» »

Službeni mail, ko odideš

Službeni mail, ko odideš

1
2
»

SeMiNeSanja ::

AndrejO - glede na to, da delaš za podjetje, ki je eden največjih svetovnih zbiralcev osebnih podatkov, ki je v večnem sporu z evropsko komisijo, bi rad vsem ostalim očital, da kršijo ZVOP - dvojna merila?

Če govorimo o kateremkoli logiranem podatku znotraj nekega podjetja, je tak podatek VEDNO možno povezati oz. je že direktno povezan) z neko osebo. Če vemo IP naslov računalnika, tudi vemo, kdo sedi za tem računalnikom.
Prav nobene 'povezave z osebnimi podatki' tu ni potrebno ustvarjati, ker ta že sama po sebi obstaja na osnovi IP naslova. Izjema so tu le omrežja, kjer se uporablja DHCP, kjer je dejansko potrebno vzpostaviti neko povezavo med IP naslovom in računalnikom, ki ga je dobil dodeljenega v določenem času.

Omrežje podjetja pač ni možno enačiti z omrežji operaterjev, kjer takšna povezava sam po sebi ni nujno podana in se mora nekdo potruditi, da bi jo ustvaril.

Če ti nakladaš o teoriji, jaz govorim o praksi. Neka Ljubljanska banka, ki ima celo stotniko informatikov, si morda lahko privošči teoretitzirati o skladnosti z ZVOP. Podjetje z manj kot 200 zaposlenimi in enim ali dvema informatikoma, pa si to ne more privoščiti. Svoje delo opravljajo v skladu z 'dobro prakso' in večina jih to delo opravlja v smislu ZVOP - koneckoncev so večinoma preobremenjeni z rednimi nalogani in jim še na pamet ne pada, da bi šli brskati, kaj neki konkretni uporabnik počne.
Ti fantje in dekleta se trudijo, da bi obdržali omrežja funkcionalna, in samo to še rabijo, da jim bo nekdo očital, da so neke vrste kriminalci, ki bi jih moral obiskati IP-RS in pregajati, ker niso vsak log na svojem omrežju registrirali kot 'zbirko osebnih podatkov'.

Drugače pa se z Lakotnikom že enkrat zmenita, ali se pogovarjamo o logiranju podatkov ali o dostopu do logiranih podatkov - najprej nakladata, da se ne sme logirati, potem pa obrneta zadevo in meni očitata, da jaz ne ločim zlorabe logiranih podatkov - v isti sapi pa omenjata kot zlorabo, če obstaja povezava z nekim osebnim podatkom. Taka povezava VEDNO obstaja - brez nje bi koneckoncev logirani podatki bili (vsaj deloma) neuporabni.

Kaj pa kdo potem v praksi s temi podatki počne, pa je čisto druga zgodba, o kateri jaz sploh nisem govoril, zato mi tega tudi ne podtikajta!

Invictus ::

AndrejO je izjavil:


Lahko primerjaš s čemer koli hočeš, zakon je dovolj jasen.

1. korak: "Osebni podatek – je katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen."

2. korak: "Posameznik – je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa."

Ponavljaj, dokler ne boš razumel, da če je podatek povezljiv, potem je to osebni podatek. Zato se tvoja dva stavka, ki sem ju zgoraj citira, v celoti izključujeta.

KAkorkoli že.

Ampak v tvojem primeru nobena banka ne bi mogla implementirati audita, kjer se beleži dostop do aplikacij. Ta audit je pa zahteva s strani regulatornih inštitucij. Kar pomeni da nobena slovenska banka sploh ne sme delovati, ker teh podatkov ne sme zbirati.

Zakon je pač napisan v veri da resnica ni ena, ampak jih je več.
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

SeMiNeSanja ::

Invictus je izjavil:


KAkorkoli že.

Ampak v tvojem primeru nobena banka ne bi mogla implementirati audita, kjer se beleži dostop do aplikacij. Ta audit je pa zahteva s strani regulatornih inštitucij. Kar pomeni da nobena slovenska banka sploh ne sme delovati, ker teh podatkov ne sme zbirati.

