Ełcka Inicjatywa Społeczna pod lupą. Zanim zostawisz tam swoje dane, warto zadać kilka pytań

W Ełku pojawiła się nowa platforma internetowa o nazwie Ełcka Inicjatywa Społeczna. Jej założenie na pierwszy rzut oka brzmi bardzo dobrze: mieszkańcy mają zgłaszać lokalne problemy, popierać inicjatywy, brać udział w głosowaniach i w ten sposób skuteczniej wpływać na to, co dzieje się w mieście.

Problem zaczyna się wtedy, gdy zajrzymy nieco głębiej – przede wszystkim do regulaminu i informacji o przetwarzaniu danych osobowych.

Nie chodzi przy tym o atakowanie samej idei obywatelskiej platformy. Takie narzędzia mogą być mieszkańcom bardzo potrzebne. Jeżeli jednak serwis zbiera imię, nazwisko, ulicę zamieszkania, informacje o poparciu konkretnej inicjatywy i jednocześnie stosuje techniczne mechanizmy identyfikowania urządzeń użytkowników, wymagania dotyczące prywatności powinny być potraktowane wyjątkowo poważnie.

Po analizie dokumentów Ełckiej Inicjatywy Społecznej mam kilka istotnych wątpliwości. I do czasu ich wyjaśnienia sam dwa razy zastanowiłbym się, zanim pozostawiłbym na tej platformie swoje prawdziwe dane osobowe.

Kto właściwie odpowiada za platformę?

Zacznijmy od rzeczy najbardziej podstawowej.

W regulaminie serwisu czytamy, że operatorem i jednocześnie usługodawcą jest:

„nieformalna grupa mieszkańców Ełku działająca pod nazwą Ełcka Inicjatywa Społeczna”, bez osobowości prawnej, a jako kontakt wskazany jest e-mail.

I tutaj pojawia się pierwsze pytanie: kto konkretnie świadczy tę usługę?

Nie chodzi wyłącznie o RODO.

Skoro regulamin sam wskazuje, że operator jest usługodawcą w rozumieniu ustawy o świadczeniu usług drogą elektroniczną, trzeba zajrzeć do art. 5 tej ustawy.

Przepis mówi, że usługodawca powinien w sposób wyraźny, jednoznaczny i bezpośrednio dostępny podać m.in. adres elektroniczny, a także imię, nazwisko, miejsce zamieszkania i adres albo nazwę lub firmę oraz siedzibę i adres.

Tymczasem w regulaminie Ełckiej Inicjatywy Społecznej znajdujemy „nieformalną grupę mieszkańców Ełku” i kontakt poprzez e-mail.

Co więcej, ustawa przewiduje odpowiedzialność za niewykonanie obowiązków wynikających z art. 5. Zgodnie z art. 23 ustawy o świadczeniu usług drogą elektroniczną niepodanie wymaganych danych albo podanie danych nieprawdziwych lub niepełnych może podlegać karze grzywny.

Nie twierdzę, że oznacza to automatycznie, iż administratorzy strony popełnili wykroczenie. Zwracam jednak uwagę na bardzo konkretną różnicę pomiędzy tym, czego wymaga ustawa, a tym, co obecnie można przeczytać w regulaminie.

Jeżeli mam powierzyć komuś swoje imię, nazwisko, ulicę zamieszkania i informację o tym, jakie inicjatywy społeczne popieram, chciałbym przede wszystkim wiedzieć, kto konkretnie stoi po drugiej stronie.

„Nieformalna grupa mieszkańców” jest dla mnie odpowiedzią zdecydowanie zbyt ogólną.

RODO wymaga przejrzystości

Podobny problem pojawia się na gruncie RODO.

Art. 13 ust. 1 lit. a RODO nakazuje administratorowi, który zbiera dane bezpośrednio od osoby, przekazać jej swoją tożsamość oraz dane kontaktowe. RODO wymaga również przekazania informacji o celu i podstawie przetwarzania, odbiorcach danych oraz innych elementach niezbędnych do przejrzystego przetwarzania.

Sam Urząd Ochrony Danych Osobowych zwraca uwagę, że osoba powinna być w stanie ustalić, kto jest administratorem jej danych i w jaki sposób może się z nim skontaktować.

Platforma próbuje rozwiązać tę kwestię poprzez podział odpowiedzialności.

