Як мені вдалось зупинити незаконний збір даних “Дією”

Усе почалося з того, що я вирішила підписати петицію на захист Карпат. Зі свого мобільного телефону перейшла на сайт петицій до президента і вже була готова пройти звичну ідентифікацію на Державному порталі інтегрованої системи електронної ідентифікації id.gov.ua, адже лише після цієї ідентифікації можна підтримати петицію, проте цього разу на мене очікував неприємний сюрприз.

Після того, як я зайшла на портал ідентифікації, екран смартфона повністю заблокувало сповіщення від стороннього комерційного сервісу Cookiebot by Usercentrics. Повідомлення вимагало погодитися на файли cookie. Я дуже трепетно ставлюсь до збору різними сервісами, хай навіть державними, моїх даних, тому хотіла обрати лише обов’язкові технічні кукі, а маркетингові, статистичні, “привілейовані” та некласифіковані (а там були й такі!) – відхилити. Та опцій відхилити всі, дозволити лише обов’язкові або продовжити без згоди просто не існувало. Оминути повідомлення теж не виходило – повідомлення закривало екран телефону і не давало перейти далі без погодження. Мене поставили перед ультиматумом: або я віддаю свої дані, або державний портал не дозволить мені підписати петицію чи скористатися іншою послугою, де потрібно пройти ідентифікацію.

Оскільки з телефону підписати петицію не вдалось, я вирішила зайти на сайт з комп’ютера, щоб обійти це обмеження. На десктопній версії порталу можна просто ігнорувати вікно з куками і пройти ідентифікацію. Але деякі мої друзі, які не мали такої можливості, погоджувались на нав’язані умови. “Петиція важливіша, ніж кукі”, написала мені подруга і натиснула “погодитись”. Інша, яка теж з телефону намагалась підписати петицію, просто закрила сторінку, щоб не погоджуватись на незрозуміле. Деякі друзі писали, що потім вичищали всі дозволи з налаштувань браузера. Але чи всі мають знання і час це робити? І взагалі чи законним є такі дії “Дії” (відповідає за систему електронної ідентифікації) і, власне, Міністерства цифрової трансформації (відповідає за “Дію”)?  

Маніпуляція і порушення

Є таке поняття як dark patterns або темні патерни. Це маніпулятивні техніки (інтерфейси), які використовуються у вебдизайні. Вони мають впливати на користувачів, щоб ті приймали рішення, які вигідні комусь (до прикладу, сервісу, провайдеру, компанії), і можуть бути шкідливими для приватності. Описана вище блокуюча вимога погодитись на файли кукі – класичний приклад темних патернів. 

Ба більше, коли державний портал, створений для безпечної ідентифікації громадян, змушує погоджуватися на додаткові, а тим більше маркетингові чи некласифіковані кукі, які, за описом самого сервісу, збираються для третіх сторін-рекламодавців, це прямо суперечить Закону “Про захист персональних даних”. Стаття 2 цього закону чітко визначає, що згода має бути добровільним волевиявленням. Примус під загрозою ненадання або ускладнення отримання державної послуги (навіть якщо на іншому пристрої можна обійти цей примус) не є добровільним. Стаття 6 закону вимагає відповідність збору й обробки даних меті, що визначена в нормативці, а державна ідентифікація не може мати на меті рекламу, маркетинг, щось некласифіковане та передачу даних третім сторонам. В Законі  “Про електронну ідентифікацію та електронні довірчі послуги” чітко вказано, що в питаннях захисту та обробки персональних даних ті, хто надає послуги з ідентифікації, керуються відповідним законом.

Крім того, згадана вище практика порушує положення Директиви ЄС про електронну приватність та Регламенту ЄС про захист персональних даних, на які орієнтується Україна. Згідно з директивою та настановами з питань захисту персональних даних, згода користувача не потрібна лише для суворо необхідних технічних куків (наприклад, для підтримки сесії авторизації чи вибору мови інтерфейсу). Ну а маркетингові та інші кукі завжди потребують права на відмову.  

Право на відмову

Я вирішила не мовчати, а діяти. Спершу надіслала запит на доступ до публічної інформації до Міністерства цифрової трансформації, щоб зрозуміти, які підстави для збору куків на порталі, попросила надати відповідні документи, обґрунтувати вибір компанії Usercentrics як підрядника. Також я поскаржилась до Уповноваженого Верховної Ради України з прав людини щодо порушення законодавства про захист персональних даних та створення перешкод у доступі до державних послуг.

Уповноважений одразу взяв в роботу моє звернення, відкрив провадження, а згодом надіслав вимогу до Мінцифри з припинення практики примусового збору куків та забезпечення реального права відмови. А от отримати повну відповідь від Мінцифри вдалось лише через майже два місяці.

