Najważniejsze wnioski

  • „RODO zabrania” i „bezpieczeństwo pozwala na wszystko” są równie błędne. Dane można przekazać tylko wtedy, gdy istnieje określony cel, właściwa podstawa prawna, konieczność i proporcjonalny zakres.
  • Ochrona danych oraz tajemnica zawodowa to dwa różne filtry. Można mieć podstawę do przetwarzania danych, lecz nadal nie mieć prawa zwolnić lekarza, psychologa lub innego profesjonalisty z tajemnicy.
  • Zgoda nie jest uniwersalną podstawą współpracy wieloagencyjnej. W relacji zależności może nie być dobrowolna, można ją wycofać, a interwencje wykonywane jako obowiązek publiczny potrzebują własnej podstawy.
  • Dane o zdrowiu, poglądach politycznych, religii i pochodzeniu należą do szczególnych kategorii. Dane o wyrokach i naruszeniach prawa mają odrębny reżim. Nie wolno umieszczać ich w teczce „na wszelki wypadek”.
  • W sytuacji wiarygodnego zagrożenia zakres ujawnienia wyznacza działanie potrzebne do ochrony, nie ciekawość odbiorców. Niekiedy wystarczy informacja o celu, czasie i zachowaniu bez diagnozy ani całej biografii.
  • Dobra dokumentacja oddziela fakt, źródło, cytat, profesjonalną opinię, hipotezę i niewiedzę. Informacja „krążąca” między instytucjami nie staje się prawdziwsza.
  • Dostęp powinien wynikać z roli i bieżącego zadania. Członkostwo w szerokim zespole nie daje prawa do pełnej dokumentacji medycznej, policyjnej i rodzinnej.
  • Każde ujawnienie powinno pozostawiać ślad: kto, komu, co, po co, na jakiej podstawie, kiedy i z jakimi ograniczeniami przekazał.
  • Dane wymagają terminu przeglądu, korekty i usunięcia. Bezterminowy magazyn podejrzeń pogarsza trafność ocen oraz prawa człowieka.
  • Artykuł przedstawia ramy praktyczne, nie indywidualną poradę prawną. Program działający w Polsce musi przełożyć je na własne kompetencje ustawowe z udziałem prawnika i inspektora ochrony danych.

Jedna sprawa, kilka reżimów

Na konferencji przypadku mogą spotkać się policjant, lekarz, psycholog, kurator, nauczyciel, pracownik socjalny, samorząd i organizacja pozarządowa. Nie wchodzą oni do jednego „prawnego pokoju”, w którym wszystkie informacje stają się wspólne.

Każdy podmiot ma:

  • własne zadanie i kompetencje;
  • własnego administratora danych;
  • inną podstawę zbierania informacji;
  • inną tajemnicę zawodową;
  • inne zasady dostępu, retencji i nadzoru;
  • odpowiedzialność za dalsze użycie otrzymanych danych.

Porozumienie międzyinstytucjonalne może opisać proces, lecz nie tworzy kompetencji, których ustawa nie przewiduje. Zgoda uczestnika może umożliwić część wymiany, ale nie legalizuje dowolnego, nieograniczonego archiwum.

Cztery pytania przed każdym przekazaniem

Pracownik powinien umieć odpowiedzieć:

  1. Jaki konkretny cel ma ujawnienie?
  2. Jaka norma pozwala mojej instytucji przekazać ten rodzaj danych temu odbiorcy?
  3. Czy tajemnica zawodowa pozwala na ujawnienie?
  4. Jaki najmniejszy zakres wystarczy odbiorcy do działania?

Jeżeli jedyną odpowiedzią jest „bo to zespół bezpieczeństwa”, decyzja nie jest gotowa.

Piąte pytanie: co się stanie po przekazaniu

Należy także ustalić:

  • czy odbiorca jest uprawniony i potwierdzony;
  • jak zabezpieczy dane;
  • czy może użyć ich do innego celu;
  • komu może przekazać dalej;
  • kiedy je zaktualizuje lub usunie;
  • czy osoba zostanie poinformowana.

Informacja nie znika z odpowiedzialności nadawcy w chwili wysłania.

Ochrona danych nie jest tym samym co poufność

Ochrona danych

Reguluje operacje na informacjach o możliwej do zidentyfikowania osobie: zbieranie, porządkowanie, dostęp, analizę, przekazywanie, przechowywanie i usuwanie. RODO wymaga zgodności z prawem, rzetelności, przejrzystości, ograniczenia celu, minimalizacji, prawidłowości, ograniczenia przechowywania, bezpieczeństwa i rozliczalności.1

Tajemnica zawodowa

Chroni treść powierzoną określonemu profesjonaliście w ramach relacji. Jej źródłem może być ustawa regulująca zawód, prawa pacjenta, procedura karna, kodeks etyczny albo umowa. Wyjątki i krąg osób objętych tajemnicą różnią się.

