Serwisy do wyszukiwania osób agregują publiczne rejestry z wielu źródeł i mogą pokazywać numery telefonów, adresy oraz powiązania rodzinne. Dane bywają jednak nieaktualne lub błędnie dopasowane, a ich wykorzystanie podlega różnym przepisom o prywatności w zależności od jurysdykcji.
Serwisy do wyszukiwania osób często pojawiają się w rozmowach o weryfikacji kontrahentów i gromadzeniu informacji ze źródeł otwartych. Najpierw warto zrozumieć nie to, jak wejść na taką stronę, lecz skąd pochodzą jej dane, gdzie można ich używać i w którym momencie wykorzystanie przekracza granice zgodności z przepisami.
Co zbierają i skąd pochodzą dane
Takie serwisy są w istocie agregatorami publicznych rejestrów. Łączą rozproszone informacje publiczne i umożliwiają wyszukiwanie odwrotne po nazwisku, numerze telefonu lub adresie. Typowe dane obejmują numery telefonów, obecne i wcześniejsze adresy, rok urodzenia oraz powiązania rodzinne. Niektóre usługi pokazują również fragmenty rejestrów małżeńskich, majątkowych i sądowych.
Źródła można z grubsza podzielić na kilka grup: publiczne rejestry administracji i akta sądowe, publiczne książki telefoniczne i katalogi firm, publiczne dane dotyczące nieruchomości i podatków, widoczne profile w mediach społecznościowych oraz listy marketingowe kupowane od brokerów danych. Żadne z nich nie musi pochodzić z kanału wewnętrznego, ale po ponownym zestawieniu informacje stają się ze sobą znacznie ściślej powiązane. To właśnie sprawia, że takie usługi mogą wyglądać na zdolne do znalezienia niemal wszystkiego.
Trzeba też pamiętać o ograniczeniach. Publiczne rejestry są aktualizowane powoli, więc przeprowadzka lub zmiana numeru telefonu może długo nie być widoczna; osoby o tym samym imieniu i nazwisku mogą zostać pomylone; a kompletność danych bardzo różni się między poszczególnymi stanami USA. Wyciąganie stanowczych wniosków z jednego zagregowanego wyniku łatwo prowadzi do błędów.
Różne jurysdykcje mają różne zasady
Te same dane w wielu stanach USA mogą być uznawane za informacje publiczne i legalnie pozyskiwane oraz wykorzystywane. W Unii Europejskiej przetwarzanie danych osobowych nadal wymaga podstawy prawnej nawet wtedy, gdy dane są już publiczne, a prawa i żądania osoby, której dane dotyczą, muszą być uwzględnione. Chińska ustawa o ochronie informacji osobowych wymaga jasno określonego celu, poinformowania i zgody oraz minimalizacji danych; wobec wrażliwych informacji osobowych stosuje surowsze wymogi, a transfery transgraniczne podlegają dodatkowym warunkom.
To, że dana strona potrafi znaleźć informacje, nie oznacza więc, że mogę z nich korzystać w swojej jurysdykcji. Decyzja sprowadza się do dwóch pytań: jaki jest cel użycia danych i jakie wymagania dotyczące przetwarzania danych osobowych obowiązują tam, gdzie działam? W działalności transgranicznej lepiej wyjaśnić te kwestie przed rozpoczęciem pracy, niż próbować je naprawiać po fakcie.
Kilka granic, których należy przestrzegać
- Nie używaj danych do nękania, doxxingu ani lokalizowania innych osób. Takie cele mogą być niezgodne z prawem niezależnie od tego, czy dane są publiczne.
- Nie zbieraj danych osobowych niezwiązanych z celem biznesowym. Weryfikacja firmy nie wymaga przy okazji zapisywania prywatnego adresu i powiązań rodzinnych danej osoby.
- Ogranicz czas przechowywania. Usuń informacje, gdy przestaną być potrzebne, i nie buduj własnej bazy danych dla wygody; każdy zapisany rekord wiąże się z odpowiedzialnością.
- Nie prowadź masowego scrapingu. Zapytania o wysokiej częstotliwości są ograniczane na większości stron i mogą też stanowić przetwarzanie danych osobowych na dużą skalę.
- Szanuj żądania usunięcia danych i sprzeciwu oraz zwracaj uwagę na lokalne wymogi dotyczące informowania i zgody.
Jedna rzecz powinna być jasna: nie udostępniamy ani nie rekomendujemy metod obchodzenia ograniczeń regionalnych lub pozyskiwania danych objętych ograniczeniami. Ominięcie kontroli dostępu może samo w sobie naruszać warunki korzystania z serwisu. Co ważniejsze, dane zdobyte w ten sposób podczas użycia nadal podlegają tym samym przepisom o prywatności — techniczne obejście nie rozwiązuje problemu zgodności.
Alternatywy, gdy potrzebna jest weryfikacja
Jeśli celem jest sprawdzenie partnera biznesowego, dostawcy lub klienta, publiczne kanały często wystarczą. Firmy można weryfikować w rejestrach handlowych i oficjalnych systemach informacji o przedsiębiorstwach; kwalifikacje, znaki towarowe i patenty w odpowiednich oficjalnych wyszukiwarkach; reputację branżową poprzez stowarzyszenia, publiczne wiadomości i oceny transakcji na platformach B2B; a informacje o przedstawicielach prawnych poprzez oficjalne rejestry lub zgodnego z przepisami usługodawcę.
Zasadę można streścić w jednym zdaniu: do sprawdzania firm korzystaj z publicznych systemów urzędowych; niepubliczne informacje o osobach fizycznych w większości sytuacji nie są potrzebne i często nie powinny być pozyskiwane.
Jeśli zespół używa oddzielnych kont do badań prowadzonych różnymi kanałami, PurpleMark może przypisać każdej tożsamości roboczej własne, stabilne środowisko przeglądarki. Dzięki temu zapisy działań są jednoznacznie powiązane z właściwą tożsamością i łatwiejsze do wyjaśnienia podczas audytu. To kwestia zarządzania procesem, odrębna od legalności samych danych.
Podsumowanie
Informacje w takich serwisach mogą być nieaktualne, ich dokładność jest ograniczona, a wykorzystanie podlega lokalnym przepisom o prywatności. Ich praktyczna wartość jest więc mniejsza, niż może się wydawać. Przy weryfikacji należy w pierwszej kolejności korzystać z oficjalnych rejestrów i publicznych informacji o firmach, nie omijać ograniczeń regionalnych oraz nie zbierać ani nie przechowywać danych osobowych niezwiązanych z celem biznesowym.
