Sat Feb 14 19:07:41 CET 2009
Čo so spamom v skutočnej poštovej schránke?
Každý sa už aspoň raz stretol s prípadom, keď si vo svojej (skutočnej)
poštovej schránke objavil záhadnú zásielku s veľkým nápisom: „VYHRALI STE“.
Takéto zásielky obsahujúce reklamné informácie ako aj oznámenia o miliónovej
výhre adresáta spamujú naše poštové schránky pomerne často. Adresované sú
spravidla konkrétnej osobe, pričom na obálke sú uvedené údaje potrebné na
doručenie zásielky. Ide o meno, priezvisko a adresu, prípadne aj titul osoby,
ktorá je zásielkou oslovovaná. Kto sú však tieto záhadné firmy ponúkajúce
fantastický nákup či astronomické výhry?
Odosielateľom je vo väčšine prípadov spoločnosť zaoberajúca sa tzv. priamym marketingom pričom cielene oslovuje konkrétne osoby. Takáto firma disponuje rozsiahlymi databázami, ktoré obsahujú osobné údaje mnohých dotknutých osôb. Nikto nemusí loviť v pamäti kedy komu dal súhlas ich spracúvanie. Pokiaľ je rozsah údajov obmedzený iba na titul, meno, priezvisko a adresu a ich využitie je určené výhradne pre potreby prevádzkovateľa (teda spomínanej firmy) v poštovom styku s dotknutou osobou (s nami) a evidencie týchto údajov – súhlas nie je potrebný. Nehovoriac o tom, že firmy s priamym marketingom v predmete činnosti si môžu svoje databázy osobných údajov vymieňať, dopĺňať a opravovať (proste poskytovať spôsobom aký si vyberú).
Sme však preto rukojemníci? Dá sa dostať von z tohto kolotoča? Odpoveď znie „ÁNO“, ale treba preto aj niečo urobiť. Zákon o ochrane osobných údajov nás nenecháva úplne bezbranných. Očakáva však aktívny prístup každého, kto sa chce zbaviť tohto poštového spamu. V ruke každého z nás je nástroj, ktorý nám má napomôcť k zabráneniu používania našich údajov na tieto účely. Ide o námietku, ktorá patrí medzi základné práva dotknutých osôb v kontexte ochrany osobných údajov.
Namietať, a to najlepšie doporučeným listom (aby sme mali dôkaz v podobe podacieho lístka na pošte a kópie listu), možno proti:
Pre prípad, že by sa tak nestalo máme už spomínaný podací lístok a kópiu listu s námietkou. Tieto dokumenty môžeme priložiť k oznámeniu o porušení zákona o ochrane osobných údajov, ktoré možno podať na Úrade na ochranu osobných údajov SR.
Diskusia a komentáre...
Odosielateľom je vo väčšine prípadov spoločnosť zaoberajúca sa tzv. priamym marketingom pričom cielene oslovuje konkrétne osoby. Takáto firma disponuje rozsiahlymi databázami, ktoré obsahujú osobné údaje mnohých dotknutých osôb. Nikto nemusí loviť v pamäti kedy komu dal súhlas ich spracúvanie. Pokiaľ je rozsah údajov obmedzený iba na titul, meno, priezvisko a adresu a ich využitie je určené výhradne pre potreby prevádzkovateľa (teda spomínanej firmy) v poštovom styku s dotknutou osobou (s nami) a evidencie týchto údajov – súhlas nie je potrebný. Nehovoriac o tom, že firmy s priamym marketingom v predmete činnosti si môžu svoje databázy osobných údajov vymieňať, dopĺňať a opravovať (proste poskytovať spôsobom aký si vyberú).
Sme však preto rukojemníci? Dá sa dostať von z tohto kolotoča? Odpoveď znie „ÁNO“, ale treba preto aj niečo urobiť. Zákon o ochrane osobných údajov nás nenecháva úplne bezbranných. Očakáva však aktívny prístup každého, kto sa chce zbaviť tohto poštového spamu. V ruke každého z nás je nástroj, ktorý nám má napomôcť k zabráneniu používania našich údajov na tieto účely. Ide o námietku, ktorá patrí medzi základné práva dotknutých osôb v kontexte ochrany osobných údajov.
Namietať, a to najlepšie doporučeným listom (aby sme mali dôkaz v podobe podacieho lístka na pošte a kópie listu), možno proti:
- spracúvaniu jej osobných údajov, o ktorých predpokladá, že sú alebo budú spracúvané na účely priameho marketingu bez jej súhlasu a žiadať ich likvidáciu,
- využívaniu osobných údajov (titul, meno, priezvisko, adresa = t, m, p, a) na účely priameho marketingu v poštovom styku, alebo
- poskytovaniu osobných údajov (t, m, p, a) na účely priameho marketingu.
Pre prípad, že by sa tak nestalo máme už spomínaný podací lístok a kópiu listu s námietkou. Tieto dokumenty môžeme priložiť k oznámeniu o porušení zákona o ochrane osobných údajov, ktoré možno podať na Úrade na ochranu osobných údajov SR.
Diskusia a komentáre...
Posted by MICo | Permalink | Categories: ochrana osobných údajov, osobné údaje, zákon o ochrane osobných údajov
Mon Oct 27 06:57:22 CET 2008
FOAF.sk bacha na ochrancov údajov :-)
Nie je tomu tak dávno, čo som mailom dostal link na novučičký web chalanov
FIIT STU, ktorého podtitul ma okamžite zaujal - sociálna sieť obchodného registra SR. Odhliadnuc od
toho, že moja prvotná reakcia bol „WTF?“ som si to hneď vyskúšal. Vyzeralo to
na prvý a aj druhý pohľad veľmi funkčne.
Následne som sa však ako „data protection“ pozitívny človek zamyslel nad tým odkiaľ vlastne údaje o osobách a firmách pochádzajú a čo sa s nimi deje.