Zakon je pač napisan v veri da resnica ni ena, ampak jih je več.

V času, ko je Identity Management eden večjih 'buzzword-ov' v velikih podjetjih in se vse upravljanje čedalje bolj pomika na nivo 'vemo, KDO je bil', sploh nima smisla o tem razpravljati.

Ni poanta zakona v tem, KAJ je osebni podatek, temveč kako je varovan, kdo ima do njega dostop in pod kakšnimi pogoji.
Po pravilu že tako 'navadni uporabniki' nimajo dostopa do logiranih podatkov, ampak zgolj administratorji. Bi pa zelo rad videl podjetje, ki točno vodi knjigo o tem, kdaj je kateri admin vpogledal v mail.log datoteko, zaradi česa je vpogledal oz. kaj je notri iskal in kdo mu je za to dodelil posebno dovoljenje - tako si to namreč nekako predstavlja ZVOP in razni teoretiki. Pri tem pa bi ti isti teoretiki radi še videli, da admin pri tem ne bo videl ostalih zapisov. Skratka totalno skregano s prakso.
Direktor, ki bi mu prišel admin 10x na dan po podpis, da sme vpogledati v nek določen log, bi se mu verjetno tudi kmalu enkrat strgal film.

AndrejO ::

Invictus je izjavil:


Ampak v tvojem primeru nobena banka ne bi mogla implementirati audita, kjer se beleži dostop do aplikacij. Ta audit je pa zahteva s strani regulatornih inštitucij. Kar pomeni da nobena slovenska banka sploh ne sme delovati, ker teh podatkov ne sme zbirati.

Zakon je pač napisan v veri da resnica ni ena, ampak jih je več.

Narobe razumeš oz. tvoje razumevanje še ni popolno.

Osebne podatke se lahko obdeluje, če so za to izpolnjeni določeni pogoji. Te pogoje v širšem smislu (kadar ni vmes še kakšen specialen zakon ali pa ustava) določa ZVOP v 10. čl.

Zmota, da "osebni podatek" avtomatično pomeni, da se ga ne sme obdelovati ali pa, da se ga ne sme obdelovati brez predhodnega strinjanja osebe na katero se podatek nanaša, je zelo pogosta.

Revizijske sledi so v splošnem že ena takšna stvar, katere hrambo lahko predpisuje poseben zakon neposredno (ne poznam regulative za bančništvo, sumim pa, da obstaja za to hrambo tudi zakonska zahteva), posredno (ZEKom je to posredno predpisoval za DR podatke, dokler ni US vrglo ven zahtevo za hrambo DR) ali pa je očitno, da zakonit interes podjetja (npr. nadzor nad dostopom do poslovnih podatkov) odtehta obdelavo, ki ne predstavlja globokega posega v zasebnost, če sploh.

Od poslovnih zbirk osebnih podatkov pa so podatki o telefonskih klicih, prejeti ali poslani elektronski pošti, vsebina le teh in morda še kaj, ne samo "osebni podatek", temveč tudi stvar "komunikacijske zasebnosti", kar jih postavi v mnogo bolj strogo regulirano in občutljivo kategorijo. Za te je pa res, da jih ne smeš ne zbirati, ne obdelovati kar tako.

Rešitev, ki jo bi svetoval podjetju, je ta, da bi v internih aktih jasno definiral pod katerimi pogoji in na kakšen način se zagotovi strinjanje osebe na katero se nanašajo, če jih je potrebno pregledati. Tako lahko npr. tipična podporna zahteva "nisem dobil pošte" predstavlja tudi legitimno strinjanje in pričakovanje, da bo sistemski administrator pregledal prometne podatke te osebe. Torej je zakonski pogoj o predhodnem strinjanju s tem izpolnjen.

Če pa želiš splošne statistike, pa lahko te podatke pred nadaljnjo obdelavo anonimiziraš (npr. odstraniš IP naslov), s čemer dobiš podatek o "obiskanosti FB" in informacijo, če ga bi bilo smiselno blokirati, ne razkrije pa se "storilca".

