Naruszenie ochrony danych osobowych w oświadczeniu majątkowym

Oświadczenie majątkowe to dokument, w którym osoba ujawnia informacje o swoim majątku, dochodach i zobowiązaniach. Jego celem jest zapewnienie przejrzystości oraz zapobieganie korupcji.

Takie oświadczenie majątkowe składa się z części A oraz części B. Wszystkie istotne informacje o mieszkaniu, kredycie, samochodzie czy oszczędnościach znajdują się w Części A.

Część B dotyczy adresu zamieszkania osoby składającej oświadczenie oraz miejsca położenia nieruchomości wymienionych w części A. Część B co do zasady nie jest jawna w takim samym zakresie jak część A — dane te podlegają ochronie ze względu na prywatność i bezpieczeństwo.

Urzędy w Polsce są zobowiązane udostępnić do publicznej wiadomości oświadczenie majątkowe, ale nie mogą udostępniać zawartości części B.

Realizowane jest to w ten sposób, że oświadczenie majątkowe jest udostępnione w formie pliku PDF, a część B, na której są wrażliwe informacje, jest zamazana lub zakryta polem opatrzonym odpowiednią klauzulą prawną, mówiącą, na jakiej podstawie dokonano utajnienia tej części oświadczenia.

Skąd wiemy, że dane wyciekają?

Na naszej stronie udostępniamy szereg narzędzi, z których korzystają również urzędy. Do grupy takich narzędzi należą konwertery do dokumentów PDF, które umożliwiają np. zrobienie pliku PDF z wielu obrazków lub zamienienie pliku PDF na format tekstowy Word.

🔗 https://aztekium.pl/zamiana/pdf-na-word/ →

Co ten program robi? Po prostu zamienia treść pliku PDF na formę tekstową, którą można wkleić do Worda lub innego programu.

Co się wydarzyło?

Jeden klient napisał do nas e-mail, w którym stwierdził, że po rozpoznaniu pliku PDF z oświadczeniem majątkowym radnego ukazał się w wyniku jego adres domowy (ten z części B), który normalnie nie istnieje na dokumencie i powinien być tajny.

Poprosiliśmy go o ten dokument i faktycznie okazało się, że nasz konwerter w jakiś dziwny sposób generuje adres, którego nie widać nigdzie na dokumencie.

Postanowiliśmy sprawdzić jak to jest możliwe.

Ujawnienie danych osobowych — błąd urzędnika

Po zbadaniu tematu okazało się, że problem z ujawnieniem danych osobowych polega na niewłaściwym ukryciu tych danych w dokumencie.

Otóż, niektóre urzędy "idą na łatwiznę" i zasłaniają wrażliwe dane edytując plik PDF specjalnym programem do edycji plików PDF. Zasłaniają te dane w taki sposób, że kopiują obrazek z odpowiednią adnotacją i tym zdjęciem zasłaniają wrażliwe dane zapisując tak edytowany plik.

Na PDF-ie wszystko może wyglądać poprawnie.

Część z adresem jest niewidoczna, zasłania go odpowiednia adnotacja. Problem polega jednak na tym, że samo nałożenie na tekst czarnego prostokąta lub innej adnotacji nie musi usuwać znajdujących się pod spodem danych.
W zależności od sposobu przygotowania pliku, tekst może nadal pozostawać w strukturze PDF i być możliwy do skopiowania, wyodrębnienia lub odsłonięcia.

Po tym fakcie sprawdziliśmy oświadczenia majątkowe na BIP-ach kilku wybranych losowo urzędów i po kilkunastu próbach udało nam się znaleźć oświadczenia, w których dane osobowe zostały niewłaściwie zakryte.

Dlaczego nasz program ujawniał dane?

Z prostego powodu. Program skonstruowany był tak, że rozpoznawał tekst kolejno z wszystkich bloków w dokumencie PDF, również z tych niewidocznych.

Program "nie wiedział", że nad jakimś blokiem tekstu jest inny blok tekstu, który go zasłania.

Analizował jeden po drugim.

Aktualnie poprawiliśmy ten problem, żeby program odwzorowywał dokładnie taki dokument jaki widać i nie analizował treści ukrytych pod spodem.

Jak poprawnie wykonać oświadczenie majątkowe?

Istnieje kilka sposobów przygotowania dokumentu tak, aby dane wrażliwe zostały rzeczywiście usunięte z wersji przeznaczonej do publikacji.

Sposób nr 1 — fizyczne zasłonięcie

Najbezpieczniejszą metodą jest fizyczne zasłonięcie części wrażliwych i przeskanowanie tak utajnionego oświadczenia.

Dlaczego to działa?

Wtedy mamy sto procent pewności, że żadne dane nie wyciekną, o ile karteczka nie jest zbyt przeźroczysta.

Ta metoda znacznie ogranicza ryzyko przypadkowego ujawnienia danych znajdujących się pod zasłoniętym fragmentem, ale jest trochę kłopotliwa ze względu na różny rozmiar zasłanianych danych i konieczność skanowania dokumentów z przyklejonymi karteczkami.

