Piotr Siemieniak - Ochrona danych w fazie projektowania - RODO się zepsuło

i

Halo halo słychać

mnie okej halo czy mnie

słychać i

i

okej Dzień dobry chciałbym poprowadzi dzisiaj krótkie szkolenie krótką prezentację na temat ochrony danych osobowych jakby takim głównym założeniem tego szkolenia to jest to że rodo nam się zepsuło czyli ochrona danych nie działa tak jak powi właśnie przedstawię kilka problemów które dotyczą między innymi nas wszystkich i Odnosząc się tutaj precyzyjnie Mam tu na myśli administratorów danych inspektorów ochrony danych specjalistów do spraw bezpieczeństwa a także nas samych jako konsumentów więc krótko o mnie Nazywam się łączeniem inżynierii oprogramowania z aspektami ochrony danych osobowych a także cyberbezpieczeństwem więc w tych obszarach Pracuję już od ponad 12 lat dla inżynierii oprogramowania i od ponad siedmiu dla obszaru ochrony danych i cyberbezpieczeństwa współpracowałem z wieloma firmami o różnej skali co mi

dało sporo ciekaw doświad które Mogę przedstawić między innymi tutaj właśnie w tej prezentacji także obroniłem moją rozprawę doktorską która dotyczy zagadnienia ochrony danych w fazie Projektowania i taka ostatnia rzecz prowadzę działalność gospodarczą app.com i wspieram różnego rodzaju firmy z perspektywy ochrony danych w połączeni z inżynierią oprogramowania Jeżeli ktoś chciałby się ze mną skontaktować to jak najbardziej jest to możliwe na przykład za pośrednictwem linkedina możecie zeskanować kod albo mnie wyszukać na linkedinie dzięki czemu możecie również zadawać pytania po konferencji chętnie na nie odpowiem chętnie podyskutuj jestem bardzo otwarty na przejdźmy do prezentacji prezentacja jest składa się z trzech takich modułów pierwszy moduł uwzględni perspektywę administratora danych osobowych czyli tego podmiotu który zarządza danymi osobowymi i w tej

części Wskaż różnego rodzaj prawne a także nieprawne które wpływają na to czy w ogóle jesteśmy w stanie zrealizować wymagania artykułu 25 rodo który dotyczy ochrony danych w fazie projektowania następnie skupię się na zagadnieniach związanych z tak zwanymi Dark patterns czyli nieuczciwymi praktykami związanymi z przetwarzaniem danych osobowych więc wskażę tu prosty case study gdzie użytkownicy mogą być w pewien sposób zwodzenie czy silniejsza strona w postaci administratora danych w jaki sposób stosuje tak zwane dark patterns po to aby osiągnąć swoje cele biznesowe a niekoniecznie zadbać już o cele związane z prawami osób fizycznych ostatnia perspektywa to jest perspektywa inspektora ochrony danych ale to jest o tyle ważne dla dla was jako specjalistów do spraw cyberbezpieczeństwa że bardzo często

będziecie bardzo blisko współpracować z ze stanowiskami typu inspektor ochrony danych szef do spraw cyberbezpieczeństwa więc warto poznać pozyskać taką wiedzę Aby rozwinąć swoje kompetencje chociażby dla testów w obszarze cyberbezpieczeństwa gdzie będziecie rozumieli jeszcze lepiej zagadnienia związane ze zgodnością z prawem co ma bardzo duże znaczenie dla całego biznesu więc przejdźmy do pierwszej części czyli perspektywy administratora danych osobowych więc Wprowadzę tylko krótko do tematu bo nie będę rozbijał tego zagadnienia bardzo szczegółowo ochrona danych w fazie projektowania jest regulowana przez artykuł 25 rodo i zgodnie z tym artykułem mówiąc bardzo prosto i krótko jesteście zobowiązani do zarządzania y ryzykiem bycia proaktywnym w tym zarządzaniu ryzykiem i byciem do bycia proaktywnym również w implementacji odpowiednich środków technicznych i organizacyjnych na

