Regulacje RODO a komunikacja z inwestorami

• Jakie zdarzenia należy publikować w raportach?
• Zgłoszenie incydentu – droga od IOD do przedstawiciela RI.
• Podstawowe kroki do utrzymania zgodności z RODO.

 

Te tematy zostały poruszone w trakcie wywiadu przeprowadzonego przez Magdalenę Raczek-Kołodyńską z Darią Worgut-Jagnieżą podczas XI Kongresu Relacji Inwestorskich Spółek Giełdowych SEG.

 

MRK: Jaka jest specyfika danych osobowych w spółce giełdowej?

DWJ: Spółki giełdowe przetwarzają przede wszystkim dane akcjonariuszy. Są to dane, z którymi działy Relacji Inwestorskich spotykają się najczęściej w ramach organizacji walnego zgromadzenia akcjonariuszy, a także w codziennej komunikacji z inwestorami w zakresie działalności spółki. Bardzo dużą grupą danych są również dane pracowników. W zależności od charakteru spółki, mogą to być także dane konsumentów, dane kontrahentów, czy dane odbiorców aplikacji mobilnych.

MRK: Jakie najczęstsze błędy związane z RODO zdarzały się w spółkach przez ostatni rok?

DWJ: W spółkach nie były dotychczas podejmowane działania polegające na zaangażowaniu pracowników w szerzenie wiedzy o RODO, a także na reagowaniu na incydenty. Bardzo niewiele firm ma wpisane incydenty do rejestru incydentów, co nie oznacza, że one się nie zdarzają.  Po prostu nie są zgłaszane,  gdyż pracownicy nie wiedzą co to jest incydent, nie potrafią zidentyfikować takich sytuacji.

MRK: Czym jest incydent?

DWJ: Zgodnie z definicją RODO incydent jest to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Przykładami incydentów są: zgubienie czy kradzież służbowego laptopa lub telefonu komórkowego pracownika, omyłkowe wysłanie e-maila do niewłaściwej osoby, który zawiera dane osobowe innej osoby. Incydentami są też przypadki awarii systemu informatycznego.

MRK: Jakie problemy występują z listami akcjonariuszy?

DWJ: Z mojej perspektywy najważniejszą kwestią jest konieczność spełnienia obowiązku informacyjnego wobec uczestników walnego zgromadzenia akcjonariuszy. Zwykle jest on realizowany podczas podpisywania listy obecności, natomiast część spółek obowiązek informacyjny przekazuje już podczas zawiadamiania o terminie zwołania walnego zgromadzenia. Jednak  dobrze jest obowiązek ten powtórzyć na walnym zgromadzeniu,  gdyż często uczestniczą w nim pełnomocnicy akcjonariusza, a nie sam akcjonariusz. Jeśli osoby te nie zostały poinformowane podczas walnego zgromadzenia, należy to uczynić w czasie jednego miesiąca od dnia zwołania walnego zgromadzenia. Choć sposób ten będzie zapewne bardziej kosztowny, warto to zrobić – PUODO może karać za niedopełnienie tego obowiązku.

MRK: Czy nagrywanie i transmitowanie walnego zgromadzenia rodzi dodatkowe obowiązki w związku z RODO?

DWJ: Kwestie przetwarzania danych w postaci wizerunku regulują przepisy prawa autorskiego i problematyczne jest pozyskanie właściwej podstawy prawnej do rozpowszechnienia wizerunku uczestników walnego zgromadzenia. Podstawą mogłaby być zgoda takich osób, ale należy mieć na uwadze, że część z uczestników jej nie wyrazi. Wówczas konieczne byłoby ukrycie na nagraniu wizerunku osób, które zgody nie wyraziły. Dlatego też najbezpieczniejszym rozwiązaniem jest pokazywanie tylko wizerunku osób prowadzących zgromadzenie.

MRK: Co jest najważniejsze w kontekście ochrony danych osobowych przez pracowników?