Oba filtry działają łącznie

Przykład: szpital ma podstawę przetwarzać dane zdrowotne do leczenia. Nie wynika z tego prawo wysłania całej historii policji. Odwrotnie, lekarz może mieć ustawowy wyjątek od tajemnicy w związku z niebezpieczeństwem dla życia lub zdrowia, ale nadal powinien ujawnić tylko dane konieczne i zadbać o bezpieczny kanał.

Najpierw ustalić, kto jest administratorem i po co przetwarza

Administrator określa cele i sposoby przetwarzania. W programie wieloagencyjnym możliwe są trzy układy.

Odrębni administratorzy

Każda instytucja realizuje własne zadanie i odpowiada za własną kopię danych. Przekazanie między nimi wymaga podstawy po obu stronach.

Współadministratorzy

Dwa podmioty wspólnie ustalają cel i zasadnicze sposoby przetwarzania. Powinny przejrzyście podzielić obowiązki, w tym obsługę praw osoby i incydentów. Sama obecność na spotkaniu nie tworzy automatycznie współadministrowania.

Podmiot przetwarzający

Usługodawca działa wyłącznie w imieniu administratora według umowy lub aktu prawnego. Nie może samodzielnie używać danych do własnych celów. Dostawca systemu informatycznego i organizacja prowadząca interwencję mogą mieć odmienne role.

Nieprecyzyjne nazwanie relacji „partnerstwem” nie rozstrzyga odpowiedzialności.

RODO czy reżim policyjno-karny

RODO jest ogólną ramą przetwarzania danych w UE. Nie ma jednak zastosowania do przetwarzania przez właściwe organy w celach zapobiegania, wykrywania, ścigania przestępstw, wykonywania kar oraz ochrony przed zagrożeniami bezpieczeństwa publicznego objętych dyrektywą (UE) 2016/680.2

W Polsce dyrektywę wdraża ustawa z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.3

Decyduje cel i rola, nie nazwa instytucji

Policja przetwarzająca dane do postępowania działa w reżimie właściwym organom ścigania. Ten sam urząd, wykonując zadanie kadrowe albo prowadząc stronę internetową, może podlegać RODO. Organizacja społeczna nie przechodzi automatycznie do reżimu policyjnego dlatego, że współpracuje z policją.

Zespół musi ustalić podstawę dla każdego przepływu, zwłaszcza gdy dane przechodzą między reżimami.

Po co to rozróżnienie

Różnią się zasady dotyczące:

  • informowania osoby;
  • ograniczenia jej praw;
  • oznaczania kategorii osób;
  • okresowej weryfikacji;
  • logowania dostępu;
  • nadzoru;
  • dalszego przekazania.

Nie wolno kopiować jednej polityki prywatności do całego systemu.

Kategorie danych szczególnie istotne w deradykalizacji

Zwykłe dane osobowe

Imię, telefon, adres, harmonogram spotkań i informacja o zatrudnieniu mogą być wrażliwe w potocznym sensie, choć nie wszystkie należą do „szczególnych kategorii” RODO. Nadal wymagają podstawy i ochrony.

Szczególne kategorie

RODO obejmuje szczególną ochroną dane ujawniające między innymi:

  • pochodzenie rasowe lub etniczne;
  • poglądy polityczne;
  • przekonania religijne lub światopoglądowe;
  • zdrowie;
  • biometrię używaną do jednoznacznej identyfikacji;
  • seksualność i orientację seksualną.1

Program deradykalizacyjny niemal z definicji może dotykać kilku kategorii jednocześnie. Potrzebuje zarówno podstawy z art. 6 RODO, jak i wyjątku od zakazu z art. 9, gdy RODO ma zastosowanie.

Wyroki i naruszenia prawa

Art. 10 RODO ogranicza przetwarzanie danych dotyczących wyroków, naruszeń prawa i środków bezpieczeństwa do nadzoru władz publicznych lub przypadków dozwolonych prawem z odpowiednimi zabezpieczeniami.1 Nie wystarczy ogólny „prawnie uzasadniony interes” prywatnej organizacji.

Dane dzieci

Dziecko wymaga szczególnej ochrony. Informacje o rodzicach, przemocy domowej, edukacji, zdrowiu i radykalizacji nie powinny trafiać do jednego nieograniczonego profilu rodzinnego. Dobro dziecka, zdolność do wyrażenia stanowiska, władza rodzicielska i obowiązki ochronne muszą być analizowane osobno.

