Kopia dokumentu przekazana podczas weryfikacji może ujawniać znacznie więcej informacji niż dane wpisane przy rejestracji. Oprócz nazwiska i daty urodzenia może zawierać fotografię, numer identyfikacyjny, podpis lub szczegóły dotyczące finansów. W przypadku witryny takiej jak Pelican Casino trzeba ustalić, jaki podmiot otrzymuje pliki, w jakim celu je wykorzystuje i jakie zasady stosuje do ich przechowywania. Samo powołanie się na weryfikację klienta nie wyjaśnia konieczności zebrania każdej informacji widocznej na skanie. Ochrona obejmuje cały obieg dokumentu: od uzasadnienia żądania i przesłania pliku po kontrolę dostępu oraz usunięcie zbędnych kopii. Znaczenie ma również możliwość zakwestionowania nadmiernego zakresu danych i uzyskania pomocy przy podejrzeniu ich niewłaściwego wykorzystania.
Zakres danych ujawnianych przez wymagane dokumenty
Potwierdzenie tożsamości, adresu, własności rachunku i źródła środków to różne zadania. Dokument odpowiedni do jednego z nich nie musi wystarczać do pozostałych. Z kolei potrzeba wykonania kilku kontroli nie oznacza automatycznie konieczności zebrania pełnego zestawu dokumentów od każdej osoby.
Zakres zależy od właściwego prawa i okoliczności. UODO podkreśla, że nawet w instytucjach finansowych możliwość sporządzenia kopii dokumentu wymaga oceny niezbędności. Dane powinny być adekwatne i ograniczone do celu przetwarzania. Nie można więc traktować samego hasła „przeciwdziałanie praniu pieniędzy” jako uzasadnienia dowolnego zakresu kopiowania.
Dowód osobisty lub paszport może ujawniać imię, nazwisko, wizerunek, obywatelstwo, datę urodzenia, numer dokumentu i inne identyfikatory. Zestaw tych informacji zwiększa skutki ewentualnego nieuprawnionego dostępu. Nie należy jednak nazywać numeru dokumentu lub numeru PESEL szczególną kategorią danych w rozumieniu RODO. Wysokie ryzyko wykorzystania informacji nie jest tym samym co ich kwalifikacja prawna.
Podobne rozróżnienie dotyczy fotografii. Zwykłe przechowywanie zdjęcia nie oznacza automatycznie przetwarzania danych biometrycznych szczególnej kategorii. Znaczenie ma między innymi to, czy wizerunek podlega specjalnemu przetwarzaniu technicznemu służącemu jednoznacznej identyfikacji. Takie rozróżnienie wynika z definicji i zasad zawartych w RODO.
| Dokument | Informacje istotne dla kontroli | Możliwe dane dodatkowe |
|---|---|---|
| Dokument tożsamości | Dane identyfikacyjne i elementy potrzebne do oceny autentyczności | Podpis, dodatkowe identyfikatory i informacje biograficzne |
| Potwierdzenie adresu | Nazwisko, adres i data dokumentu | Numery klienta, rozliczenia usług lub historia płatności |
| Potwierdzenie rachunku | Dane właściciela i identyfikacja rachunku | Saldo oraz niezwiązane transakcje |
| Dowód źródła środków | Informacje wyjaśniające pochodzenie wskazanych pieniędzy | Dane innych osób i szczegóły niezwiązanych zobowiązań |
Przed zasłonięciem pól potrzebne jest potwierdzenie, które elementy mogą zostać ukryte. Numer, oznaczenie maszynowe lub druga strona dokumentu mogą być wykorzystywane do kontroli autentyczności. Nie należy z góry ogłaszać ich zbędnymi ani obiecywać, że zmodyfikowana kopia zostanie zaakceptowana.
Odbiorca powinien wyjaśnić wymagany zakres i dopuszczalne alternatywy. Możliwość przedstawienia mniej rozbudowanego dowodu pozwala ograniczyć ujawnienie, jeśli nadal spełnia on uzasadniony cel. Znak wodny, o ile jest akceptowany, może wskazywać przeznaczenie kopii, ale nie uniemożliwia jej dalszego skopiowania.
Bezpieczne przesyłanie plików i zewnętrzna weryfikacja
Pierwszym krokiem jest sprawdzenie autentyczności żądania i miejsca przesłania. Wiadomość z logo może prowadzić do fałszywego formularza. Prośbę można potwierdzić przez niezależnie otwarty panel lub wcześniej ustalony oficjalny kontakt, bez używania odnośnika z podejrzanej wiadomości.
HTTPS chroni transmisję między urządzeniem a wskazanym serwerem. Nie potwierdza tożsamości organizacji, zasadności żądania ani bezpieczeństwa późniejszego przechowywania. Fałszywa strona również może korzystać z prawidłowo szyfrowanego połączenia.
Formularz umieszczony w panelu nie oznacza, że cała obsługa odbywa się wewnątrz jednej firmy. Może być narzędziem zewnętrznego dostawcy. Przekierowanie na inną domenę także nie musi być oszustwem, ale wymaga wyjaśnienia związku dostawcy z procesem i potwierdzenia właściwego adresu.