DWJ: Najważniejszą kwestią jest rozwijanie świadomości pracowników w zakresie ochrony danych osobowych tak, aby umieli oni identyfikować incydenty oraz aby robili to w odpowiednim czasie. Zgodnie z przepisami RODO  naruszenia bezpieczeństwa danych należy zgłaszać do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od stwierdzenia, a właściwie potwierdzenia incydentu. Z moich doświadczeń wynika, że nie stanowi problemu potwierdzenie incydentu, ale zgłoszenie go do PUODO. Spółki nie wiedzą jak i kiedy należy zgłosić naruszenie, i że może tego dokonać wybrana osoba, która  posiada podpis elektroniczny i pełnomocnictwo do zgłaszania takich incydentów. Bardzo istotne jest ustalenie, kto fizycznie dokonuje zgłoszenia. Może to być IOD, ale także zarząd w mniejszych firmach, czy dział prawny, jeśli posiada podpisy elektroniczne.

MRK: Czy incydent wymaga raportu bieżącego informującego rynek o takim zdarzeniu?

DWJ: Trudno ocenić kiedy informować o takim zdarzeniu inwestorów, a kiedy nie. Pomocna w tej kwestii jest metodyka ENISA tj. Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji, która pomaga oszacować jak bardzo krytyczny był incydent, ile danych wyciekło, jak szczegółowe były to dane. Po ustaleniu informacji z wykorzystaniem tej metody IOD powinien określić czy dany incydent wymaga poinformowania rynku czy nie.

MRK: Czy nazwisko akcjonariusza, który wypowiada się na WZA można upublicznić?

DWJ: Bezpieczniej jest tego nie robić i nie ujawniać takich informacji.

MRK: Co firma powinna robić cyklicznie, żeby mieć pewność, że jest zgodna z RODO?

DWJ: Aby mieć pewność, że firma przestrzega przepisów RODO, powinna podejmować działania polegające na systematycznym monitorowaniu procesów przetwarzania danych i stosowanych zabezpieczeń. W tym celu należy wykonywać roczne lub najlepiej kwartalne audyty, które potwierdzają zgodność z RODO. Jest to bardzo skuteczne narzędzie, gdyż pokazuje niezgodności, które należy usunąć. Proaktywna metoda  to prowadzanie cyklicznej analizy ryzyka,  która pozwoli na identyfikację istniejących w spółce ryzyk oraz zaplanowanie dla nich określonego postępowania, dzięki czemu można zapobiec występowaniu incydentów. Kluczowe jest także zaangażowanie pracowników, ciągła praca nad  rozwijaniem ich świadomości  w zakresie ochrony danych oraz prowadzenie szkoleń w taki sposób, aby pracownik rozumiał, jakie są wobec niego oczekiwania, i  obowiązujące w firmie procedury bezpieczeństwa związane z RODO.

Rozwój nowych gałęzi technologicznych stawia nieznane wcześniej wyzwania, za którymi próbuje nadążyć prawo, a to nie zawsze jest łatwe, co więcej – nie zawsze jest wykonalne. Jednym z najciekawszych tego przykładów jest tworzenie systemów sztucznej inteligencji (AI), których celem jest permanentny rozwój własny. Wykorzystują one do tego różnego rodzaju dane, w tym również dane osobowe.

Na tę kwestię zwrócił ostatnio uwagę brytyjski organ ochrony danych osobowych – Information Commissioner’s Office (ICO). Wydany przez niego poradnik wskazuje na najważniejsze kwestie łączące systemy sztucznej inteligencji z prawem ochrony danych osobowych, a także jest próbą znalezienia odpowiedzi na pytanie: jak bezpiecznie i zgodnie z prawem łączyć te dwa, czasami sprzeczne ze sobą zagadnienia?

