Oceń wpis  oddane głosy: 0 / 2

Wczorajsza "burza śnieżna" i wywołana nią świadomość, że dziś do pracy rowerem będzie nader ciężko dojechać (to szalone jak szybko się przyzwyczajamy, że niewielki opad śniegu musi sparaliżować nasz -- wcale nie położony w basenie morza Śródziemnego -- kraj) zdecydowałem się na podróż MPK. Było mi o tyle łacniej (psychicznie), że po drodze musiałem jeszcze odwiedzić wydział KRS.

Nieważne ile na ten tramwaj czekałem. Ważne, że po skasowaniu biletu za 2,40 zł (kupiony we wrześniu, w automacie, dla przetestowania tych nieszczęsnych urządzeń) wsiadłem w dwunastkę, w której po przejechaniu dosłownie 2 przystanków (pl. Strzegomski-pl. JP2, wg mapy Wujka Gógla jest to 1200 metrów) -- zalotnie otworzyły się drzwi i wszyscy pasażerowie mogli dalej pójść piechotą.
Przyczyna to rzecz jasna zepsuty tramwaj linii 22 (bezczelnie stanął na środku skrzyżowania ul. Ruskiej i Kazimierza Wielkiego):

Idąc do roboty piechotą (na szczęście spacerów się nie boję -- mogłem tak od razu...) naszło mnie parę złotych myśli. Po pierwsze drzewiej w Rzplitej były takie prawa, że nie można było łączyć pewnych stanowisk (incompatibilitas -- więcej można się dowiedzieć choćby z Wikipedii). Niestety, współczesne czasy nie sprzyjają starym prawom, i tak oto:

• radny wojewódzki Patryk Wild (hmm czytam właśnie jego dossier i tak mi przychodzi do głowy: czy to ten wójt Stoszowic, który parę lat temu miał pomysł by ściągnąć tam do siebie -- dzięki niskiemu podatkowi od transportu -- firmy przewozowe?), już po tym jak rozstał się z PO i przeszedł do obozu Rafała Dutkiewicza został (w sierpniu 2009 r.) członkiem zarządu wrocławskiego MPK sp. z o.o.;
• ten sam Patryk Wild w ostatnich wyborach ponownie, z sukcesem, ubiegał się -- nie rezygnując rzecz jasna z wytężonej pracy dla poprawy komunikacji zbiorowej w naszym pięknym mieście -- o przedłużenie mandatu radnego sejmiku wojewódzkiego, a to z ramienia KW Rafała Dutkiewicza;
• co ciekawe jednym z kandydatów na burmistrza Wałbrzycha był... Patryk Wild (cóż za koincydencja!), także startując w barwach "ekipy Rafała" -- tu jednak bez większych sukcesów.

Do czego zmierzam? (Oprócz do prostej konstatacji, że to zadziwiające, że trochę śniegu rozkłada komunikację w średniej wielkości mieście wojewódzkim, w państwie od paru lat zrzeszonym w ramach Unii Europejskiej?)

Otóż zmierzam do tego, że mamy w Polsce mnóstwo wszechstronnych fachowców: radny wojewódzki planuje zostać włodarzem Wałbrzycha, ale tymczasem poprzestaje na posadzie w zarządzie we wrocławskim MPK... (ciekawe czy zrezygnowałby z tego MPK, jakby mu się udało zasiąść na wałbrzyskim stolcu? -- abstrahując od tego, że ustawa to-tamto...) Wprawdzie autobusy i tramwaje nie jeżdżą przez to ani o jotę lepiej, ale zawsze można się pochwalić: a bo nasz prezes to radnym jest, wojewódzkim.

Aż szkoda, że tacy ludzie się marnują na tak niskim szczeblu.

PS po ostatniej zimie mówiło się, że wzrosła sprzedaż aut z napędem 4x4. Po tej zimie, jak sądzę, powinno zwiększyć się zainteresowanie bronią palną.

 Oceń wpis  oddane głosy: 4 / 0

Otrzymuję sporą liczbę listeli z pytaniami o rozwój wypadków po wycieku ze zbioru danych osobowych Wrocławskiej Karty Miejskiej -- skutkiem czego tysiące użytkowników Urbancard otrzymało spam agitacyjny -- oraz planowanymi przeze mnie krokami prawnymi. Postanowiłem zatem podzielić się z P.T. Czytelnikami tym, co udało mi się dotąd -- przy użyciu standardowych narzędzi prawnych -- ustalić.

