Sporna ravnanja uslužbencev KPK v zvezi z domeno Supervizor.si?

Da je ravnanje KPK pod vodstvom Borisa Štefaneca v zvezi s Supervizorjem skrajno nenavadno, lahko spremljamo že od zapletov v zvezi z ugašanjem in ponovno vzpostavitvijo Supervizorja v zadnjega pol leta. Dokumentacija, ki smo jih pridobili tokrat, pa na ravnanje KPK meče še bolj čudno luč.

Kot je znano, je 16. 6. 2015 Informacijski pooblaščenec KPK izdal odločbo številka 0612-181/2014/15, s katero je KPK naložil, da v spletni aplikaciji Supervizor zavaruje osebna imena zastopnikov, članov nadzornih organov, družbenikov in ustanoviteljev poslovnih subjektov, in sicer na način, da orodjem spletnih iskalnikov, kot je npr. Google, onemogoči dostop do imen in priimkov teh oseb ter s tem zagotovi, da uporabniki interneta s pomočjo spletnih iskalnikov ne bodo mogli priti do podatka o tem, v katerih poslovnih subjektih je z imenom in priimkom določena oseba zastopnik, član nadzornega organa, družbenik ali ustanovitelj.

Informacijski pooblaščenec je v obrazložitvi odločbe zapisal:

“Zavezanec bi lahko spletnim iskalnikom, kot je npr. Google, iskanje po imenu in priimku onemogočil npr. z izločitvijo zadevnih podstrani preko t.i. robots.txt datoteke (t.i. Robots exclusion standard, en.wikipedia.org/wiki/Robots_exclusion_standard), ali tako, da bi uredil prikaz teh podatkov v obliki, ki ni enostavno strojno berljiva (npr. kot slika), ter s tem preprečil indeksiranje in kasnejše iskanje po teh podatkih.“

Kot smo pokazali že v enem prejšnjih prispevkov, je takšen način blokiranja v resnici precej neučinkovit. Spletni iskalniki namreč Robots exclusion standard uporabljajo prostovoljno, kar pomeni, da ga lahko upoštevajo ali pa tudi ne. Prav tako prikaz osebnih imen v obliki slike ne rešuje problema, saj je optično prepoznavanje besedila (tim. OCR) danes že relativno enostavno opravilo.

Odločba Informacijskega pooblaščenca je tako v resnici precej neuresničljiva. To se je zelo konkretno pokazalo na naslednjem primeru.

Neodvisna domena Supervizor.si

1. oktobra 2015 je bila na Arnesu registrirana domena Supervizor.si. Registrirana je bila s strani neznane osebe (v Whois zapisu je kot lastnik domene zapisana neka Arabela Novak), a smo uspeli vzpostaviti stik s pravim lastnikom domene.

Lastnik domene je strežnik Supervizor.si nastavil tako, da je služila kot neke vrste vmesnik do KPK-jevega Supervizorja. Vmesnik je deloval na naslednji način: ko je uporabnik spleta v spletni brskalnik vpisal naslov http://supervizor.si/, je ta strežnik poklical KPK-jev Supervizor na naslovu http://supervizor.kpk-rs.si/ in uporabniku vrnil pridobljene podatke.

A z majhno, vendar pomembno razliko. Če je uporabnik obiskal KPK-jev Supervizor (http://supervizor.kpk-rs.si/), je spletni brskalnik prikaz posamezne strani naložil s tremi HTTP klici. Najprej se je naložila osnovna HTML stran, nato pa so se naložili še podatki iz podstrani /static/ in /noindex/. Če pa je uporabnik poklical Supervizor.si, je le-ta vse tri klice združil v enega in uporabniku z enim klicem posredoval želene podatke.

Za običajnega uporabnika med enim in drugim načinom prikaza podatkov ni razlike. Je pa zelo velika razlika za spletne brskalnike. Spletnim brskalnikom KPK z datoteko robots.txt preprečuje dostop do podstrani /static/ in /noindex/, na teh podstraneh pa se nahajajo osebna imena zastopnikov, članov nadzornih organov, družbenikov in ustanoviteljev poslovnih subjektov. Z združevanjem klicev pa te omejitve za spletne iskalnike izginejo.

Praktična posledica združevanja klicev, ki jih je izvajal strežnik Supervizor.si je torej ta, da je Google preko domene Supervizor.si spet začel indeksirati celotno vsebino (torej tudi sporna osebna imena) KPK-jevega Supervizorja.

