Na papierze wszystko wygląda jak z prezentacji start-upu: CEIDG i Punkt Informacji dla Przedsiębiorcy mają być zintegrowane z bazami danych Krajowej Administracji Skarbowej, przepływ informacji będzie sprawny i automatyczny, a przedsiębiorca zamiast tonąć w papierologii, załatwi wszystko online.
Ale diabeł, jak zwykle, tkwi w szczegółach. Prezes Urzędu Ochrony Danych Osobowych, Mirosław Wróblewski, właśnie w te szczegóły zajrzał – i zapalił czerwoną lampkę.
Ułatwienia? Tak. Ale nie kosztem prywatności
Wróblewski nie kwestionuje samej idei uproszczeń. Wręcz przeciwnie - dostrzega sens w zwiększeniu dostępności informacji o przedsiębiorcach i wprowadzeniu elektronicznych rozwiązań.
Ale problem w tym, że projekt ustawy opisuje nowe zasady funkcjonowania CEIDG i PIP w sposób ogólnikowy, nieprecyzyjny, a momentami wręcz mglisty. Zwłaszcza tam, gdzie mowa o dostępie do danych, ich publikacji, przekazywaniu między systemami czy roli poszczególnych podmiotów.
Brakuje jasnych odpowiedzi na pytania: kto będzie miał dostęp do jakich danych? Kiedy? Na jakiej podstawie? Kto ponosi odpowiedzialność za ewentualne nadużycia? I co najważniejsze – jak nowe przepisy mają się do unijnego RODO?
Systemowa luka: dane, które żyją własnym życiem
Jedną z największych bolączek projektu jest brak zabezpieczenia przed łączeniem baz danych, mimo że art. 31 RODO wyraźnie tego zakazuje. Projektodawcy przekonują, że integracja systemów nie oznacza ich łączenia, ale same przepisy nie dają żadnej gwarancji, że tak się nie stanie.
W efekcie może dojść do sytuacji, w której dane z CEIDG, PIP i KAS będą się „krzyżować”, tworząc kompletny profil osoby prowadzącej działalność. I tu nie chodzi o to, że dla urzędników, ale dostępny dla każdego zainteresowanego, często bez jej wiedzy i zgody(!).
To stwarza realne ryzyko profilowania, nadużyć i wykorzystywania danych, także tych osób, które już działalność zawiesiły albo zamknęły. Szczególnie problematyczne są dane adresowe przedsiębiorców działających w ramach jednoosobowej działalności gospodarczej.
Często to ich prywatne miejsca zamieszkania - a więc dane wrażliwe, które po publikacji mogą posłużyć nie tylko klientom, ale też spamerom, naciągaczom czy konkurencji.
Brakuje testu prywatności
Prezes UODO przypomina, że przy projektowaniu takich systemów nie wystarczy „dobry pomysł” i deklaracje dobrej woli. Potrzebny jest formalny test skutków dla ochrony danych – czyli Privacy Impact Assessment. To narzędzie, które pozwala oszacować ryzyka dla prywatności i zaprojektować środki zaradcze, zanim jeszcze prawo wejdzie w życie. W omawianym przypadku nikt się tym nie zajął.
Wróblewski apeluje o przeprojektowanie fundamentów nowego modelu CEIDG – nie jako bazy powszechnie dostępnej „dla każdego”, ale jako systemu działającego na zasadzie minimalizacji danych i przemyślanego udostępniania informacji. Jawność życia gospodarczego nie może odbywać się kosztem podstawowych praw obywatelskich.