Mówiąc ściśle, poradnik ICO wskazuje na potrzebę minimalizacji danych oraz techniki ochrony prywatności przy tworzeniu lub wprowadzaniu do użytku w swojej działalności systemów AI. Brytyjski organ podkreśla, że pierwszą sprzecznością pomiędzy tworzeniem systemów sztucznej inteligencji, a prawem ochrony danych osobowych, jest zakres zbieranych danych. Jak wskazuje organ, systemy AI potrzebują ogromnych ilości danych dla właściwego działania i rozwoju, podczas gdy w RODO zostały sformułowane zasady adekwatności oraz minimalizacji zakresu przetwarzanych danych. W związku z tym, już na samym początku przed administratorami danych stawiane są niełatwe wymagania, bowiem to po ich stronie leży wykazanie niezbędności określonego zakresu danych. Wypełnienie wskazanych powyżej zasad musi być dostosowane do konkretnego przypadku, jednak twórcy sztucznej inteligencji mogą skorzystać z pewnych znanych technik przy opracowywaniu swoich systemów.

Brytyjski organ w swoim poradniku skupił się przede wszystkim na systemach uczenia maszynowego, jako najczęściej stosowanego w działaniu sztucznej inteligencji. Osoby odpowiedzialne w organizacjach za zarządzanie ryzykiem i zgodność systemów AI powinny być świadome istnienia takich technik i być w stanie wspólnie z działami informatycznymi wprowadzać właściwe rozwiązania. Domyślne podejście badaczy danych w projektowaniu i budowaniu systemów sztucznej inteligencji niekoniecznie uwzględnia ograniczenia związane z minimalizacją danych. Organizacje muszą zatem wdrożyć właściwe praktyki zarządzania ryzykiem, aby zapewnić, że już w fazie projektowania, wymogi minimalizacji danych i wszystkie odpowiednie techniki minimalizacji zostaną w pełni uwzględniane.

Kolejnym problemem jest właściwe określenie celu przetwarzania danych. Podstawowym bowiem zadaniem AI jest rozwój i ulepszanie się, dla adekwatnego działania zaplanowanego przez twórcę. Funkcje sztucznej inteligencji i uczenia maszynowego mogą powodować, że przetwarzanie danych osobowych odbywa się na różne sposoby i jest wykorzystywane także do innych celów niż te, do których rozwiązania zostały pierwotnie zaprogramowane. Może to spowodować całkowitą utratę kontroli nad danymi osobowymi.

Dodatkowo utrudnione może się również okazać przeprowadzanie kontroli i audytów. Stopień skomplikowania niektórych algorytmów, będących budulcami rozwiązań AI, wymagać będzie przeprowadzania badań z udziałem kompetentnych osób. Twórcy sztucznej inteligencji będą mieć także potrzebę utrzymania swojego know-how i tajemnic handlowych, co może utrudniać powszechnie przyjętą praktyką okresowych kontroli działania systemów.

 

Wprowadzenie RODO i usystematyzowanie prawa ochrony danych osobowych z całą pewnością nie było wymierzone w twórców sztucznej inteligencji i nie powstrzymało ich pracy w tworzeniu rozwiązań IT. Nałożone zostały na nich jednak dodatkowe obowiązki, których wykonanie stanowi wyjątkowe utrudnienie w tym obszarze działalności.

 

W marcu 2019 roku Naczelny Sąd Administracyjny wydał wyrok, który – jeśli przedstawiona linia orzecznicza się utrzyma – może spowodować konieczność przemodelowania wielu stosowanych w firmach sposobów prezentowania treści marketingowych. Wyrok został wydany jeszcze na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, ale ocena Sądu w sferze faktów i mechanizmów marketingowych przekłada się wprost na dzisiejszą rzeczywistość.