Lastnik domene Supervizor.si je v pogovoru, ki je potekal preko elektronske pošte o tem povedal naslednje:

“KPK je to [blokado indeksiranja, m. op.] dokaj korektno oz. elegantno izvršil. Sporni podatki niso del osnovne HTML strani, ampak jih naloži javascript, ki se deloma izvrši po nalaganju strani oz. na zahtevo po kliku obiskovalca.

Dodatni podatki so dosegljivi prek url-jev, ki so prek datoteke robots.txt izvzeti iz obiskov botov (seveda, če ta pravila spoštujejo).

To preprečuje (“poštenim”) spletnim iskalnikom indeksiranje teh dodatnih podatkov – kot je zahteval IP. Če se ne motim si tudi ti pred časom o tem pisal.

To me je zelo motilo (in me še vedno moti) – sem mnenja, da ni dovolj objaviti podatke in reči zdaj smo pa transparentni. Če po podatkih ne moreš učinkovito iskati in podatkov povezovati, so ti le malo uporabni.

Zato sem na lastnem (nejavnem) strežniku postavil skripto, ki je te HTML podatke ponovno združila v eno HTML stran. Tako bi lahko postopoma prenesel celotno spletno mesto z vsemi podatki na svoj strežnik. Lahko bi napisal kakšen parser in zadeve dal v podatkovno bazo in tam izvajal analize, ampak sem iskal bolj preprosto rešitev.

Hitro je padla ideja, da bi indeksiranje in iskanje enostavno prepustil Googlu in domena supervizor.si je bila kot nalašč za to idejo – preprost proxy do uradnega supervizorja (.httaccess + kratka PHP skripta).“

Pri tem nastopi zanimiva pravna situacija. Ker strežnik Supervizor.si služi samo kot neke vrste vmesnik (ang. proxy), ki ne spreminja vsebine KPK-jevega Supervizorja, pač pa jo samo posreduje uporabniku v nespremenjeni obliki, pri tem ne gre za poseg v avtorske pravice KPK (pustimo ob strani dejstvo, da KPK v resnici sploh še nima urejenega prenosa avtorskih pravic za Supervizor). Prav tako spletna stran Supervizor.s_i ne poseduje kakršnekoli zbirke osebnih podatkov, saj je osnovna baza še vedno v izključnem upravljanju KPK – _Supervizor.si omogoča samo dostop do te baze preko vmesnika, tako kot to počnejo tudi drugi posredniški strežniki na internetu. Supervizor.si pa tudi ne indeksira KPK-jevega Supervizorja, pač to indeksiranje zgolj omogoča Googlu.

Po drugi strani odločba IP-RS zahteva, da KPK “orodjem spletnih iskalnikov, kot je npr. Google, onemogoči dostop do imen in priimkov teh oseb“, kar pomeni, da je KPK odločbo IP-RS izvršila, saj Supervizor.si ni spletni iskalnik, pač pa zgolj vmesnik.

Mimogrede, lastnik domene Supervizor.si je razloge za postavitev vmesnika opisal takole:

“Sem mnenja, da je odločbo IP možno dosledno izvršiti izključno tako, da se spornih podatkov ne objavi. V nasprotnem lahko kdor koli (ne samo spletni iskalniki) prenese podatke k sebi in jih obdeluje. Ampak, zakaj bi neka aplikacija, ki služi preučevanju sumov korupcije, preprečevala iskanje po nekih podatkih oz. bi za te podatke prevladal interes fizičnih oseb po zasebnosti?

Oz. z drugimi besedami, podatki se lahko objavijo, samo po njih se ne sme iskati!“

Točno to je namreč bistveno vprašanje pri celotni zgodbi – v celotni zadevi gre namreč namreč po mojem mnenju za lažno transparentnost. Omejitev iskanja po podatkih, ki so sicer namreč javni, dostopni po Zakonu o dostopu do informacij javnega značaja, in celo na voljo za komercialen nakup, je namreč neživljenjska in neumna. Sklicevanje na varstvo zasebnosti pa je v tem primeru po mojem mnenju zgolj krinka, s katero se skuša dostop do podatkov čim bolj omejiti iz razlogov, ki z zasebnostjo nimajo nikakršne povezave.

