GDPR A TECHNICKÁ DATA. Jan Kolouch CESNET. t: 21. května CESNET, Praha

Transkript

1 GDPR A TECHNICKÁ DATA Jan Kolouch CESNET t: 21. května CESNET, Praha

2 DIGITÁLNÍ STOPA

3

4 Čl. 4 odst. 1 GDPR OSOBNÍ ÚDAJ veškeré informace o identifikované nebo identifikovatelné fyzické osobě zejména odkaz na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

5 O CO PŮJDE? Fyzickým osobám mohou být přiřazeny síťové identifikátory, které využívají jejich zařízení, aplikace, nástroje a protokoly, jako například: či identifikátory cookies, nebo (radio frequency identification tags) Tímto způsobem mohou být zanechány stopy, které mohou být zejména v kombinaci s jedinečnými identifikátory a dalšími informacemi, které servery získávají, použity k R30

6 Je IP adresa osobním údajem?

7 Uživatel? IP adresa veřejná/public CESNET: IP adresa veřejná/public ČVUT: ISP Poskytující služby IP: IP adresa privátní/private Vnitřní síť IP adresa privátní/private ISP Poskytující připojení

8 Patrick Breyer proti Bundesrepublik Deutschland ocid=184668&pageindex=0&doclang=cs&mode=lst&dir=&o cc=first&part=1&cid= dynamická IP adresa je dle rozsudku soudního dvora EU z za určitých okolností osobním údajem

9 PATRICK BREYER se u německých soudů domáhal, aby Německo přestalo uchovávat jeho IP adresy, které získalo při jeho návštěvách několika internetových stránek německých spolkových orgánů, které byly veřejně přístupné. Jednalo se o klasické logování ze strany ISP služeb. Německé soudy přerušily řízení a položily předběžnou otázku soudnímu dvoru EU, protože v dané věci neexistuje jednotný výklad práva EU. Jde zejména o to, jestli k tomu, aby nějaký údaj byl osobním údajem, a tedy identifikoval konkrétní osobu, je třeba vycházet z objektivního či relativního kritéria.

10 OBJEKTIVNÍ A RELATIVNÍ KRITÉRIUM údaje, jako jsou IP adresy, by mohly být považovány za osobní údaje zpracovávané ISP jiných služeb než připojení (např. provozovatelem internetové stránky), a to i tehdy, pokud by byla schopna identifikovat konkrétního uživatele JEN TŘETÍ OSOBA (typicky ISP připojení). IP adresy by mohly být považovány za osobní údaj u ISP připojení, neboť mu umožňují přesně určit totožnost uživatele, ale už ne u ISP služeb, který disponuje skutečně pouze údajem o IP adrese a nezná jméno návštěvníka.

11 ROZSUDEK CHYTRÉ HORÁKYNĚ Adresa přímo neodhaluje totožnost fyzické osoby, která je majitelem počítače, ze kterého byla navštívena internetová stránka, totožnost jiné osoby, která mohla tento počítač používat.

12 ALE Z těchto důvodů Soudní dvůr (druhý senát) rozhodl takto: 1) Článek 2 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že dynamická adresa internetového protokolu, kterou poskytovatel on-line mediálních služeb uchovává v souvislosti s přístupem osoby na internetovou stránku, kterou tento poskytovatel zpřístupnil veřejnosti, pro uvedeného poskytovatele pokud má k dispozici právní prostředky, které mu umožňují NECHAT IDENTIFIKOVAT subjekt údajů díky dalším informacím,

13

14 Realita konektivity

15 MAC

16 IP připojovacího prvku (např. AP aj.) MAC adresa PC uživatele IP přidělené PC Jméno PC uživatele nastavené v OS Sep 4 15:40:09 dhcp dhcpd: DHCPDISCOVER from d0: : : : : d4 (corwin) via Sep 4 15:40:10 dhcp dhcpd: DHCPOFFER on to d0: : : : : d4 (corwin) via Sep 4 15:40:10 dhcp dhcpd: DHCPREQUEST for ( ) from d0: : : : : d4(corwin) via Sep 4 15:40:10 dhcp dhcpd: DHCPACK on to d0: : : : : d4 via IP DHCP