przykład minimalizacja danych szyfrowanie pseudonimizacja stosowanie mechanizmów związanych z zarządzaniem ruchem sieciowym i tak dalej i tak dalej więc powinniście zadbać o to żeby przetwarzać wyłącznie tylko dane takie które są niezbędne dla danego celu przet to są takie podstawowe zagadnienia dotyczące ochrony danych w fazie projektowania bez wchodzenia w duże szczegóły następnie na co chciałbym zwrócić uwagę pierwszej części po lewej proszę nie czytać bo to właśnie co wcześniej powiedziałem było wersją skróconą tego co tam jest napisane następnie mamy w tym artykule tak zwany ustęp trzeci który wskazuje na to że dopiero zatwierdzone mechanizmy certyfikacji mogą nam pomóc z tym żeby wykazać że jesteśmy zgodni z artykułem 25 ustęp 1 i 2 czyli z tym co Wskazałem wcześniej z tym że podejmujecie

działania dotyczące tego żeby zapewnić zgodność z artykułem 25 czyli stosowanie odpowiednich środków w sposób proaktywny i co w związku z tym jakie wiążą się z tym problemy to jest To jest bardzo ważne pytanie bo mechanizmy certyfikacji zostały uregulowane po raz pierwszy w ogólnym rozporządzeniu o ochronie danych i ten akt prawny obowiązuje już od maja 2018 roku ale Problem jest taki że mechanizmy certyfikacji No w zasadzie nie działają w Polsce dopiero nie tak dawno pojawiły się pierwsze mechanizmy certyfikacyjne ale one dotyczą bardzo niewielkiego kręgu podmiotów i i to jest bardzo duży problem który prowadzi do tego że z perspektywy ustępu trzeciego nie możemy w łatwy sposób zademonstrować zgodność z artykułem i w związku z tym Jedyne co możemy

zrobić No to jest budowanie odpowiedniej dokumentacji procesów procedur które mogą być uznane za odpowiednie ale mogą być również podważane więc to nie jest zerojedynkowe rozwiązanie niestety I co w związku z tym dalej w związku z tym jedy rozsądne rozwiązanie które można stosować i praktykować żeby w jak największym stopniu być zgodnym z wymaganiami artykułu 25 rodo to jest między innymi podejście oparte na ryzyku podejście związane z przeprowadzeniem oceny skutków dla ochrony danych współpraca z inspektorem ochrony danych czy budowanie biznesu i procesów w ramach tego biznesu które są bardzo przyjazne dla konsumentów dla uczestników korzystających z usług tego biznesu I co się może wydarzyć jeżeli to będziemy pomijać czyli nie będziemy stosować artykułu 25 dotyczącego ochrony danych w

fazie projektowania no przede wszystkim głównym ryzykiem jest to że wchodzimy w obszar w którym może możemy tak właściwie zacząć stosować różnego rodzaju nieuczciwe nieuczciwe praktyki typu Dark patterns możemy mieć nieprawidłowe procesy związane z zarządzaniem danymi osobowymi i w dalszą konsekwencją mogą być między innymi administracyjne kary pieniężne czyli mamy tutaj konsekwencje finansowe w jest to mniej prawdopodobne Ale równie niektórych przypadkach może wystąpić odpowiedzialność karna może dojść do utraty klientów może być dojść również do utraty klientów typu B2B więc jest to bardzo ważne dla biznesu aby uwzględniać aspekty komow ramach NES biznes jakość pomimo niedoskonałości przepisów prawnych i co w ogóle powinniśmy robić dalej no przede wszystkim przepisy ogólnego rozporządzenia o ochronie danych wskazują na to że niezbędne jest

przeprowadzenie tak zwanej oceny ryzyka ale ocena ryka w wielad osca czyli Ocena ryzyka Często dotyczy całego biznesu bardzo wysoko poziomowych zagadnień ale już nie nie mamy do czynienia albo rzadko mamy takie rozwiązania w biznesie że zostaną ocenione na przykład elementy procesu wytwarzania oprogramowania Elementy związane z interfejsem użytkownika co również ma ogromną ogromny wpływ na prywatność Elementy związane z samym frontendem aplikacji czy również procesy związane z całym całościowym przetwarzaniem danych osobowych dlatego co jest tutaj ważne żeby również podchodzić do tego w taki sposób aby testować te różne obszary w tym procesy związane z interfejsami regular w sposób powtarzalny cykliczny Dzięki temu będziemy mogli uniknąć różnych Ryzyk związanych z Comp Przejdźmy dalej do perspektywy drugiej czyli perspektywy podmiotu danych

