę “nie rób drugiemu, co tobie nie miłe”. Piszmy tak, jak byśmy chcieli aby do nas pisano.

W dalszej kolejności, bądźmy krytyczni względem własnych odpowiedzi i analizujmy historyczne przypadki komunikacji. Starajmy uczyć się na błędach, wychwycić najczęściej pojawiające się zagadnienia i stopniowo dopracowywać treść naszych odpowiedzi.

Jeżeli w praktyce prowadzenia codziennych zadań IOD dojdziesz do wniosku, że istnieje konkretny typ sytuacji problemowej, którą trudno jest wyjaśnić w mailu, rozważ przygotowanie innych materiałów. Tego typu problematyczne i powtarzalne sytuacje najczęściej będą ściśle związane ze specyfiką branży, w której działasz. Rozsądnym rozwiązaniem może być opracowanie szerszego omówienia w postaci artykułu lub wideo, które będzie później można podłączyć do wprowadzającej treści maila lub wręcz wrzucić na stronę www.

Powiadomienie o naruszeniach ma nieco inną specyfikę ponieważ jego cel i charakter jest z góry znany. Twoje podstawowe i najważniejsze zadanie to umożliwienie osobom poszkodowanym podjęcia działań zaradczych. Koniecznie więc musisz skupić się na tych okolicznościach naruszenia, które pozwalają możliwie dobrze zrozumieć jego konsekwencje. Postaraj się również bardzo rzetelnie wywiązać z obowiązku zawiadomienia o tych konsekwencjach, które sam dostrzegasz lub umiesz przewidzieć.

Główną trudnością w kontekście przeprowadzenia odbiorcy za rękę przez ten proces jest czytelne zawiadomienie o tym, jak zredukować skutki incydentu. Przeważnie potrzebne jest bowiem przekazanie technicznych instrukcji. W tym celu pomocne będzie uzupełnienie opisu zrzutami ekranu. Przypomnij sobie proszę wszystkie znane Ci artykuły o podobnym charakterze. Przykładowo, mogą to być krótkie teksty lub filmiki tłumaczące, jak skonfigurować określony sprzęt, zsynchronizować tablet z telewizorem lub zmienić domyślne ustawienia systemu operacyjnego w jakimś konkretnym obszarze. Wszystkie one mają dość podobną strukturę, a ich kluczowym budulcem jest zrzut ekranu, na którym prostymi zabiegami graficznymi zaznacza się istotne treści. Dokładnie tą samą logikę można z powodzeniem zastosować do udzielenia skutecznego wsparcia w zakresie technicznych czynności służących redukcji konsekwencji w kontekście naruszenia.

Opracowywanie klauzul informacyjnych i polityki prywatności może okazać się najtrudniejszym polem stosowania zasady przejrzystości. Kluczową trudnością jest tutaj pogodzenie zwięzłej i czytelnej formy z bardzo obszernym zakresem informacji, które musimy przekazać. Z tego względu, temu konkretnemu zagadnieniu warto przyjrzeć się nieco bliżej.