Informacja o przetwarzaniu powinna pozwalać ustalić administratora, cele, podstawy oraz odbiorców lub ich kategorie. RODO przewiduje także obowiązek informowania o planowanych przekazaniach do państw trzecich i odpowiednich zabezpieczeniach, jeśli takie przekazania występują. Nazwa „partner weryfikacyjny” nie wyjaśnia jeszcze tych relacji.
Dostawca może sprawdzać autentyczność, odczytywać pola, porównywać wizerunki lub zwracać wynik kontroli. Operator może otrzymywać wyłącznie określone ustalenia albo również kopie. Nie należy zakładać żadnego z tych modeli bez informacji o rzeczywistym obiegu danych.
Automatyzacja nie wyklucza dostępu człowieka
Automatyczne sprawdzenie nie dowodzi, że dokumentów nigdy nie oglądają pracownicy. Mogą istnieć ścieżki ręcznej analizy, obsługi błędów lub reklamacji. Jednocześnie sama ręczna kontrola nie świadczy o gorszej ochronie. Znaczenie mają uprawnienia, cel i sposób rejestrowania dostępu.
Osobnej ochrony wymagają kopie na urządzeniu. Aplikacja skanująca może zapisywać plik lokalnie lub synchronizować go z chmurą, a załącznik może pozostać w poczcie. Usunięcie jednej wersji nie oznacza automatycznego usunięcia wszystkich duplikatów.
Ocena nie powinna opierać się wyłącznie na rodzaju sieci. Publiczne Wi-Fi wymaga ostrożności, lecz szyfrowanie, autentyczność strony i stan urządzenia mają odrębne znaczenie. Prywatna sieć nie ochroni przed wysłaniem dokumentu niewłaściwemu odbiorcy.
Dostęp pracowników i usługodawców do kopii dokumentów
Dostęp powinien odpowiadać zadaniu. Do odpowiedzi na pytanie o status weryfikacji nie zawsze potrzebne jest otwarcie pełnego skanu. Specjalista analizujący rozbieżność może wymagać szerszego zakresu, ale nie oznacza to konieczności udostępnienia dokumentów całej obsłudze.
Status kontroli, odczytane dane i oryginalny obraz to odrębne zasoby. Można stosować dla nich różne uprawnienia. Takie rozdzielenie jest użyteczne tylko wtedy, gdy nie da się łatwo obejść ograniczenia przez inny widok, eksport lub załącznik w zgłoszeniu.
Środki ochrony mogą obejmować role pracownicze, dodatkowe uwierzytelnianie, ograniczenia pobierania i rejestry dostępu. RODO wymaga zabezpieczeń odpowiednich do ryzyka, uwzględniających między innymi charakter danych i kontekst ich wykorzystania. Nie przesądza to, że każdy operator wdrożył identyczny zestaw narzędzi.
Szyfrowanie plików nie zastępuje kontroli nad tym, kto może je odszyfrować. Konto z prawidłowym uprawnieniem nadal może zostać przejęte lub użyte niezgodnie z przeznaczeniem. Podobnie rejestrowanie otwarć pomaga dopiero wtedy, gdy zapisy są chronione i wykorzystywane do wykrywania nadużyć.
W obiegu mogą uczestniczyć także dostawcy hostingu, systemów obsługi zgłoszeń i podwykonawcy weryfikacji. Trzeba rozróżnić podmiot działający na polecenie administratora od odbiorcy samodzielnie ustalającego cele. Outsourcing nie usuwa automatycznie odpowiedzialności za wybór i kontrolę wykonawcy.
Ochrona powinna obejmować kopie robocze, wydruki i eksporty, nie tylko główne repozytorium. Bez tego deklaracja bezpiecznego archiwum może pomijać dokumenty przeniesione do mniej kontrolowanych miejsc. Cofnięcie uprawnień po zmianie obowiązków także jest częścią zarządzania dostępem.
Publiczny opis zabezpieczeń ma ograniczoną wartość dowodową. Szczegółowa polityka może ułatwiać ocenę, ale nie potwierdza konfiguracji każdego konta pracownika. Z drugiej strony brak ujawnienia wewnętrznych parametrów technicznych nie stanowi samodzielnego dowodu zaniedbania.
Okresy przechowywania i żądania usunięcia danych
Zakończenie kontroli nie zawsze oznacza natychmiastowe usunięcie całej dokumentacji. Dalsze przechowywanie może być potrzebne do wykonania obowiązku prawnego lub dochodzenia roszczeń. Każda przyczyna wymaga jednak odniesienia do konkretnej kategorii danych, a nie nieograniczonego zachowania wszystkiego.
UODO wskazuje, że o długości przechowywania decyduje cel, a administrator powinien ustalać terminy usuwania lub okresowego przeglądu. Wewnętrzna polityka nie może samodzielnie usprawiedliwiać retencji dłuższej, niż jest potrzebna.
