GDPR 동의 알림이 순전히 유지 관리를위한 액세스 포인트에 적용됩니까?

Aug 18 2020

SSH 서버와 같은 유지 관리 목적으로 나 또는 내 직원이 독점적으로 사용하기위한 공개적으로 사용 가능한 인터페이스가 있다고 가정합니다.

사용자가 연결할 때 사용자의 IP 주소를 처리하고 있기 때문에 GDPR은 서버에 액세스 할 때 표시되는 배너와 같이 사용자에게 이러한 작업을 알리도록 요구합니까?

또한 가능한 로그인 시도와 입력 된 데이터를 개인 데이터로 취급해야합니까?

인터페이스가 사용자 데이터를 처리하지만 해당 기술이 ICMP 응답과 같이 사람이 읽을 수있는 상호 작용을 반드시 제공하지 않으면 어떻게됩니까?

답변

3 amon Aug 18 2020 at 17:43

아니요, IP 주소와 같은 트래픽 데이터 는 사용자가 요청한 서비스를 제공하는 데 꼭 필요한만큼만 사용 되는 한 공개적으로 액세스 할 수있는 서버를 실행하기 위해 개인 정보 보호 정책을 표시 할 필요가 없습니다 .

여기서 배경은 GDPR이 매우 일반적인 법률이지만 ePrivacy 지침 (ePD)은 SSH 서버도 포함하는 통신 및 정보 사회 서비스에 대한 자세한 정보를 제공한다는 것입니다. ePD 6 조에 따라 트래픽 데이터는 (1) 전송 / 서비스 목적으로 또는 데이터가 익명화되었을 때, (2) 청구 목적으로, 또는 (3) 마케팅 또는 부가가치 서비스를 위해 사용될 수 있습니다. 동의했습니다. 처리에 대한 정보는 경우 (2) 및 (3)의 경우 ePrivacy 하에서 만 필요하지만 반드시 필요한 처리에는 필요하지 않습니다.

이제 까다로운 질문은 어떤 상황에서 로그인 시도 (실패)를 기록하거나 fail2ban과 같은 도구를 사용할 수 있는지입니다. 한 가지 주장은 그러한 조치가 통신의 보안을 보장하기 위해 반드시 필요하다는 것입니다. 그러나 이러한 조치는 ePD의 의미에서 전송을 수행하는 데 분명히 필요하지 않습니다. 이 문제를 해결할 수있는 몇 가지 방법이 있습니다.

필요성은보다 광범위하게 해석되어야하며 보안 조치가 실제로 필요합니다. 예를 들어, ePD Art 6 (5)는 명시 적으로 승인하지 않고 사기 탐지를 언급합니다.
IP 주소를 특정 사람에게 실제로 연결할 수있는 수단이 없기 때문에 IP 주소는 ePD의 의미에서 사실상 익명화됩니다.

이것은 상당히 약한 주장이지만 익명 데이터를 정의하는 GDPR Recital 26에 의해 뒷받침 될 수 있습니다. 대위법 : IP 주소는 GDPR Art 4 (1)의 개인 데이터 정의에 명시 적으로 포함 된 온라인 식별자입니다.
IP 주소는 ePD에 해당하는 트래픽 데이터 일뿐만 아니라 GDPR에 해당하는 개인 데이터이기도합니다. IP 주소가 단순히 전송에 사용되는 경우 개인 데이터로 처리되지 않으며 ePD 문제 만 적용됩니다. 그러나 IP를 금지하기 위해 처리 할 때 합법적 인 이익을 위해 개인 데이터로 처리됩니다. 이 처리는 ePD Art 6의 카테고리에 속하지 않으므로 GDPR 문제 만 적용됩니다. 여기에는 GDPR Art 13에 따라 데이터 주체에게 처리에 대해 알리는 요구 사항이 포함되며, 로그인 프로세스 과정에서 개인 정보 보호 정책에 대한 링크를 표시하여 충족 할 수 있습니다.

합법적 인 이해 주장의 경우 일반적인 데이터 주체의 기대에 따라 달라집니다. 보안 로그와 같은 일부 보안 조치는 정상이며 예상해야하기 때문에 합법적 인 이해 주장이 강할 가능성이 높습니다.