Dla osoby popierającej konkretną inicjatywę administratorem danych ma być koordynator tej inicjatywy. Operator platformy ma natomiast pełnić rolę technicznego podmiotu przetwarzającego. W odniesieniu do danych użytkowników panelu, korespondencji czy logów bezpieczeństwa operator określa siebie już jako samodzielnego administratora.

Sam taki model nie jest czymś niedopuszczalnym. RODO przewiduje zarówno administratorów, jak i podmioty przetwarzające.

Problem polega na tym, że rola administratora nie wynika wyłącznie z tego, jak ktoś nazwie siebie w regulaminie.

Zgodnie z art. 4 pkt 7 RODO administratorem jest podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania. UODO również podkreśla, że decydują faktyczne role stron, a nie wyłącznie przyjęta nazwa.

Jeżeli więc operator samodzielnie projektuje techniczne sposoby zapobiegania nadużyciom, identyfikowania urządzeń, okresy przechowywania niektórych informacji i sposób działania całej infrastruktury, warto dokładnie przeanalizować, gdzie kończy się rola procesora, a gdzie zaczyna samodzielne lub wspólne administrowanie.

„Bez śledzenia”, ale urządzenie jest rozpoznawane

Jeszcze ciekawiej robi się w części dotyczącej cookies i technologii działających w przeglądarce.

Na stronie możemy przeczytać:

„Nie używamy plików cookie do śledzenia, analityki ani reklam, dlatego nie wyświetlamy banera zgody”.

Brzmi uspokajająco.

Tyle że kilka linijek niżej polityka prywatności sama opisuje między innymi:

cookie eis_device, przechowywane przez rok, które pozwala rozpoznać, że z danej przeglądarki wzięto już udział w głosowaniu lub poparciu; cookie eis_torch, również przechowywane przez rok; localStorage; Cloudflare Turnstile oraz mechanizm obliczający skrót cech technicznych urządzenia, wykorzystujący m.in. rozdzielczość ekranu, strefę czasową, język i informacje o karcie graficznej.

Ten ostatni mechanizm jest w praktyce formą device fingerprintingu, czyli tworzenia technicznego „odcisku” urządzenia.

Europejska Rada Ochrony Danych w swoich wytycznych dotyczących art. 5 ust. 3 dyrektywy ePrivacy wskazuje wprost, że zakres przepisów nie ogranicza się do tradycyjnych ciasteczek i obejmuje również podobne technologie. Fingerprinting urządzenia został w tych wytycznych wskazany jako mechanizm mieszczący się w tym obszarze.

Czy brak banera cookies jest niezgodny z prawem?

Nie. I to trzeba powiedzieć bardzo wyraźnie.

Sam brak banera cookies nie oznacza naruszenia prawa.

Jeżeli strona stosuje wyłącznie pliki cookies i mechanizmy, które są rzeczywiście konieczne do dostarczenia usługi żądanej przez użytkownika, zgoda nie zawsze jest potrzebna.

Potwierdza to również Europejska Rada Ochrony Danych – technicznie niezbędne cookies mogą być stosowane bez pytania użytkownika o zgodę.

W Polsce sprawę reguluje obecnie przede wszystkim art. 399 Prawa komunikacji elektronicznej.

Przepis stanowi, że przechowywanie informacji na urządzeniu użytkownika albo uzyskiwanie dostępu do informacji znajdujących się na jego urządzeniu zasadniczo wymaga wcześniejszego poinformowania użytkownika i uzyskania jego zgody.

Istnieje jednak wyjątek. Zgoda nie jest wymagana, gdy takie działanie jest konieczne do wykonania transmisji albo do dostarczenia usługi świadczonej drogą elektroniczną, której użytkownik zażądał.

I właśnie tutaj zaczyna się najważniejsze pytanie dotyczące Ełckiej Inicjatywy Społecznej.

Czy każdy z opisanych mechanizmów jest rzeczywiście konieczny?

Sesyjne cookie umożliwiające zalogowanie do panelu administratora – łatwo zrozumieć.

Mechanizm zabezpieczający formularz przed botami – również można znaleźć dla niego mocne uzasadnienie.

Ale roczne cookie służące do obsługi „pochodni”, rozpoznawanie przeglądarki przez rok czy fingerprint urządzenia wymagają już znacznie dokładniejszego uzasadnienia.

Samo napisanie w polityce prywatności „uzasadniony interes, art. 6 ust. 1 lit. f RODO” nie rozwiązuje automatycznie problemu.

Europejska Rada Ochrony Danych zwraca uwagę, że uzasadniony interes wynikający z RODO nie zastępuje zgody wymaganej przez przepisy ePrivacy dotyczące dostępu do urządzenia. To dwa różne poziomy regulacji.

