Bezpieczny kanał dla źródeł dziennikarskich: rozmowa bez ujawniania tożsamości

Co mówi prawo w tej sytuacji

Dziennikarz ma obowiązek zachowania w tajemnicy danych umożliwiających identyfikację osoby, która zastrzegła ich nieujawnianie (art. 15 Prawa prasowego). Ochrona ma jednak granice proceduralne: zwolnienie z tajemnicy w postępowaniu karnym jest możliwe w określonych przypadkach, a wezwania kierowane do dostawców usług nie wymagają zgody redakcji.

Osoba przekazująca redakcji informacje o naruszeniu prawa uzyskane w kontekście związanym z pracą może korzystać z ochrony ustawy o ochronie sygnalistów jako dokonująca ujawnienia publicznego (art. 51), jeśli wcześniej zgłosiła sprawę bez skutku albo miała uzasadnione podstawy sądzić, że zgłoszenie do organu byłoby nieskuteczne lub że naruszenie zagraża interesowi publicznemu. Ochrona przed odwetem u pracodawcy działa wtedy tak samo jak przy zgłoszeniu wewnętrznym.

Redakcja jest administratorem danych źródeł w rozumieniu RODO, z prawem do ograniczenia obowiązków informacyjnych w zakresie działalności dziennikarskiej, ale bez zwolnienia z obowiązku zabezpieczenia danych.

Na co zwrócić uwagę przy wdrożeniu

1. Zero danych u podmiotów trzecich. Strona dla źródeł nie może korzystać z zewnętrznych czcionek, skryptów, analityki ani CDN, który loguje adresy. Każdy taki element to dane poza kontrolą redakcji.
2. Klucz wyłącznie w redakcji. Treść, załączniki i ewentualna tożsamość źródła zaszyfrowane kluczem, którego dostawca nie ma. Wezwanie do dostawcy kończy się na szyfrogramie.
3. Metadane plików. Dokument z wnętrza instytucji ma w metadanych autora, ścieżkę sieciową i historię zmian. Wydruk sfotografowany telefonem ma lokalizację. Czyszczenie przed zapisem, automatyczne.
4. Rozmowa rozciągnięta w czasie. Źródło wraca po dniach albo tygodniach przez numer sprawy i PIN, bez konta, bez adresu, z innego urządzenia.
5. Dostęp w redakcji na zasadzie „kto musi”. Sprawę widzi dziennikarz prowadzący i redaktor, nie cała redakcja. Dziennik audytu pokazuje, kto otwierał.

Funkcje, które robią różnicę

• Szyfrowanie end-to-end kluczem redakcji; dostawca nie ma klucza i nie ma czego wydać (poufność).
• Strona bez zapisu IP, bez zewnętrznych zasobów, bez śledzenia, pod domeną redakcji.
• Usuwanie metadanych z załączników.
• Numer sprawy i PIN zamiast konta i e-maila.
• Uprawnienia per sprawa i dziennik audytu: dostęp tylko dla osób prowadzących (zgodność).
• Wiele formularzy i języków: osobny kanał dla źródeł i osobny dla pracowników redakcji, jeśli wydawca podlega ustawie jako pracodawca.

Najczęstsze pytania

Czy to zastępuje SecureDrop?

Nie w środowiskach o najwyższym ryzyku, gdzie źródło korzysta z sieci Tor i dedykowanego sprzętu. sygnadesk jest kanałem dla redakcji, które potrzebują bezpiecznego, dostępnego z telefonu sposobu przyjmowania dokumentów i prowadzenia rozmowy, bez infrastruktury po stronie źródła. Kluczowa różnica wobec e-maila i komunikatorów: brak logów u dostawcy i klucz wyłącznie w redakcji.

Co, jeśli redakcja straci klucz?

Dostęp awaryjny wymaga jednocześnie dwóch stron, operatora i redakcji, więc żadna nie odzyska danych sama. Procedura odzyskania i osoby uprawnione powinny być ustalone przy wdrożeniu, zanim będą potrzebne.

Więcej o rolach i odpowiedzialności w artykule RODO w zgłoszeniach sygnalistów.