Ochrona informacji w badaniu zdarzeń lotniczych. Anonimizacja, minimalizacja danych i granice Just Culture

Informacje zbierane w systemie zgłaszania i analizy zdarzeń lotniczych mają służyć zapobieganiu wypadkom i incydentom. Ten cel uzasadnia pozyskiwanie szczegółowych wyjaśnień, odtwarzanie przebiegu operacji oraz ocenę działań ludzi i organizacji. Wyznacza również granice wykorzystania zgromadzonych materiałów.

Zespół bezpieczeństwa potrzebuje wiedzy o tym, co uczestnik widział, czego nie wiedział, jakie informacje otrzymał i dlaczego podjął określoną decyzję. Nie uzyskuje przez to ogólnego upoważnienia do rozpowszechniania jego wypowiedzi ani zastępowania postępowania karnego, cywilnego lub dyscyplinarnego.

Ochrona informacji jest zatem częścią metody badania. Wpływa na dostępność szczerych relacji, możliwość odtworzenia rzeczywistych warunków podejmowania decyzji i jakość późniejszych zaleceń.

1. Cel zebrania informacji wyznacza granice jej wykorzystania

Art. 1 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 376/2014 określa zapobieganie wypadkom i incydentom jako jedyny cel zgłaszania zdarzeń. Art. 6 ust. 1 wymaga takiej organizacji obsługi zgłoszeń, która zabezpiecza poufność tożsamości i zapobiega wykorzystywaniu informacji do celów innych niż bezpieczeństwo.

Z kolei art. 15 ust. 2 ustanawia ograniczenia dotyczące wykorzystania informacji pochodzących ze zgłoszeń, w szczególności do przypisywania winy lub odpowiedzialności oraz do celów innych niż utrzymanie lub poprawa bezpieczeństwa lotniczego.

Nie są to wyłącznie deklaracje programowe. Powinny znajdować odzwierciedlenie w decyzjach o pozyskiwaniu materiałów, zakresie dostępu, sposobie opracowania raportu i dalszym obiegu dokumentacji.

Przy każdej takiej czynności trzeba umieć odpowiedzieć, jaki problem bezpieczeństwa ma zostać dzięki niej wyjaśniony. Ogólne powołanie się na „dalsze procedowanie zdarzenia” nie zastępuje określenia konkretnego celu.

2. Wewnętrzna analiza przewoźnika i badanie państwowe to odrębne procesy

Należy rozróżnić analizę zgłoszenia prowadzoną w organizacji lotniczej od badania wykonywanego przez właściwy państwowy organ badania zdarzeń lotniczych.

Rozporządzenie nr 376/2014 reguluje system zgłaszania, analizy i działań następczych. Rozporządzenie nr 996/2010 ustanawia natomiast zasady badań prowadzonych przez właściwe organy oraz szczególną ochronę określonych materiałów badawczych.

Wewnętrzna komisja przewoźnika nie uzyskuje automatycznie wszystkich kompetencji państwowego organu. Nie można również zakładać, że każdy materiał znajdujący się w jej dokumentacji podlega identycznym zasadom dostępu.

Osobnej oceny mogą wymagać zgłoszenie bezpieczeństwa, wyjaśnienia uczestnika, korespondencja operacyjna, rozmowa telefoniczna i zapis rejestratora rozmów w kokpicie. O właściwym reżimie decydują przepisy odnoszące się do konkretnego materiału i sposobu jego wykorzystania.

Wewnętrzny podręcznik zarządzania bezpieczeństwem powinien te zasady wykonywać i doprecyzowywać. Nie może zastępować podstawy prawnej ani rozszerzać dostępu wbrew obowiązującym ograniczeniom.

3. Nazwisko jest tylko jednym ze sposobów identyfikacji

Anonimizacja nie sprowadza się do usunięcia imienia i nazwiska.