  1. Zbierz potrzebną wiedzę – zanim zabierzemy się za redagowanie komunikatu, musimy zatroszczyć się o jego stronę treściową. Informacje te mogą już być zebrane i spisane w rejestrze czynności przetwarzania. Jeżeli chodzi o nowy proces, gromadzenie wiedzy powinno odbyć się zgodnie z procedurą realizacji fazy planowania, o ile takowa została wdrożona. Spisane zasady pozwolą bowiem nie tylko zebrać informacje dotyczące istotnych obszarów (ten cel moglibyśmy zrealizować zwykłą rozmową), ale również dokonać tego w sposób powtarzalny oraz gwarantujący, że wiedza ta jest aktualna i poprawnie odzwierciedla stan rzeczywisty. Obszar naszych zainteresowań wprost wynika z treści tzw. obowiązku informacyjnego, a więc z brzmienia art. 13 i 14 RODO, które nie nastręczają problemów interpretacyjnych.
  2. Oceń, kim są adresaci i czego potrzebują – z chwilą zgromadzenia potrzebnych informacji, możemy przystąpić do komponowania powiadomienia. Pierwszym krokiem będzie tutaj określenie grupy docelowej, a więc ustalenie, kto będzie odbiorcą komunikatu. Istnieje parę prawidłowości jeżeli chodzi o relację pomiędzy cechami adresata, a konstrukcją klauzul:
    1. W powiadomieniu stosujemy język i formę, w której normalnie komunikujemy się z tym odbiorcą (np. w relacji z użytkownikiem stosujemy znane mu nazwy usług lub funkcjonalności – nie wprowadzamy nowych pojęć; w komunikacji z pracownikiem stosujemy przyjęte w firmie / organizacji nazewnictwo miejsc, departamentów, systemów komputerowych, stanowisk pracy, oddziałów itd.);
    2. Lokalizację komunikatu dobieramy do naturalnej drogi, jaką pokonuje dana osoba w kontakcie z nami, zarówno w przestrzeni fizycznej w świecie realnym, jak i w świecie wirtualnym, np. podczas procesu logowania i dokonywania zakupów w sklepie internetowym. Naszym celem jest doprowadzić do sytuacji, w której osoby zainteresowane bez wysiłku będą mogły zapoznać się z komunikatem;
    3. Słownictwo i gramatykę musimy dobrać do wieku i wykształcenia odbiorcy. Jeżeli nie da się jednocześnie napisać prosto i wyczerpująco, komunikat należy podzielić. Jego pierwsza część koniecznie musi być bardzo prosta i ma prezentować generalną ideę. Musi również jednoznacznie zawiadamiać, gdzie szukać szczegółowych informacji. Druga warstwa oczywiście także musi być tak czytelna, jak to tylko możliwe. Jeżeli jednak charakter przetwarzania tego wymaga, w tej głębszej warstwie mogą pojawić się pojęcia techniczne lub prawne, schematy i inne komunikaty, które mogą nie być czytelne dla nieprzygotowanego odbiorcy.
    4. Jeżeli komunikat kierowany jest do dzieci, a jego treść wydaje nam się trudna (i nie umiemy lub nie da się jej uprościć), należy wprost powiadomić małoletniego odbiorcę, aby poprosił o pomoc osobę dorosłą.
  3. Sformatuj tekst – bardzo duży wpływ na odbiór komunikatu ma jego warstwa wizualna. Zwłaszcza długi tekst wymaga odpowiedniego sformatowania. Warto połączyć pracę nad tym, jak tekst wygląda z analizą scenariuszy, które mogą sprawić, że osoba, której dane dotyczą będzie zainteresowana naszym komunikatem.
    1. Realizuj obowiązek warstwowo – osoba, której dane są poddawane przetwarzaniu, musi zostać o tym powiadomiona najpóźniej w chwili pobrania jej danych (a w przypadku danych, które otrzymaliśmy od strony trzeciej, najpóźniej w chwili pierwszego kontaktu jednak nie później niż po upływie miesiąca). Komunikat o prywatności musi więc być obecny wszędzie tam, gdzie zbieramy dane. Nie musi on jednak zawierać wszystkich informacji, o których mowa w RODO:
      • W pierwszej warstwie zawiadamiaj zgodnie z logiką: “kto?”, “co?”, “po co?”, “dowiesz się więcej tu:”.
      • W drugiej warstwie uzupełnia się brakujące informacje.
      • W ewentualnej trzeciej warstwie zaszywa się szczegółowe dane techniczne.
    2. Redaguj komunikat myśląc o celu – jako że komplet informacji stanowił będzie raczej obszerny tekst (od 1 do 3 stron A4 czcionką dziesiątką), warto jest wprowadzić wewnętrzny podział. Sugeruje się, aby opierał się on o analizę potrzeb odbiorcy. Przykładowo, dla strony www, konstrukcja może być następująca:
      • “Wprowadzenie, wskazanie administratora i dane kontaktowe;
      • Informacje dla osób zapisujących się na newsletter;
      • Informacje dla osób korzystających z formularza kontaktowego;
      • Informacje dla kontrahentów kierujących korespondencję na adresy wskazane w zakładce kontakt;
      • Informacje dla osób chcących przesłać swoje CV z wykorzystaniem danych kontaktowych podanych na stronie;
      • Informacje dla osób, których wizerunek został opublikowany na stronie;
      • Informacje o przetwarzaniu danych osobowych z wykorzystaniem technologii cookies”.

