La notifica del consenso GDPR si applica ai punti di accesso destinati esclusivamente alla manutenzione?

Aug 18 2020

Supponiamo che io abbia un'interfaccia pubblicamente disponibile, destinata ad essere utilizzata esclusivamente da me o dai miei dipendenti per scopi di manutenzione, ad esempio un server SSH.

Poiché sto elaborando l'indirizzo IP dell'utente quando effettua una connessione, il GDPR mi richiede di notificare all'utente tale azione, ad esempio un banner mostrato all'accesso al server?

Inoltre, sono obbligato a trattare come dati personali eventuali tentativi di login e i dati inseriti?

Cosa succede se l'interfaccia elabora i dati dell'utente, ma la sua tecnologia non prevede necessariamente un'interazione leggibile dall'uomo, come una risposta ICMP?

Risposte

3 amon Aug 18 2020 at 17:43

No, non è necessario mostrare un'informativa sulla privacy solo per l'esecuzione di un server accessibile pubblicamente, a condizione che eventuali dati sul traffico come gli indirizzi IP vengano utilizzati solo se strettamente necessari per fornire il servizio richiesto dall'utente.

Lo sfondo qui è che mentre il GDPR è una legge molto generale, la direttiva ePrivacy (ePD) fornisce maggiori dettagli per i servizi di telecomunicazione e della società dell'informazione, che include anche i server SSH. Per ePD Art 6, i dati sul traffico possono essere utilizzati (1) ai fini della trasmissione/servizio o quando i dati sono stati resi anonimi, (2) a fini di fatturazione o (3) per servizi di marketing o a valore aggiunto, quando l'utente ha prestato il proprio consenso. Le informazioni sul trattamento sono richieste ai sensi dell'ePrivacy solo per i casi (2) e (3), ma non per il trattamento strettamente necessario.

Ora la domanda delicata è in quali circostanze puoi registrare i tentativi di accesso (falliti) o utilizzare strumenti come fail2ban. Un argomento è che tali misure sono strettamente necessarie per garantire la sicurezza della comunicazione, ma queste misure non sono evidentemente necessarie per eseguire la trasmissione nel senso di ePD. Ci sono alcuni modi per risolvere questo problema:

  • la necessità deve essere interpretata in senso più ampio e le misure di sicurezza sono effettivamente necessarie. Ad esempio, l'articolo 6(5) dell'ePD menziona il rilevamento delle frodi, senza autorizzarlo esplicitamente.

  • un indirizzo IP è effettivamente reso anonimo nel senso dell'ePD poiché non si dispone realisticamente di mezzi per collegare l'indirizzo IP a una determinata persona.

    Questo è un argomento abbastanza debole, ma potrebbe essere supportato dal Considerando 26 del GDPR che definisce i dati anonimi. Contrappunto: gli indirizzi IP sono identificatori online che sono esplicitamente inclusi nella definizione di dati personali nell'articolo 4 (1) del GDPR.

  • un indirizzo IP non è solo dati sul traffico che rientrano nell'ePD, ma anche dati personali che rientrano nell'ambito del GDPR. Quando l'indirizzo IP viene utilizzato solo per effettuare una trasmissione, non viene elaborato come dati personali e si applicano solo le preoccupazioni relative all'ePD. Ma quando li elaboriamo per vietare l'IP, vengono elaborati come dati personali nell'ambito di un interesse legittimo. Questo trattamento non rientra in nessuna delle categorie dell'ePD Art 6, quindi si applicano solo le preoccupazioni del GDPR. Questi includono l'obbligo di informare l'interessato in merito al trattamento in quel momento in conformità con l'articolo 13 del GDPR, che potrebbe essere soddisfatto visualizzando un collegamento a un'informativa sulla privacy nel corso del processo di accesso.

    Per un argomento di interesse legittimo, dipende anche dalle aspettative dell'interessato tipico. Poiché alcune misure di sicurezza come i registri di sicurezza sono normali e dovrebbero essere previste, è probabile che un argomento di interesse legittimo sia forte.