Art. 2 pkt 9 rozporządzenia nr 376/2014 obejmuje tym pojęciem również usunięcie szczegółów, które mogłyby ujawnić tożsamość zgłaszającego lub innych osób albo pozwolić ją ustalić. Podobne znaczenie ma motyw 26 RODO: przy ocenie możliwości identyfikacji należy uwzględnić rozsądnie prawdopodobne sposoby bezpośredniego i pośredniego rozpoznania osoby.

W środowisku lotniczym identyfikację mogą umożliwić data, godzina, numer rejsu, trasa, typ samolotu, funkcja uczestnika, miejsce zdarzenia lub charakterystyczny cytat. Każda z tych informacji rozpatrywana osobno może wydawać się neutralna. Ich zestawienie może jednak wskazywać konkretną osobę równie skutecznie jak nazwisko.

Przykładowo opis zawierający dokładną datę, numer rejsu i funkcję pierwszego oficera pozwala osobie mającej dostęp do grafiku szybko ustalić tożsamość uczestnika. W niewielkiej organizacji wystarczająca może być sama nazwa rzadkiego stanowiska.

Ocena anonimowości musi zatem uwzględniać wiedzę i zasoby dostępne rzeczywistym odbiorcom. Dokument pozbawiony nazwisk może nadal zawierać dane osobowe.

4. Naprowadzanie na tożsamość również wymaga oceny

Możliwość identyfikacji może wynikać także ze wskazania konkretnego przełożonego, działu, osoby znającej szczegóły albo miejsca, w którym można uzyskać informacje o uczestniku.

Nie każde takie wskazanie automatycznie ujawnia tożsamość. Trzeba jednak zbadać, czy w danych warunkach tworzy ono realną i łatwą drogę do jej ustalenia.

Zastąpienie nazwiska określeniem funkcji pełnionej przez jedną osobę może być wyłącznie zmianą sposobu opisu. Podobnie usunięcie nazwiska przy pozostawieniu informacji pozwalającej bez trudu odszukać uczestnika nie zapewnia skutecznej anonimizacji.

Nie oznacza to, że z materiału badawczego należy usuwać każdą datę, godzinę i funkcję. Szczegóły te mogą być niezbędne do odtworzenia przebiegu operacji. Ich konieczność trzeba jednak oceniać osobno dla każdego zastosowania i kręgu odbiorców.

Dokładny czas może być potrzebny badającym do ustalenia kolejności rozmów. W prezentacji omawiającej ogólny problem organizacyjny może wystarczyć kolejność zdarzeń i długość odstępów między nimi, bez ujawniania konkretnej daty oraz numeru rejsu.

5. Minimalizacja danych wymaga dopasowania informacji do zadania odbiorcy

Art. 5 ust. 1 lit. c RODO wymaga, aby dane były adekwatne, stosowne i ograniczone do tego, co niezbędne dla celu przetwarzania. Art. 25 odnosi domyślną ochronę również do zakresu przetwarzania, okresu przechowywania oraz dostępności danych.

Zasada minimalizacji nie wymaga zubożenia badania ani usuwania dowodów. Wymaga rozróżnienia potrzeb poszczególnych odbiorców.

Osoby odtwarzające przebieg zdarzenia mogą potrzebować pełnej dokumentacji, dokładnych godzin i identyfikacji rozmówców. Osoby przygotowujące zalecenia organizacyjne mogą potrzebować informacji o podziale zadań i przepływie danych. Odbiorcom materiału szkoleniowego mogą wystarczyć opis mechanizmu zagrożenia i wnioski.

Przekazanie wszystkim tej samej, pełnej dokumentacji jest organizacyjnie wygodne. Nie oznacza to jednak, że jest niezbędne i dopuszczalne.

Właściwie zorganizowany system powinien umożliwiać zachowanie pełnego materiału źródłowego w ograniczonym kręgu dostępu oraz przygotowywanie wersji odpowiednich do innych zastosowań.