Dlatego twierdzenie:

„nie mamy analityki ani reklam, więc nie potrzebujemy banera”

jest zdecydowanie zbyt dużym uproszczeniem.

Prawidłowe pytanie brzmi:

czy wszystkie informacje zapisywane lub pobierane z urządzenia użytkownika można zakwalifikować do ustawowego wyjątku dla technologii koniecznych do świadczenia żądanej usługi?

Tego z samego regulaminu nie da się jednoznacznie przesądzić.

Czy eis_torch naprawdę jest niezbędny?

Największe wątpliwości budzi u mnie właśnie mechanizm nazwany „pochodnią”.

Z polityki prywatności wynika, że eis_torch to losowy token przechowywany przez rok. Po wzięciu udziału w inicjatywie pozwala pokazywać użytkownikowi licznik osób, które przyszły przez udostępniony przez niego link.

To może być ciekawa funkcja.

Ale „ciekawa” nie zawsze oznacza „niezbędna”.

Czy bez tego tokenu użytkownik może poprzeć inicjatywę?

Tak.

Czy inicjatywa może być prowadzona?

Tak.

Czy lista poparcia może trafić do właściwej instytucji?

Tak.

Dlatego właśnie w przypadku takiego mechanizmu oczekiwałbym bardzo konkretnego wyjaśnienia, dlaczego operator uważa go za niezbędny do świadczenia usługi w rozumieniu art. 399 ust. 3 Prawa komunikacji elektronicznej.

Co właściwie pozostawiamy na platformie?

Na stronie można poprzeć inicjatywę, podając imię, nazwisko i ulicę zamieszkania.

Serwis deklaruje, że nie zbiera numeru PESEL, numeru dowodu, telefonu, adresu e-mail, daty urodzenia ani numeru mieszkania. To należy akurat ocenić pozytywnie – zasada minimalizacji danych jest jednym z fundamentów RODO.

Nie oznacza to jednak, że imię, nazwisko, ulica i informacja o poparciu określonej inicjatywy są danymi nieistotnymi.

To nadal są dane osobowe.

Co więcej, w zależności od charakteru inicjatywy samo poparcie określonej sprawy może potencjalnie ujawniać znacznie więcej.

Art. 9 RODO szczególnie chroni m.in. dane ujawniające poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność związkową, dane dotyczące zdrowia czy orientacji seksualnej.

Oczywiście inicjatywa dotycząca budowy chodnika czy zejścia nad jezioro nie powoduje automatycznie przetwarzania takich danych.

Ale platforma ma być narzędziem ogólnym, za pomocą którego mieszkańcy mogą zgłaszać różnego rodzaju sprawy społeczne.

Jeżeli w przyszłości pojawi się inicjatywa dotycząca np. określonej kwestii zdrowotnej, religijnej, światopoglądowej albo politycznej, samo przypisanie konkretnej osoby do listy jej zwolenników może wymagać zupełnie innego poziomu analizy prawnej.

Na razie mamy głównie demonstrację

Dla uczciwości trzeba zaznaczyć jeszcze jedną rzecz.

Na dzień 15 września 2026 roku widoczna w serwisie inicjatywa dotycząca osiedla Konieczki jest wyraźnie oznaczona jako przykładowa. Strona informuje, że osoby i liczby są zmyślone, a dane pozostawione przez użytkownika podczas testowego poparcia mają zostać automatycznie usunięte po 24 godzinach.

Nie można więc na tej podstawie twierdzić, że doszło już do masowego niewłaściwego wykorzystania prawdziwych danych mieszkańców.

I ja czegoś takiego nie twierdzę.

Zwracam natomiast uwagę na to, że mechanizm jest już uruchomiony i umożliwia wpisanie prawdziwego imienia, nazwiska oraz ulicy. Dlatego kwestie prawne powinny być wyjaśnione przed rozpoczęciem faktycznych zbiórek, a nie dopiero wtedy, gdy w bazie znajdą się dane setek mieszkańców.

Napisałem o swoich wątpliwościach. Zostałem usunięty z grupy

Jest jeszcze jeden aspekt tej historii, którego nie zamierzam pomijać.

Po zauważeniu opisanych problemów napisałem krótką informację na grupie Stopped Ełk, zwracając uwagę na moje wątpliwości dotyczące prywatności i zgodności działania platformy z przepisami.

