Łódź to jeszcze miasto czy już agencja reklamowa? Co dzieje się z danymi łodzian?

Mieszkaniec wchodzący na stronę urzędu nie powinien zachowywać się jak klient przekraczający próg centrum handlowego. Nie powinien sprawdzać listy partnerów reklamowych, analizować plików cookies ani zastanawiać się, kto odnotuje jego zainteresowanie podatkami, mieszkaniami, komunikacją lub pomocą społeczną. Państwo i samorząd mają wiedzieć o obywatelu tylko tyle, ile jest konieczne do wykonania publicznego zadania. Każdy krok poza tę granicę wymaga nie tylko podstawy prawnej, lecz także wyjątkowej przejrzystości. W Łodzi tej przejrzystości dziś brakuje.

Sprawę rozpoczęła techniczna analiza Macieja Lesiaka, który opisał narzędzia analityczne i reklamowe działające w serwisach powiązanych z miastem. Autor audytu mówi o śledzeniu, profilowaniu i rozproszeniu odpowiedzialności między Urzędem Miasta Łodzi, Biblioteką Miejską, Łódzką Organizacją Turystyczną oraz Łódź Media Group. To są jego zarzuty, a nie ustalenia sądu, Urzędu Ochrony Danych Osobowych czy Rzecznika Praw Obywatelskich. Żaden publicznie dostępny dokument nie pozwala dziś odpowiedzialnie napisać, że miasto sprzedawało dane osobowe mieszkańców albo bezprawnie tworzyło profile konkretnych łodzian. Można jednak stwierdzić coś równie niepokojącego: urząd nie zdołał dotąd rozwiać najważniejszych wątpliwości.

Przyznanie ukryte w języku technicznym

W odpowiedzi udzielonej radnym 30 czerwca wiceprezydent Tomasz Piotrowski nie wykluczył wystąpienia mechanizmu opisanego w audycie. Miasto przyznało również, że dane fizycznie trafiały na serwery Google. Jednocześnie zaznaczyło, że nie udało się jednoznacznie ustalić, jak były później wykorzystywane przez amerykańską firmę. Urząd zlecił usunięcie starych i nieadekwatnych kodów, a przeprowadzenie zewnętrznego audytu jest rozważane.

To ważne rozróżnienie: usunięcie kodów nie jest przyznaniem się do złamania prawa. Jest jednak przyznaniem, że system wymagał porządków. I właśnie tutaj zaczyna się odpowiedzialność polityczna, znacznie szersza od sporu o znaczniki, kontenery i parametry. Jeżeli urząd po pytaniach radnych usuwa elementy działające na miejskich stronach, powinien opublikować pełną listę zmian. Które kody uznano za nieadekwatne? Na jakich stronach działały? Od kiedy? Jakie informacje wysyłały? Kto miał do nich dostęp? Odpowiedź „analizujemy” może otwierać sprawę, ale nie może jej zamykać.

Jeszcze bardziej zastanawiająco brzmi zapowiedź, że niezależny audyt jest dopiero rozważany. Wewnętrzna kontrola prowadzona przez instytucję, której decyzje są przedmiotem wątpliwości, nie wystarczy do odbudowy zaufania. To nie jest zarzut wobec kompetencji urzędników. To elementarna zasada wiarygodności. Bank nie powinien sam potwierdzać, że właściwie chronił depozyty. Szpital nie powinien sam rozstrzygać, czy popełnił błąd. Urząd również nie powinien być jedynym sędzią we własnej sprawie.

Publiczna usługa czy maszyna reklamowa?

Najbardziej wymownego materiału nie dostarcza jednak sygnalista, lecz same podmioty związane z miastem. Polityka prywatności portalu lodz.pl wymienia wśród celów stosowania plików cookies marketing, remarketing, serwowanie reklam, programy afiliacyjne oraz reklamy dostosowane do preferencji użytkowników. Dokument informuje też o wykorzystywaniu Google AdSense i Google Analytics. Wśród danych zbieranych automatycznie wymienia adres IP, przybliżoną lokalizację, odwiedzane podstrony, czas spędzony w serwisie, system operacyjny i źródło wejścia. Jednocześnie zapewnia, że dane osobowe podane dobrowolnie nie są odsprzedawane podmiotom trzecim.