Informacje o osobach trzecich

Notatka o uczestniku często zawiera dane partnerki, dzieci, współpracowników, ofiar i zgłaszającego. Ich prawa nie znikają dlatego, że plik nosi nazwisko głównej osoby.

Podstawa prawna: zgoda jest tylko jedną z możliwości

Art. 6 RODO wymienia między innymi zgodę, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, zadanie w interesie publicznym i prawnie uzasadniony interes.1 Podmiot publiczny realizujący swoje zadania nie powinien wygodnie zastępować podstawy ustawowej „zgodą”.

Zgoda

Musi być dobrowolna, konkretna, świadoma, jednoznaczna i możliwa do wycofania. Dla szczególnych kategorii zwykle potrzebna jest zgoda wyraźna, jeżeli to na niej opiera się przetwarzanie.

Zgoda jest wątpliwa, gdy:

  • odmowa grozi sankcją;
  • osoba nie rozumie odbiorców;
  • formularz łączy wiele celów;
  • pomoc podstawowa zależy od zgody na szeroką wymianę;
  • nie ma rzeczywistej możliwości wycofania;
  • administrator i zakres danych są nieokreślone.

Obowiązek prawny i zadanie publiczne

Muszą wynikać z prawa określającego zadanie oraz odpowiednie zabezpieczenia. Ogólna misja „zapobiegania zagrożeniom” nie zawsze jest wystarczająco precyzyjna dla gromadzenia danych o zdrowiu i poglądach.

Prawnie uzasadniony interes

Może dotyczyć niektórych podmiotów niepublicznych, ale wymaga konieczności i wyważenia z prawami osoby. Nie otwiera art. 9 ani 10 sam z siebie i nie służy władzom publicznym przy realizacji ich zadań.

Żywotne interesy

To wąska podstawa dla rzadkich, konkretnych sytuacji ochrony życia lub istotnych interesów osoby, zwłaszcza gdy nie jest zdolna wyrazić zgody. Europejska Rada Ochrony Danych ostrzega, że nie jest to codzienna podstawa rutynowego systemu.4

Stały program nie może opierać całej wymiany na tym, że potencjalnie kiedyś wydarzy się kryzys.

Tajemnica medyczna i psychologiczna w Polsce

Lekarz

Art. 40 ustawy o zawodach lekarza i lekarza dentysty ustanawia tajemnicę informacji związanych z pacjentem. Przewiduje wyjątki, między innymi gdy tak stanowi ustawa, pacjent świadomie wyraża zgodę albo zachowanie tajemnicy może stanowić niebezpieczeństwo dla życia lub zdrowia pacjenta bądź innych osób.5

Wyjątek nie oznacza obowiązku przesłania całej dokumentacji. Należy rozważyć odbiorcę, zakres i działanie ochronne.

Prawa pacjenta

Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta nakłada na osoby wykonujące zawód medyczny obowiązek zachowania tajemnicy, z ustawowymi wyjątkami. Tajemnica i zasady dostępu do dokumentacji medycznej to powiązane, ale nieidentyczne kwestie.6

Psycholog

Ustawa o zawodzie psychologa przewiduje obowiązek tajemnicy oraz wyjątek, gdy poważnie zagrożone jest zdrowie lub życie klienta albo innych osób, a także w sytuacjach określonych ustawą.7 W praktyce status konkretnej usługi, zawodu i dokumentacji trzeba zweryfikować; nie każda osoba nazywana „terapeutą” podlega dokładnie tej samej regulacji.

Inne zawody

Pracownicy socjalni, kuratorzy, nauczyciele, mediatorzy, duchowni i funkcjonariusze działają w różnych reżimach. Nie można przenieść wyjątku lekarza na mentora ani tajemnicy spowiedzi na całą działalność lidera religijnego.

Program powinien mieć tabelę ról przygotowaną przez prawnika, aktualizowaną po zmianie przepisów.

Test konieczności i proporcjonalności

Przed ujawnieniem należy przejść siedem kroków.

1. Nazwać szkodę

Nie „radykalizacja”, lecz na przykład groźba wobec konkretnej osoby, ryzyko samobójcze, przemoc domowa albo wykorzystanie dziecka.

2. Określić działanie odbiorcy

Co odbiorca może legalnie zrobić? Jeżeli nie ma zadania, przekazanie będzie jedynie „dla wiedzy”.

3. Sprawdzić podstawę i tajemnicę

Podstawa administratora, warunek dla szczególnej kategorii, przepis zawodowy i kompetencja odbiorcy.