      Dzięki tego rodzaju segmentacji wiadomości, każda osoba może uzyskać dostęp do istotnych dla niej treści bez konieczności czytania całego komunikatu.

    3. Fragmenty trudne w odbiorze zilustruj grafiką – wiele elementów może okazać się trudne do opisania. Przykładowo, problematyczne może być objaśnienie, jak samemu usunąć lub zaktualizować swoje dane w zakładce ustawień profilowych. Kłopotliwe może być także przedstawienie skomplikowanego schematu udostępniania danych przez liczne organizacje rządowe zaangażowane lub nadzorujące określony proces. Przeważnie pomocne okazuje się w takich przypadkach uzupełnienie klauzuli informacyjnej o grafiki, schematy lub proste animacje. Powinny one jednak uzupełniać tekst, a nie go zastępować.
    4. Poddaj gotową treść analizie czytelności – jako minimum, poproś o opinię kogoś, kto mógłby być odbiorcą komunikatu. Warto również zastosować narzędzia do oceny trudności tekstu lub zlecić ocenę profesjonalnie przygotowanej osobie.
    5. Koryguj jeżeli widzisz, że nie działa – często praktyka pokazuje, że pomimo starań, ostateczny produkt nie funkcjonuje dokładnie tak, jakbyśmy tego chcieli. Przeważnie przyczyną jest to, że za mało wiemy o odbiorcach i ich problemach. Z tego względu, warto jest na bieżąco monitorować przebieg komunikacji z osobami zgłaszającymi trudności. Korzystając z doświadczenia w ten sposób zdobytego, możemy wykonywać precyzyjne i skuteczne działania korygujące.
    6. Powiadamiaj o ważnych zmianach – aktualizacja polityki prywatności lub innych klauzul informacyjnych nie pociąga za sobą konieczności powiadomienia osób, których dane dotyczą w inwazyjny sposób. Jeżeli jednak zmiana jest istotna, konieczne jest przekazanie powiadomienia w sposób skuteczny. Przykładami takich istotnych zmian będą, między innymi:
      • Zmiana tożsamości administratora (np. wejście w relację franczyzy, sprzedaż podmiotu wraz z bazą klientów, rozpoczęcie współadministracji np. przez przystąpienie do grupy kapitałowej);
      • Zmiana kanału załatwiania spraw (uwaga, nie chodzi o zmianę osoby, która np. piastuje funkcję IOD lub administratora systemu; chodzi o zmianę sposobu, na jaki osoba załatwia swoje bieżące sprawy i rozwiązuje swoje problemy);
      • Rozpoczęcie realizacji nowego celu, który nie jest celem jednoznacznie wynikającym z celu pierwotnego (np. nie zawiadamiaj w ten sposób o tym, że rozpocząłeś nowy proces, który pozwala wykrywać oszustwa w dostępnej od dawna usłudze ale komunikuj już wprowadzenie nowych funkcjonalności i ich domyślne ustawienia).

    Czy to jest ważne?

    Tak, jest. Kto wie, czy nie jest to najważniejsza zasada w całym RODO. Prywatność jest jedną z licznych wartości, które objęliśmy ochroną w kulturze zachodniej. Nierzadko ta ochrona maluje się w licznych odcieniach szarości, co wynika z konieczności pogodzenia bezpieczeństwa danych osobowych z realizacją celów biznesowych lub statutowych albo ochroną innych wartości, takich jak zdrowie, praworządność, wolność słowa lub prawo dostępu do informacji. W tej wielobiegunowej układance bardzo łatwo jest popaść w skrajność, czego przykładami są niezliczone wręcz absurdy wynikające z mylnego rozumienia RODO. Kotwicą, która ma zapewnić, że nie stracimy w naszym planowaniu kontaktu z rzeczywistością i realnymi problemami (tymi dotyczącymi ochrony prywatności oraz innymi) jest komunikacja. Komunikacja ta wymaga wytworzenia pewnej płaszczyzny porozumienia; ustalenia, jak się sprawy mają i na czym stoimy. Zasada przejrzystości jest niczym innym, jak najkrótszą drogą do skutecznego wytyczenia tej płaszczyzny, zdiagnozowania problemów i poszukiwania rozwiązań.