Nakoľko moje IT znalosti nie sú ani zďaleka bezbrehé, hľadal som dodatočné info o tomto webe. Tu mi bol nápomocný známy IT bezpečnostný búrlivák „oooo“, ktorý vyspovedal jedného z autorov FOAFu pre svoj blog.synopsi.com. Vďaka tomu vieme, že: „Databázu zaobstaráva MySQL a fulltextové vyhľadávanie je riešené cez rozšírenie jazyka Ruby. Databáza dnes obsahuje približne 170 tisíc unikátnych záznamov spoločností, približne 350 tisíc unikátnych záznamov osôb a pol milióna prepojení.“ Je len logické, že dáta pochádzajú z informačného systému Ministerstva spravodlivosti SR, ktoré prevádzkuje Obchodný register SR. V tom, že tieto údaje chalani získali pre svoj projekt zo stránky registra by som problém nevidel. Ide totiž o tzv. zverejnené údaje a ako také ich možno spracúvať bez súhlasu dotknutej osoby. Je však potrebné ich ako zverejnené označiť a v prípade žiadosti ÚOOÚ SR je prevádzkovateľ informačného systému povinný preukázať, že ide skutočne o zverejnené údaje.
K tomu by bolo vhodné doplniť ešte fakt, že disponovať takouto databázou nie je možné len tak. Dalo by sa povedať, že informačný systém podlieha napríklad povinnosti registrácie informačných systémov a prevádzkovateľ je povinný dodržiavať základné zásady ochrany osobných údajov vyplývajúce zo zákona o ochrane osobných údajov ako je napríklad presné vymedzeniu účelu a prostriedkov spracúvania. Takže chalani „bacha“ na takéto drobnosti. Plus by to chcelo nejakú Privacy Policy alebo Statement, aby bolo jasné o čo presne ide pri FOAF.sk.
Myšlienka je to zaujímavá. Držím palce.
Diskusia a komentáre
Následne som sa však ako „data protection“ pozitívny človek zamyslel nad tým odkiaľ vlastne údaje o osobách a firmách pochádzajú a čo sa s nimi deje.
Nakoľko moje IT znalosti nie sú ani zďaleka bezbrehé, hľadal som dodatočné info o tomto webe. Tu mi bol nápomocný známy IT bezpečnostný búrlivák „oooo“, ktorý vyspovedal jedného z autorov FOAFu pre svoj blog.synopsi.com. Vďaka tomu vieme, že: „Databázu zaobstaráva MySQL a fulltextové vyhľadávanie je riešené cez rozšírenie jazyka Ruby. Databáza dnes obsahuje približne 170 tisíc unikátnych záznamov spoločností, približne 350 tisíc unikátnych záznamov osôb a pol milióna prepojení.“ Je len logické, že dáta pochádzajú z informačného systému Ministerstva spravodlivosti SR, ktoré prevádzkuje Obchodný register SR. V tom, že tieto údaje chalani získali pre svoj projekt zo stránky registra by som problém nevidel. Ide totiž o tzv. zverejnené údaje a ako také ich možno spracúvať bez súhlasu dotknutej osoby. Je však potrebné ich ako zverejnené označiť a v prípade žiadosti ÚOOÚ SR je prevádzkovateľ informačného systému povinný preukázať, že ide skutočne o zverejnené údaje.
K tomu by bolo vhodné doplniť ešte fakt, že disponovať takouto databázou nie je možné len tak. Dalo by sa povedať, že informačný systém podlieha napríklad povinnosti registrácie informačných systémov a prevádzkovateľ je povinný dodržiavať základné zásady ochrany osobných údajov vyplývajúce zo zákona o ochrane osobných údajov ako je napríklad presné vymedzeniu účelu a prostriedkov spracúvania. Takže chalani „bacha“ na takéto drobnosti. Plus by to chcelo nejakú Privacy Policy alebo Statement, aby bolo jasné o čo presne ide pri FOAF.sk.
Myšlienka je to zaujímavá. Držím palce.
Diskusia a komentáre
Thu Oct 2 05:11:26 CEST 2008
IP adresa - je to teda osobný údaj?
Spoza „veľkej mláky“ sa k nám pravidelne dostavajú názory odborníkov, ale aj
laikov hovoriace, že IP adresa za žiadnych okolností nemôže byť považovaná za
osobný údaj. Európa v tom však má už pomerne dlhú dobu jasno. Čierne na bielom
to prišlo z Bruselu od Pracovnej skupiny podľa článku 29 (dvorného
vykladača Smernice Európskeho parlamentu a Rady 95/46/EC z 24. októbra 1995 o ochrane
jednotlivcov pri spracúvaní osobných údajov a voľnom pohybe týchto údajov) a
vo svojich stanoviskách to preberajú aj úrady na ochranu osobných údajov
členských štátov (keďže ich predsedovia to čierne na bielom v pracovnej
skupine schválili).
Ale k veci. Prečo vlastne niekto 4 čísla oddelené bodkami považuje za osobný údaj?
Pracovná skupina uviedla, že „poskytovatelia prístupu na internet a správcovia miestnych sietí môžu pomocou primeraných prostriedkov identifikovať užívateľov internetu, ktorým pridelili IP adresy pretože zvyčajne systematicky „zaznamenávajú“ do súboru dátum, čas, trvanie a dynamickú IP adresu pridelenú užívateľovi internetu. To isté možno povedať o poskytovateľoch internetových služieb, ktorí vedú prevádzkový denník na serveri HTTP. V týchto prípadoch možno nepochybne hovoriť o osobných údajoch…“ – viď jej stanovisko z minulého roku.
V stanovisku sa ďalej píše, že „najmä v prípadoch, keď sa IP adresy spracúvajú na účely identifikácie užívateľov počítača (napríklad vlastníkmi autorských práv, ktorí chcú stíhať užívateľov počítača za porušenie práv duševného vlastníctva) kontrolór – tu ide o pojem, ktorý by mal byť u nás skôr prekladaný ako prevádzkovateľ aby korešpondoval s terminológiou nášho zákona o ochrane osobných údajov - očakáva, že budú k dispozícii „prostriedky, u ktorých je primeraná pravdepodobnosť, že sa využijú“ na identifikáciu osôb, napríklad prostredníctvom súdov, na ktoré sa obrátia (inak nemá zhromažďovanie informácií žiadny význam), a preto by sa informácie mali považovať za osobné údaje.