 

Sprzeciw wobec działań marketingowych

Sprawa zaczęła się od złożenia przez Klienta jednego z operatorów telewizyjnych sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych. Pomimo otrzymania sprzeciwu, firma nadal kierowała do klienta wiadomości marketingowe – były one wysyłane za pośrednictwem serwisu internetowego operatora, dostępnego dla klienta po zalogowaniu, w ramach panelu „Wiadomości”. W toku postępowania przed Generalnym Inspektorem Ochrony Danych Osobowych firma zaprzestała wysyłania wiadomości, natomiast nadal wyświetlała baner reklamowy o treści „Nie masz jeszcze dekodera? Zadzwoń”.

Właśnie w odniesieniu do rzeczonego baneru reklamowego pojawiają się kontrowersje. Naczelny Sąd Administracyjny podzielił bowiem opinię GIODO, iż po wniesieniu sprzeciwu klient po zalogowaniu nie powinien otrzymywać ŻADNYCH reklam. W ocenie NSA po takim zalogowaniu klient „(..) powinien mieć dostęp tylko do spersonalizowanych informacji tj. takich, które będą uwzględniały jego sprzeciw wobec kierowania do niego reklam. W tych okolicznościach, nie budzi wątpliwości Naczelnego Sądu Administracyjnego, że jeżeli po zalogowaniu do indywidualnego konta (przypisanego konkretnej osobie) klient ma możliwość zapoznania się z reklamą to świadczy to o wykorzystywaniu jego danych osobowych w celach marketingowych, co w przypadku złożenia sprzeciwu nie powinno mieć miejsca.”

Z powyższego wynika, że jakakolwiek reklama wyświetlana klientowi po zalogowaniu do systemu informatycznego administratora jest przetwarzaniem danych osobowych klienta w celach marketingowych. W konsekwencji sprzeciw wobec takie przetwarzania danych osobowych powinien spowodować zaprzestanie wyświetlania jakichkolwiek reklam. W ocenie NSA „Żadnego znaczenia w sprawie nie ma okoliczność, że emitowana reklama zarówno przed zalogowaniem, jak i po zalogowaniu, miała taką samą treść. Z uwagi na sprzeciw nie powinna być emitowana na indywidualnym koncie uczestnika.”

Użytkownik niezalogowany, użytkownik zalogowany

Nie trudno wyobrazić sobie inne przykłady wyświetlania banerów reklamowych zalogowanym do systemów użytkownikom. Większość sklepów i serwisów internetowych posiada na swojej stronie internetowej różne banery reklamowe, które nie są skorelowane z faktem logowania się klienta/użytkownika. Wyświetlanie tego rodzaju treści nie musi być personalizowane dla zalogowanego użytkownika, a będzie wynikało z faktu, że użytkownik znajduje się w konkretnym miejscu na danej stronie internetowej. Podobnie wygląda to w przypadku wielu serwisów internetowych, w ramach których klient może zarządzać wykupionymi usługami – administrator decyduje, że pewien obszar strony będzie wyświetlał reklamy i nie musi mieć kontroli nad tym czy konkretny użytkownik widzi taką reklamę.

W toku postępowania pozwana firma powołała się na przykład stacjonarnych salonów sprzedaży, w których widnieją różne banery reklamowe, a klient po wejściu do takiego salonu jest niewątpliwie zidentyfikowany przez jego pracowników. NSA bez szczegółowej argumentacji przyjął jednak, że w tym przypadku klient godzi się na oglądanie reklam, podobnie jak w przypadku gdy anonimowo korzysta ze strony internetowej. Niestety Sąd nie podzielił się podstawami takiego rozumowania, a jedynie arbitralnie stwierdził, że mamy do czynienia ze zgodą.

Podsumowanie

Wydaje się, że NSA dosyć powierzchownie przeanalizował stan faktyczny leżący u podstaw omawianej sprawy. Odwołanie się wyłącznie do statusu anonimowego i zidentyfikowanego internauty nie uwzględnia wielu pośrednich mechanizmów prezentowania reklam w Internecie, które wyświetlane są zalogowanym użytkownikom. Jeżeli takie rozumienie wykorzystywania banerów reklamowych utrzyma się w przyszłości, może to oznaczać dla wielu firm konieczność przeprojektowania systemów informatycznych, a nawet konieczność zbierania dodatkowych informacji o użytkownikach, których dziś nie zbierają – aby zaprzestać wyświetlania reklamy konkretnemu użytkownikowi administrator musi najpierw wiedzieć, że jest ona mu wyświetlana.