4. Rozważyć zgodę

Jeżeli jest bezpieczna i rzeczywiście dobrowolna, może zwiększyć przejrzystość. Jeżeli pytanie o zgodę mogłoby przyspieszyć zagrożenie lub nie jest ona podstawą, należy oprzeć się na właściwym przepisie, nie tworzyć fikcyjnego formularza.

5. Ograniczyć zakres

Czy odbiorca potrzebuje diagnozy, czy wystarczy opis aktualnego zachowania? Czy potrzebuje całego manifestu, czy konkretnego fragmentu z kontekstem?

6. Wybrać bezpieczny kanał

Potwierdzony adresat, szyfrowanie lub system służbowy, oznaczenie wrażliwości, zakaz dalszego użycia tam, gdzie właściwy.

7. Udokumentować i zaplanować przegląd

Co przekazano, dlaczego, komu, przez kogo, kiedy, jaki był skutek i czy informacja wymaga aktualizacji.

Minimalizacja nie oznacza okaleczenia informacji

Przekazanie zbyt małej ilości danych może być równie niebezpieczne jak zbyt dużej. Zdanie „osoba jest ryzykowna” bez zachowania, czasu i źródła uniemożliwia odbiorcy ocenę. Minimalny zakres musi być wystarczający do zadania.

Warstwy pakietu informacji

  1. Alarm: kto lub co wymaga ochrony, jaka jest pilność i gdzie zadzwonić.
  2. Pakiet działania: zachowanie, kontekst, dostęp, znane zabezpieczenia.
  3. Formulacja: mechanizmy, alternatywy i czynniki ochronne dla zespołu prowadzącego.
  4. Dokumentacja źródłowa: dostęp tylko dla osób, które muszą ją zweryfikować.

Nie każdy odbiorca potrzebuje wszystkich warstw.

Redakcja i streszczenie

Czasem bezpieczniej jest przekazać streszczenie niż pełny dokument, pod warunkiem że:

  • jasno oznaczono autora;
  • oddzielono cytat od interpretacji;
  • nie zmieniono sensu;
  • odbiorca wie, że istnieje materiał źródłowy;
  • można zweryfikować kluczowy fakt.

Fakt, interpretacja i źródło

Fakt bezpośredni

12 maja o 14:08 system kontroli wejść odnotował użycie karty przy drzwiach X.

Relacja

Świadek A podał, że osoba powiedziała „…”. Nie ma nagrania.

Opinia profesjonalna

Lekarz rozpoznał epizod psychotyczny po badaniu 13 maja.

Hipoteza

Zespół ocenia, że zachowanie może łączyć urazę z próbą zbliżenia do celu; alternatywą jest zwykła próba złożenia skargi.

Niewiedza

Nie ustalono, czy osoba zna harmonogram celu.

Mieszanie tych kategorii jest źródłem eskalacji. „Według policji jest ekstremistą” może po kilku przekazaniach zostać zapisane jako diagnoza, choć pierwotna notatka mówiła tylko o obecności na legalnym proteście.

Ocena jakości źródła

Warto oznaczać:

  • bezpośredniość;
  • aktualność;
  • niezależność;
  • możliwość weryfikacji;
  • konflikt interesów;
  • zgodność z innymi danymi.

Pięć instytucji powtarzających jeden wpis nie daje pięciu potwierdzeń. Koordynator powinien dotrzeć do źródła lub oznaczyć informację jako niezweryfikowaną.

Prawo do korekty

Jeżeli osoba wskazuje błąd, administrator ocenia żądanie według właściwego reżimu. Nawet gdy nie usuwa spornej opinii, może dołączyć stanowisko osoby i sprostować obiektywny fakt.

Korekta powinna dotrzeć do wcześniejszych odbiorców, gdy błąd wpływa na ich działanie.

Spotkanie wieloagencyjne bez „wspólnego stołu danych”

Przed spotkaniem

Organizator określa:

  • cel i decyzje;
  • podstawę udziału każdej instytucji;
  • kategorie koniecznych danych;
  • przewodniczącego i protokolanta;
  • zasady pilnego ujawnienia;
  • klasyfikację dokumentów;
  • listę odbiorców notatki.

Podczas spotkania

Każdy uczestnik ujawnia to, co jest konieczne dla danej decyzji. Może powiedzieć:

„Nie mogę przekazać pełnej diagnozy. Mogę potwierdzić, że aktualny stan zwiększa ryzyko impulsywnego działania i że ustalono plan na najbliższe 24 godziny”.

Ograniczenie nie powinno być traktowane jako brak współpracy.

Po spotkaniu

Notatka zawiera decyzje, podstawę, właścicieli i terminy. Nie musi zawierać pełnych wypowiedzi i wszystkich danych klinicznych. Każdy administrator zapisuje ją zgodnie ze swoją rolą.