Osobitným prípadom by boli určité druhy IP adries, ktoré za určitých okolností skutočne neumožňujú identifikáciu užívateľa z rôznych technických a organizačných dôvodov. Jedným z príkladov by mohli byť IP adresy pridelené počítaču v internetovej kaviarni, kde sa nevyžaduje žiadna identifikácia zákazníkov. Mohlo by sa namietať, že údaje zhromaždené o využívaní počítača X počas určitého časového rámca neumožňujú identifikáciu užívateľa primeranými prostriedkami, a preto nie sú osobnými údajmi. Je však nutné uviesť, že poskytovatelia internetových služieb pravdepodobne nebudú vedieť, či príslušná IP adresa je alebo nie je adresou, ktorá umožňuje identifikáciu, a že spracujú údaje spojené s touto IP adresou rovnakým spôsobom, ako spracúvajú informácie spojené s IP adresami užívateľov, ktorí sú riadne zaregistrovaní a identifikovateľní. Takže pokiaľ poskytovateľ internetových služieb nemôže s absolútnou istotou rozlíšiť, či údaje zodpovedajú užívateľom, ktorí sa nedajú identifikovať, bude musieť pre istotu spracovať všetky informácie IP ako osobné údaje“.
Napísať to nejako inak by znamenalo vymýšľať teplú vodu – preto som to proste pastol. Táto línia sa vďaka stanovisku pracovnej skupiny tiahne celou EÚ a výklad orientovaný týmto smerom by si mali osvojiť všetky dozorné orgány na ochranu osobných údajov v členských štátoch EÚ. Takže dynamická či pevná, v mnohých prípadoch môže IP-čka viesť k tomu, komu bola pridelená.
Diskusia a komentáre
Ale k veci. Prečo vlastne niekto 4 čísla oddelené bodkami považuje za osobný údaj?
Pracovná skupina uviedla, že „poskytovatelia prístupu na internet a správcovia miestnych sietí môžu pomocou primeraných prostriedkov identifikovať užívateľov internetu, ktorým pridelili IP adresy pretože zvyčajne systematicky „zaznamenávajú“ do súboru dátum, čas, trvanie a dynamickú IP adresu pridelenú užívateľovi internetu. To isté možno povedať o poskytovateľoch internetových služieb, ktorí vedú prevádzkový denník na serveri HTTP. V týchto prípadoch možno nepochybne hovoriť o osobných údajoch…“ – viď jej stanovisko z minulého roku.
V stanovisku sa ďalej píše, že „najmä v prípadoch, keď sa IP adresy spracúvajú na účely identifikácie užívateľov počítača (napríklad vlastníkmi autorských práv, ktorí chcú stíhať užívateľov počítača za porušenie práv duševného vlastníctva) kontrolór – tu ide o pojem, ktorý by mal byť u nás skôr prekladaný ako prevádzkovateľ aby korešpondoval s terminológiou nášho zákona o ochrane osobných údajov - očakáva, že budú k dispozícii „prostriedky, u ktorých je primeraná pravdepodobnosť, že sa využijú“ na identifikáciu osôb, napríklad prostredníctvom súdov, na ktoré sa obrátia (inak nemá zhromažďovanie informácií žiadny význam), a preto by sa informácie mali považovať za osobné údaje.
Osobitným prípadom by boli určité druhy IP adries, ktoré za určitých okolností skutočne neumožňujú identifikáciu užívateľa z rôznych technických a organizačných dôvodov. Jedným z príkladov by mohli byť IP adresy pridelené počítaču v internetovej kaviarni, kde sa nevyžaduje žiadna identifikácia zákazníkov. Mohlo by sa namietať, že údaje zhromaždené o využívaní počítača X počas určitého časového rámca neumožňujú identifikáciu užívateľa primeranými prostriedkami, a preto nie sú osobnými údajmi. Je však nutné uviesť, že poskytovatelia internetových služieb pravdepodobne nebudú vedieť, či príslušná IP adresa je alebo nie je adresou, ktorá umožňuje identifikáciu, a že spracujú údaje spojené s touto IP adresou rovnakým spôsobom, ako spracúvajú informácie spojené s IP adresami užívateľov, ktorí sú riadne zaregistrovaní a identifikovateľní. Takže pokiaľ poskytovateľ internetových služieb nemôže s absolútnou istotou rozlíšiť, či údaje zodpovedajú užívateľom, ktorí sa nedajú identifikovať, bude musieť pre istotu spracovať všetky informácie IP ako osobné údaje“.
Napísať to nejako inak by znamenalo vymýšľať teplú vodu – preto som to proste pastol. Táto línia sa vďaka stanovisku pracovnej skupiny tiahne celou EÚ a výklad orientovaný týmto smerom by si mali osvojiť všetky dozorné orgány na ochranu osobných údajov v členských štátoch EÚ. Takže dynamická či pevná, v mnohých prípadoch môže IP-čka viesť k tomu, komu bola pridelená.
Diskusia a komentáre
Sun Sep 7 20:44:27 CEST 2008
Odporúčam: www.OOU.sk - Ako si uplatním svoje práva?
Dotknutá osoba – človek,
ktorého osobné údaje niekto spracúva, máva často pocit, že sa to nedeje celkom
s “kostolným poriadkom“ a teda v súlade so zákonom o ochrane osobných
údajov. Tiež sa môže stať, že má podozrenie či niekto náhodou nespracúva
jeho osobné údaje bez právneho základu (tým
môže byť napríklad súhlas alebo zákon) alebo pochybnosť o tom, z akého zdroja
údaje pochádzajú. Mnohí už dnes vedia, že pri dovolávaní sa svojich práv môžu
využiť pomoc Úradu na ochranu osobných údajov SR (úrad) cez oznámenie o porušení
zákona (ľudovo povedané „sťažnosť“). Nie je to však až také jednoduché a
oznámeniu na úrade by malo predchádzať tzv. uplatnenie práva
dotknutej osoby.
Čítajte ďalej...
Čítajte ďalej...
Sun Aug 24 11:13:51 CEST 2008
Vyhľadávače v zornom poli ochrancov osobných údajov
Po webe možno nájsť hromadu diskusií o tom čo sú osobné údaje a čo nie,
rovnako ako aj diskusie o tom aké informácie o svojich používateľoch
vyhľadávače zbierajú. No a občas sa nájde aj nejaký odvážlivec, ktorý tieto
dve témy spojí dokopy a zamyslí sa nad tým či informácie o požívateľoch, ktoré
„buldozérom“ vyhľadávače zhŕňajú do svojich skladov, kde ich do úmoru
podrobujú analýzam, možno považovať za osobné údaje alebo skutočne nie. Je
však evidentné, že to vôbec nie je jednoduché skonštatovať. Názory sa totiž
líšia nielen v závislosti od toho z akého tábora pochádza odvážlivec
(vyhľadávače alebo ochrancovia dát), ale aj od toho či je ochranca dát z USA
alebo z EÚ. Pohľady na ochranu osobných údajov v týchto dvoch regiónoch
vykazujú výrazné rozdiely a vďaka tomu si tieto dva „data protection gangy“
občas nevedia prísť na meno. Jedna strana nepovažuje úroveň ochrany osobných
údajov druhej za dostatočnú a tá druhá si „pre zmenu“ to isté myslí o tej
prvej.