Zgodovina sprememb…

  • spremenil: AndrejO ()

SeMiNeSanja ::

Pri operativnem delu upravljanja varnosti, te ne zanima zgolj kako pogosto je bil FB obiskan - če si postavil pravilo, da se FB blokira, te zanima predvsem, če se je kdo izmuznil temu pravilu in moraš podvzeti popravke. Anonimizirana diagnostika pa pri tem ne koristi veliko, ker boš moral tudi preveriti, če se morda na računalniku določenega uporabnika ne nahajajo posebna orodja, s katerimi lahko zaobide zastavljena pravila - in to ne zaradi FB, temveč zato, ker taka orodja že sama po sebi predstavljajo varnostno tveganje za organizacijo.

Kako nesmiselna je anonimizacija podatkov, pa lahko ponazorim v primeru opozorila, da imaš nek računalnik okužen s trojancem, da je del botneta in podobno.
Kako naj izgleda reševanje takega problema pri anonimiziranih podatkih (da tudi IP naslova ni poleg, ker bi ta neposredno pokazal na uporabnika)? Bi zaradi enega računalnika šel izvajati čistilno akcijo na sto in več računalnikih, v upanju, da bo uporabljeno AV orodje tudi dejansko zaznalo tisto zlonamerno kodo?

'Obdelava osebnih podatkov' je zelo širok pojem - tako širok, da noter pada Google, ki spremlja vsak naš korak, da bi nam prodal reklame, ki jih baje želimo videti, pa vse tja do navadnega vpogleda v mail.log datoteko.
Vse tlačiti v isti koš ne velja - točno to pa nekateri v tej diskusiji počno.

Ločiti je treba med podatki, ki jih operativa (upravljalec omrežja, 'mailmaster', upravljalec varnosti, itd.) potrebujejo za profesionalno izvajanje svojega dela in podatki, ki se jih v obliki poročil posreduje nadrejenim, ki s samo operativo nimajo direktnega opravka (npr. poslovodstvo podjetja). Mislim, da je vsakomur jasno, da poročila, ki jih IT periodično posreduje poslovodstvu ne smejo vsebovati osebnih podatkov. Je pa to teško zagotoviti, če ima poslovodstvo dostop do analitičnih orodij, kjer se ne da izključiti možnosti 'drill down-a', tako da se vidi še kaj več, kot zgolj kumulativne (anonimne) podatke.

Problem pri tem je tudi to, da je IT kader zgolj 'delovna sila' in se lahko znajde pod pritiskom vodstva. Čeprav prepovedano in kaznivo, se lahko administrator v IT-ju znajde v nevšečnem položaju, da vodstvo od njega zahteva podatke, ki jih po zakonu nebi smel posredovati. Kdo je tu potem tisti, ki nosi odgovornost za prekršek zoper ZVOP - poslovodstvo, ki je zahtevo podalo, ali administrator, ki je nekakšen 'varuh' teh podatkov?
Seveda lahko administrator poda kazensko prijavo zoper takšno zahtevo - s tem pa tudi svoje ime zapiše na vrh seznama delavcev, ki bodo postali tehnološki presežek (nagradno vprašanje: koliko administratorjev pri nas je že podalo takšne ovadbe?).

Zelo preprosto je svetovati, da naj administratorji delajo zgolj z anonimiziranimi podatki. Analitična orodja, ki se danes po večini uporabljajo, takšno opcijo ne omogočajo. Me res zanima, kako naj bi to potem v praksi izgledalo.

AndrejO ::

Ko enkrat veš kaj se sme, česa se ne sme in kako se previlno dela, kar se sme, so stvari čisto enostavne.

Za bolj konkretno svetovanje, bo potrebno pa šuške pokazati.

SeMiNeSanja ::

AndrejO je izjavil:


Zmota, da "osebni podatek" avtomatično pomeni, da se ga ne sme obdelovati ali pa, da se ga ne sme obdelovati brez predhodnega strinjanja osebe na katero se podatek nanaša, je zelo pogosta.

Ampak točno to zmoto še poglabljate s takšnim pisarjenjem!

