"Nigdy nie zostawiłem swojego numeru żadnej firmie pożyczkowej, a oni dzwonią codziennie." Brzmi znajomo? Twój numer prawie na pewno trafił do baz, których nigdy nie autoryzowałeś. Ten artykuł pokazuje skąd - i co możesz z tym realnie zrobić.
Jak naprawdę krąży numer telefonu w internecie
Wbrew pozorom, twój numer rzadko jest "ukradziony" w klasycznym sensie. Zazwyczaj jest legalnie zebrany w jednym miejscu, a potem powielany w nielegalnych albo półlegalnych obrotach. Cztery główne źródła:
- Wycieki baz danych - firmy, które miały twój numer, padły ofiarą włamania albo niedbałości.
- Sprzedaż leadów - przekazywanie numeru między partnerami biznesowymi pod pretekstem "uzasadnionego interesu".
- Data brokerzy - firmy, których biznesem jest agregacja danych z wielu źródeł i sprzedaż dostępu.
- Publiczne źródła - ogłoszenia, media społecznościowe, fora, serwisy aukcyjne, gdzie sam wystawiłeś numer.
Głośne wycieki danych w Polsce
Morele.net (2018)
Sklep elektroniki padł ofiarą ataku, w wyniku którego wyciekły dane kilku milionów klientów - imiona, nazwiska, numery telefonów, adresy, częściowo numery dowodów. UODO nałożył na Morele rekordową karę finansową za niedostateczne zabezpieczenie danych. Po latach baza wciąż krąży po dark webie i jest jednym ze źródeł "świeżych" leadów dla nieuczciwych telemarketerów.
ALAB Laboratoria (2023)
Z sieci laboratoriów medycznych wyciekły szczegółowe dane pacjentów - w tym wyniki badań i numery kontaktowe. Sprawą zajęło się UODO, a CERT Polska wydało ostrzeżenie. Skutki dla pacjentów to nie tylko zalew połączeń od telemarketerów, ale też podwyższone ryzyko prób socjotechnicznych ("dzwonię z laboratorium...").
Wyciek z ePUAP / aplikacji państwowych
Kilkukrotnie pojawiały się raporty o nieprawidłowościach w przetwarzaniu danych w systemach państwowych. Bezpośrednie konsekwencje dla obywateli bywały trudne do oszacowania, ale każdy taki incydent zwiększa ryzyko trafienia do baz handlowanych nielegalnie.
Inne
Zalando, Allegro Lokalnie, mniejsze sklepy, fora internetowe, partie polityczne, fundacje - lista podmiotów, z których w ostatniej dekadzie wyciekły dane Polaków, jest długa. Każdy taki wyciek zasila rynek leadów co najmniej na kilka lat.
Rynek leadów - jak działa "uzasadniony interes"
RODO zna kilka podstaw przetwarzania danych osobowych. Jedną z nich jest "prawnie uzasadniony interes administratora" - klauzula, która w polskim telemarketingu była przez lata szeroko interpretowana. Schemat:
- Wyrażasz zgodę firmie A na kontakt marketingowy "od partnerów biznesowych".
- Firma A przekazuje twoje dane firmom B, C, D - "powiązanym podmiotom".
- Firmy B, C, D dzwonią. Każda powołuje się na "uzasadniony interes" lub na zgodę przekazaną przez firmę A.
- Próba wycofania zgody w jednej firmie nie wycofuje jej w pozostałych - twój numer już zaczął własne życie.
UOKiK i UODO przez lata kwestionują skrajne przypadki tej praktyki. Część firm dostała kary, część zmieniła klauzule, ale rynek nieprzejrzystych "partnerów" nadal istnieje.
Data brokerzy
To firmy, których model biznesowy polega na agregowaniu danych z wielu źródeł i sprzedaży ich w postaci profili lub baz danych. W USA i Wielkiej Brytanii to wielomiliardowy rynek, w Polsce mniejszy, ale rosnący. Brokerzy łączą dane z:
- publicznych rejestrów (KRS, CEIDG),
- publicznych ogłoszeń i serwisów,
- "wycieków" i baz dostępnych w półlegalnych kanałach,
- analiz cyfrowego śladu (cookies, pixele śledzące, dane z aplikacji).
Efekt: telemarketer, który dzwoni z konkretną ofertą, może już wiedzieć, ile zarabiasz, czym jeździsz, jaki masz wiek i czy niedawno przeprowadziłeś się do większego mieszkania. Z perspektywy oszusta to bezcenne - im bardziej spersonalizowany scenariusz, tym wyższa skuteczność.