Sposób nr 2 — redakcja PDF

To faktycznie edycja przy użyciu edytora PDF, ale ze szczególną ostrożnością.

Bezpieczna metoda to użycie funkcji redakcji (redaction), która oznacza fragment jako przeznaczony do usunięcia i następnie faktycznie usuwa znajdujący się pod nim tekst/dane.

Uwaga na dodatkowe dane

Warto też uważać na metadane, warstwy, załączniki i inne kopie informacji w dokumencie.

Czyli tak naprawdę edytując PDF-a nigdy nie mamy do końca pewności, czy jakieś dane nie zostały gdzieś ukryte.

Sposób nr 3 — PDF jako obrazy

Trzecim sposobem jest zamiana oświadczenia majątkowego na zdjęcia, zmodyfikowanie zdjęć z danymi wrażliwymi, a następnie stworzenie od nowa pliku PDF na bazie tych poprawionych zdjęć.

Ten sposób ma tę zaletę, że prawie wszystko zrobimy na komputerze, co ułatwia zasłanianie nietypowych rozmiarowo obszarów.

Na początek musimy pozyskać obrazki z oświadczenia majątkowego. Współczesne skanery dają taką możliwość.

Przy skanowaniu oświadczenia wybieramy format docelowy JPG lub PNG. Wtedy zamiast dokumentu PDF uzyskamy obrazki, których ilość będzie odpowiadała ilości stron oświadczenia majątkowego.

Jeżeli jednak posiadamy oświadczenie w pliku PDF, to możemy wyodrębnić te obrazki używając tego narzędzia:

🔗 https://aztekium.pl/zamiana/na-jpg/ →

Jeżeli posiadamy strony oświadczenia majątkowego w formie obrazów, możemy przystąpić do utajniania wrażliwych danych.

Robimy to w prosty sposób. Kopiujemy zdjęcie z odpowiednią adnotacją. Następnie edytujemy to zdjęcie, gdzie są dane wrażliwe (nawet w notatniku) i wklejamy adnotację w taki sposób, żeby zasłoniła to co chcemy.

Przez obrazek rozumiemy jedną stronę oświadczenia majątkowego. Obrazki (zdjęcia) same w sobie "są bezpieczne".

💡 Zapamiętaj

Jeżeli coś usunęliśmy ze zdjęcia, to nie można tego już przywrócić na tym samym zdjęciu.

🖼️ Zdjęcie

Jeśli podczas edycji narysujesz prostokąt na fragmencie zdjęcia, a następnie zapiszesz wynik jako spłaszczony obraz (np. JPG/PNG), zasłonięte piksele zostają zastąpione.

Nie ma już pod nimi oryginalnego fragmentu do „odsłonięcia”.

📄 PDF

Jeśli w edytorze PDF położysz np. czarny prostokąt nad istniejącym tekstem, to tekst może nadal znajdować się w strukturze PDF.

W takim przypadku ktoś może usunąć/zmienić prostokąt albo skopiować tekst spod niego i odzyskać informację.

Ostatni krok — ponowne wygenerowanie pliku PDF

Ostatnim krokiem jest ponowne wygenerowanie pliku PDF, wstawiając do niego edytowane obrazki.

Tak przygotowane poprawne zdjęcia należy zamienić na plik PDF. Np. używając tego narzędzia:

🔗 https://aztekium.pl/zamiana/na-pdf/ →

Należy pamiętać o alfabetycznym nazywaniu obrazów.

Strona01.jpg
Strona02.jpg
Strona03.jpg
Strona04.jpg

Program ułoży strony w takiej kolejności, jak są nazwane pliki.

Gotowe.

Tak wygenerowany plik PDF, w którym dane osobowe zostały ukryte na poziomie zdjęć, eliminuje ryzyko odzyskania z samego obrazu informacji, które zostały wcześniej zasłonięte, pod warunkiem że przygotowano i zweryfikowano wszystkie strony dokumentu. Nie ma możliwości, żeby ktoś wyciągnął z niego to, co wcześniej ukryliśmy.

Checklist: czy dokument jest gotowy do publikacji?

Zanim opublikujesz oświadczenie majątkowe, warto sprawdzić kilka podstawowych rzeczy. Czy na pewno żadne dane nie pozostały w dokumencie?

✓ Czy dane z części niejawnej zostały rzeczywiście usunięte, a nie tylko zasłonięte?

✓ Czy można zaznaczyć lub skopiować tekst znajdujący się pod zasłoniętym fragmentem?

✓ Czy PDF nie zawiera ukrytych warstw, komentarzy, adnotacji lub załączników?

✓ Czy w dokumencie nie pozostała wcześniejsza wersja ujawnianych danych?

✓ Czy wszystkie strony dokumentu zostały dokładnie sprawdzone?

✓ Czy gotowy plik został ponownie otwarty i sprawdzony przed publikacją?

✓ Czy w opublikowanym pliku nie ma dodatkowych informacji, które mogą pozwolić na identyfikację adresu osoby?

Ważne: samo wizualne zasłonięcie danych nie oznacza jeszcze, że zostały one usunięte z dokumentu. Przed publikacją warto zweryfikować gotowy plik również pod kątem jego wewnętrznej struktury.