Osoby zaproszone jednorazowo

Ekspert kulturowy, tłumacz, mentor lub przedstawiciel wspólnoty nie otrzymuje automatycznie dostępu do całego przypadku. Zakres, poufność i konflikt interesów ustala się przed udziałem.

Informowanie osoby

Przejrzystość jest zasadą, ale nie jest absolutna. W typowej sytuacji osoba powinna wiedzieć:

  • kto przetwarza dane;
  • w jakich celach i na jakiej podstawie;
  • jakie kategorie są zbierane;
  • komu mogą zostać ujawnione;
  • jak długo są przechowywane;
  • jakie ma prawa;
  • gdzie złożyć skargę;
  • jakie są granice poufności.

Kiedy informacja może być ograniczona

W reżimie policyjno-karnym prawo może ograniczać informowanie, aby nie utrudnić postępowania, nie narazić bezpieczeństwa publicznego lub praw innych osób. Ograniczenie musi mieć podstawę i zakres; „sprawa bezpieczeństwa” nie jest wieczystą klauzulą.

Nie zaskakiwać ujawnieniem

W terapii lub mentoringu granice poufności wyjaśnia się na początku i przypomina, gdy rozmowa zbliża się do progu. Jeżeli bezpieczne i prawnie możliwe, pracownik omawia z osobą, co przekaże oraz komu. Zwiększa to dokładność i zmniejsza poczucie zdrady.

Nie uprzedza się, jeśli mogłoby to zwiększyć zagrożenie, zniszczyć dowody lub narazić inną osobę.

Zgoda na wymianę informacji

Dobry formularz zgody wskazuje:

  • administratorów;
  • konkretne cele;
  • kategorie danych;
  • odbiorców lub ich kategorie;
  • czas;
  • sposób wycofania;
  • skutki odmowy;
  • elementy przetwarzane na innej podstawie.

Zgoda warstwowa

Osoba może zgodzić się na kontakt terapeuty z lekarzem w sprawie leczenia, ale nie na przekazanie notatek mentorowi. Warstwowa zgoda pozwala wybrać zakres tam, gdzie wybór jest realny.

Wycofanie

Wycofanie zgody działa na przyszłość i nie unieważnia wcześniejszego zgodnego przetwarzania. Administrator musi wiedzieć, które działania opierały się na zgodzie, a które na obowiązku prawnym.

Brak zgody

Nie wolno automatycznie interpretować odmowy jako wzrostu ryzyka. Może wynikać z rozsądnej troski o prywatność. Zespół ocenia zachowanie i stosuje inne podstawy tylko wtedy, gdy rzeczywiście istnieją.

Ujawnienie w sytuacji zagrożenia

Nie ma jednego uniwersalnego progu

Przepisy różnych zawodów używają odmiennych sformułowań, takich jak niebezpieczeństwo dla życia lub zdrowia albo poważne zagrożenie. Program powinien mieć procedurę konsultacji prawnej oraz dyżur dla przypadków pilnych.

Pytania operacyjne

  • Jak konkretna jest szkoda?
  • Jaka jest pilność?
  • Jak wiarygodne jest źródło?
  • Czy wskazano cel?
  • Co może zrobić odbiorca?
  • Czy można ochronić ludzi mniejszym zakresem?
  • Czy opóźnienie w celu konsultacji zwiększa szkodę?

Minimalny pakiet alarmowy

Może obejmować:

  • identyfikację osoby i celu;
  • dokładne zachowanie lub komunikat;
  • czas;
  • znany dostęp;
  • lokalizację;
  • stan wpływający na pilność;
  • dane nadawcy do weryfikacji.

Pełna historia traumy, seksualności lub rodziny zwykle nie jest konieczna.

Po ujawnieniu

Pracownik:

  1. potwierdza odbiór;
  2. zapisuje przesłanki;
  3. informuje przełożonego lub inspektora, gdy procedura tego wymaga;
  4. aktualizuje plan bezpieczeństwa;
  5. rozważa poinformowanie osoby;
  6. sprawdza skutek;
  7. koryguje dane, gdy pojawi się nowa informacja.

Ujawnienie nie zamyka odpowiedzialności klinicznej ani relacji pomocowej.

Dostęp oparty na roli

Zasada need to know nie oznacza „każdy członek zespołu powinien wiedzieć”. Oznacza dostęp do informacji koniecznej do konkretnego zadania.

Przykładowe warstwy dostępu

  • koordynator: aktualna formulacja, plan i działania;
  • klinicysta: dane potrzebne do opieki i bezpieczeństwa;
  • policja: informacje w granicach kompetencji i postępowania;
  • mentor: cele relacyjne, granice, próg pilnego kontaktu;
  • doradca zawodowy: potrzeby zatrudnienia i konieczne bezpieczeństwo;
  • administrator systemu: techniczny dostęp ograniczony i logowany;
  • audytor: dane zanonimizowane lub pseudonimizowane, gdy wystarczą.

