Hiszpański youtuber Carles Tamayo po raz kolejny wywołał poruszenie – w swoim typowym, swobodnym, zabawnym i celnie punktującym stylu. W finałowym odcinku Se nos ha ido de las manos („Wymknęło się z rąk”), serialu dokumentalnego, którego premiera odbyła się w kwietniu 2026 r. w hiszpańskiej telewizji publicznej, przygląda się temu, jak firmy kupują i sprzedają dane osobowe.

Odcinek zatytułowany El activo eres tú („Aktywem jesteś ty”) stawia na stole niewygodne pytanie: kto ma nasze dane i co się z nimi robi? I z czego jesteśmy gotowi zrezygnować w zamian za obietnicę czegoś za darmo? Po odebraniu połączeń spamowych od firm, które wiedziały o nim zbyt wiele, Tamayo przekształcił swoją własną firmę produkcyjną w brokera danych, aby od środka zobaczyć, jak zbiera się i sprzedaje dane osobowe.

Oto jak działa biznes brokerów danych i jakie prawa daje ci GDPR (ogólne rozporządzenie o ochronie danych).

Czym jest broker danych i jak zarabia

Broker danych to firma, która zbiera, analizuje i sprzedaje informacje o osobach i organizacjach. To, co czyni te informacje cennymi dla nabywców, to sposób, w jaki można je łączyć i analizować. Nawyki, zainteresowania, dane lokalizacyjne i inne sygnały można łączyć w coś użytecznego – coraz częściej z pomocą AI. Brokerzy danych sprzedają surowiec, który pozwala zbudować profil niemal każdej osoby.

W reportażu Tamayo na przykład jeden broker danych oferuje mu informacje o osobach, które niedawno zostały rodzicami. Ci świeżo upieczeni rodzice przekazali swoje dane w szpitalu w zamian za udział w losowaniu nagród z produktami dla noworodków.

Brokerzy danych zwykle zbierają adresy e-mail, adresy IP(nowe okno), przybliżoną lokalizację, zakupy online, wyszukiwania w internecie, zainteresowania wybierane w aplikacji oraz używane urządzenia.

Zdarzyło ci się odebrać połączenie od firmy telefonicznej (lub jakiejkolwiek innej) i zastanawiać się, skąd ma twój numer? To prostsze, niż myślisz. Pliki cookies, aplikacje mobilne i formularze online mogą zbierać twoje informacje i przekazywać je brokerom danych. Podobnie jak źródła offline, takie jak karty lojalnościowe, losowania nagród i rejestry publiczne.

Czym są pliki cookies i do czego służą

Widzisz je na każdej stronie, którą odwiedzasz: małe wyskakujące okienko z prośbą o zaakceptowanie lub odrzucenie plików cookies. Zapewne tylko je przelatujesz wzrokiem, akceptujesz cookies(nowe okno) i idziesz dalej, nigdy nie pytając, czym naprawdę są pliki cookies(nowe okno) ani na co właśnie wyrażasz zgodę firmom w kwestii swoich danych.

Pliki cookies to niewielkie pliki, które strona internetowa zapisuje w twojej przeglądarce, aby zapamiętać informacje o twojej wizycie. Brokerów danych interesują zwłaszcza reklamowe pliki cookies, zaprojektowane do budowania profili behawioralnych i wyświetlania spersonalizowanych reklam.

Można cię jednak śledzić metodami znacznie wykraczającymi poza pliki cookies. Fingerprinting przeglądarki na przykład tworzy unikalny podpis na podstawie cech twojego urządzenia, a śledzenie między witrynami podąża za twoją aktywnością, gdy przechodzisz z jednej strony na drugą. W urządzeniach mobilnych identyfikatory reklamowe robią coś podobnego, wiążąc twoje zachowanie ze stałym identyfikatorem.

Odrzucanie plików cookies poprawia twoją prywatność, ale nie gwarantuje jej w pełni. A gdy zaczniesz pytać, dokąd trafiają twoje dane, kto je przechowuje i jak są wykorzystywane, nieuchronnie natrafisz na pytanie, czy handel twoimi danymi jest w ogóle legalny.

Jak GDPR cię chroni

GDPR to unijny zbiór przepisów regulujących sposób, w jaki organizacje i firmy zbierają, wykorzystują, udostępniają i przechowują dane osobowe każdej osoby w UE. Ma zastosowanie również do firm z siedzibą poza UE, które kierują swoją działalność do osób w UE. W Hiszpanii nad przestrzeganiem przepisów czuwa Hiszpańska Agencja Ochrony Danych (AEPD), która zajmuje się również skargami, gdy firma narusza te prawa.

GDPR ustanawia kilka podstawowych praw:

Prawo dostępu: Dowiedz się, jakie dane osobowe firma przechowuje na twój temat, do czego ich używa, komu je udostępniła i skąd je pozyskała. Możesz też poprosić o ich kopię.

Prawo do sprostowania: Doprowadź do poprawienia nieprawidłowych lub nieaktualnych informacji.

Prawo do usunięcia: Znane jako „prawo do bycia zapomnianym”, pozwala zażądać usunięcia danych, gdy firma ich już nie potrzebuje, gdy wycofasz zgodę lub sprzeciwisz się ich wykorzystywaniu albo gdy zostały przetworzone niezgodnie z prawem.

Prawo do sprzeciwu: Odmów określonych rodzajów przetwarzania, takich jak wykorzystywanie twoich danych do celów reklamowych. W przypadku marketingu bezpośredniego to prawo jest bezwzględne: gdy zgłosisz sprzeciw, firma musi zaprzestać.