To ostatnie zdanie jest istotne, ale nie zamyka dyskusji. Współczesna reklama internetowa nie potrzebuje przecież arkusza z nazwiskami, by skutecznie dzielić ludzi na grupy, mierzyć ich zachowania i dopasowywać komunikaty. Spór nie sprowadza się więc do pytania, czy ktoś przekazał reklamodawcy nazwisko Jana Kowalskiego. Chodzi również o to, czy aktywność mieszkańców w miejskim ekosystemie może służyć do budowania segmentów marketingowych, na jakiej podstawie i pod czyją kontrolą.

Łódź Media Group przedstawia się jako część Łódzkiej Organizacji Turystycznej. W swojej ofercie podaje 100 tys. aktywnych użytkowników aplikacji Łódź.pl, 174 tys. adresów e-mail i 170 tys. numerów telefonów. Reklamodawcom proponuje targetowanie według płci, wieku, zainteresowań, struktury rodziny oraz miejsca zamieszkania. Na stronie firmy znajduje się również informacja, że posiadane dane osobowe i związane z nimi możliwości profilowania pochodzą z systemu Karta Łodzianina oraz aplikacji Łódź.pl.

To nie jest dowód, że dane zostały wykorzystane niezgodnie z prawem. Jest to jednak materiał, którego urząd nie może zbyć ogólnym zapewnieniem, że wszystko działa poprawnie. Miasto powinno dokładnie wyjaśnić, co oznaczają „posiadane dane osobowe”, jak powstają grupy odbiorców, jakie zgody obejmują komunikację komercyjną, czy informacje z różnych miejskich usług są ze sobą łączone oraz jakie zabezpieczenia uniemożliwiają wykorzystanie ich w innym celu. Nie dlatego, że każdy system reklamowy jest z definicji nadużyciem. Dlatego, że Karta Łodzianina nie jest zwykłym programem lojalnościowym prywatnej sieci sklepów. Nosi nazwę miasta i korzysta z autorytetu instytucji publicznej.

Zgoda nie może być ceną za kontakt z miastem

Najłatwiejsza obrona brzmi: komercyjne portale robią to samo. Być może. Tyle że lodz.pl nie jest prywatnym medium, które mieszkaniec może bez konsekwencji zignorować. To część miejskiego systemu informacji, promowana przez samorząd i finansowana lub organizowana z udziałem publicznych instytucji. Strona urzędu, karta mieszkańca i aplikacja miejska nie powinny kopiować standardów platform, których model biznesowy opiera się na przekształcaniu uwagi użytkowników w towar.

Samorząd ma inne zadanie. Powinien ograniczać zbieranie danych, upraszczać odpowiedzialność i dawać mieszkańcowi realny wybór. Nie ukrywać go w wielostronicowej polityce prywatności, lecz wyjaśnić prostym językiem: co zbieramy, po co, na jak długo i komu to przekazujemy. Jeżeli miasto chce jednocześnie informować mieszkańców, świadczyć usługi i prowadzić działalność reklamową, musi postawić między tymi funkcjami wyraźne granice. Dziś ich nie widać.

Sprawa trafiła do Rzecznika Praw Obywatelskich, ale samo złożenie wniosku nie oznacza wszczęcia postępowania ani potwierdzenia zawartych w nim zarzutów. Nie ma również publicznej decyzji UODO przesądzającej, że w Łodzi naruszono przepisy o ochronie danych. Do czasu takiego rozstrzygnięcia nie wolno wydawać wyroków. Wolno natomiast wymagać odpowiedzi.

Łódź nie potrzebuje kolejnego uspokajającego komunikatu. Potrzebuje niezależnego audytu, opublikowanych wyników i wskazania jednej instytucji, która bierze odpowiedzialność za cały system. Nie za pojedynczą stronę, aplikację albo techniczny moduł, lecz za pełną drogę danych mieszkańca. Samorząd nie może oczekiwać zaufania tylko dlatego, że reprezentuje władzę publiczną. Musi na nie zasłużyć. Zwłaszcza wtedy, gdy w grę wchodzą informacje, których raz utraconej kontroli nie da się odzyskać.