Uprawnienie ma termin

Dostęp wygasa po zmianie roli, urlopie długoterminowym, zakończeniu usługi lub sprawy. Konta „na zapas” są luką.

Logi

System powinien rejestrować dostęp, zmianę, eksport i przekazanie odpowiednio do ryzyka. Log bez regularnego przeglądu ma ograniczoną wartość.

Dokumenty poza systemem

Prywatny telefon, komunikator, notes i skrzynka e-mail są częścią przetwarzania. Organizacja potrzebuje zasad pracy zdalnej, usuwania kopii, zgubienia urządzenia i nagrywania.

Bezpieczeństwo techniczne i organizacyjne

Zabezpieczenia powinny odpowiadać ryzyku dla osoby i innych ludzi, nie tylko kosztowi wycieku.

Podstawowe środki

  • silne uwierzytelnianie;
  • szyfrowanie w przesyle i spoczynku;
  • segmentacja dostępu;
  • zatwierdzone kanały;
  • kopie zapasowe;
  • aktualizacje;
  • ewidencja eksportów;
  • bezpieczne niszczenie;
  • szkolenie personelu;
  • testowanie procedur incydentu.

Pseudonimizacja i anonimizacja

Pseudonim nadal jest daną osobową, jeżeli można odtworzyć tożsamość. Anonimizacja musi być praktycznie nieodwracalna przy dostępnych środkach. Rzadkie kombinacje — wiek, miejscowość, wyrok i ideologia — mogą łatwo wskazać osobę mimo usunięcia nazwiska.

Ocena skutków dla ochrony danych

Systematyczna, rozległa ocena osób, łączenie danych zdrowotnych i politycznych oraz decyzje o dużym wpływie mogą wymagać oceny skutków dla ochrony danych. DPIA powinna poprzedzać system, a nie usprawiedliwiać gotową architekturę.

Analizuje konieczność, proporcjonalność, ryzyka dla praw, zabezpieczenia i możliwość rozwiązania mniej ingerującego.

Retencja: jak długo i dlaczego

„Może się kiedyś przydać” nie jest kryterium. Okres zależy od celu, podstawy, wymogów dokumentacyjnych, ryzyka, możliwości roszczeń i praw osoby.

Harmonogram powinien rozróżniać

  • zgłoszenia odrzucone;
  • przypadki aktywne;
  • dokumentację medyczną;
  • dane policyjno-karne;
  • notatki mentora;
  • materiały źródłowe;
  • logi dostępu;
  • dane ewaluacyjne;
  • kopie zapasowe.

Jedna data dla wszystkiego zwykle jest błędna.

Przegląd, nie automatyczne przedłużenie

Przedłużenie wymaga aktualnego celu. To, że osoba kiedyś została skierowana, nie uzasadnia zachowania niesprawdzonej informacji o poglądach przez całe życie.

Usunięcie, anonimizacja, archiwizacja

Są to różne operacje. Przeniesienie do archiwum nadal jest przechowywaniem danych osobowych. Anonimizacja może pozwolić na ewaluację, jeżeli ryzyko ponownej identyfikacji jest realnie usunięte.

Kopie i odbiorcy

Usunięcie w systemie głównym nie usuwa automatycznie plików w e-mailach i u partnerów. Procedura musi obejmować odbiorców, wersje robocze i kopie zapasowe w możliwym zakresie.

Aktualność i przegląd danych

Informacja w obszarze zagrożenia szybko się starzeje.

Każdy istotny wpis powinien mieć:

  • datę zdarzenia;
  • datę pozyskania;
  • autora;
  • źródło;
  • status weryfikacji;
  • okres aktualności;
  • datę przeglądu;
  • historię korekt.

Etykieta bez daty jest szczególnie groźna

„Wysokie ryzyko”, „psychotyczny”, „członek grupy” i „nie współpracuje” wymagają czasu, definicji i autora. Po roku mogą być fałszywe, nawet jeśli kiedyś były uzasadnione.

Aktualizacja w dół

System musi równie łatwo zapisywać spadek ryzyka, błędne zgłoszenie i zakończenie relacji z grupą. Baza, która dodaje alarmy, a nie umie ich wycofywać, produkuje systematyczne zawyżenie.

Dokumentowanie decyzji

Najlepsza notatka pozwala po czasie odpowiedzieć: „co rozsądny zespół wiedział wtedy i dlaczego wybrał to działanie?”.