Hamburski Organ Nadzorczy, odpowiedzialny za kontrolowanie przetwarzania danych osobowych – Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), wszczął postępowanie przeciwko Google dotyczące przetwarzania danych za pomocą urządzeń, na których zainstalowano Asystenta Google (Google Assistant).

Hamburski DPA wziął pod lupę doniesienia dotyczące możliwości fizycznego analizowania przez pracowników Google nagrań, pozyskanych w ramach korzystania z Asystenta Google. Odnosząc się do ujawnionych rewelacji, Google przyznał, że analizowanie poleceń głosowych faktycznie ma miejsce. Ma ono na celu rozwój narzędzia jakim jest Google Assistant – różnice w sposobie wypowiadania się każdego człowieka (np. na skutek posługiwania się różnymi dialektami) mogą sprawiać, że polecenia głosowe nie będą zrozumiane, tak więc część z dostarczonych nagrań jest analizowanych przez ekspertów językowych, a następnie ręcznie wprowadzanych do systemu w celu poprawienia jakości analizatora mowy.

Broniąc swoich działań, Google stwierdził, że jedynie 0.2% przechowywanych nagrań poddawanych jest bezpośredniej analizie przez ekspertów językowych, a przekazywane im nagrania nie są powiązane z kontem użytkownika od którego pochodzą. Dodatkowo nagrania poleceń głosowych przesyłane są na serwery Google’a jedynie po aktywacji Asystenta – np. za pomocą komendy głosowej „Hey Google”, lub kliknięcia ikony mikrofonu, a proces ich pozyskiwania i przechowywania jest dobrze zabezpieczony.

Tłumaczenia Google nie przekonały HmbBfDI, które wskazało, że zgodnie z doniesieniami medialnymi pracownicy Google dokonując analiz próbek głosu mieli możliwość pozyskania danych osobowych (w tym danych szczególnych kategorii), co nierzadko było wynikiem niezamierzonej aktywacji Asystenta. Dodatkowo, niektóre z tak pozyskanych danych pochodziły od nieświadomych używania narzędzia osób trzecich, gdy mikrofon urządzenia rejestrował dźwięki w tle.

W związku z powyższym organ nakazał Google wstrzymanie dokonywania analiz nagrań głosu z pomocą swoich pracowników oraz podwykonawców na okres 3 miesięcy. Wskazano, że takie ograniczenie przetwarzania danych ma na celu tymczasową ochronę prawa do prywatności podmiotów danych.

Pod koniec sierpnia, Hamburski DPA przedstawił listę wymagań dotyczących wznowienia przez Google przetwarzania próbek głosu w celu usprawnienia działania systemów analizujących mowę. Wśród nich wyszczególniono m.in. że:

• Do przetwarzania próbek głosu Google powinien uzyskać świadomą zgodę użytkowników.
• Google powinien udzielić wyczerpujących informacji dotyczących przypadkowej aktywacji nagrywania głosu.
• Użytkownicy powinni mieć świadomość, że wykorzystywanie narzędzia analizującego mowę może wiązać się z pozyskiwaniem nagrań osób im towarzyszących.

Źródła:

1. https://datenschutz-hamburg.de/assets/pdf/2019-08-01_press-release-Google_Assistant.pdf, dostęp 01.09.2019
2. https://www.blog.google/products/assistant/more-information-about-our-processes-safeguard-speech-data/ dostęp 01.09.2019
3. https://www.vrt.be/vrtnws/en/2019/07/10/google-employees-are-eavesdropping-even-in-flemish-living-rooms/, dostęp 01.09.2019