6. Dostęp wewnątrz organizacji nie jest dostępem nieograniczonym

Art. 16 ust. 2 rozporządzenia nr 376/2014 pozwala udostępniać dane osobowe pracownikom innym niż osoby wyznaczone zgodnie z art. 6 ust. 1 jedynie w przypadku absolutnej konieczności dla badania służącego poprawie bezpieczeństwa.

Samo zajmowanie stanowiska kierowniczego nie przesądza więc o potrzebie dostępu do wszystkich wyjaśnień, nagrań i załączników. Również udział w spotkaniu poświęconym bezpieczeństwu nie uzasadnia automatycznie otrzymania pełnej dokumentacji.

Dla każdego udostępnienia powinno być możliwe wskazanie zadania odbiorcy i zakresu informacji potrzebnego do jego wykonania. Jeżeli wystarczają dane zdepersonalizowane, przekazywanie tożsamości uczestników wymaga dodatkowego uzasadnienia.

Kontrola dostępu powinna obejmować także możliwość dalszego przekazywania materiałów. Informacja przesłana jednemu uprawnionemu odbiorcy nie powinna następnie krążyć po organizacji bez ponownej oceny celu i zakresu udostępnienia.

7. Transkrypcje, streszczenia i notatki nie tracą związku ze źródłem

Ochrona informacji nie kończy się na oryginalnym nagraniu lub zgłoszeniu.

Z nagrania może powstać transkrypcja, z transkrypcji notatka, a z notatki cytat w prezentacji lub wiadomości służbowej. Jeżeli materiały te nadal pozwalają rozpoznać uczestnika, wymagają ochrony jego danych. Jeżeli zawierają informacje pochodzące ze zgłoszenia, trzeba również uwzględnić ograniczenia właściwe dla tych informacji.

Zmiana formatu nie jest samodzielną podstawą do rozszerzenia kręgu odbiorców.

Materiały pochodne wymagają ponadto zachowania rzetelności. Skrót może pomijać pytanie, na które uczestnik odpowiadał, wcześniejsze informacje, ograniczenia czasowe lub moment uzyskania określonej wiedzy. W rezultacie wypowiedź warunkowa może zostać przedstawiona jako ostateczna ocena, a późniejszy wniosek jako informacja dostępna od początku.

Minimalizacja danych nie upoważnia do usuwania kontekstu niezbędnego do prawidłowego zrozumienia wypowiedzi. Opracowanie powinno ograniczać zbędne informacje, zachowując znaczenie materiału źródłowego.

8. Zapisy CVR wymagają szczególnej ostrożności

Nagrania rejestratora rozmów w kokpicie i ich transkrypcje podlegają szczególnej ochronie. Art. 14 ust. 1 lit. g rozporządzenia nr 996/2010 nakazuje odpowiednio chronić informacje niemające znaczenia dla badania, zwłaszcza dotyczące prywatności. Znaczenie mają również ograniczenia wykorzystania zapisów rejestratorów przewidziane w CAT.GEN.MPA.195 rozporządzenia nr 965/2012.

Sam fakt utrwalenia wypowiedzi nie uzasadnia jej ujawnienia.

Emocjonalna reakcja, żart lub osobista uwaga mogą zainteresować odbiorców. Nie dowodzi to ich wartości badawczej ani szkoleniowej. Jeżeli fragment nie pomaga wyjaśnić przebiegu zdarzenia, podejmowania decyzji lub funkcjonowania zabezpieczeń, trudno uzasadniać jego wykorzystanie potrzebą uatrakcyjnienia przekazu.

Emocje mogą mieć znaczenie dla analizy. Ton rozmowy, narastające napięcie i sposób reagowania na informacje mogą pomagać ocenić współpracę załogi. Konieczne jest jednak wykazanie tego związku i dobranie zakresu ujawnienia do rzeczywistej potrzeby. Niekiedy wystarczy opis zachowania bez odtwarzania głosu i przytaczania dosłownego cytatu.

