Apakah pemberitahuan persetujuan GDPR berlaku untuk titik akses yang dimaksudkan hanya untuk pemeliharaan?
Misalkan saya memiliki antarmuka yang tersedia untuk umum, dimaksudkan untuk digunakan secara eksklusif oleh saya atau karyawan saya untuk tujuan pemeliharaan, misalnya server SSH.
Karena saya memproses alamat IP pengguna ketika mereka membuat sambungan, apakah GDPR mengharuskan saya untuk memberi tahu pengguna tentang tindakan seperti itu di, misalnya spanduk yang ditampilkan saat mengakses server?
Selain itu, apakah saya berkewajiban untuk memperlakukan kemungkinan upaya login dan data yang dimasukkan sebagai data pribadi?
Bagaimana jika antarmuka memproses data pengguna, tetapi teknologinya tidak perlu menyediakan interaksi yang dapat dibaca manusia, seperti respons ICMP?
Jawaban
Tidak, Anda tidak perlu menunjukkan kebijakan privasi hanya untuk menjalankan server yang dapat diakses publik, selama data lalu lintas seperti alamat IP hanya digunakan jika diperlukan untuk menyediakan layanan yang diminta oleh pengguna.
Latar belakang di sini adalah bahwa GDPR adalah undang-undang yang sangat umum, namun ePrivacy directive (ePD) memberikan rincian lebih lanjut untuk layanan masyarakat telekomunikasi dan informasi, yang juga mencakup server SSH. Menurut ePD Pasal 6, data lalu lintas dapat digunakan (1) untuk tujuan transmisi / layanan atau ketika data telah dianonimkan, (2) untuk tujuan penagihan, atau (3) untuk pemasaran atau layanan nilai tambah, ketika pengguna telah memberikan persetujuan mereka. Informasi tentang pemrosesan hanya diperlukan di bawah ePrivacy untuk kasus (2) dan (3), tetapi tidak untuk pemrosesan yang benar-benar diperlukan.
Sekarang pertanyaan rumitnya adalah dalam keadaan apa Anda dapat mencatat (gagal) upaya masuk atau menggunakan alat seperti fail2ban. Salah satu argumennya adalah bahwa tindakan seperti itu sangat diperlukan untuk memastikan keamanan komunikasi, tetapi tindakan ini jelas tidak diperlukan untuk melakukan transmisi dalam pengertian ePD. Ada beberapa cara untuk mengatasinya:
kebutuhan harus ditafsirkan lebih luas, dan tindakan pengamanan memang diperlukan. Misalnya, ePD Art 6 (5) menyebutkan deteksi penipuan, tanpa izin secara eksplisit.
alamat IP secara efektif dianonimkan dalam arti ePD karena Anda tidak memiliki sarana untuk menghubungkan alamat IP ke orang tertentu secara realistis.
Ini adalah argumen yang cukup lemah, tetapi dapat didukung oleh GDPR Recital 26 yang mendefinisikan data anonim. Counterpoint: Alamat IP adalah pengenal online yang secara eksplisit disertakan dalam definisi data pribadi di GDPR Art 4 (1).
alamat IP bukan hanya data lalu lintas yang termasuk dalam ePD, tetapi juga data pribadi yang termasuk dalam GDPR. Ketika alamat IP hanya digunakan untuk melakukan transmisi, itu tidak diproses sebagai data pribadi dan hanya masalah ePD yang berlaku. Tetapi ketika kami memprosesnya untuk melarang IP, itu diproses sebagai data pribadi dengan kepentingan yang sah. Pemrosesan ini tidak termasuk dalam kategori apa pun dari ePD Art 6, sehingga hanya masalah GDPR yang berlaku. Ini termasuk persyaratan untuk menginformasikan subjek data tentang pemrosesan pada saat itu sesuai dengan GDPR Art 13, yang dapat dipenuhi dengan menampilkan tautan ke kebijakan privasi selama proses masuk.
Untuk argumen kepentingan yang sah, ini juga bergantung pada ekspektasi subjek data yang khas. Karena beberapa tindakan keamanan seperti log keamanan adalah normal dan harus diharapkan, argumen kepentingan yang sah kemungkinan besar akan kuat.