    Penso che questa sia la conclusione corretta, anche se l'argomento “non sono dati di traffico, o almeno non rientra nell'ePD” è piuttosto debole. Si basa sul presupposto che le misure di sicurezza non sono "servizi a valore aggiunto". Ciò corrisponde all'intento dell'ePD, ma non alla definizione effettiva di servizi a valore aggiunto.

In ogni caso, non è necessario chiedere il consenso a meno che non sia necessario ottenerlo, ad esempio ai sensi dell'articolo 6, paragrafo 3, dell'ePD o perché il trattamento dei dati personali si basa sul consenso come base giuridica ai sensi dell'articolo 6 del GDPR.

Va anche notato che l'ePD non ha effetto immediato, ma deve essere implementato da ogni stato membro dell'UE nella legislazione nazionale. Queste leggi possono fornire indicazioni più specifiche.

1 Matthew Aug 18 2020 at 17:32

Poiché sto elaborando l'indirizzo IP dell'utente quando effettua una connessione, il GDPR mi richiede di notificare all'utente tale azione, ad esempio un banner mostrato all'accesso al server?

Forse. Riesci a identificare utenti specifici solo dal loro indirizzo IP? Sembra improbabile, soprattutto se si stanno semplicemente connettendo al server senza essere in grado di accedere. In tal caso, è discutibile che non stai "elaborando" dati personali, quindi non è necessario avvisare, ecc.

Tieni presente che molti robot automatizzati eseguiranno la scansione delle porte per i server SSH aperti e non possono essere considerati "persone fisiche" ai fini della legislazione. Il numero di tali bot sembrerebbe probabilmente superiore al numero di persone fisiche che accedono al server nella maggior parte dei casi, quindi sarebbe sufficiente mostrare il banner solo dopo aver effettuato l'accesso.

sono obbligato a trattare come dati personali gli eventuali tentativi di login ei dati inseriti?

Dipende. Se la maggior parte dei tentativi è automatizzata, non sono collegati a una persona fisica, ma i dati effettivi inseriti potrebbero essere considerati dati personali se agli utenti vengono rilasciate credenziali specifiche. Altrimenti, se accedono con un nome utente e una password generici, probabilmente non si tratta di dati personali poiché non identificano specificamente una persona.

Cosa succede se l'interfaccia elabora i dati dell'utente, ma la sua tecnologia non prevede necessariamente un'interazione leggibile dall'uomo, come una risposta ICMP?

Non so abbastanza su come funziona per fornire una risposta, temo. Immagino che potrebbe essere coperto dalle stesse disposizioni, ma sarebbe molto più specifico dei fatti.

Lag Aug 18 2020 at 17:46

Un indirizzo IP non è necessariamente un dato personale.

"dato personale": qualsiasi informazione relativa a una persona fisica identificata o identificabile ("interessato"); una persona fisica identificabile è una persona che può essere identificata, direttamente o indirettamente, in particolare facendo riferimento a un identificatore come un nome, un numero di identificazione, dati relativi all'ubicazione, un identificatore online o a uno o più fattori specifici della condizione fisica, fisiologica, identità genetica, mentale, economica, culturale o sociale di tale persona fisica;

Se puoi utilizzare un indirizzo IP per identificare qualcuno o se puoi "associarlo" a qualcuno, sono dati personali. Ad esempio, nel nome utente dello scenario jsmith ha effettuato l'accesso da$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $indirizzo ip di quel John Smith, quindi sono dati personali. Ma se un'entità sconosciuta tenta di accedere da $ ipaddress e non è possibile identificare una persona con l'IP o correlare l'IP a una persona, allora l'indirizzo IP non è un dato personale.

Presumibilmente hai emesso o reso disponibile un GDPR o un avviso sulla privacy ai tuoi dipendenti.

Il tuo server SSH non ha bisogno di notificare agli utenti che gli indirizzi IP sono registrati.