jako konsumenci bardzo często jesteśmy zmuszani do wyrażenia zgód różnego rodzaju zgód w sposób albo pośredni albo bezpośredni i zgody te jest bardzo trudno wycofać z systemów w których były wyrażone i tego typu sytuacje również są sytuacjami w których urząd ochrony danych osobowych czy to polskie czy inne urzędy europejskie mogą nadłożyć różnego rodzaju sankcje za tego typu naruszenia w Wielkiej Brytanii Jeszcze zanim funkcjonowało rodo tego typu naruszenia prowadziły do rzeczywistych konkretnych sankcji bo na przykład proces wyrażenia zgody był bardzo prosty krótki przez kliknięcie i wypełnienie formularza natomiast Administratorzy wymagali żeby taka osoba dzwoniła na infolinię tylko w określonych godzinach żeby wycofać taką zgodę co było kwalifikowane i oczywiście słusznie jako problem związany ze zgodnością z przepisami dotyczącymi ochrony danych

osobowych ź dalej czyli w jaki sposób te zgody są wymuszane albo realizowane jest to właśnie są do tego różne techniki które powstały aby aby Administratorzy mogli osiągać swój cel czyli zwiększać procent udzielanych zgód przykładowo numerem je to jest działanie takie które ma w jak największym stopniu zdenerwować użytkownika ale Ten użytkownik nadal musi chcieć osiągnąć to co jest za taką ścianą tekstu i co Mam tu na myśli często dochodzi do sytuacji że dane użytkownika będą udostępniane dla grupy kilkuset partnerów jest to bardzo dużo i og zarządzić swoimi danymi użytkownik musi kliknąć w opcje zaawansowane po to by dalej wybrać dla których partnerów na przykład udostępni Dane oczywistością jest to że kliknięcie w kilka kilkadziesiąt czy kilkaset partnerów żeby ich odznaczyć

jest nierealne żaden użytkownik czegoś takiego nie będzie realizował powodowało że użytkownik albo wyjdzie ze strony ale raczej częściej on udzieli tego typu zgod drugim takim problemem z czym możecie się spotkać i to warto o tym wiedzieć że również poza tym że będą zgody odznaczone w opcjach zaawansowanych będziecie mogli zauważyć że że pojawią się zaznaczone rodzaje takich zgód w postaci prawnie uzasadnionych interesów administratora co nie jest również w pełni dobrowolne i to jest również dość częsta praktyka która jest oceniana jako nieprawidłowa i jest to spore ryzyko związane z prywatnością danego użytkownika i w takich sytuacjach mus odklikać bardzo wiele rzeczy żeby w ogóle pozbyć się nadmiarowych treści nadmiarowych zgód a jeżeli odk za dużo zostaniemy całkowicie

wyrzuceni ze strony zdarza się i tak więc trzeba tutaj mieć taką świadomość Jakie problemy często występują co dalej jak to wygląda na świecie są regularnie realizowane badania dotyczące banerów z cooki i w jednych z tych badań w artykule Cookie banners Choice udało się ustalić że ponad 54 banerów z Cookie mają problemy zgodnością duży problem że dotyczy on dużych podmiotów dużych stron internetowych więc nie są to proste małe lokalne strony internetowe które mają tego typu problemy ale również dużych podmiotów ostatnio w tym tygodniu również zostały opublikowane dodatkowe badania przez European Center for digital i w tym raporcie można zidentyfikować em typowych problemów związanych z Cookie i banerami na przykład w pierwszej warstwie nie występują guziki aby odrzucić nadmiarowe pliki

kooki dalej domyślnie są znaczone któ udostępniają dane osobowe następnie linki czy kolorystyka kontrast są w taki sposób organizowane żeby użytkownik bardziej chętnie wyraził zgodę jak odrzucił zgodę na udzielenie zgód na przetwarzanie danych w celach związanych z analityk marketingiem i tak dalej również stosowanie podstawy w postaci prawnie uzasadnionego interesu administratora danych czy w ogóle dochodzi do sytuacji w których pliki Kuki nie są prawidłowo sklasyfikowane lub bardzo trudno lub w ogóle nie jest to możliwe aby wycofać swoje zgody i to są bardzo istot zagad na któ właś z którymi właśnie będziemy walczyć na różne sposoby czyli właśnie na poziomie współpracy z Administratorem danych między a inspektorem ochrony danych a także z zespołami które tworzą oprogramowanie projektują oprogramowanie