Idąc od końca: wyciągnięcie z Freshmail informacji kto powierzył im do przetwarzania moje dane osobowe zajęło mi kilka godzin i wymianę paru listeli. W sumie początkowo, ze względu na tajemnice biznesowe, odmówiono mi tej wiedzy, jednak -- chcę wierzyć, że nie tylko ze względu na ryzyko sankcji karnej (art. 54 ustawy o ochronie danych osobowych) -- otrzymałem informację, że zlecającym wysyłkę była spółka Ideacto sp. z o.o. z siedzibą we Wrocławiu.
W kontekście wycieku danych i nieautoryzowanej agitacji politycznej Freshmail nie poczuwa się do odpowiedzialności -- i w sumie całkiem słusznie, zakładając rzecz jasna, że z powierzonymi do przetwarzania danymi osobowymi postępuje się tam jak należy (mam na myśli np. usunięcie całego zbioru, który został rzekomo przekazany wyłącznie do jednorazowej wysyłki).
Można natomiast mieć pewne zastrzeżenia do samej formy wiadomości: nie była to wprawdzie informacja handlowa w rozumieniu UoŚUDE, co nie zmienia jednak faktu, że nadawca powinien wyraźnie wskazać w jej treści kto ją wysłał i na czyje zlecenie.

(Na marginesie: ów Freshmail ma ogólny problem informacyjny: treść stronki kontakt kwalifikuje się na grzywnę ze względu na brak danych usługodawcy (tj. art. 23 w zw. z art. 5 ust. 2 pkt 2 ustawy o świadczeniu usług drogą elektroniczną) -- nie powinno być tak, byśmy się wszystkiego musieli dowiadywać ze strony GUS.)

Jako się już rzekło udało się ustalić, iż bezpośrednim zleceniodawcą wysyłki była wrocławska spółka Ideacto.W oparciu o ten sam art. 32 UoODO zwróciłem się do nich -- jako do procesora danych -- z żądaniem udzielenia informacji kto jest administratorem danych, który powierzył realizację wysyłki do określonego zbioru danych osobowych.
I tym razem uzyskanie odpowiedzi zajęło troszkę czasu (nie mam pojęcia dlaczego proste pytanie tak paraliżuje podmioty zaangażowane w przetwarzanie danych osobowych?!), jednak po paru godzinach dowiedziałem się, że wprawdzie spółka nie uważa, by art. 32 ustawy dotyczył procesora danych (błąd, procesora nie dotyczy art. 33 ustawy, ale art. 32 -- pozwalający przecież właśnie namierzyć podmiot, który inicjuje całą operację gromadzenia i przetwarzania naszych danych osobowych -- jak najbardziej określa obowiązki procesora; polecam także wiadomy komentarz BiM, str. 678, teza 1), jednak jako także pokrzywdzona w sprawie zdecydowała się na poinformowanie, iż zlecającym przeprowadzenie spamerskiej kampanii agitacyjnej był p. Jan Żarski.

(Tu kolejna dygresja, nieco poza tematem ochrony danych osobowych i tego co ja, jako pokrzywdzony, mogę: jakim cudem Ideacto mogło przyjąć od jakiegoś Pana Żarskiego, który jak sądzę nie mógł wyglądać jak administrator danych osobowych, zlecenie na przetwarzanie danych osobowych? Jakim cudem można zamówić wysyłkę takiego mejlingu, i zgodzić się, by zlecający przeprowadzenie kampanii ukrył się pod kryptonimem "Michał Kadyński"? Rozsądnemu człowiekowi w takich momentach chyba naprawdę zaświeciłaby się jakaś lampka ostrzegawcza... No i ostatnia ciekawostka: ciekawym jak wyglądała faktura wystawiona na p. Żarskiego -- i jak teraz on za to wszystko zapłaci?)