Tabela - źródła twojego numeru w bazach
| Źródło | Legalność | Jak ograniczyć |
|---|---|---|
| Wyciek z firmy | Nielegalne (ofiara wycieku) | Zmień numer (skrajnie), zgłoś do UODO |
| Sprzedaż leadu z "partnerami" | Często naruszenie RODO | Wycofaj zgodę, żądaj usunięcia danych |
| Data broker | Półlegalne, kwestionowane | Right to be forgotten, skarga do UODO |
| Ogłoszenia (OLX, Allegro) | Legalne (sam wystawiłeś) | Numer w obrazku, dedykowana karta SIM |
| Media społecznościowe | Legalne | Ukryj w ustawieniach prywatności |
| Aplikacje wymagające kontaktów | Legalne (jeśli zgoda) | Odmów zgody, audyt aplikacji |
Jak ograniczyć krążenie numeru - lista kontrolna
- Audyt zgód marketingowych - przejrzyj historię e-maili z newsletterami, sklepami, bankami. W każdej z tych firm wycofaj zgodę na kontakt marketingowy.
- "Right to be forgotten" do data brokerów - jeśli znajdziesz swój numer w bazach komercyjnych, masz prawo żądać usunięcia (RODO art. 17).
- Ogłoszenia bez numeru bezpośredniego - korzystaj z numerów pośredniczących oferowanych przez serwisy (np. wirtualny numer Allegro Lokalnie).
- Drugi numer do "śmieciowej" rejestracji - tani prepaid lub eSIM tylko do kont, których nie traktujesz priorytetowo.
- Audyt uprawnień aplikacji - cofnij dostęp do kontaktów aplikacjom, które tego nie potrzebują.
- Filtry operatora i aplikacja antyspamowa - omawiamy je w tekstach o funkcjach operatorów i aplikacjach antyspamowych.
- Zgłoszenia do UODO - przy uporczywym kontakcie mimo wycofania zgody.
Pełną instrukcję ograniczania ujawniania numeru opisaliśmy w tekście o tym, jak nie zostawiać numeru telefonu wszędzie w internecie.
FAQ
Czy mogę dowiedzieć się, w jakich bazach jest mój numer?
Częściowo. Możesz wysłać zapytanie RODO (art. 15 - prawo dostępu) do każdej firmy, którą podejrzewasz o posiadanie twoich danych. Większe firmy mają na to dedykowane formularze. Problem: jeśli baza jest nielegalna albo działa pod pseudonimem, nie znajdziesz tropu. W takim przypadku UODO i CERT Polska są partnerami w dochodzeniu - podejrzany wyciek czy nadużycie zgłosisz przez formularz incydentu CERT Polska.
Czy zmiana numeru telefonu rozwiąże problem?
Tymczasowo tak, ale nowe bazy zaczynają zbierać twój nowy numer w momencie, w którym zaczynasz go używać. Bez zmiany nawyków (rozważne podawanie numeru, audyt zgód) problem wraca w ciągu roku-dwóch.
Czy "uzasadniony interes" w RODO daje firmom prawo dzwonić bez zgody?
Niejednoznacznie. UODO wielokrotnie wskazywał, że marketing telefoniczny do osób fizycznych co do zasady wymaga zgody (na podstawie ustawy Prawo komunikacji elektronicznej i pokrewnych). Powoływanie się na "uzasadniony interes" w marketingu masowym jest zazwyczaj niedozwolone. Praktyka rynkowa nadal bywa naciągana.
Co zrobić, jeśli firma nie reaguje na moje wycofanie zgody?
Zrób trzy rzeczy: 1) wyślij wycofanie zgody pisemnie (e-mail z potwierdzeniem odbioru) z jasnym żądaniem usunięcia danych, 2) zachowaj kopię e-maila i daty, 3) po 30 dniach złóż skargę do UODO z załączoną korespondencją. To najskuteczniejszy kanał egzekucji.
Podsumowanie
Twój numer telefonu krąży po internecie zazwyczaj nie dlatego, że ktoś go ukradł, lecz dlatego, że system kilkudziesięciu legalnych i półlegalnych transakcji rozesłał go w setki miejsc. Pełnej kontroli nad tym nie odzyskasz - rynek leadów jest zbyt duży i rozproszony. Możesz jednak znacząco zmniejszyć skalę: audyt zgód, drugi numer do drugorzędnych rejestracji, filtry operatora, aplikacja antyspamowa, RODO do najbardziej uciążliwych firm. Dla większości użytkowników po kilku miesiącach takiej higieny dzienna liczba spamerskich połączeń spada o większość.