Poufność w korespondencji e-email a prawo o ochronie danych osobowych

Moi drodzy od jakiegoś czasu nurtuje mnie temat poufności (a raczej jej braku) w korespondencji e-mail.

Zapewne każdy z Was wie, iż poczta e-mail nie zapewnia poufności. Wiadomość wysłana z adresu np: adam@wp.pl na adres ewa@gmail.com oznacza, że w transmisji biorą udział serwery wp.pl oraz gmail.com. Dostęp do treści wiadomości mają więc administratorzy tych serwerów i to jest bezsprzeczny fakt.
Problem poufności może dotyczyć nie tylko serwerów które pośredniczą w przesyłaniu wiadomości, ale również w łączach transmisyjnych lub w urządzeniach sieciowych. Nie mamy pewności czy wp.pl łączy się z serwerem gmail.com kanałem szyfrowanym. Jeśli nie, wiadomość może zostać przez kogoś odczytana w dowolnym miejscu w czasie transmisji.

Istnieją technologie pozwalające zaszyfrować wiadomość w taki sposób, aby tylko odbiorca mógł odczytać kierowaną do niego korespondencję. Technologie te opierają się na architekturze klucza publicznego. Nie chce tutaj wchodzić w szczegóły techniczne ponieważ na ten temat dużo napisano w Internecie. Zainteresowanych odsyłam do GPG/PGP lub S/MIME. Warto dodać iż GPG jest standardem darmowym oraz open source.

Ustawa o ochronie danych osobowych wymaga zachowania poufności danych osobowych.
Czy więc przesłanie danych osobowych za pośrednictwem poczty e-mail bez zastosowania technik gwarantujących poufność (a więc bez zastosowania kryptografii) jest już złamaniem prawa?

Pytanie jest bardzo ważne. Zwróćcie proszę uwagę na korespondencję którą otrzymujecie po złożeniu zamówienia w dowolnym sklepie internetowym. Bardzo często zawiera ona wasze dane osobowe (wiadomości te często zawierają potwierdzenie adresu na który zostanie wysłana paczka).
Pikanterii dodaje fakt, iż poczta e-mail jest często przechowywana w skrzynce odbiorczej na serwerze. De facto znajdują się tam nasze dane osobowe.

Czy wiec klient sklepu internetowego ma prawo wymagać zastosowania kryptografii zapewniającej poufność we wszelkiej korespondencji, którą to korespondencję sklep będzie kierować do klienta w związku ze złożonym zamówieniem?

Na oba pytania które zadałem moim zdaniem należy odpowiedzieć twierdząco. Chciałbym jednak poznać wasza opinię.

To administrator danych osobowych zobowiązany jest do zastosowania środków technicznych i organizacyjnych odpowiednich do zagrożeń i kategorii danych objętych ochroną. Szczegóły powinieneś znaleźć w polityce bezpieczeństwa konkretnego administratora danych osobowych. Przypadek każdego sklepu internetowego, czy innej usługi należy rozpatrywać indywidualnie. To tyle teorii.

W praktyce jeśli uważasz, że administrator nie zapewnia dostatecznie wysokiego poziomu ochrony możesz po prostu nie korzystać z jego usług.

Z punktu widzenia usługodawcy pewnie nie jest problemem stosowanie kryptografii asymetrycznej, ale przeciętny Kowalski po prostu nie ogarnie, że kupując czajnik musi w formularzu podać dodatkowo klucz publiczny (wcześniej wygenerować albo posiadać parę), a następnie odszyfrować wiadomość od sklepu. Pewnie wybierze inny sklep i tam kupi czajnik.

p_a_g nie bardzo rozumiem który administrator?

Administrator danych w sklepie internetowym stosuje środki techniczne do ochrony danych osobowych - przyjmuję takie założenie.

Problem pojawia się w momencie wysłania wiadomości email z tymi danymi. Zauważ, że ta wiadomość czasem obiega pół świata i przechodzi przez dwa serwery (pierwszy to serwer nadawcy, a drugi to serwer odbiorcy).

Mamy więc już trzy firmy które weszły w posiadanie moich danych osobowych:
- sklep internetowy (posiada moje dane legalnie ponieważ ja im je udostępniłem składając zamówienie)
- firma administrująca serwerem pocztowym nadawcy (moim zdaniem weszła ona nielegalnie w posiadanie moich danych osobowych)
- firma administrująca serwer pocztowym odbiorcy (też weszła nielegalnie w posiadanie moich danych osobowych)

Firmy administrujące serwerami pocztowymi nadawcy oraz odbiorcy otrzymały moje dane osobowe od sklepu internetowego mimo iż sklep internetowy nie otrzymał ode mnie pozwolenia na przekazywanie moich danych osobowych stronom trzecim.