KPK udari nazaj

Skratka, iskanje osebnih imen zastopnikov, članov nadzornih organov, družbenikov in ustanoviteljev poslovnih subjektov po Supervizorju je bilo nekaj časa mogoče na relativno preprost način. V spletni iskalnik je bilo potrebno vpisati ime osebe ter “_site:supervizor.s_i”, in Google je vrnil seznam vseh zadetkov na Supervizor.si, ki je podatke nato posredoval na KPK-jev Supervizor.

Potem pa je na podlagi novinarskega vprašanja po naših neuradnih a zanesljivih informacijah Informacijski pooblaščenec za to izvedel ter o tem povprašal KPK. Pri tem je zanimivo, da Informacijski pooblaščenec očitno ni preveril lastništva domene in se z vprašanji ali morebitno ureditveno odločbo obrnil na lastnika domene Supervizor.si, pač pa je vprašanje glede omogočanja indeksiranja naslovil kar na KPK. Kot nam je povedal lastnik domene Supervizor.si, je KPK nato blokiral dostop njegovega strežnika do njihovega Supervizorja:

“Kakorkoli, Google je to domeno cca. dva meseca indeksiral, potem pa so na KPK najbrž to pogruntali. Ukrepali so tako, da so za IP naslov, kjer je gostovala domena (in skripta za lepljenje HTMLja), začeli vračati samo kratko HTML kodo s povezavo na uradno stran.

Sem domeno prestavil na drug IP naslov, pa so po kakšnem tednu spet pogruntali.“

Do tu je – pogojno – še vse lepo in prav. KPK je pač ugotovil, da nekdo tretji spletnim iskalnikom omogoča indeksiranje njihovega Supervizorja in takšno početje je onemogočil (čeprav se postavlja vprašanje pod kakšnimi pogoji in komu lahko državni organ arbitrarno blokira dostop do svojih vsebin).

Kljub temu ne moremo mimo dejstva, da je odločba IP-RS od KPK zahtevala, da “orodjem spletnih iskalnikov, kot je npr. Google, onemogoči dostop do imen in priimkov teh oseb“. Tehnično gledano torej KPK-ju ne bi bilo potrebno onemogočati dostopa ostalim spletnim strežnikom, ki niso spletni iskalniki, po naših neuradnih informacijah pa IP-RS KPK ni izdal nikakršne odločbe v zvezi z domeno Supervizor.si

A recimo, da je blokiranje pogojno sprejemljivo. Problem pa nastopi v tem, kaj so na KPK naredili kasneje.

Očitno je Googlovo indeksiranje KPK tako zmotilo, da so se odločili, da ga čim prej onemogočijo. To je načeloma mogoče narediti na dva načina, a kot bomo videli, so se nekateri na KPK v tem primeru poslužili nekoliko sporne metode.

Prvi način v tem primeru bi bil, da bi KPK najprej blokirala dostop domene Superizor.si do svojega Supervizorja in ko Supervizor.si ne bi več vračal zadetkov, bi Google to domeno ob naslednjem indeksiranju odstranil iz seznama iskalnih zadetkov.

Drug način pa je, da lastnik spletnega mesta Supervizor.si od Googla zahteva, da preneha z indeksiranjem. Tukaj pa seveda nastopi manjša težava – kako Google prepričati, da si zakoniti lastnik spletnega mesta?

Težavo Google rešuje na dokaj preprost način. Domnevni upravljavec spletnega mesta se najprej prijavi v Googlovo orodje za upravljavce spletnih strani (tim. Webmasters Tools) oziroma tim. Iskalno konzolo (ang. Search Console). Tam vpiše ime domene, za katero zatrjuje lastništvo. V naslednjem koraku Google ustvari HTML datoteko z naključnim imenom (npr. googlef2a27d2ad7bddb98.html), lastnik spletne strani pa le-to nato naloži na svojo spletno stran in klikne nanjo. S tem Googlu dokaže, da ima dostop do spletnega strežnika oziroma, da je upravičeni lastnik oz. upravljavec domene.

Kot kaže, pa so ta postopek pri KPK nekoliko zlorabili.

Lastnik domene Supervizor.si je namreč ugotovil, da se je po vsej verjetnosti eden izmed uslužbencev KPK s svojim GMail računom pred kakšnim mesecem prijavil v Googlovo Iskalno konzolo in sprožil postopek za ugotavljanje lastništva domene Supervizor.si:

“A ti je mogoče poznan L*\** L***** [ime javnega uslužbenca smo odstranili, m. op.]?