Tak czy inaczej, mając niezbędną wiedzę, mogłem wykonać dalsze kroki: do administratora danych posłałem (z kopią do procesora, stąd pewnie rzecznik prasowy Mennicy Polskiej ma mój adres poczty elektronicznej) żądanie zaprzestania przetwarzania niektórych danych osobowych zgromadzonych w zbiorze użytkowników Wrocławskiej Karty Miejskiej oraz udzielenia paru informacji, w tym o tym komu moje dane zostały przekazane. Zaś do Prokuratury Rejonowej Wrocław-Stare Miasto przesłałem wniosek ws. statusu pokrzywdzonego w sprawie (art. 49 kodeksu postępowania karnego) oraz zamiaru działania w charakterze oskarżyciela posiłkowego (art. 53 kpk) -- oczywiście zdaję sobie sprawę, że oświadczenie to składa się dopiero po wniesieniu aktu oskarżenia, ale wydaje mi się, że lepiej będzie, jeśli prokurator będzie miał świadomość, że oto pokrzywdzony zamierza dość czynnie brać udział w sprawie.

Jak będę wiedział coś więcej, nie omieszkam poinformować P.T. Czytelników za pośrednictwem Lege Artis.

 Oceń wpis  oddane głosy: 3 / 0

motto drugiej świeżości, ale dziś nadal aktualne: "Nie mogę zapewnić, że dane wrocławian są bezpieczne i że nie wyciekły z systemu, póki tego nie sprawdzimy" (rzecznik prasowy Mennicy Polskiej dla mmWroclaw.pl)
 

Wicemistrzostwo świata bałaganu w nieprofesjonalnym podejściu do: prowadzenia korespondencji (i to przez rzecznika prasowego) oraz ogólnego podejścia do klienta? To chyba będzie tak: otrzymać odpowiedź na listela, którego się nie napisało -- w dodatku odpowiedź "nadpisaną" na zapytanie zupełnie innej osoby.

Bez wdawania się w detale, bez rozwodzenia się co do szczegółów: otrzymałem przed chwilką listela od Pana Mariusza Przybylskiego, rzecznika prasowego Mennicy Polskiej SA. Jest to odpowiedź na pytanie dotyczące bałaganu w danych zgromadzonych w ramach systemu Urbancard... którego nie zadałem. Ba -- przysięgam, że nie pisałem nic ani do Pana Przybylskiego, ani też do Mennicy Polskiej SA (wyjąwszy wczorajsze żądanie zaprzestania przetwarzania danych osobowych, które poszło też na adres biura dezinformacji klienta Urbancard -- a propos tego co tam się dzieje, polecam ten tekst).
W zasadzie w ogóle nie wiem skąd rzecznik prasowy Mennicy Polskiej SA może mieć mój adres...

...nie chcąc trzymać P.T. Czytelników dłużej w niepewności: jest to odpowiedź na pytanie Pana Damiana K. (nazwisko i adres poczty elektronicznej do wiadomości Redakcji), jednego z użytkowników Wrocławskiej Karty Miejskiej, który jak widzę -- a widzę, bo tamta wiadomość jest w całości zacytowana poniżej -- 23 listopada napisał do Mennicy listela zatytułowanego "Niepokojąca wiadomość". I oto Pan Rzecznik Prasowy zechciał rozwiać zaniepokojenie Pana Damiana... -- i rozwiał? ;-)

Owszem, to jest niepokojąca wiadomość -- odpisywanie przypadkowym osobom (już nie mówiąc o załączaniu całej korespondencji) na cudze listy jest mocno niepokojące.
Spróbuję jednak podejść do sprawy na tyle profesjonalnie, na ile umiem -- i potraktować to jako prośbę o bezpłatne (hmm w przypadku Mennicy chyba głupio mówić o bezpłatności usług... ale niech będzie moja strata...) konsultacje prawne.

Tak, Panie Rzeczniku, administratorem tych danych jest Prezydent Wrocławia, i on odpowiada za to, co się z danymi dzieje. To do niego należy zatem kierować żądania usunięcia danych ze zbioru (com uczynił wczoraj). To on będzie ewentualnie odpowiadał karnie za swoje błędy (pismo w sprawie statusu pokrzywdzonego i oskarżyciela posiłkowego zanoszę jutro).
Ale procesor danych (którym jest Mennica) odpowiada za swoje strzały w stopę.

A generalnie to wszystko powoli staje się już śmieszne.

 Oceń wpis  oddane głosy: 4 / 1

Upada chyba silnie lansowana teoria o "prowokacji PO", która to partia miała wykraść dane osobowe użytkowników Urbancard i rozesłać na pozyskane w ten sposób adresy poczty elektronicznej spamerską agitkę -- a wszystko to w celu przysolenia Rafałowi Dutkiewiczowi tuż przed wyborami.