Saya pikir ini adalah kesimpulan yang benar, meskipun argumen "ini bukan data lalu lintas, atau setidaknya tidak termasuk dalam ePD" cukup lemah. Ini bergantung pada asumsi bahwa tindakan pengamanan bukanlah "layanan nilai tambah". Ini sesuai dengan maksud ePD, tetapi tidak sesuai dengan definisi layanan nilai tambah yang sebenarnya.
Dalam kasus apa pun, Anda tidak perlu meminta persetujuan kecuali Anda diminta untuk mendapatkan persetujuan, misalnya berdasarkan ePD Pasal 6 (3) atau karena pemrosesan data pribadi Anda bergantung pada persetujuan sebagai dasar hukum menurut GDPR Pasal 6.
Juga harus diperhatikan bahwa ePD tidak memiliki efek langsung, tetapi harus diterapkan oleh setiap negara anggota UE dalam hukum nasional. Undang-undang ini dapat memberikan panduan yang lebih spesifik.
Karena saya memproses alamat IP pengguna ketika mereka membuat sambungan, apakah GDPR mengharuskan saya untuk memberi tahu pengguna tentang tindakan seperti itu di, misalnya spanduk yang ditampilkan saat mengakses server?
Mungkin. Dapatkah Anda mengidentifikasi pengguna tertentu hanya dari alamat IP mereka? Tampaknya tidak mungkin, terutama jika mereka hanya terhubung ke server tanpa dapat masuk. Dalam kasus seperti itu, dapat diperdebatkan bahwa Anda tidak "memproses" data pribadi sehingga tidak ada persyaratan untuk diberitahukan, dll.
Ingatlah bahwa banyak bot otomatis akan melakukan pemindaian port untuk server SSH terbuka dan mereka tidak dapat dianggap sebagai "orang perseorangan" untuk tujuan undang-undang. Jumlah bot semacam itu tampaknya akan melebihi jumlah orang yang mengakses server dalam banyak kasus, jadi cukup hanya menampilkan spanduk setelah masuk.
apakah saya berkewajiban untuk memperlakukan kemungkinan upaya login dan data yang dimasukkan sebagai data pribadi?
Tergantung. Jika sebagian besar upaya dilakukan secara otomatis, mereka tidak terhubung ke orang perseorangan, tetapi data aktual yang dimasukkan dapat dihitung sebagai data pribadi jika pengguna diberikan kredensial khusus. Sebaliknya, jika mereka masuk dengan nama akun dan kata sandi umum, bisa dibilang itu bukan data pribadi karena tidak secara khusus mengidentifikasi seseorang.
Bagaimana jika antarmuka memproses data pengguna, tetapi teknologinya tidak perlu menyediakan interaksi yang dapat dibaca manusia, seperti respons ICMP?
Saya tidak cukup tahu tentang cara kerjanya untuk memberikan jawaban, saya khawatir. Saya membayangkan itu bisa ditangkap oleh ketentuan yang sama, tetapi itu akan jauh lebih spesifik fakta.
Alamat IP belum tentu data pribadi.
'data pribadi' berarti informasi apa pun yang berkaitan dengan orang perorangan yang diidentifikasi atau dapat diidentifikasi ('subjek data'); Orang perorangan yang dapat diidentifikasi adalah orang yang dapat diidentifikasi, secara langsung atau tidak langsung, khususnya dengan mengacu pada pengenal seperti nama, nomor identifikasi, data lokasi, pengenal online atau satu atau lebih faktor khusus untuk fisik, fisiologis, identitas genetik, mental, ekonomi, budaya atau sosial dari orang tersebut;
Jika Anda dapat menggunakan alamat IP untuk mengidentifikasi seseorang atau jika Anda dapat 'menghubungkannya' dengan seseorang, itu adalah data pribadi. Misal dalam skenario Anda, username jsmith login dari$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $ipaddress ke John Smith jadi data pribadi. Tetapi jika beberapa entitas yang tidak dikenal mencoba masuk dari $ ipaddress dan Anda tidak dapat mengidentifikasi seseorang dengan IP atau menghubungkan IP dengan seseorang, maka alamat IP tersebut bukan data pribadi.
Agaknya Anda telah menerbitkan atau menyediakan GDPR atau pemberitahuan privasi kepada pekerja Anda.
Server SSH Anda tidak perlu memberi tahu pengguna bahwa alamat IP dicatat.