“트래픽 데이터가 아니거나 최소한 ePD에 속하지 않는다”는 주장이 매우 약하지만 이것이 올바른 결론이라고 생각합니다. 이는 보안 조치가 "부가 가치 서비스"가 아니라는 가정에 달려 있습니다. 이것은 ePD의 의도와 맞지만 부가가치 서비스의 실제 정의와는 맞지 않습니다.

어떤 경우에도 동의 를 얻어야하는 경우가 아니면 동의 를 요청할 필요가 없습니다 ( 예 : ePD Art 6 (3)) 또는 개인 데이터 처리가 GDPR Art 6에 따른 법적 근거로 동의에 의존하기 때문입니다.

또한 ePD는 즉각적인 효과가 없지만 국내법에 따라 각 EU 회원국에서 시행해야합니다. 이러한 법률은보다 구체적인 지침을 제공 할 수 있습니다.

1 Matthew Aug 18 2020 at 17:32

사용자가 연결할 때 사용자의 IP 주소를 처리하고 있기 때문에 GDPR은 서버에 액세스 할 때 표시되는 배너와 같이 사용자에게 이러한 작업을 알리도록 요구합니까?

아마도. IP 주소 만으로 특정 사용자를 식별 할 수 있습니까 ? 특히 로그인 할 수없는 상태로 단순히 서버에 연결하는 경우에는 그럴 것 같지 않습니다. 이러한 경우에는 개인 데이터를 "처리"하고 있지 않으므로 통지 할 필요가 없습니다.

많은 자동화 된 봇은 개방형 SSH 서버에 대한 포트 스캔이 될 것이며 법규 상 "자연인"으로 간주 될 수 없습니다. 이러한 봇의 수는 대부분의 경우 서버에 액세스하는 자연인의 수를 능가하는 것처럼 보일 수 있으므로 로그인 한 후에 만 배너를 표시하는 것으로 충분합니다.

가능한 로그인 시도와 입력 된 데이터를 개인 데이터로 취급해야합니까?

때에 따라 다르지. 대부분의 시도가 자동화 된 경우 자연인과 연결되지 않지만 사용자에게 특정 자격 증명이 발급되면 입력 된 실제 데이터가 개인 데이터로 계산 될 수 있습니다. 그렇지 않으면 일반 계정 이름과 암호로 로그인하는 경우 개인을 구체적으로 식별하지 않으므로 개인 데이터가 아닙니다.

인터페이스가 사용자 데이터를 처리하지만 해당 기술이 ICMP 응답과 같이 사람이 읽을 수있는 상호 작용을 반드시 제공하지 않으면 어떻게됩니까?

나는 이것이 어떻게 답을 제공하는지에 대해 충분히 알지 못합니다. 나는 그것이 동일한 조항에 의해 잡힐 수 있다고 생각하지만 훨씬 더 사실에 특화 될 것입니다.

Lag Aug 18 2020 at 17:46

IP 주소는 반드시 개인 데이터가 아닙니다.

'개인 데이터'는 식별되거나 식별 가능한 자연인 ( '데이터 주체')과 관련된 모든 정보를 의미합니다. 식별 가능한 자연인은 특히 이름, 식별 번호, 위치 데이터, 온라인 식별자와 같은 식별자를 참조하거나 신체적, 생리 학적으로 특정한 하나 이상의 요소를 참조하여 직접 또는 간접적으로 식별 할 수있는 사람입니다. 자연인의 유전 적, 정신적, 경제적, 문화적 또는 사회적 정체성;

IP 주소를 사용하여 누군가를 식별 할 수 있거나 누군가와 '연관'할 수 있다면 그것은 개인 데이터입니다. 예를 들어 시나리오 사용자 이름 jsmith에서 로그인했습니다.$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $ipaddress를 해당 John Smith로 지정하여 개인 데이터입니다. 그러나 일부 알려지지 않은 엔티티가 $ ipaddress에서 로그인을 시도하고 IP가있는 사람을 식별하거나 IP를 사람과 연결할 수없는 경우 IP 주소는 개인 데이터가 아닙니다.