Jak się okazuje za wyciek danych odpowiedzialny jest Jan Żarski, asystent prezydenta Wrocławia, który -- oczywiście samowolnie -- najpierw jakimś cudem "wydostał te dane" z systemu i przekazał "na zewnątrz urzędu".
Sam prezydent Dutkiewicz nazywa zachowanie swojego -- byłego już -- asystenta wynikiem "koszmarnej nieostrożności i głupoty mojego asystenta", ja jednak nadal widzę w tym wszystkim parę zagadek:

• dlaczego o źródle wycieku dowiedzieliśmy się po wyborach? Jeśli p. Żarski się przyznał do popełnienia przestępstwa, czyżby naszły go wątpliwości dopiero dziś? Czemu nie w piątek?
• jakim cudem asystent prezydenta miasta mógł mieć dostęp do tego rodzaju danych? Zapewniano nas, że dane są "niezwykle bezpieczne", a tu się okazujmy, że byle asystent mógł zgrać sobie niezły kawałek tej bazy?
• jeśli p. Żarski (niedługo już Jan Ż.?) uczynił to w obrębie magistratu, to gdzie są zapewnienia, że urząd nie ma wglądu w zbiór, a nad wszystkim trzyma pieczę Mennica? Czy nasze dane osobowe w ogóle są jakoś tam zabezpieczone?

Na marginesie: kuriozalnie brzmią zapewnienia, iż "wyciekły jedynie adresy mailowe, a nie dane osobowe" (tak mówi serwis tuWroclaw.pl) czy też "w nieprawidłowy sposób wykorzystane zostały nie dane osobowe, a jedynie e-maile, które w myśl prawa nie są tzw. daną wrażliwą" (tak pisze Gazeta.pl). Akurat żadna z tych teorii nie jest prawdziwa: (i) z systemu wyciekły także co najmniej imiona użytkowników Wrocławskiej Karty Miejskiej, (ii) adres poczty elektronicznej -- to już bezdyskusyjne wobec tego czym jest system Urbancard -- jest daną osobową, (iii) ani adres poczty elektronicznej, ani imię nie jest daną wrażliwą, ale nie o to przecież tu się rozchodzi.

No cóż, na razie mamy "oficjalnego" sprawcę przestępstwa (pytanie czy to aby nie leszcz rzucony na pożarcie). Ciekawym jednak jak do sprawy systemowo podejdzie ekipa Urbancard. Warto przede wszystkim pomyśleć o usunięciu rażących bolączek systemu, o których trąbię już od pół roku -- nie tylko na blogasku, ale i korespondując o tym z osobą odpowiedzialną za program Urbancard ze strony UM (a nie mówiłem, Panie Marcinie?).

PS od paru godzin próbuję skorzystać z ustawowo przysługujących mi uprawnień (art. 32 ust. 1 ustawy o ochronie danych osobowych) -- co ciekawe podmiot odpowiedzialny za wysyłkę ogólnie uchyla się od udzielenia mi informacji.

 Oceń wpis  oddane głosy: 1 / 0

W sprawie domniemanego wycieku danych z systemu Urbancard (piszę "domniemanego", chociaż wątpliwości nie mam już najmniejszych) otrzymałem parę listeli -- niekoniecznie pochlebnych. I dobrze, grunt, że ludzie główkują, szukają dziury w całym.  Także i ja mam trochę wątpliwości, choć nie będę ukrywał, że dotyczą one wyłącznie tego kto mógł zamawiać feralny mailing (ci co wiedzą, nie powiedzą -- ale dobrze, że wiedzą, bo komu trzeba, opowiedzą).

Mniejsza zresztą z samą agitką -- problem leży gdzie indziej i na imię mu Urbancard. Sęk bowiem w tym, że osoby odpowiedzialne za system Wrocławskiej Karty Miejskiej od samego początku przejawiały wyjątkowe lekceważenie dla zasad przetwarzania danych osobowych pasażerów -- oraz, ogólniej: naszej prywatności.

