Распространяется ли уведомление о согласии GDPR на точки доступа, предназначенные исключительно для обслуживания?
Предположим, у меня есть общедоступный интерфейс, предназначенный для использования исключительно мной или моими сотрудниками в целях обслуживания, например, SSH-сервер.
Поскольку я обрабатываю IP-адрес пользователя, когда он устанавливает соединение, требует ли GDPR, чтобы я уведомлял пользователя о таком действии, например, в баннере, отображаемом при доступе к серверу?
Кроме того, обязан ли я рассматривать возможные попытки входа в систему и введенные данные как личные данные?
Что, если интерфейс обрабатывает пользовательские данные, но его технология не обязательно обеспечивает удобочитаемое взаимодействие, такое как ответ ICMP?
Ответы
Нет, вам не нужно показывать политику конфиденциальности только для запуска общедоступного сервера, если любые данные трафика, такие как IP-адреса, используются только в строго необходимых случаях для предоставления услуги, запрошенной пользователем.
Предыстория здесь заключается в том, что, хотя GDPR является очень общим законом, директива ePrivacy (ePD) предоставляет более подробную информацию об услугах телекоммуникационного и информационного общества, которые также включают серверы SSH. Согласно Статье 6 ePD, данные трафика могут использоваться (1) для целей передачи / обслуживания или когда данные были анонимизированы, (2) для целей выставления счетов или (3) для маркетинга или дополнительных услуг, когда пользователь дал свое согласие. Информация об обработке требуется в рамках ePrivacy только для случаев (2) и (3), но не для обработки, которая строго необходима.
Теперь возникает сложный вопрос, при каких обстоятельствах вы можете регистрировать (неудачные) попытки входа в систему или использовать такие инструменты, как fail2ban. Один из аргументов состоит в том, что такие меры строго необходимы для обеспечения безопасности связи, но эти меры, очевидно, не являются необходимыми для выполнения передачи в смысле ePD. Есть несколько способов решить эту проблему:
необходимость следует толковать шире, и меры безопасности действительно необходимы. Например, статья 6 (5) ePD упоминает обнаружение мошенничества без явного разрешения на это.
IP-адрес фактически анонимизируется в смысле ePD, поскольку у вас фактически нет средств для привязки IP-адреса к какому-либо конкретному лицу.
Это довольно слабый аргумент, но его можно поддержать в GDPR Recital 26, который определяет анонимные данные. Контрапункт: IP-адреса - это онлайн-идентификаторы, которые явно включены в определение персональных данных в Статье 4 (1) GDPR.
IP-адрес - это не только данные трафика, подпадающие под действие ePD, но и личные данные, подпадающие под действие GDPR. Когда IP-адрес используется только для передачи, он не обрабатывается как личные данные, и применяются только проблемы ePD. Но когда мы обрабатываем его для запрета IP, они обрабатываются как личные данные в соответствии с законным интересом. Эта обработка не подпадает ни под одну из категорий из статьи 6 ePD, поэтому применимы только требования GDPR. Они включают требование информировать субъект данных об обработке в то время в соответствии со статьей 13 GDPR, что может быть выполнено путем отображения ссылки на политику конфиденциальности в ходе процесса входа в систему.
Для аргумента о законном интересе это также зависит от ожиданий типичного субъекта данных. Поскольку некоторые меры безопасности, такие как журналы безопасности, являются нормальными и их следует ожидать, аргумент законного интереса, вероятно, будет сильным.
Я думаю, что это правильный вывод, даже несмотря на то, что аргумент «это не данные о трафике или, по крайней мере, не подпадает под действие ePD», довольно слабый. Он основан на предположении, что меры безопасности не являются «услугами с добавленной стоимостью». Это соответствует цели ePD, но не фактическому определению дополнительных услуг.
В любом случае вам не нужно запрашивать согласие, если оно не требуется, например, в соответствии со статьей 6 (3) ePD или потому, что ваша обработка личных данных основана на согласии в качестве правовой основы в соответствии со статьей 6 GDPR.
Также следует отметить, что ePD не имеет немедленного эффекта, но должна быть реализована каждым государством-членом ЕС в национальном законодательстве. Эти законы могут содержать более конкретные указания.
Поскольку я обрабатываю IP-адрес пользователя, когда он устанавливает соединение, требует ли GDPR, чтобы я уведомлял пользователя о таком действии, например, в баннере, отображаемом при доступе к серверу?
Может быть. Можете ли вы идентифицировать конкретных пользователей только по их IP-адресу? Это кажется маловероятным, особенно если они просто подключаются к серверу, не имея возможности войти в систему. В таком случае можно утверждать, что вы не «обрабатываете» личные данные, поэтому нет необходимости уведомлять и т. Д.
Имейте в виду, что многие автоматические боты будут сканировать порты на предмет открытых SSH-серверов, и они не могут считаться «физическими лицами» с точки зрения законодательства. Количество таких ботов, вероятно, в большинстве случаев превышает количество физических лиц, обращающихся к серверу, поэтому будет достаточно показывать баннер только после входа в систему.
Обязан ли я рассматривать возможные попытки входа в систему и введенные данные как личные данные?
По-разному. Если большинство попыток автоматизировано, они не связаны с физическим лицом, но фактически введенные данные могут считаться личными данными, если пользователям выдаются определенные учетные данные. В противном случае, если они входят в систему с общим именем учетной записи и паролем, возможно, это не личные данные, поскольку они не идентифицируют человека.
Что, если интерфейс обрабатывает пользовательские данные, но его технология не обязательно обеспечивает удобочитаемое взаимодействие, такое как ответ ICMP?
Боюсь, я недостаточно знаю, как это работает, чтобы дать ответ. Я полагаю, что это можно было бы поймать с помощью тех же положений, но это было бы намного более конкретным.
IP-адрес не обязательно является личными данными.
«персональные данные» означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу («субъекту данных»); идентифицируемое физическое лицо - это лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредством ссылки на идентификатор, такой как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор или один или несколько факторов, специфичных для физических, физиологических, генетическая, ментальная, экономическая, культурная или социальная принадлежность этого физического лица;
Если вы можете использовать IP-адрес для идентификации кого-то или если вы можете «связать» его с кем-то, это личные данные. Например, в вашем сценарии имя пользователя jsmith вошло в систему из$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $IP-адрес этого Джона Смита, так что это личные данные. Но если какой-то неизвестный объект пытается войти в систему с $ ipaddress, и вы не можете идентифицировать человека с IP или связать IP с человеком, то IP-адрес не является личными данными.
Предположительно вы выпустили или предоставили своим сотрудникам уведомление о GDPR или конфиденциальности.
Вашему серверу SSH не нужно уведомлять пользователей о том, что IP-адреса регистрируются.