My sme však v EÚ a v tomto priestore platí „naše“ právo. Po rozum v tejto veci nemusíme cestovať do D.C., ale stačí nám zabehnúť, hoc i virtuálne, do Bruselu. Prevádzkovatelia internetových vyhľadávačov a ochrancovia osobných údajov po sebe poškuľujú nejaký ten čas. Svedčí o tom viacero dokumentov, ktoré vyprodukovali obe strany. Primárne by som však chcel predstaviť práve ten posledný z tábora ochrancov dát. Pracovná skupina článku 29 (WP29) vytvorená Smernicou 95/46/EC o ochrane jednotlivcov pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Smernica 95/46/EC) má vo vzťahu ku Komisii poradný status. O tejto skupine sa príliš nehovorí napriek tomu, že je v Európskej únii „dvorným vykladačom“ smernice a problematiky ochrany osobných údajov.
Vo svojom stanovisku k vyhľadávačom uviedli predstavitelia WP29 zaujímavé pohľady na vec. Nejde síce o nijak záväzný dokument, ale fakt, že členovia WP29 sú predsedovia úradov na ochranu osobných údajov členských štátov EÚ mu výrazne dodáva na vážnosti. Predznamenáva totiž, že v prípade prešetrovania zásahov do ochrany osobných údajov týmito dozornými orgánmi, nebudú ich rozhodnutia nejako výrazne odbáčať od filozofického smeru, ktorý si tu vytýčili. V čom je teda posledné stanovisko k vyhľadávačom prelomové? Asi tým, že bez okolkov prisudzuje pre vyhľadávače povinnosť dodržiavať Smernicu 95/46/EC (často aj keď nemajú HQ - sídlo v EÚ priestore).
Podľa toho čo sa dá zo stanoviska vyčítať sa prevádzkovatelia vyhľadávačov musia správať k informáciám, ktoré majú o používateľoch ako k osobným údajom. Nejde iba o IP adresy a koláčiky (web cookies či flash cookies), ale za zaujímavé sa považujú aj tzv. logy.
U nás (v EÚ) sa teda na vyhľadávače plne vzťahuje legislatíva ochrany osobných údajov a každý vyhľadávač ju má dodržiavať. Na okrídlenú otázku „a co z toho jako vyplývá?“ teda ešte zhrnieme pár zásad, ktoré pre každý vyhľadávač platia:
• spracúvanie osobných údajov len a len na legitímne účely
• vymazanie alebo nezvratná anonymizácia po dosiahnutí účelu
• odôvodnená dĺžka doby uchovávania údajov ako aj expirácia cookies
• rozširovanie užívateľských profilov o údaje, ktoré neposkytli samotní užívatelia len s ich súhlasom
• súhlas treba mať aj na uchovávanie individuálnej histórie vyhľadávania.
A čo používatelia? Používatelia služieb vyhľadávačov majú právo na prístup ku všetkým svojim osobným údajom, vrátane svojich profilov a histórie vyhľadávania, na ich kontrolu a v prípade potreby na ich opravu. Krížová korelácia údajov pochádzajúcich z rôznych služieb patriacich poskytovateľovi vyhľadávača sa môže uskutočniť iba vtedy, ak užívateľ dal súhlas na túto osobitnú službu.
Koho to zaujíma viac, tu je link na Stanovisko k vyhľadávačom. Určite sa k nemu však vrátim, lebo obsahuje mnoho podnetných informácií z tejto oblasti.
Diskusia a komentáre
My sme však v EÚ a v tomto priestore platí „naše“ právo. Po rozum v tejto veci nemusíme cestovať do D.C., ale stačí nám zabehnúť, hoc i virtuálne, do Bruselu. Prevádzkovatelia internetových vyhľadávačov a ochrancovia osobných údajov po sebe poškuľujú nejaký ten čas. Svedčí o tom viacero dokumentov, ktoré vyprodukovali obe strany. Primárne by som však chcel predstaviť práve ten posledný z tábora ochrancov dát. Pracovná skupina článku 29 (WP29) vytvorená Smernicou 95/46/EC o ochrane jednotlivcov pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Smernica 95/46/EC) má vo vzťahu ku Komisii poradný status. O tejto skupine sa príliš nehovorí napriek tomu, že je v Európskej únii „dvorným vykladačom“ smernice a problematiky ochrany osobných údajov.
Vo svojom stanovisku k vyhľadávačom uviedli predstavitelia WP29 zaujímavé pohľady na vec. Nejde síce o nijak záväzný dokument, ale fakt, že členovia WP29 sú predsedovia úradov na ochranu osobných údajov členských štátov EÚ mu výrazne dodáva na vážnosti. Predznamenáva totiž, že v prípade prešetrovania zásahov do ochrany osobných údajov týmito dozornými orgánmi, nebudú ich rozhodnutia nejako výrazne odbáčať od filozofického smeru, ktorý si tu vytýčili. V čom je teda posledné stanovisko k vyhľadávačom prelomové? Asi tým, že bez okolkov prisudzuje pre vyhľadávače povinnosť dodržiavať Smernicu 95/46/EC (často aj keď nemajú HQ - sídlo v EÚ priestore).
Podľa toho čo sa dá zo stanoviska vyčítať sa prevádzkovatelia vyhľadávačov musia správať k informáciám, ktoré majú o používateľoch ako k osobným údajom. Nejde iba o IP adresy a koláčiky (web cookies či flash cookies), ale za zaujímavé sa považujú aj tzv. logy.