W mojej ocenie wykorzystywanie nieistotnych fragmentów CVR jako anegdoty lub efektownego dodatku do prezentacji jest również wadliwe dydaktycznie. Skupia uwagę na ocenie uczestnika i charakterystycznej wypowiedzi, zamiast na mechanizmie zdarzenia oraz sposobach zapobiegania jego powtórzeniu.

9. Badanie bezpieczeństwa nie zastępuje postępowania w sprawie odpowiedzialności

Zespół analizujący zdarzenie może oceniać działania uczestników, w tym ich komunikację. Powinien jednak robić to w związku z konkretnym problemem bezpieczeństwa: jakością przekazywanych informacji, współpracą, rozpoznaniem zagrożenia lub wykonaniem procedur.

System zgłaszania nie powinien służyć rozstrzyganiu osobistych sporów, ochronie reputacji uczestnika ani poszukiwaniu materiałów na potrzeby postępowania przeciwko innej osobie.

Ochronie dóbr osobistych służą odrębne środki prawne. Podejrzenia przestępstw wymagają postępowania we właściwym trybie. Ewentualne działania pracodawcy także podlegają właściwym przepisom i ograniczeniom dotyczącym wykorzystania informacji.

Samo umieszczenie zarzutu w zgłoszeniu bezpieczeństwa nie zmienia jego charakteru i nie tworzy uprawnienia do pozyskania wszystkich dostępnych nagrań.

Jeżeli komunikacja utrudniła wykonanie operacji, należy zbadać jej wpływ i potrzebne działania zapobiegawcze. Jeżeli materiał ma służyć innemu celowi, trzeba ten cel nazwać i odrębnie ocenić dopuszczalność pozyskania oraz wykorzystania danych. Ogólne powołanie się na bezpieczeństwo nie powinno zastępować takiej oceny.

10. Ochrona Just Culture ma określone granice

Art. 16 ust. 9 rozporządzenia nr 376/2014 chroni zgłaszających i osoby wymienione w zgłoszeniach przed uszczerbkiem ze strony pracodawcy lub organizacji z powodu informacji przekazanych przez zgłaszającego. Ustęp 10 przewiduje wyjątki dotyczące m.in. umyślnych naruszeń oraz określonych poważnych zaniedbań.

Nie można zatem zapewniać uczestnika, że analiza bezpieczeństwa wyklucza wszelkie konsekwencje. Nie można również przyjmować, że wykrycie dowolnego błędu automatycznie usuwa ochronę.

Zastosowanie wyjątku wymaga ustalenia jego przesłanek. Negatywna ocena zachowania, niezgoda między uczestnikami czy niezadowolenie przełożonego nie zastępują tej analizy.

Just Culture wymaga także spojrzenia na warunki działania człowieka. Znaczenie mają informacje dostępne w danym momencie, ich wiarygodność, podział zadań, presja czasu, procedury i dostępne wsparcie. Ocena wyłącznie z perspektywy późniejszej wiedzy może prowadzić do błędnych wniosków o przyczynach zdarzenia.

11. Zgoda nie powinna zastępować określenia celu i odbiorców

Jeżeli organizacja zwraca się o zgodę na ujawnienie danych, powinna wyjaśnić, jakie materiały zamierza udostępnić, komu oraz do jakich czynności. Wymóg konkretności i świadomości zgody wynika z art. 4 pkt 11 RODO.

Zgoda nie jest jednak jedyną możliwą podstawą przetwarzania. Organizacja powinna rozróżniać działania oparte na zgodzie od działań podejmowanych niezależnie od niej oraz prawidłowo określać właściwą podstawę.

Pytanie uczestnika o zakres danych, odbiorców i cel udostępnienia nie powinno być samo w sobie utożsamiane z odmową współpracy. Pozwala ustalić granice czynności, na którą ma zostać udzielona zgoda.