Przypomnijmy: już w maju, zaraz po starcie systemu, zwróciłem uwagę na szereg niedociągnięć i nieprawidłowości. Począwszy od e-wniosku, który był maksymalnie lakoniczny, poprzez żądanie podania numeru PESEL -- na co rzekomo jest podkładka w ustawie prawo przewozowe -- poprzez wprowadzanie w błąd wnioskujących co do tego kto będzie przetwarzał ich dane osobowe.
Zresztą pewnych niedociągnięć nie usunięto do dziś: nie minął jeszcze miesiąc odkąd pisałem o niejasnej różnicy między treścią wniosku składanego przez internet a wniosku papierowego. Więc skoro ja, wnioskujący o kartę online, stałem się łupem jakiegoś spamera -- czyim łupem staną się osoby pieczołowicie wypełniające znacznie gorszy wniosek drukowany?

Z PESEL-em to jest w ogóle historia: zgodnie z uzyskaną z samego epicentrum odpowiedzią jest on wymagany oczywiście dla naszego dobra, bo "doświadczenie Wykonawcy zdobyte w innych miastach dowodzi, że imię, nazwisko i adres zamieszkania nie są wystarczające dla określenia, że dana osoba jest tą, za którą się podaje" -- ja będę się jednak upierał, że z punktu widzenia kontrolera biletów powinno wystarczyć podobieństwo osoby na nadrukowanym na karcie zdjęciu z facjatą pasażera, a cała reszta jest bajką.

Tymczasem temat można było potraktować z należytą powagą od samiuśkiego początku. Nawet jeśli ktokolwiek uważa, że imię i nazwisko oraz PESEL jest niezbędny do wydania karty, dane te powinny być bezzwłocznie usunięte (albo i cały wniosek zanonimizowany) natychmiast po tym, jak delikwent uzyska upragnioną kartę miejską. Naprawdę nadal nie rozumiem co stoi na przeszkodzie potraktować ludzi poważnie i przedstawić sprawę następująco: jeśli uważasz, że nie zgubisz karty i nie będziesz chciał "odzyskać zgromadzonych tam pieniędzy", to rób jak uważasz. A dla zapobiegliwych proponujemy wersję "safe" -- czyli z pełnym dossier w systemie.

Jeszcze gorzej wygląda kwestia przechowywania w systemie naszych adresów poczty elektronicznej. Zgodnie z wnioskiem o wydanie Urbancard podstawowym celem przetwarzania tej informacji jest "przekazanie telefonicznie elektronicznie lub listownie informacji o brakach lub błędach we wniosku o wydanie karty" -- przeto skoro błędów tych nie było i kartę już mam, to w zasadzie dalsze przetwarzanie danych w tym zakresie jest zbyteczne -- dopiero jako cel dodatkowy (acz zrezygnować z tego się nie da...) wskazano "a także innych informacji istotnych dla użytkownika związanych z korzystaniem z URBANCARD Wrocławskiej Karty Miejskiej".
No i tu ciekawostka: znam osoby, które z karty korzystają prawie od samego początku, ale nie mogą sobie przypomnieć, by otrzymali jakiekolwiek anonsowane istotne informacje. Pojawiły się automaty pozwalające kupić bilet w tramwaju za pomocą karty płatniczej -- kudy tam, żeby ktoś o tym napisał to kartowiczów. Instrukcja kodowania kart i zakupu biletów -- nb. czynności te naprawdę wymagają doktoratu -- pojawiła się na stronie urbancard.pl dopiero parę dni temu, ale przecież użytkownik i tak nie dostał na ten temat żadnych materiałów.

Jedyną przesyłką jaką otrzymali posiadacze Wrocławskiej Karty Miejskiej jest... spamerska agitka wyborcza, która -- to ciekawa koncepcja i faktycznie nie można jej wykluczyć -- dla wielu osób wygląda jak prowokacja.

Osobiście wiem już co zrobię po niedzieli. Otóż zamierzam -- korzystając z moich konstytucyjnych i ustawowych uprawnień -- zażądać zaprzestania przetwarzania moich danych osobowych przez administratora w zakresie szerszym, niż jest to niezbędne do posługiwania się przeze mnie kartą. Z pewnością dotyczy to numeru PESEL oraz adresu poczty elektronicznej (wyjąwszy ten ich e-sklepik, gdzie też trzeba się logować listelem...), zastanowię się także, czy teraz -- kiedy już mam kartę na której jak wół napisano "OLGIERD RUDAK" -- muszą mieć tam moje imię i nazwisko.