17 IP PC uživatele Ověření uživatele Jedinečný identifikátor uživatele Sep 7 10:48:03 office2 postfix/smtps/smtpd[22748]: connect from unknown[2001:718:2:2226:d27e: : : d4 ] Sep 7 10:48:03 office2 postfix/smtps/smtpd[22748]: Anonymous TLS connection established from unknown[2001:718:2:2226:d27e: : : d4]: TLSv1.2 with cipher ECDHE-RSA-AES128- GCM-SHA256 (128/128 bits) Sep 7 10:48:03 office2 postfix/smtps/smtpd[22748]: : client=unknown[2001:718:2:2226:d27 : : d4], sasl_method=plain, sasl_username=andrea Sep 7 10:48:03 office2 postfix/cleanup[21618]: : messageid=<alpine.lfd @corwin.cesnet.cz > Sep 7 10:48:03 office2 postfix/qmgr[1919]: : from=<andrea@cesnet.cz >, size=1591, nrcpt=1 (queue active) (zpracování zprávy) Sep 7 10:48:03 office2 postfix/smtps/smtpd[22748]: disconnect from unknown[2001:718:2:2226:d27e: : : d4 ] ehlo=1 auth=1 mail=1 rcpt=1 data=1 quit=1 commands=6 Sep 7 10:48:03 office2 postfix/smtp[22213]: : to=<masters@cesnet.cz>, relay=postino.cesnet.cz[ ]:25, delay=0.07, delays=0.06/0/0.01/0, dsn=2.0.0, status=sent ( Ok: queued as E4DFD58007F) Sep 7 10:48:03 office2 postfix/qmgr[1919]: : removed Identifikátor u IP Serveru

18 Použijte

19

20

21 Benedik proti Slovinsku TCP/IP V P2P Rozsudek ze dne 24. dubna 2018 ve věci č / mentcollectionid2%22:[%22chamber%22],%22itemid%22:[% %22]} Sdílení (šíření) dětské pornografie Využití peer-to-peer sítě (emule) Žádost policie vůči poskytovateli o identifikaci IP adresy ISP ustanovil přípojný bod

22 TCP/IP V P2P V průběhu trestního řízení stěžovatel mj. namítal, že jeho identita jako uživatele specifické dynamické IP adresy byla policií získána v rozporu s právními předpisy, jelikož k tomuto úkonu nedal souhlas soud, a navrhoval, aby byl předmětný důkazní materiál vyřazen ze spisu. Soudy nicméně dospěly k závěru, že jelikož se k dané peerto-peer síti mohl připojit kdokoli a IP adresa uživatelů, včetně té stěžovatelovy, nebyla nijak skrývána, stěžovatel se vědomě vystavil veřejnosti, a proto pro zjištění daných dat nebylo nutné získat povolení soudu. Stěžovatel byl následně odsouzen k trestu šesti měsíců odnětí svobody.

23 PORUŠENÍ ČL. 8 ÚMLUVY Sběr a nakládání údaji o internetovém provozu musí být doprovázeny zárukami, mezi něž musí náležet soudní či jiný nezávislý přezkum. Soudkyně Yudkivska a soudce Bošnjak v souhlasném stanovisku uvedli, že Soud měl více zdůraznit význam a důležitost ochrany informací o online aktivitách jednotlivců, jelikož v nové digitální éře lze mnohdy z těchto údajů zjistit stejné množství informací, včetně těch nejcitlivějších, jako sledováním vlastního obsahu komunikace.

24 PORUŠENÍ ČL. 8 ÚMLUVY ELPS: nelze odmítnout nutnou ochranu informacím, které mohou odhalit nemálo i online aktivitách jednotlivce, včetně detailů o jeho zájmech, názorech a intimním životě Stěžovatelovy aktivity spadají pod pojem soukromý život jenž má být ve smyslu čl. 8 Úmluvy o ochraně lidských práv a základních svobod respektován

25 Aplikace

26 SOUNDHOUND

27

28

29

30

31

32 BANKA

33 GOOGLE

34 IOT

35 CESNET solution

36 CESNET READY?...STEADY... n Identifikace n Jednání bohužel s právníky n Kontrola n Jednání s n Kontrola n Implementace n Kontrola n Jednání s n

37

38 CESNET READY?...STEADY... n v1 n v2 n pre v3

39 CESNET A? ISMS, eprivacy aj.

40

41 Řešení?

42 Cyberspace fundaments

43

44 Děkuji za pozornost