Jednocześnie ograniczenie zgody nie daje bezwzględnego prawa do blokowania każdego wykorzystania materiałów dopuszczalnego na innej podstawie prawnej. Ochronę należy oceniać na podstawie całego właściwego reżimu, a nie wyłącznie treści jednego oświadczenia.

12. Poufność jest warunkiem dostępu do rzetelnej wiedzy o zagrożeniach

Uczestnik zdarzenia często opisuje decyzję podjętą przy niepełnych danych. Wyjaśnia, czego nie wiedział, co zrozumiał błędnie i na czyjej informacji polegał. Dla bezpieczeństwa właśnie te szczegóły mogą okazać się najważniejsze.

Jeżeli nie ma pewności, dokąd trafi jego relacja i do czego zostanie wykorzystana, może ograniczyć ją do wersji najmniej ryzykownej dla siebie. Organizacja otrzyma wtedy formalne wyjaśnienie, które nie ujawni wszystkich warunków powstania zagrożenia.

Dlatego kontrola dostępu, rzeczywista anonimizacja i minimalizacja danych nie są przeszkodami w badaniu. Pomagają stworzyć warunki, w których możliwe jest uzyskanie pełniejszej i bardziej wiarygodnej wiedzy.

Przed każdym udostępnieniem należy ustalić, jaki problem bezpieczeństwa ma zostać wyjaśniony, dlaczego dany odbiorca potrzebuje określonego materiału i czy ten sam cel można osiągnąć przy mniejszej ingerencji w prywatność uczestników.

Odpowiedź powinna wynikać z rzeczywistej potrzeby analizy. Samo umieszczenie słowa „bezpieczeństwo” w tytule dokumentu jej nie zastępuje.

13. Ochrona praw uczestnika i odpowiedzialność za naruszenia

Prowadzenie analizy bezpieczeństwa nie wyłącza odpowiedzialności za sposób pozyskiwania, opracowywania i udostępniania informacji. Uczestnik może zgłosić pisemne zastrzeżenia, żądać sprostowania nieprawdziwych faktów, uzupełnienia istotnego kontekstu oraz zaniechania bezprawnego rozpowszechniania materiałów. W przypadkach określonych w art. 18 RODO może żądać ograniczenia przetwarzania danych, a podejrzenie naruszenia zgłosić Prezesowi UODO. Naruszenia ochrony wynikającej z zasad Just Culture mogą uzasadniać wystąpienie do Prezesa ULC. Niezależnie od tych środków art. 23–24 Kodeksu cywilnego przewidują ochronę dóbr osobistych, w tym dobrego imienia i prywatności, obejmującą możliwość żądania zaniechania naruszeń oraz usunięcia ich skutków, np. przez odpowiednie oświadczenie. Przy spełnieniu właściwych przesłanek można również dochodzić zadośćuczynienia za krzywdę oraz odszkodowania za szkodę majątkową, w tym wykazane utracone zarobki lub kontrakty; znaczenie mogą mieć art. 448 Kodeksu cywilnego, ogólne zasady odpowiedzialności odszkodowawczej i art. 82 RODO. W określonych okolicznościach pomawiające zarzuty mogą także wymagać oceny pod kątem art. 212 Kodeksu karnego, co do zasady przewidującego ściganie z oskarżenia prywatnego. Sama niekorzystna ocena, błąd w raporcie lub naruszenie przepisów o danych nie przesądzają jednak o odpowiedzialności karnej ani obowiązku zapłaty. Każda z tych dróg wymaga wykazania odrębnych przesłanek, a przy roszczeniach odszkodowawczych również szkody i związku przyczynowego. Dlatego warto zabezpieczyć pełne nagrania, korespondencję i kolejne wersje dokumentów. Cel bezpieczeństwa nie zwalnia badających z obowiązku rzetelności ani poszanowania praw uczestników.