Osobno należy rozpatrywać oryginalne obrazy, dane odczytane z dokumentów, wynik kontroli i rejestry dostępu. Potrzeba zachowania dowodu przeprowadzenia sprawdzenia nie przesądza automatycznie o identycznym okresie dla wszystkich plików. Ważny jest też początek jego liczenia.
Zamknięcie konta, rezygnacja z marketingu i usunięcie danych są różnymi działaniami. Konto może zostać zamknięte przy zachowaniu określonych zapisów, a zgoda marketingowa może być wycofana bez wpływu na obowiązkową dokumentację. Wyjaśnienie powinno wskazywać, co pozostaje i dlaczego.
Usunięcie a ograniczenie przetwarzania
Prawo do usunięcia danych na gruncie RODO nie jest bezwzględne. UODO wymienia zarówno przesłanki jego realizacji, jak i wyjątki, między innymi związane z koniecznością wykonania obowiązku prawnego. Odmowa powinna więc odnosić się do właściwej podstawy, nie tylko do ogólnej informacji o „procedurach bezpieczeństwa”.
Ograniczenie przetwarzania także ma określone przesłanki. Może dotyczyć na przykład okresu sprawdzania zakwestionowanej prawidłowości danych albo sytuacji, gdy przetwarzanie jest bezprawne, ale osoba sprzeciwia się usunięciu. Nie jest to automatyczna blokada wszystkich działań przy dowolnym sporze.
Anonimizacja musi rzeczywiście usuwać możliwość powiązania informacji z osobą. Zastąpienie nazwiska numerem konta lub zaszyfrowanie pliku nie oznacza samo przez się anonimowości. Jeżeli organizacja nadal może odtworzyć powiązanie, dane pozostają objęte ochroną.
Kopie zapasowe wymagają własnego cyklu życia. Techniczne opóźnienie usunięcia z backupu nie powinno stawać się uzasadnieniem dowolnego ponownego wykorzystania. Procedura odtwarzania powinna uwzględniać wcześniej wykonane usunięcia, zamiast bez kontroli przywracać wszystkie stare dokumenty.
Żądanie warto skierować do wskazanego administratora i określić, czy dotyczy również kopii u dostawcy weryfikacji. Przydatne są potwierdzenie wykonania, zakres pozostawionych danych i kryterium końca ich przechowywania. Weryfikacja osoby składającej żądanie sama powinna być proporcjonalna.
Nadmierne żądania i podejrzenie wykorzystania dokumentów
Ponowna prośba nie musi być nadmierna. Dokument może być nieczytelny, nieważny lub nie odpowiadać na konkretną wątpliwość. Również żądanie obu stron nie jest samo w sobie dowodem nadużycia, jeśli potrzebne informacje lub cechy autentyczności znajdują się po obu stronach.
Niepokój uzasadnia natomiast brak wyjaśnienia, dlaczego wcześniej dostarczone materiały są niewystarczające. Rozszerzenie kontroli powinno mieć określony cel. Potwierdzenie adresu wymaga innego uzasadnienia niż analiza źródła pieniędzy, a zakres dokumentu powinien odpowiadać rzeczywistej potrzebie.
Przed dalszym ujawnieniem można uporządkować sprawę następująco:
- Potwierdzić autentyczność żądania przez niezależny oficjalny kanał.
- Poprosić o wskazanie celu, podstawy i wymaganych pól dokumentu.
- Ustalić możliwość użycia alternatywnego dowodu lub uzgodnionego zasłonięcia danych.
- Sprawdzić odbiorcę pliku, kanał przesłania i zasady przechowywania.
- Zachować żądanie oraz odpowiedzi na potrzeby ewentualnej skargi.
Hasło bankowe, PIN, kod jednorazowy lub zdalny dostęp do urządzenia nie powinny być przekazywane jako dowód tożsamości. Przeniesienie rozmowy na niepotwierdzony adres wymaga sprawdzenia, nawet jeśli nadawca zna szczegóły konta.
Jeżeli dokumenty już trafiły do podejrzanego odbiorcy, zmiana hasła nie wycofa kopii. Dalsza reakcja zależy od ujawnionych danych: zagrożone konto wymaga zabezpieczenia dostępu, dane płatnicze kontaktu z instytucją finansową, a podejrzenie wykorzystania tożsamości odrębnej oceny i zgłoszenia.
Nowy spam lub obca próba logowania nie dowodzą automatycznie wycieku z konkretnego serwisu. Są podstawą do sprawdzenia, lecz trzeba oddzielić zbieżność czasową od potwierdzonego związku. W zgłoszeniu przydatne jest wskazanie, co wiadomo, co jest podejrzeniem i jakie informacje wymagają potwierdzenia.
Gdy odpowiedź administratora jest niewystarczająca, dostępna droga zależy od właściwego prawa i rodzaju zdarzenia. RODO przewiduje prawo wniesienia skargi do organu nadzorczego, a podejrzenie oszustwa może wymagać także zgłoszenia innym służbom. Kolejna pełna kopia dokumentu nie powinna być dołączana do każdej wiadomości, jeśli do identyfikacji sprawy wystarczą numer zgłoszenia i daty.