Minimalna notatka

Pole Treść
Decyzja co postanowiono
Cel jakiej szkody lub potrzeby dotyczy
Fakty kluczowe dane z datą i źródłem
Interpretacja mechanizm i alternatywy
Prawo podstawa przetwarzania, ujawnienia i wyjątek od tajemnicy
Zakres co przekazano lub ograniczono
Odbiorca osoba, rola i kanał
Niepewność luki i sprzeczności
Proporcjonalność dlaczego nie wystarcza mniejsza ingerencja
Dalsze działania właściciel i termin
Przegląd data lub zdarzenie

Dokumentować także decyzję o nieujawnieniu

Jeżeli zespół uznał, że wypowiedź nie spełnia progu ujawnienia, powinien zapisać analizę i warunki ponownego rozważenia. Chroni to zarówno prywatność, jak i ciągłość bezpieczeństwa.

Nie pisać pod wyobrażone media

Notatka ma być rzetelna, a nie defensywna. Nadmiar niejasnych zastrzeżeń utrudnia działanie. Należy uczciwie opisać niepewność bez sztucznego „zabezpieczania się” etykietą wysokiego ryzyka.

Incydent ochrony danych

Wyciek może narazić uczestnika na odwet grupy, utratę pracy, stygmatyzację, przemoc wobec rodziny albo ujawnienie operacji. Potencjalna szkoda wykracza poza prywatność.

Pierwsze działania

  • ograniczyć dalszy dostęp;
  • zachować dowody techniczne;
  • ustalić zakres, dane i osoby;
  • ocenić ryzyko dla praw oraz bezpieczeństwa fizycznego;
  • powiadomić właściwe role wewnętrzne;
  • wykonać obowiązki zgłoszeniowe według reżimu;
  • poinformować osoby, gdy jest to wymagane i bezpieczne;
  • zmienić plan ochrony.

Nie wolno ukrywać incydentu z obawy o reputację programu.

Błędne ujawnienie jest także incydentem jakości

Przekazanie nieprawdziwej informacji o członkostwie w organizacji może być groźniejsze niż utrata numeru telefonu. Procedura powinna obejmować szybkie sprostowanie u wszystkich odbiorców.

Sześć przypadków porównawczych

1. Terapeuta i niejasna fantazja

Klient mówi, że czasem wyobraża sobie „zemstę na systemie”, nie wskazuje celu, boi się myśli i szuka pomocy. Automatyczne pełne zgłoszenie mogłoby naruszyć tajemnicę oraz zniechęcić do leczenia. Terapeuta ocenia zamiar, dostęp, samobójczość, kontekst i konsultuje zgodnie z procedurą.

2. Konkretny cel i pilny termin

Klient wskazuje osobę, czas i podjęte przygotowanie. Ujawnienie informacji potrzebnej do ochrony może opierać się na właściwym wyjątku, nawet bez zgody. Nadawca przekazuje zachowanie, cel, czas i dane konieczne do działania, nie całą historię terapii.

3. Szkoła i radykalne wypracowanie

Uczeń krytykuje demokrację i broni rewolucji, ale nie ma groźby ani zachowania przygotowawczego. Rozesłanie tekstu policji, psychiatrii i pomocy społecznej „dla wspólnej wiedzy” byłoby nieproporcjonalne. Szkoła może rozmawiać o dobrostanie i kontekście w ramach własnych zadań.

4. Kurator i lekarz

Kurator potrzebuje wiedzieć, czy stan wpływa na wykonanie warunków i bezpieczeństwo, ale nie musi znać pełnej historii traumy. Lekarz może przekazać funkcjonalny zakres na właściwej podstawie, na przykład zdolność uczestnictwa i plan kryzysowy.

5. Mentor dowiaduje się o kontakcie z grupą

Kontakt sam w sobie może być elementem normalnego procesu wychodzenia albo wzrostem ryzyka. Mentor nie przesyła całej rozmowy szerokiej liście. Zgodnie z ustalonym progiem kontaktuje koordynatora, podaje dokładny fakt i pilność.

6. Błędny wpis wraca po latach

Odrzucone zgłoszenie oparte na pomyłce pojawia się w nowej ocenie jako „historia ekstremizmu”. Administrator powinien sprostować źródło, oznaczyć wynik wcześniejszej weryfikacji i poinformować odbiorców. Sam fakt dawnego zgłoszenia może mieć znikomą wartość.

Najczęstsze błędy

„Ma zgodę, więc możemy wszystko”

Zgoda dotyczy określonych celów i danych. Nie usuwa minimalizacji, bezpieczeństwa ani tajemnic niepodlegających swobodnemu uchyleniu.