U nás (v EÚ) sa teda na vyhľadávače plne vzťahuje legislatíva ochrany osobných údajov a každý vyhľadávač ju má dodržiavať. Na okrídlenú otázku „a co z toho jako vyplývá?“ teda ešte zhrnieme pár zásad, ktoré pre každý vyhľadávač platia:
• spracúvanie osobných údajov len a len na legitímne účely
• vymazanie alebo nezvratná anonymizácia po dosiahnutí účelu
• odôvodnená dĺžka doby uchovávania údajov ako aj expirácia cookies
• rozširovanie užívateľských profilov o údaje, ktoré neposkytli samotní užívatelia len s ich súhlasom
• súhlas treba mať aj na uchovávanie individuálnej histórie vyhľadávania.
A čo používatelia? Používatelia služieb vyhľadávačov majú právo na prístup ku všetkým svojim osobným údajom, vrátane svojich profilov a histórie vyhľadávania, na ich kontrolu a v prípade potreby na ich opravu. Krížová korelácia údajov pochádzajúcich z rôznych služieb patriacich poskytovateľovi vyhľadávača sa môže uskutočniť iba vtedy, ak užívateľ dal súhlas na túto osobitnú službu.
Koho to zaujíma viac, tu je link na Stanovisko k vyhľadávačom. Určite sa k nemu však vrátim, lebo obsahuje mnoho podnetných informácií z tejto oblasti.
Diskusia a komentáre
Thu Jul 24 20:49:29 CEST 2008
Email - osobný údaj?
Viackrát som dostal otázku o tom či si myslím, že emailová adresa je osobným
údajom alebo nie. Rozhodol som sa preto týmto smerom pohnať najnovší príspevok
na blog. Neviem či sa mi však podarí uspokojiť všetkých zvedavcov, lebo na
túto otázku podľa môjho názoru nie jej jednoznačná odpoveď. Prečo je tomu
podľa mňa tak?
Osobnými údajmi sú totiž údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby...atď. A tu je kameň úrazu. Povedal by som, že emailové adresy by sme mohli rozdeliť na také, ktoré za osobné údaje možno považovať a také, ktoré by osobnými údajmi za určitých okolností nemali byť. Ale poďme sa na to pozrieť bližšie.
Kedy by mal byť email (teda emailová adresa) osobným údajom? Osobným údajom by mal byť za predpokladu, že z neho možno vyčítať meno, priezvisko a zamestnávateľa. Napríklad ministerstvá, ostatné ústredné alebo iné orgány štátnej správy a v podstate celý verejný sektor by mal používať emailové adresy v tvare meno.priezvisko@zamestnávateľ.sk. Aj keď nie všetky inštitúcie toto pravidlo dodržiavajú, z takejto emailovej adresy možno zistiť, že napríklad „Meno Priezvisko“ pracuje na úrade či ministerstve. Nepriamo ochrana týchto údajov vyplýva aj zo zákona o slobodnom prístupe k informáciám, ktorý takýto údaj umožňuje sprístupniť iba o vybranej skupine úradníkov na vedúcich či inak dôležitých postoch. U radového zamestnanca sa zachováva jeho právo na súkromie a ochranu osobných údajov a žiadne informácie o jeho osobných údajoch sa proste nesprístupňujú (pokiaľ na to nedal písomný súhlas alebo to neurčil osobitný zákon).
Nielen orgány verejnej správy, ale aj obchodné spoločnosti používajú často pre svojich zamestnancov emailovú adresu v tvare meno.priezvisko@nazov_firmy.sk a v prípadoch väčšiny takýchto spoločností je malá šanca, že by šlo o falošné meno imaginárneho zamestnanca.
V mnohých prípadoch na identifikáciu osoby postačí aj uvedenie jej mena a priezviska s dodatkom určujúcim zamestnávateľa (v tomto prípade môže byť osoba rovno z týchto údajov identifikovaná). V iných je zasa na základe týchto dát jednoduché dohľadať hoci aj na internete či v telefónnych zoznamoch (tie sú vlastne tiež na webe) adresu a telefónne číslo (dotknutá osoba by tak mohla byť identifikovateľná). Tu by som teda povedal, že skutočne je na mieste hovoriť aj o osobných údajoch.
Ak by sa však jednalo o emailovú adresu v nejakom „uletenom tvare“, ktorá vyzerá ako keby prešla cez generátor náhodných „číslo-písmenkových“ znakov (čosi ako sejasd798hhdfj565@gmail.com) a nešlo by o prípadnú prezývku notoricky spájanú s dotknutou osobou, ťažko by sa dalo hovoriť o osobných údajoch.
Toľko teda zbežne k emailovej adrese a k dileme či je alebo nie je osobným údajom. Ako som povedal na začiatku, odpoveď nie je jednoznačná a nedá sa použiť všeobecne. Keď však už dôjdeme k názoru, že nejaká emailová adresa je osobným údajov, ešte to nemusí automaticky znamenať, že sa na ňu vzťahuje zákon o ochrane osobných údajov so svojim ochranným dáždnikom..
Ale o tom snáď inokedy.
Diskusia a komentáre
Osobnými údajmi sú totiž údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby...atď. A tu je kameň úrazu. Povedal by som, že emailové adresy by sme mohli rozdeliť na také, ktoré za osobné údaje možno považovať a také, ktoré by osobnými údajmi za určitých okolností nemali byť. Ale poďme sa na to pozrieť bližšie.
Kedy by mal byť email (teda emailová adresa) osobným údajom? Osobným údajom by mal byť za predpokladu, že z neho možno vyčítať meno, priezvisko a zamestnávateľa. Napríklad ministerstvá, ostatné ústredné alebo iné orgány štátnej správy a v podstate celý verejný sektor by mal používať emailové adresy v tvare meno.priezvisko@zamestnávateľ.sk. Aj keď nie všetky inštitúcie toto pravidlo dodržiavajú, z takejto emailovej adresy možno zistiť, že napríklad „Meno Priezvisko“ pracuje na úrade či ministerstve. Nepriamo ochrana týchto údajov vyplýva aj zo zákona o slobodnom prístupe k informáciám, ktorý takýto údaj umožňuje sprístupniť iba o vybranej skupine úradníkov na vedúcich či inak dôležitých postoch. U radového zamestnanca sa zachováva jeho právo na súkromie a ochranu osobných údajov a žiadne informácie o jeho osobných údajoch sa proste nesprístupňujú (pokiaľ na to nedal písomný súhlas alebo to neurčil osobitný zákon).
Nielen orgány verejnej správy, ale aj obchodné spoločnosti používajú často pre svojich zamestnancov emailovú adresu v tvare meno.priezvisko@nazov_firmy.sk a v prípadoch väčšiny takýchto spoločností je malá šanca, že by šlo o falošné meno imaginárneho zamestnanca.