Wrócę więc do meritum. Załóżmy że Kowalski dba o swoją prywatność i składając zamówienie w sklepie internetowym zaznaczył, że prosi aby wszelka korespondencja e-mail która będzie zawierać dane osobowe była szyfrowana. Kowalski dołączył też klucz publiczny w trakcie składania zamówienia. Sklep zignorował prośbę i wysłał wiadomość niezaszyfrowaną (btw sytuacja z życia wzięta).
Pytanie zasadnicze: czy doszło do złamania ustawy o ochronie danych osobowych?

Amadeq napisał:

przechodzi przez dwa serwery

Kliknij, aby rozszerzyć...

Zwykle przez więcej, ale to nie zagadnienie prawne.

Bez znajomości polityki bezpieczeństwa administratora danych osobowych (sklepu) ciężko cokolwiek powiedzieć.

Oczywiście, że jest to zagadnienie prawne ponieważ każdy z tych serwerów należy do różnych firm.

Gdyby wszystkie te serwery na których znajdują się dane osobowe były serwerami sklepu internetowego to rzeczywiście polityka bezpieczeństwa administratora miała by zastosowanie. Tutaj jednak polityka bezpieczeństwa sklepu internetowego kończy się w momencie kiedy wiadomość e-mail opuszcza serwer i rozpoczyna drogę po innych serwerach które mają inne polityki bezpieczeństwa i innych właścicieli.

p_a_g abstrahując od polityki bezpieczeństwa skupmy się na prawie. Moim zdaniem nie może być sytuacji gdzie jedna firma udostępnia nasze dane osobowe innej bez naszej zgody.

Amadeq napisał:

Tutaj jednak polityka bezpieczeństwa sklepu internetowego kończy się w momencie kiedy wiadomość e-mail opuszcza serwer

Kliknij, aby rozszerzyć...

Bzdura, sytuacje udostępniania danych oraz ich powierzania powinny być opisane w polityce. Poczytaj ustawę oraz rozporządzenia wykonawcze.

Amadeq napisał:

Moim zdaniem nie może być sytuacji gdzie jedna firma udostępnia nasze dane osobowe innej bez naszej zgody.

Kliknij, aby rozszerzyć...

To Twoje zdanie, Ustawodawca jednak przewidział takie sytuacje.


Przy czym ja w opisanej sytuacji (wysyłka wiadomości e-mail) nie widzę udostępnienia, a jedynie powierzenie przetwarzania danych.

Żaden z serwerów posredniczacych nie ma prawa logować treści maila, bo będzie to naruszenie tajemnicy korespondencji. Sytuacja analogiczna jest wysłanie listu w kopercie. Ktokolwiek mający dostęp do koperty ma możliwość przeczytać jej zawartość, ale z wiadomego powodu tego nie robi. Twóje zadanie szyfrowania wiadomości jest równie abstrakcyjne co prośbą do ZUS, aby każdy następny list ci szyfrowali. Mam nadzieję, że rozumiesz dlaczego nie masz racji

Załóżmy że korzystamy z serwera pocztowego kraju zagranicznego gdzie nie obowiązuje prawo tajemnicy korespondencji. Szczerze mówiąc to nawet nie możemy być pewni czy popularny Gmail nie analizuje treści korespondencji.

Przypomnę, że z punktu widzenia technologi poufność jest zachowana tylko w przypadku zastosowania szyfrowania.

"Bzdura, sytuacje udostępniania danych oraz ich powierzania powinny być opisane w polityce."

Załóżmy, że nie ma o tym ani słowa w polityce i regulaminie sklepu internetowego. Czy jako klient mam prawo żądać szyfrowania korespondencji?

Nie ma przeszkód prawnych aby zażądać szyfrowania korespondencji.

Jak już wspomniałem przypadek każdego sklepu należy rozpatrywać indywidualnie. Niemniej w większości przypadków będzie to jakissklep.pl, który działa na wykupionym hostingu, również adesymailowe@jakissklep.pl będą związane z tym samym hostingiem i po prostu w katalogu /home/nazwauzytkownika będziesz miał katalog Maildir, w którym fizycznie będą przechowywana treść wiadomości. Żaden z pracowników hostingodawcy nigdy w życiu tam nie zajrzy. Dla świętego spokoju można z hostingodawcą podpisać umowę powierzenia (art. 31 uodo), ale i to nie jest konieczne według niektórych znawców tematu.

Teraz druga strona, Twoja skrzynka e-mail. Jeśli założysz ją sobie w ChRL i podasz adres składając zamówienie, to chyba nie możesz winić sprzedawcy, że wysyła Ci maile do Chin? Inną kwestią jest, że zapewne zakładając skrzynkę e-mail i tak podałeś usługodawcy swoje dane osobowe wiec chyba nic złego się nie stanie jeśli te dane powtórzą się w treści odebranej korespondencji.