i w związku z tym całe zespoły muszą być zaangażowane w tego typu mechanizmy ochronne więc w jaki sposób przykładowo te zgody są pozyskiwane czyli tak jak wcześniej wskazywał brak opcji do odrzucenia zgód jako jednego kliknięcia nie są respektowane na przykład ustawienia przeglądarki są domyślnie zaznaczone checkboxy które wyrażają zgody na nadmiarowe przetwarzanie użytkownicy są przekierowani lub wyrzucani ze strony stosuje się różne kolorystyki które są uciążliwe lub mylące dla użytkowników jak już parę razy Wskazałem stosowana jest niepoprawna podstawa prawna żeby wymusić wyrażenie zgody lub bardzo często zdarza się też że regularnie jesteśmy ponownie pytani zmieniliśmy zdania i nie chcielibyśmy ponownie wyrazić zgodę na przetwarzania danych w celach marketingowych promocyjnych i tak dalej więc co możemy zrobić jako biznes

aby tego typu praktyk się pozbyć albo ograniczyć tego typu praktyki w pierwszym etapie dotyczącym ludzi to jest podstawa w formie Edukacji i edukacji gdzie przeszkolimy zespół w zakresie etycznego projektowania aplikacji czyli tutaj należy Nasz zespół wyedukować wskazać im w jaki sposób projektować aplikacje aby być zgodnym z prawem Jest to dość wymagające Ale dzięki temu możemy uniknąć wielu problemów ze zgodnością również musimy uwzględnić edukacje i szkolenia w zakresie regulacji dotyczących ochrony danych osobowych mogą często firmach one są domyślnie uwzględniane ale warto je przejrzeć czy one są na tyle szerokie że wskażą również ciekawe przykłady dotyczące na przykład dzisiejszych problemów związanych z prywatnością i ochroną danych co również warto zrobić jest wyznaczenie osoby lub osób które będą

odpowiedzialne za etykę w obszarze produktowym dzięki czemu będą mogli w bezpieczny sposób zgłaszać różnego rodzaju problemy i będą mogli podejmować inicjatywy w celu eliminacji problemów z Comp w naszych aplikacjach webowych co dalej Ważne są procesy Czyli warto wprowadzić w organizacji regularne cykliczne audyty nie tylko dotyczące bezpieczeństwa it ale także interfejsów użytkownika czy one w ogóle się zgadzają z tym jakie standardy wprowadziliśmy w naszej firmie a także szkolić zespoły q czy zespoły do spraw bezpieczeństwa w jaki sposób można zauważyć zrozumieć to co jest właśnie tym złym złą praktyką jest jest tym Dark pattern z którym Staramy się walczyć co dalej na etapie procesowym również musimy wspierać różnego rodzaju programy które zapewnią jako pracownikom bezpieczeństwo w zgłaszaniu takich nieetycznych praktyk w

sposób również anonimowy Pracownicy którzy rzeczywiście interesują się tymi zagadnieniami powinni być w jakiś sposób zauważ wynagradzani za promowanie tego typu kultury organizacyjnej co również szczególnie ważne dla dojrzałego biznesu i ostatni element Ale ten element bardzo często może wystąpić na początku tego budowania całego procesu to jest to że powinniśmy ustanowić wewnętrzne polityki czy wytyczne które wskażą nam to jakie co jest zakazane a co jest zalecane i dozwol w obszarze projektowania stron internetowych i interfejsów użytkownika i co dalej dalej musimy regularnie sprawdzać i aktualizować nasze wytyczne i Polityki więc ten proces można zauważyć będzie bardzo powtarzalny jeżeli chodzi o inne procesy związane z na przykład normami ISO normami Nist które właśnie wskazują na potrzeby regularnych przeglądów audytów po to żeby właśnie być cały czas