Спершу в міністерстві мене ігнорували, хоча запит стовідсотково отримали й навіть комунікували зі мною щодо нього. Лише після нагадувань та публічного розголосу про ненадання відповіді на запит, мені таки надійшла загальна відповідь від Мінцифри – вони скеровують запит до ДП “Дія”, а ті вже надали (не з першого разу!) відповіді на запитання.

Поки моє листування з Мінцифри та ДП “Дія” тривало, за втручання Уповноваженого на порталі ідентифікації id.gov.ua з’явилась така довгоочікувана опція “Відмовитись” від файлів cookies.  

І от, вже після відновлення права на захист персональних даних, я нарешті отримала повну відповідь від ДП “Дія”. Правда, у відповіді йшлось про стан справ, коли порушення усунули, а про те, чому порушували раніше, – не сказали. Зокрема, мені надали  посилання на Prozorro про закупівлю послуги з менеджменту куків через ТОВ “Софтліст”. У відповіді від ДП “Дія” також зазначили, що функціонування інтегрованої системи електронної ідентифікації визначено постановою Кабміну №1150 “Про затвердження положення про інтегровану систему електронної ідентифікації”. І що експлуатаційні файли cookies є необхідною умовою роботи цієї системи (хоча ніхто не заперечував цього факту).

Діївці пояснили, що наразі на id.gov.ua використовуються виключно експлуатаційні файли cookies — статистичні cookies, без персоналізації користувача, призначені для підрахунку кількості відвідувачів, аналізу популярних сторінок та пошуку помилок або проблем у роботі сайту. Обробка даних, яка здійснюється через зазначені експлуатаційні файли cookies, проводиться у знеособленому (агрегованому) вигляді та не передбачає ідентифікації конкретних осіб. Вони наголосили, що “використання експлуатаційних файлів cookies на id.gov.ua здійснюється з дотриманням Директив ЄС”. Тепер так. Завдяки втручанню Уповноваженого з прав людини.

Я достеменно не знаю, чи це випадковість, що розробники Державної інтегрованої системи електронної ідентифікації додали сервіс, який безальтернативно збирав комерційні та інші кукі (розуміємо, дані), чи це був такий задум (незаконний). Але вдалось цю практику зупинити. 

І це перемога не лише над одним віконцем на сайті. Це крок до того, щоб український цифровий простір ставав по-справжньому європейським, безпечним і вільним від маніпуляцій, прихованих патернів та незаконного збору даних. Ця історія також про те, що варто боротись за свої права (і не лише свої!), писати запити й скарги на незаконні дії. Описаний вище досвід – свідчення того, що деколи це спрацьовує. Але…

Не “Дією” єдиною

Коли я почала працювати над цією темою, виявилось, що подібні практики існують не лише на рівні Мінцифри та підпорядкованому їй ДП “Дія”. Якщо ви зайдете на сайт Міністерства оборони чи внутрішніх справ, то на вас теж чекатиме спливаюче вікно, де пропонують погодитись на збір усіх файлів cookies. Опції відмовитись немає. Можна ігнорувати це віконце, воно не блокує доступ до порталів, але відмовитись від файлів cookies так само немає змоги. 

Якщо користуватись парламентським сайтом “Законодавство”, то віконечко-сповіщення з таймером на “Погоджуюсь” попереджає, що “Продовжуючи відвідування сайту, Ви погоджуєтесь на використання cookies та Політики конфіденційності”. Проте продовження користування сайтом по факту не є згодою! В налаштуваннях свого браузера я виявила, що після відвідування бази “Законодавство” файли cookie прописалися на весь домен rada.gov.ua, а на їхній збір я добровільної згоди не надавала. 

До того ж не на всіх державних сайтах пояснюють, які саме дані збирають, як їх видалити. І не дають можливості обрати лише необхідні файли кукі (ті самі технічні чи експлуатаційні), як це роблять ресурси Європейської комісії. Тому потрібно або погоджуватись на все, або ігнорувати, а потім зачищати в налаштуваннях браузера. 

Чому склалась така ситуація? Чи хтось регулює діяльність міністерств, парламенту щодо використання cookies? Можливо таки варто розробити порядок роботи з файлами cookies, який відповідає українському законодавству та праву ЄС? Щонайменше з урахуванням вимог до захисту персональних даних? Чому досі не реалізували можливість погоджуватись лише на необхідні файли, і люди віддають інформацію про свою активність в інтернеті стороннім сервісам? Все більше питань, які потребують відповіді.

Надія Бабинська, експертка з відкритих даних, засновниця щорічної Конференції закритих даних