Ta se je pred enim mesecem s svojim Gmail računom prijavil v Search Console (Google Webmasters Tools) kot lastnik supervizor.si.

Aktivnosti preverjanja so ostale zabeležene.“

Omenjena oseba je na spletni strani KPK zavedena kot informatik analitik. Dopuščamo sicer možnost, da Gmail naslov z njegovim imenom uporablja kakšen njegov soimenjak, a je ta možnost precej majhna, saj statistični podatki kažejo, da je pogostost kombinacije tega imena in priimka manjša kot pet enot.

V postopku preverjanja lastništva domene, je omenjeni osebi Google ustvaril verifikacijsko HTML datoteko, ki jo je omenjeni uslužbenec KPK nato naložil na spletno stran http://supervizor.kpk-rs.si.

Ker je strežnik Supervizor.si služil kot vmesnik do strežnika Supervizor.kpk-rs.si je klic Googlove verifikacijske datoteke iz Supervizor.si le-to naložil iz KPK-jevega Supervizorja in jo posredoval na Google.

S tem je uslužbenec KPK zavedel Google, da ima v lasti domeno Supervizor.si. Pravi lastnik domene Supervizor.si je o tem povedal naslednje:

“Ni bilo težko, ker je za preverjanje uporabil HTML datoteko, ki jo je dal na strežnik. Proxy je poskrbel, da je bila datoteka vidna tudi na moji domeni.

Kakorkoli, večje škode ni naredil. Pred enim tednom je iz rezultatov iskanja odstranil vse url-je. Sem zahtevo preklical in so že nazaj 🙂

Tam lepo piše “Začasno odstranite URL-je, ki so v vaši lasti, iz rezultatov iskanja”.

Ne vem, če so bili url-ji v njegovi lasti…“

 

Bo KPK ukrepala?

In dokumentacije in drugih podatkov, ki smo jih pridobili, je tako razvidno, da naj bi uslužbenec KPK s pomočjo “trika” zavedel Google, da ima v lasti domeno Supervizor.si. Za to domeno naj bi nato od Googla zahteval prenehanje indeksiranja. Ne glede na to, da je imel pri tem verjetno dober namen, pa uporaba takšnih postopkov preprosto ni dopustna. Še več, takšno zavajanje je morda celo kaznivo, saj na nek način predstavlja krajo tuje domene, zakonitemu lastniku domene pa lahko povzroči tudi konkretno škodo (npr. izključitev iz iskalnih zadetkov). Vsekakor gre po našem mnenju za ravnanje, ki bi ga lahko opredelili kot etično sporno. Ob tem ni nepomembno, da so uslužbenci KPK tudi podpisniki etičnega kodeksa, zato bi se po našem mnenju takšnim in podobnim spornim ravnanjem morali izogibati v kar največji meri.

Če pustimo ob strani etične dileme, pa se je omenjena oseba s svojim ravnanjem morda celo izpostavila inšpekcijskemu postopku Informacijskega pooblaščenca, saj s tem, ko “prevzema” lastništvo nad domeno na nek način prevzema tudi odgovornost aktivnosti te domene.

Vsekakor se zastavlja vprašanje ali je predsednik KPK Boris Štefanec za takšno ravnanje svojega uslužbenca vedel in ali bo sedaj v zvezi s tem uveden kakšen postopek? Glede na to, da so aktivnosti v zvezi s “prevzemom” spletne domene Supervizor.si domnevno potekale v službenem času in verjetno tudi iz prostorov KPK (sreda, 9. december 2015 ob 7:39 in 7:42 – podatke o tem, ali je bil omenjeni uslužbenec takrat v prostorih KPK je mogoče enostavno preveriti), pa se zastavlja tudi vprašanje odgovornosti Borisa Štefaneca kot predstojnika KPK. Domnevno sporno ravnanje omenjenega javnega uslužbenca bi bilo namreč v tem kontekstu mogoče lahko razumeti tudi kot del njegovih službenih aktivnosti, pri tem pa se upravičeno zastavlja vprašanje ali je deloval samostojno ali morda po navodilih nadrejenih. Vsekakor so to vprašanja, na katera bi vodstvo KPK moralo javnosti čim prej odgovoriti.