GDPR izin bildirimi, yalnızca bakım amaçlı erişim noktaları için geçerli midir?
Yalnızca ben veya çalışanlarım tarafından bakım amacıyla kullanılmak üzere tasarlanmış, halka açık bir arayüzüm olduğunu varsayalım, örneğin bir SSH sunucusu.
Bir bağlantı kurarken kullanıcının IP adresini işlediğim için, GDPR, örneğin sunucuya eriştiğinde gösterilen bir başlık gibi bir eylemde kullanıcıyı bilgilendirmemi gerektiriyor mu?
Ek olarak, olası oturum açma girişimlerini ve girilen verileri kişisel veri olarak ele almak zorunda mıyım?
Ya arayüz kullanıcı verilerini işlerse ancak teknolojisi, ICMP yanıtı gibi insan tarafından okunabilir bir etkileşim sağlamazsa ne olur?
Yanıtlar
Hayır, IP adresleri gibi trafik verileri yalnızca kullanıcı tarafından talep edilen hizmeti sağlamak için kesinlikle gerekli olduğu sürece kullanıldığı sürece , yalnızca genel erişimli bir sunucuyu çalıştırmak için bir gizlilik politikası göstermeniz gerekmez .
Buradaki arka plan, GDPR çok genel bir yasa olsa da, ePrivacy yönergesinin (ePD), SSH sunucularını da içeren telekomünikasyon ve bilgi toplumu hizmetleri için daha fazla ayrıntı sağlamasıdır. EPD Madde 6'ya göre, trafik verileri (1) iletim / hizmet amacıyla veya veriler anonim hale getirildiğinde, (2) faturalama amacıyla veya (3) pazarlama veya katma değerli hizmetler için kullanılabilir. rızasını verdi. İşlemeyle ilgili bilgiler yalnızca eGizlilik kapsamında (2) ve (3) numaralı durumlar için gereklidir, ancak kesinlikle gerekli olan işlemler için gerekli değildir.
Şimdi zor soru, hangi koşullar altında oturum açma girişimlerini günlüğe kaydedebileceğiniz (başarısız) veya fail2ban gibi araçları kullanabileceğinizdir. Bir argüman, bu tür önlemlerin iletişimin güvenliğini sağlamak için kesinlikle gerekli olduğudur, ancak bu önlemlerin iletimi ePD anlamında gerçekleştirmek için gerekli olmadığı açıktır. Bunu çözmenin birkaç yolu var:
gereklilik daha geniş bir şekilde yorumlanmalıdır ve güvenlik önlemleri gerçekten gereklidir. Örneğin, ePD Madde 6 (5), açıkça yetkilendirmeden dolandırıcılık tespitinden bahseder.
IP adresini herhangi belirli bir kişiye bağlamak için gerçekçi bir yönteminiz olmadığından, bir IP adresi ePD anlamında etkili bir şekilde anonimleştirilir.
Bu oldukça zayıf bir argümandır, ancak anonim verileri tanımlayan GDPR Recital 26 tarafından desteklenebilir. Karşı nokta: IP adresleri, GDPR Madde 4 (1) 'de kişisel verilerin tanımına açıkça dahil edilen çevrimiçi tanımlayıcılardır.
IP adresi yalnızca ePD kapsamına giren trafik verileri değil, aynı zamanda GDPR kapsamına giren kişisel verilerdir. IP adresi yalnızca bir iletim yapmak için kullanıldığında, kişisel veri olarak işlenmez ve yalnızca ePD endişeleri geçerlidir. Ancak IP'yi yasaklamak için işlediğimizde, meşru bir menfaat altında kişisel veri olarak işlenir. Bu işleme, ePD Madde 6'daki kategorilerin hiçbirine girmez, bu nedenle yalnızca GDPR ile ilgili konular geçerlidir. Bunlar, oturum açma işlemi sırasında bir gizlilik politikasına bir bağlantı gösterilerek yerine getirilebilecek olan GDPR Madde 13 uyarınca o sırada veri sahibini işleme hakkında bilgilendirme gerekliliğini içerir.
Meşru bir çıkar argümanı için, aynı zamanda tipik veri konusunun beklentilerine de bağlıdır. Güvenlik günlükleri gibi bazı güvenlik önlemleri normal olduğundan ve beklenmesi gerektiğinden, meşru bir çıkar argümanı muhtemelen güçlü olacaktır.