Bolj, ko jaz trdim, da operativa potrebuje 'obdelavo osebnih podatkov', saj brez tega ne more izpolnjevati svojih nalog, bolj nakladate da jaz kao nimam prav, pa vse tja do tega, da naj bi se anonimizoralo podatke. Ko se pa Invictus oglasi, pa zasuk za 180 stopinj in kar na enkrat to postane zmotno prepričanje. WTF?!? Ali sploh preberete, kar jaz napišem, ali kar pavšalno mal udrihate?

ZVOP pa je za moje pojme glede 'obdelave osebnih podatkov' dokaj meglen, vsaj zame, ki nisem pravnik.
Že res, da 10. člen opredeljuje, kdaj se sme 'obdelovati osebne podatke', ampak v bistvu tretji odstavek na koncu odpira več vprašanj:
"Ne glede na prvi odstavek tega člena se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki."


Tu se potem lahko kregamo ure in ure, kdaj konkretno "očitno prevladujejo interesi podjetja nad interesi posameznika". Točno zaradi tega se potem nekateri tožarijo po sodiščih, itd.
Potem pa sodišča v eni državi odločijo tako, v drugi državi pa drugače, medtem ko pri nas neke hude pravne prakse s tega področja ni. Ko vprašaš IP-RS, ta nekaj mutivodari, kvasi o sorazmernosti, kao 'načeloma smeš, če ne pretiravaš', potem na koncu pa spet to isto izpoved deloma negira s primerom z evropskega sodišča, ki je v nekem konkretnem primeru (katerega širše okoliščine se ne navaja) ugodilo tožbi zaposlenega.

Zame je popolnoma nesporno, da nihče v podjetju nima kaj brati elektronske pošte posameznika - pač področje, kjer je nesporno interes zasebnosti posameznika nad interesom podjetja, tudi če je ta posameznik osumljen, da iz podjetja preko elektronske pošte pošilja zaupne podatke. Tu se potem že nahajamo na področju kaznivih dejanj, kjer podjetje lahko zgolj zavaruje dokaze, ostalo pa opravi policija z ustreznimi pooblastili.

Precej sivo področje je tu še uporaba DLP rešitev, za katere bi nekateri spet radi trdili, da predstavljajo nedopusten poseg v zasebnost, vendar to je že spet druga zgodba.

Toda govora je o elektronski pošti po odhodu posameznika iz podjetja. V primeru zasebnega podjetja, je povsem ustrezen način, da se posamezniku pove, da ima v času odpovednega roka možnost, da si na primeren način shrani svojo zasebno pošto, in jo izbriše.

Problem je le v poslovni korespondenci. V času 'papirnate pošte' se je ta sproti arhivirala v fasciklih. Ko je delavec odšel, je fascikel ostal na svojem mestu.
Danes, ko je papir zamenjala elektronska pošta, pa je zadeva postala komplicirana, saj jo lahko zaposleni pred odhodom izbriše, kar lahko podjetju brez centralnega arhiviranja elektronske pošte (večina malih podjetij!) bistveno oteži kasnejše dokazovanje, kaj se je podjetje dogovarjalo s strankami.

Kjer vladajo fer in profesionalni odnosi, do takih vprašanj sploh nebi smelo prihajati - problem so vedno tisti primeri, kjer takšni razhodi potekajo na umazan ali neprijeten/nepošten način.
1
2
»


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

GDPR, se ze veselite? :) (strani: 1 2 3 4 5 6 7 )

Oddelek: Omrežja in internet
33137810 (9917) Mikrohard
»

ESČP: nadzor elektronskih komunikacij zaposlenih nedopusten

Oddelek: Novice / Zasebnost
305238 (3672) SeMiNeSanja
»

Komunikacijska zasebnost na delovnem mestu

Oddelek: Novice / Zasebnost
3211273 (9440) MrStein
»

Deutsche Bahn kaznovana zaradi vohunjenja za zaposlenimi (strani: 1 2 )

Oddelek: Novice / Zasebnost
605663 (4135) BlueRunner

Več podobnih tem