V mnohých prípadoch na identifikáciu osoby postačí aj uvedenie jej mena a priezviska s dodatkom určujúcim zamestnávateľa (v tomto prípade môže byť osoba rovno z týchto údajov identifikovaná). V iných je zasa na základe týchto dát jednoduché dohľadať hoci aj na internete či v telefónnych zoznamoch (tie sú vlastne tiež na webe) adresu a telefónne číslo (dotknutá osoba by tak mohla byť identifikovateľná). Tu by som teda povedal, že skutočne je na mieste hovoriť aj o osobných údajoch.
Ak by sa však jednalo o emailovú adresu v nejakom „uletenom tvare“, ktorá vyzerá ako keby prešla cez generátor náhodných „číslo-písmenkových“ znakov (čosi ako sejasd798hhdfj565@gmail.com) a nešlo by o prípadnú prezývku notoricky spájanú s dotknutou osobou, ťažko by sa dalo hovoriť o osobných údajoch.
Toľko teda zbežne k emailovej adrese a k dileme či je alebo nie je osobným údajom. Ako som povedal na začiatku, odpoveď nie je jednoznačná a nedá sa použiť všeobecne. Keď však už dôjdeme k názoru, že nejaká emailová adresa je osobným údajov, ešte to nemusí automaticky znamenať, že sa na ňu vzťahuje zákon o ochrane osobných údajov so svojim ochranným dáždnikom..
Ale o tom snáď inokedy.
Diskusia a komentáre
Posted by MICo | Permalink | Categories: súkromie, ochrana osobných údajov, osobné údaje, zákon o ochrane osobných údajov
Wed Jul 23 15:58:05 CEST 2008
RFID už dávno nie je len budúcnosť
RFID je zvláštny fenomén modernej doby. Radio Frequency Identification –
rádio frekvenčná identifikácia je technológia, ktorá si razí cestu do
každodenného života nás všetkých veľmi rýchlo a bez akýchkoľvek okolkov sa
hlási o slovo. Niet pochýb o tom, že môže uľahčiť život mnohých vo viacerých
oblastiach ekonomického, spoločenského, kultúrneho či hocijakého iného aspektu
života. Náhrada čiarových kódov, rôznych ceduliek označujúcich veci,
identifikácia zvierat – toto všetko je fajn a praktické, ale...
Čo však v prípade, keď označený RFID čipom bude človek – ľudská bytosť – jednotlivec? V tomto prípade to už prestáva byť také zábavné. Využitie však má stále siahodlhý zoznam benefitov. Pacientov v nemocnici si personál už nikdy nepomýli čím odpadnú fatálne následky z náhodnej zámeny liekov (pokiaľ sú aj tieto označené), „očipované“ dieťa sa nezatúla a iné. Čo však obavy zo straty súkromia či obavy zo zásahu do práva na ochranu osobných údajov. O nositeľovi čipu je možné zaznamenávať celý rad dát, pričom báť sa nebudeme iba o dáta zaznamenané na čipe (viacero odborníkov sa predstavilo verejnosti s prekvapivo ľahkými spôsobmi ako skopírovať celý čip a vytvoriť jeho klon), ale aj o dáta, ktoré nositeľ vygeneruje svojim správaním.
Pokiaľ je čip v tovare a nie na samotnom človeku (v jeho tele) môže sa to javiť ako bezpečné. Najmä čo sa týka tovarov v obchodoch ide o pomerne zaujímavú pomôcku pri narábaní so skladovými zásobami či evidenciou tovaru prechádzajúceho cez pokladne. Hrozbou, ktorá však vie skrížiť krok súkromiu nakupujúceho môže byť napríklad spojenie tovaru s platobnou kartou kupujúceho a (v tom lepšom prípade) vytváranie nákupného profilu (čo pri niektorých citlivých druhoch tovaru môže byť zároveň aj ten horší prípad). Nepravdepodobné, že by mohlo isť o zásah do súkromia? Stačí si k tomu pridať vernostnú kartu s identifikačnými údajmi a profil je dokonalý. Už aj teraz je takéto profilovanie zákazníkov v zásade možné, pri vydávaní vernostných kariet si predajcovia nechávajú podpísať súhlas so spracúvaním osobných údajov na najrôznejšie účely. Výmenou za pár bodov a či halierové (čoskoro „milicentové“) zľavy takto majú k dispozícii unikátnu vzorku živých ľudí na marketingové či iné účely. Riziká zásahu do súkromia spočívajú aj v tom, že vzory správanie jednotlivca môžu byť zaznamenané často aj bez jeho vedomia.
Obavy z RFID vyjadrili na pôde EÚ aj šéfovia úradov na ochranu osobných údajov, ktorí ich zhrnuli do viacerých bodov – rizikovými sú pri použitím RFID:
Čo však v prípade, keď označený RFID čipom bude človek – ľudská bytosť – jednotlivec? V tomto prípade to už prestáva byť také zábavné. Využitie však má stále siahodlhý zoznam benefitov. Pacientov v nemocnici si personál už nikdy nepomýli čím odpadnú fatálne následky z náhodnej zámeny liekov (pokiaľ sú aj tieto označené), „očipované“ dieťa sa nezatúla a iné. Čo však obavy zo straty súkromia či obavy zo zásahu do práva na ochranu osobných údajov. O nositeľovi čipu je možné zaznamenávať celý rad dát, pričom báť sa nebudeme iba o dáta zaznamenané na čipe (viacero odborníkov sa predstavilo verejnosti s prekvapivo ľahkými spôsobmi ako skopírovať celý čip a vytvoriť jeho klon), ale aj o dáta, ktoré nositeľ vygeneruje svojim správaním.