"Bu trafik verisi değil veya en azından ePD kapsamına girmiyor" argümanı oldukça zayıf olsa da, bunun doğru sonuç olduğunu düşünüyorum. Güvenlik önlemlerinin “katma değerli hizmetler” olmadığı varsayımına dayanır. Bu, ePD'nin amacına uyuyor, ancak katma değerli hizmetlerin gerçek tanımına uymuyor.
Her durumda, sen sormak gerekmez rızası Eğer EPD Art 6 (3) altında veya kişisel verilerin, işlem GDPR Art 6 başına hukuki temeli olarak rızaya dayanır çünkü rıza örneğin elde etmek için gerekli sürece.
Ayrıca, ePD'nin acil bir etkisi olmadığı, ancak ulusal hukukta her bir AB üye devleti tarafından uygulanması gerektiği unutulmamalıdır. Bu yasalar daha spesifik rehberlik sağlayabilir.
Bir bağlantı kurarken kullanıcının IP adresini işlediğim için, GDPR, örneğin sunucuya eriştiğinde gösterilen bir başlık gibi bir eylemde kullanıcıyı bilgilendirmemi gerektiriyor mu?
Olabilir. Belirli kullanıcıları yalnızca IP adreslerinden tanımlayabilir misiniz ? Özellikle sunucuya giriş yapamadan bağlanıyorlarsa, pek olası görünmüyor. Böyle bir durumda, kişisel verileri "işlemediğiniz", dolayısıyla bildirimde bulunmanıza gerek olmadığı, vb. Tartışılabilir.
Birçok otomatik botun açık SSH sunucuları için bağlantı noktası taraması olacağını ve mevzuat açısından "gerçek kişiler" olarak değerlendirilemeyeceğini unutmayın. Bu tür botların sayısı, çoğu durumda sunucuya erişen gerçek kişilerin sayısından daha ağır basıyor gibi görünmektedir, bu nedenle başlığı yalnızca oturum açtıktan sonra göstermek yeterli olacaktır.
Olası oturum açma girişimlerini ve girilen verileri kişisel veri olarak ele almak zorunda mıyım?
Duruma göre değişir. Denemelerin çoğu otomatik ise, gerçek bir kişiye bağlı değildir, ancak kullanıcılara belirli kimlik bilgileri verilirse girilen gerçek veriler kişisel veri olarak sayılabilir. Aksi takdirde, genel bir hesap adı ve parolayla oturum açarlarsa, muhtemelen bir kişiyi özel olarak tanımlamadığı için kişisel veri değildir.
Ya arayüz kullanıcı verilerini işlerse ancak teknolojisi, ICMP yanıtı gibi insan tarafından okunabilir bir etkileşim sağlamazsa ne olur?
Korkarım bunun bir cevap verecek şekilde nasıl çalıştığı hakkında yeterince bilgim yok. Aynı hükümler tarafından yakalanabileceğini tahmin ediyorum, ancak çok daha gerçeğe özgü olurdu.
IP adresi mutlaka kişisel veri değildir.
'kişisel veriler', tanımlanmış veya tanımlanabilir bir gerçek kişi ('veri sahibi') ile ilgili herhangi bir bilgi anlamına gelir; Tanımlanabilir bir gerçek kişi, özellikle bir ad, kimlik numarası, konum verileri, çevrimiçi bir tanımlayıcı gibi bir tanımlayıcıya veya fiziksel, fizyolojik, o gerçek kişinin genetik, zihinsel, ekonomik, kültürel veya sosyal kimliği;
Birini tanımlamak için bir IP adresi kullanabiliyorsanız veya bunu birisiyle 'ilişkilendirebiliyorsanız' bu kişisel verilerdir. Örneğin senaryonuzda jsmith oturum açmış kullanıcı adınızda$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $bu John Smith için ipadresi, yani kişisel veriler Ancak, bilinmeyen bir varlık $ ipaddress adresinden oturum açmaya çalışırsa ve IP ile bir kişiyi tanımlayamazsanız veya IP'yi bir kişiyle ilişkilendiremezseniz, IP adresi kişisel veriler değildir.
Muhtemelen çalışanlarınıza bir GDPR veya gizlilik bildirimi yayınladınız veya sundunuz.
SSH sunucunuzun, kullanıcılara IP adreslerinin günlüğe kaydedildiğini bildirmesine gerek yoktur.