Prawo do przenoszenia danych: Otrzymaj dane osobowe, które firma otrzymała od ciebie, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, aby móc przenieść je do innego usługodawcy. Ma to zastosowanie, gdy firma przetwarza twoje dane na podstawie twojej zgody lub umowy, w sposób zautomatyzowany.

GDPR daje ludziom egzekwowalne prawa, poparte karami pieniężnymi, ale wiele osób nie zdaje sobie sprawy, że może z nich korzystać bezpłatnie. Firma może pobrać opłatę lub odmówić tylko wtedy, gdy żądanie jest oczywiście bezzasadne lub nadmierne.

Jak pokazuje reportaż Tamayo, istnieje duża luka między gwarancjami, jakie daje prawo, a tym, co przeciętna osoba wie o ochronie swoich danych osobowych. Ta luka utrudnia ludziom korzystanie z dostępnych narzędzi prawnych i odzyskanie kontroli nad swoimi danymi.

Jak wykorzystać swoje prawa z GDPR wobec brokerów danych

Prawa wymienione powyżej działają tylko wtedy, gdy się z nich korzysta. Żadne z nich nie wymaga prawnika ani specjalnego formularza: wystarczy e-mail do osoby odpowiedzialnej za prywatność w firmie.

Zapytaj, skąd pochodzą twoje dane. Jeśli firma się z tobą kontaktuje, a twoje dane nigdy do niej nie trafiły, zapytaj o ich źródło. Zgodnie z prawem dostępu firma musi ci to powiedzieć, a ta odpowiedź często prowadzi prosto do brokera danych.

Wyślij wniosek o dostęp. Zapytaj firmę lub brokera, jakie dane przechowuje na twój temat, do czego ich używa i komu je udostępnił, i poproś o kopię. Wniosek jest bezpłatny, a firma musi odpowiedzieć w ciągu miesiąca. W przypadku złożonych wniosków może przedłużyć ten termin o kolejne dwa miesiące, ale musi cię o tym poinformować.

Zgłoś sprzeciw i poproś o usunięcie. W tym samym e-mailu możesz sprzeciwić się wykorzystywaniu twoich danych do celów marketingowych i poprosić o ich usunięcie. Firma musi również przekazać informację o usunięciu każdemu, komu udostępniła twoje dane, chyba że jest to niemożliwe lub wymagałoby nieproporcjonalnego wysiłku.

Zapisz się na Listę Robinsona. W Hiszpanii firmy wysyłające marketing bezpośredni muszą sprawdzić tę listę rezygnacji z reklam, zanim się z tobą skontaktują. Zapisanie się jest bezpłatne.

Złóż skargę do AEPD. Jeśli firma cię zignoruje, odmówi bez ważnego powodu lub przekroczy termin, możesz bezpłatnie złożyć skargę do Hiszpańskiej Agencji Ochrony Danych.

Ogranicz, jakie dane brokerzy mogą w ogóle zbierać

Twoje prawa z GDPR porządkują to, co już krąży w sieci. Kilka prostych nawyków ogranicza ilość nowych danych, które trafiają do brokerów.

Przejrzyj uprawnienia aplikacji i wyłącz dostęp, którego aplikacja nie potrzebuje do działania, zwłaszcza w przypadku aplikacji mających dostęp do twojej lokalizacji, kontaktów lub zdjęć.

Odrzucaj pliki cookies, które nie są niezbędne. W witrynach UE odrzucenie powinno być równie łatwe jak akceptacja, a blokuje ono reklamowe pliki cookies zasilające profile behawioralne.

Korzystaj z witryn i usług bez logowania, gdy tylko je przeglądasz. Gdy logujesz się do Google, YouTube, Amazona lub serwisu informacyjnego, wszystko, czego szukasz, co oglądasz, czytasz lub kupujesz, jest powiązane z twoim kontem. Przeglądanie bez logowania daje firmom mniej danych do powiązania z tobą.

Używaj przeglądarki nastawionej na prywatność, takiej jak Firefox lub Brave, które domyślnie blokują wiele elementów śledzących. Możesz też poznać europejskie alternatywne przeglądarki internetowe nastawione na prywatność.

Przejdź na Proton Mail – naszą prywatną i bezpieczną usługę e-mail, która nie może czytać twoich wiadomości i nie skanuje skrzynki odbiorczej w poszukiwaniu reklam, śledzenia czy inwigilacji. Blokuje też piksele śledzące, których specjaliści od marketingu zwykle używają, aby sprawdzić, kiedy otwierasz wiadomość (a także inne wskaźniki).

Używaj VPN(nowe okno), aby ukryć swój adres IP przed witrynami, aplikacjami i sieciami reklamowymi, tak aby nie mogły go użyć do oszacowania twojej lokalizacji ani powiązania twojej aktywności między witrynami. Proton VPN ma również funkcję o nazwie NetShield, która blokuje reklamy i elementy śledzące, zanim się załadują. Ma niezależnie zbadaną politykę braku przechowywania logów(nowe okno), dzięki czemu nie prowadzi rejestru tego, co robisz online.

Używaj zaszyfrowanego menadżera haseł, aby tworzyć silne, unikalne hasła, dzięki czemu jedno przejęte konto nie narazi pozostałych. Proton Pass daje ci również aliasy hide-my-email do newsletterów, losowań nagród i sklepów internetowych. Jeśli któryś zacznie otrzymywać spam, możesz sprawdzić, kto mógł go udostępnić lub ujawnić, a następnie wyłączyć alias.

Jak jasno pokazuje reportaż Tamayo, brokerzy danych są częścią modelu biznesowego opartego na naszych danych. Ale GDPR i narzędzia chroniące naszą prywatność dają nam sposoby na odzyskanie kontroli. Celem nie jest zniknięcie z internetu, lecz świadome decydowanie o tym, kto może uzyskać dostęp do naszych danych i w jakim celu.