„RODO uniemożliwia ochronę”

Prawo przewiduje podstawy przetwarzania i wyjątki, lecz wymagają one konkretnej analizy. Odmowa z powodu ogólnego lęku przed RODO może narazić ludzi.

„Wspólny zespół to wspólny administrator”

Role wynikają z faktycznego ustalania celów i środków. Nazwa nie legalizuje przepływu.

Cała dokumentacja zamiast odpowiedzi

Wysyłanie setek stron przerzuca ocenę na odbiorcę i ujawnia niepotrzebne dane. Nadawca powinien umieć przygotować pakiet działania.

Dane bez pochodzenia

Kopiowany wpis traci autora i warunki. W konsekwencji plotka wygląda jak potwierdzony fakt.

Poufność jako obietnica absolutna

Pracownik, który obiecuje „nigdy nikomu nie powiem”, może później naruszyć zaufanie lub zaniechać koniecznej ochrony. Granice wyjaśnia się wcześniej.

Bezpieczeństwo jako stały wyjątek

Pilne ujawnienie nie uzasadnia wieloletniego dostępu wszystkich partnerów. Po kryzysie trzeba ponownie ocenić zakres.

Polityka organizacji: minimalny zestaw

Program powinien mieć:

  1. mapę celów, administratorów i reżimów;
  2. rejestr podstaw dla kategorii danych;
  3. tabelę tajemnic zawodowych i wyjątków;
  4. procedurę zgody;
  5. test ujawnienia bez zgody;
  6. kanał pilny dostępny poza godzinami;
  7. role i poziomy dostępu;
  8. wzór notatki decyzyjnej;
  9. harmonogram retencji;
  10. procedurę korekty i komunikacji do odbiorców;
  11. plan incydentu;
  12. ocenę skutków i przegląd prawniczy;
  13. szkolenie oparte na scenariuszach;
  14. audyt nierówności i nadużyć.

Polityka nie może składać się tylko z ogólnej klauzuli informacyjnej.

Audyt wymiany informacji

W próbie spraw warto sprawdzić:

  • czy każdy przepływ miał zapisany cel i podstawę;
  • czy ujawniono szczególne kategorie;
  • czy zakres odpowiadał zadaniu;
  • czy odbiorca był właściwy;
  • czy dane miały źródło i datę;
  • czy błędy skorygowano u partnerów;
  • czy dostępy wygasają;
  • czy odrzucone zgłoszenia są usuwane lub ograniczane;
  • czy grupy społeczne są nierówno profilowane;
  • czy osoba była informowana;
  • czy wyjątek od informowania był aktualnie uzasadniony;
  • czy incydenty prowadzą do zmiany systemu.

Audyt jakości powinien być oddzielony od audytu samej zgodności formalnej. System może mieć wszystkie formularze, a nadal przekazywać nieprawdziwe i nieprzydatne dane.

Minimalny algorytm dla praktyka

Przed wysłaniem informacji zatrzymaj się i zapisz:

Szkoda: czemu zapobiegam?
Odbiorca: jakie legalne działanie wykona?
Podstawa: co pozwala przetwarzać i ujawnić?
Tajemnica: czy obowiązuje i jaki wyjątek ma zastosowanie?
Zakres: jaka najmniejsza kompletna informacja wystarczy?
Kanał: jak potwierdzę adresata i odbiór?
Osoba: czy i kiedy ją poinformuję?
Ślad: gdzie zapiszę decyzję i termin przeglądu?

W sytuacji natychmiastowej proces może trwać minuty, ale nie znika. Działanie najpierw, pełna notatka zaraz po nim. W sprawie niepilnej brak odpowiedzi na jedno z pytań jest sygnałem do konsultacji, a nie powodem, by „na wszelki wypadek” rozesłać dane.

Granice artykułu

Przepisy zmieniają się, a szczegółowa odpowiedź zależy od roli, celu, ustawy sektorowej, statusu osoby i konkretnego zagrożenia. Instytucja powinna regularnie weryfikować akty w oficjalnych bazach, umowy, upoważnienia i orzecznictwo.

Nie istnieje konflikt „prywatność albo bezpieczeństwo”. Nierzetelna wymiana tworzy nadmiar alarmów, ukrywa ważne informacje w stercie danych, odstrasza od pomocy i utrwala błędy. Proporcjonalna wymiana zwiększa bezpieczeństwo właśnie dlatego, że odbiorca otrzymuje właściwą informację w czasie, w którym może coś zrobić.

Dobra dokumentacja nie ma udowodnić, że zespół zawsze miał rację. Ma umożliwić odtworzenie decyzji, korektę, skargę, uczenie się i zakończenie ingerencji, kiedy przestaje być konieczna.

Źródła