Pokiaľ je čip v tovare a nie na samotnom človeku (v jeho tele) môže sa to javiť ako bezpečné. Najmä čo sa týka tovarov v obchodoch ide o pomerne zaujímavú pomôcku pri narábaní so skladovými zásobami či evidenciou tovaru prechádzajúceho cez pokladne. Hrozbou, ktorá však vie skrížiť krok súkromiu nakupujúceho môže byť napríklad spojenie tovaru s platobnou kartou kupujúceho a (v tom lepšom prípade) vytváranie nákupného profilu (čo pri niektorých citlivých druhoch tovaru môže byť zároveň aj ten horší prípad). Nepravdepodobné, že by mohlo isť o zásah do súkromia? Stačí si k tomu pridať vernostnú kartu s identifikačnými údajmi a profil je dokonalý. Už aj teraz je takéto profilovanie zákazníkov v zásade možné, pri vydávaní vernostných kariet si predajcovia nechávajú podpísať súhlas so spracúvaním osobných údajov na najrôznejšie účely. Výmenou za pár bodov a či halierové (čoskoro „milicentové“) zľavy takto majú k dispozícii unikátnu vzorku živých ľudí na marketingové či iné účely. Riziká zásahu do súkromia spočívajú aj v tom, že vzory správanie jednotlivca môžu byť zaznamenané často aj bez jeho vedomia.
Obavy z RFID vyjadrili na pôde EÚ aj šéfovia úradov na ochranu osobných údajov, ktorí ich zhrnuli do viacerých bodov – rizikovými sú pri použitím RFID:
- získavanie informácií priamo alebo nepriamo spojených s osobnými údajmi (napr. spájanie zakúpených tovarov s kupujúcimi)
- ukladanie údajov (napr. rôzne vstupné karty obsahujúce aj kontaktné – identifikačné údaje dotknutej osoby)
- odhaľovanie údajov o jednotlivcoch bez použitia tradičných identifikátorov (podľa nakupovaných tovarov možno napríklad odhaliť stravovacie návyky, zdravotný stav a pod.).
Posted by MICo | Permalink | Categories: súkromie, bezpečnosť, ochrana osobných údajov, Zaujímavosti
Thu Jul 3 10:20:32 CEST 2008
V Kanade vyšetrujú FACEBOOK
Kanadská komisárka na ochranu súkromia
(čosi ako náš ÚOOÚ SR) dostala koncom mája sťažnosť na
porušenie Personal Information Protection and Electronic Documents Act a.k.a.
PIPEDA (čosi ako náš zákon
o ochrane osobných údajov) od skupinky študentov práva. Sťažnosť podali
pod hlavičkou Canadian Internet Policy and Public
Interest Clinic - CIPPIC vedení riaditeľkou tejto inštitúcie Philippou
Lawson. Podľa ich analýzy FACEBOOK zlyhal v plnení viacerých požiadaviek
vyplývajúcich z PIPEDA pričom:
Kanadské úrady (Privacy Commissioner of Canada) majú teraz rok na prešetrenie veci a sformulovanie záverov. Vzhľadom na to, že základné princípy ochrany osobných údajov sú vo veľkej miere všade rovnaké, bude zaujímavé sledovať výstupy z tejto kauzy.
- nešpecifikoval každý účel, na ktorý spracúva osobné údaje jednotlivých užívateľov
- nezískal informovaný súhlas užívateľov a neužívateľov na používanie a zverejňovanie ich osobných údajov
- neumožnil užívateľom použiť jeho služby bez toho aby mu dali súhlas na spracúvanie osobných údajov a viaceré osobné údaje, ktoré nie sú nevyhnutné na stanovený účel
- nezískal jednoznačný (výslovný) súhlas užívateľov na zdieľanie ich citlivých údajov
- neumožnil užívateľom, ktorí deaktivovali svoje účty jednoduché odvolanie ich súhlasu na zdieľanie informácií
- neobmedzil rozsah získavaných osobných údajov iba na tie údaje, ktoré sú nevyhnutné na dosiahnutie stanovených účelov ich spracúvania
- neinformoval čestne o svojich zámeroch využiť osobné údaje aj na reklamné účely ani o úrovni vplyvu užívateľa na riadenie nastavení týkajúcich sa jeho súkromia
- nezlikvidoval osobné údaje užívateľov, ktorí prestali využívať jeho služby
- nezabezpečil ochranu osobných údajov užívateľov pred neautorizovaným prístupom
- nevysvetlil politiku a procedúry poskytovania osobných údajov tretím stranám - rôznym inzerentom (poskytovateľom reklamy) či vývojárom aplikácií
Kanadské úrady (Privacy Commissioner of Canada) majú teraz rok na prešetrenie veci a sformulovanie záverov. Vzhľadom na to, že základné princípy ochrany osobných údajov sú vo veľkej miere všade rovnaké, bude zaujímavé sledovať výstupy z tejto kauzy.
Posted by MICo | Permalink | Categories: súkromie, bezpečnosť, ochrana osobných údajov, osobné údaje, Zaujímavosti
Sat Jun 28 07:08:58 CEST 2008
Nie všetko patrí na web...
O WEB 2.0 sa už popísalo mnoho.
Koncoví užívatelia - jednotlivci, ktorí boli pomerne dlho iba konzumentmi
obsahu sa skokom dostali do úplne novej pozície. Začali generovať svoj vlastný
obsah a publikovať ho. Túto možnosť dostali náhle a bez akéhokoľvek návodu,
bez poznania všetkých dôsledkov, ktoré im môže priniesť. Prišla k nim spolu s
nástupom aplikácií vytvorených práve na tento účel – dať bežnému človeku s
prístupom na internet šancu a priestor na to, aby sa podelil so svojimi
odbornými skúsenosťami, ale (bez ohľadu na to aký je) aj so svojim súkromným
životom.
Typickým príkladom je BLOG, ktorý registrovaným užívateľom umožňuje vytvárať si internetové stránky a kŕmiť ich obsahom podľa vlastného uváženia. Takýto užívateľ spravidla podlieha povinnosti dodržiavať všeobecné podmienky portálov a odkliknutím súhlasu vezme na vedomie aj zoznam vecí, ktoré na jeho webstránku nepatria. Nikto mu však nepovie, že na web proste nemá nerozvážne uploadovať osobné údaje. Z pravidiel portálov zväčša vyplýva, že blogger nemá zverejňovať osobné údaje iných osôb bez ich súhlasu. Bloggeri si však často neuvedomujú, že opatrní by mali byť aj vo vzťahu k osobným údajom, ktoré sa týkajú ich vlastnej osoby.