Według informacji, którymi dysponuję, za grupę oraz projekt Ełckiej Inicjatywy Społecznej odpowiadają osoby ze sobą powiązane.

Po opublikowaniu mojego komentarza zostałem z grupy usunięty i zablokowany.

To opis mojego własnego doświadczenia.

Nie jestem w stanie na podstawie publicznie dostępnych danych przesądzić, czy blokada była bezpośrednią reakcją na poruszenie tematu RODO, dlatego nie zamierzam przypisywać administratorom motywów, których nie mogę udowodnić.

Pozostawiam jednak ten fakt czytelnikom do własnej oceny.

Moim zdaniem przy inicjatywie, która w swoich materiałach tak mocno podkreśla transparentność, naturalną reakcją na rzeczowe pytania dotyczące danych osobowych powinna być odpowiedź i wyjaśnienie wątpliwości, a nie zamknięcie dyskusji.

„Privacy by design” to coś więcej niż napis w stopce

Na dole strony Ełckiej Inicjatywy Społecznej znajduje się hasło:

„Dane mieszkańców chronione: privacy by design”.

Privacy by design rzeczywiście jest bardzo ważną zasadą wynikającą z RODO.

Ale nie jest ona sloganem marketingowym.

Ochronę danych trzeba uwzględniać już podczas projektowania systemu: ograniczać zakres danych, dobierać właściwe podstawy prawne, jasno określać role administratorów i procesorów, analizować technologie stosowane w urządzeniu użytkownika i być przygotowanym na realizację praw osób, których dane są przetwarzane.

Jeżeli więc serwis powołuje się na tę zasadę, powinien tym bardziej być gotowy odpowiedzieć na kilka prostych pytań.

Kto dokładnie jest operatorem platformy i gdzie można znaleźć jego wymagane prawem dane? Dlaczego w regulaminie jako usługodawca wskazana jest wyłącznie nieformalna grupa i adres e-mail? Dlaczego roczne eis_torch uznawane jest za technologię niezbędną? Dlaczego fingerprinting urządzenia odbywa się bez wcześniejszej zgody i na jakiej dokładnie podstawie zastosowano wyjątek wynikający z Prawa komunikacji elektronicznej? Jak będą obsługiwane inicjatywy, których poparcie może ujawniać szczególne kategorie danych?

To nie są pytania wymyślone po to, żeby komuś przeszkadzać.

To są pytania, które pojawiają się po przeczytaniu dokumentów opublikowanych przez samych twórców serwisu.

Czy pozostawiłbym tam swoje dane?

Na dzisiaj – wstrzymałbym się.

Nie dlatego, że mam dowód na kradzież danych, sprzedaż danych czy ich niewłaściwe wykorzystanie. Takiego dowodu nie mam i niczego takiego nie zarzucam.

Mam natomiast wystarczająco dużo wątpliwości dotyczących identyfikacji usługodawcy, podziału odpowiedzialności za dane oraz zastosowanych technologii, aby przed podaniem prawdziwego imienia, nazwiska i ulicy oczekiwać dodatkowych wyjaśnień.

Szczególnie że platforma ma w przyszłości służyć nie tylko do oglądania lokalnych informacji, ale do tworzenia realnych list mieszkańców popierających konkretne inicjatywy.

A dane osobowe mieszkańców nie powinny być obszarem działania według zasady:

„uruchomimy, a kwestie prawne dopracujemy później”.

Najpierw powinna być pewność, kto odpowiada za dane, w jakim zakresie są one przetwarzane i jakie technologie działają w tle.

Dopiero później można przekonywać mieszkańców:

„zostaw tutaj swoje imię i nazwisko”.

Podstawa prawna

Opisane w artykule wątpliwości odnoszą się przede wszystkim do art. 5 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, art. 13 i art. 4 pkt 7 oraz – zależnie od charakteru inicjatywy – art. 9 RODO, a także art. 399 i 400 ustawy z 12 lipca 2024 r. – Prawo komunikacji elektronicznej.

Materiał stanowi analizę publicznie dostępnych dokumentów serwisu według stanu na 15 września 2026 roku. Nie przesądza o popełnieniu naruszenia prawa – takie rozstrzygnięcie należy do właściwych organów. Administratorzy Ełckiej Inicjatywy Społecznej mogą przekazać redakcji swoje stanowisko lub wyjaśnienia; zostaną one przedstawione czytelnikom. Redakcja nie zachowa się w tak chamski sposób jak Administratorzy Ełckiej Inicjatywy Społecznej usuwając i blokując nas na grupie.