Zverejňovanie osobných údajov má pomerne rozsiahle dôsledky aj do budúcna. Prakticky je to licencia na spracúvanie osobných údajov pre kohokoľvek, kto sa k nim dostane. Bez súhlasu dotknutej osoby možno osobné údaje spracúvať vtedy (okrem iného), ak sa spracúvajú už zverejnené osobné údaje. V týchto prípadoch treba osobné údaje náležite označiť a byť pripravený, že ak to bude potrebné (napr. návšteva inšpektora z UOOU SR) treba preukázať, že spracúvané osobné údaje boli už zverejnené. Domáhať sa ochrany proti spracúvaniu zverejnených údajov podľa zákona o ochrane osobných údajov je potom prinajmenšom problematické.
Táto otázka je dôležitá aj z pohľadu detských bloggerov či microbloggerov. Deti sa ešte stále zžívajú s internetom ľahšie ako ich rodičia. Otvorene pritom píšu o všetkom čo zažívajú, alebo čo ich trápi. Vytvárajú fotogalérie, uploadujú videá zo svojich mobilov, popisujú seba a svojich rodičov. Nerozlišujú medzi bežnými neškodnými informáciami a osobnými údajmi či dokonca citlivými osobnými údajmi. O tom, že takýmto správaním priťahujú pozornosť rôznych typov surferov asi netreba písať. Je samozrejme na rodičoch ako sa k tomu postavia.
Na pomoc novodobým redaktorom (bloggerom a ostatným čo publikujú online) rovnako ako aj ich (občas aj prekvapeným) rodičom prichádza viacero webov zameraných na problematiku súkromia:
Typickým príkladom je BLOG, ktorý registrovaným užívateľom umožňuje vytvárať si internetové stránky a kŕmiť ich obsahom podľa vlastného uváženia. Takýto užívateľ spravidla podlieha povinnosti dodržiavať všeobecné podmienky portálov a odkliknutím súhlasu vezme na vedomie aj zoznam vecí, ktoré na jeho webstránku nepatria. Nikto mu však nepovie, že na web proste nemá nerozvážne uploadovať osobné údaje. Z pravidiel portálov zväčša vyplýva, že blogger nemá zverejňovať osobné údaje iných osôb bez ich súhlasu. Bloggeri si však často neuvedomujú, že opatrní by mali byť aj vo vzťahu k osobným údajom, ktoré sa týkajú ich vlastnej osoby.
Zverejňovanie osobných údajov má pomerne rozsiahle dôsledky aj do budúcna. Prakticky je to licencia na spracúvanie osobných údajov pre kohokoľvek, kto sa k nim dostane. Bez súhlasu dotknutej osoby možno osobné údaje spracúvať vtedy (okrem iného), ak sa spracúvajú už zverejnené osobné údaje. V týchto prípadoch treba osobné údaje náležite označiť a byť pripravený, že ak to bude potrebné (napr. návšteva inšpektora z UOOU SR) treba preukázať, že spracúvané osobné údaje boli už zverejnené. Domáhať sa ochrany proti spracúvaniu zverejnených údajov podľa zákona o ochrane osobných údajov je potom prinajmenšom problematické.
Táto otázka je dôležitá aj z pohľadu detských bloggerov či microbloggerov. Deti sa ešte stále zžívajú s internetom ľahšie ako ich rodičia. Otvorene pritom píšu o všetkom čo zažívajú, alebo čo ich trápi. Vytvárajú fotogalérie, uploadujú videá zo svojich mobilov, popisujú seba a svojich rodičov. Nerozlišujú medzi bežnými neškodnými informáciami a osobnými údajmi či dokonca citlivými osobnými údajmi. O tom, že takýmto správaním priťahujú pozornosť rôznych typov surferov asi netreba písať. Je samozrejme na rodičoch ako sa k tomu postavia.
Na pomoc novodobým redaktorom (bloggerom a ostatným čo publikujú online) rovnako ako aj ich (občas aj prekvapeným) rodičom prichádza viacero webov zameraných na problematiku súkromia:
- Bezpečne na internete - jednoducho o bezpečnosti na internete
- Projekt OOU - niečo k ochrane osobných údajov
- Zodpovedne.sk - rovnako nabáda k ostražitosti
- Cookie.sk - čo to povie aj televízia
Posted by MICo | Permalink | Categories: súkromie, bezpečnosť, ochrana osobných údajov, osobné údaje, zákon o ochrane osobných údajov
Sun Jun 15 11:10:47 CEST 2008
1. BARCAMP na Slovensku a vydarený
Paráda, niet
čo riešiť. BARCAMP sa
organizátorom skutočne vydaril, o tom niet
pochýb. Rozmanitý okruh účastníkov,
ľudsky vybrané témy
prednášok, možnosť stretnúť
osôbky, ktoré človek pozná iba online
aj na pôde real-space. To všetko boli
fantastické devízy prvej akcie svojho druhu na
Slovensku. Ja osobne som sa síce mohol na
vlastné oči a uši zúčastniť iba na
pár prednáškach:
Neodpustil som si ani stream prednášky - Najčastejšie bezpečnostné chyby vytvárané pri budovaní nového projektu a Web 2.0 bezpečnosť - Rastislav Turek (blog.synopsi.com), ale teším sa aj na ostatné.
Vzhľadom na skutočnosť, že počet návštevníkov ďaleko presiahol očakávania organizátorov, nechali sa už počuť, že na jeseň si dáme repete so všetkým čo k tomu patrí.
V prípade, že bude priestor povedať niečo aj o ochrane osobných údajov v online prostredí a pod., rád sa zaradím aj do tlupy prednášajúcich :-).
- Tvorba obsahu v dobe Web 2.0 - Vit Vrba', WebNode.sk
- Skúsenosti z budovania user generated content website - Richard Voda Pozrisi.sk
- Viral marketing - Michal Pastier, blog
- Next-Gen Technology powering today's Internet, artificial intelligence, future of humankind and how robots will (or already did?) conquer the world. - Juraj Bednár, Pavol Lukáč, Digmia
Neodpustil som si ani stream prednášky - Najčastejšie bezpečnostné chyby vytvárané pri budovaní nového projektu a Web 2.0 bezpečnosť - Rastislav Turek (blog.synopsi.com), ale teším sa aj na ostatné.
Vzhľadom na skutočnosť, že počet návštevníkov ďaleko presiahol očakávania organizátorov, nechali sa už počuť, že na jeseň si dáme repete so všetkým čo k tomu patrí.
V prípade, že bude priestor povedať niečo aj o ochrane osobných údajov v online prostredí a pod., rád sa zaradím aj do tlupy prednášajúcich :-).