w obrocie jeżeli chodzi o zapewnienie zgodności dlatego idąc dalej Jakie działania możecie sami podjąć Żeby ochronić się przed tymi złymi praktykami zawsze uda wam się trafić na strony gdzie będziecie gdzie wszystko będzie zrobione idealnie i przede wszystkim ponownie gdy my jako konsumenci Korzystamy ze stron powinniśmy starać się zrozumieć uczyć się jakiego rodzaju formy nadużyć są wykorzystywane w interneci również poy wskazać innym w jaki sposób Można ochronić się przed zagadnieniami związanymi z z nieuczciwymi praktykami a także nie Bójcie się nigdy zapytać czy dane zachowanie dane zagadnienie jest tak zwany dalej w trakcie korzystania starajcie się myśleć krytycznie to jest bardzo ważne bo jeżeli jesteście popych cały czas do przodu żeby szybko podjąć decyzję żeby jak najszybciej wyrazić zgodę żeby uzyskać

niewielką korzyść to prawdopodobnie to może być pułapka związana z szybkimi decyzjami Dalej warto sprawdzić korzystania z serwisu zdarzają się różnego rodzaju oszustwa polegające Właśnie na tym że szybko podejmujecie decy a następnie będą przychodzić cykliczne rachunki i będziecie mieli problemy w ogóle z wypowiedzeniem tego typu umów Dlatego warto też sprawdzić dane rejestrowe danej firmy Zanim cokolwiek kicie Czy zjecie się do jakieś usługi narzędzia jest trochę narzędzi które pomogą nam zablokować reklamy a także pomogą zablokować nadmiarowe parametry w adresach URL które służą również do śledzenia ale to nie rozwiąże wszystkich problemów ale należy zwrócić uwagę że na pewno pomoże i zredukuje ilość takich elementów śledzących warto aktualizować oprogramowanie z uwagi na to że przeglądarki chociaż mają aktualizowane

funkcje silniki featy które mogą wspierać naszą prywatność w jakiś dodatkowy sposób z perspektywy takiej typowo prawnej jak najbardziej możecie poinformować inspektora ochrony danych w danym podmiocie a nawet możecie złożyć skargę do urzędu ochrony danych osobowych w Polsce po to żeby zostały podjęte działania w związku z nieuczciwymi praktykami na stronach internetowych i co dalej dalej mamy do czynienia z perspektywą inspektora ochrony danych czyli tutaj inspektor ochrony danych to jest taki punkt kontaktowy między osobami fizycznymi czyli przykładowo konsumentem a Administratorem danych osobowych więc on występuje bardzo często w dość trudnej roli bo z jednej strony bierze udział w procesie udzielania odpowiedzi na żądania podmiotów danych z drugiej strony konsultuje się z Administratorem danych właśnie w sprawach związanych z

ochroną danych osobowych i często dochodzi do różnego rodzaju konfliktów interesów chociaż dochodzi do problemu takiego że biznes oczekuje od inspektora ochrony danych tego żeby pozyskać jak najwięcej danych natomiast prawo i analiza ryzyka wskazują na to żeby tych danych było jak najmniej Dlatego z perspektywy na przykład artykułu 25 powinniśmy domyślnie przetwarzać jak najmniejszą ilość i tutaj przykładowym częstym problemem do którego się odnosiłem to jest to że niezbędne jest wybranie odpowiednich podstaw prawnych przetwarzania w obszarze właśnie takim webowym bardzo często stosowana jest zgoda ale często jest właśnie dorzuca uzasadniony interes administratora danych Gdy dochodzi do takiego konfliktu interes No musi być podjęta decyzja wewnętrznie w organizacji czy chcemy więcej marketingu i więcej danych czy chcemy mieć właśnie mniej danych i mniej

możliwości marketingowych co w teorii może wpłynąć na funkcjonowanie biznesu tego typu dane tego typu analizy już należy dokonać wewnętrznie po to właśnie żeby co dla nas jest dobre z perspektywy właśnie przepisów taką dobrą rzeczą to jest właśnie minimalizacja danych i dlatego udział inspektora ochrony danych Jest tu bardzo ważny a dodatkowy głos ze strony specjalistów w zakresie cyberbezpieczeństwa na pewno będzie miał duży wpływ na podejmowane decyzje w biznesie Więc taki inspektor ochrony danych jest trochę taki jak zawartość kanapki z jednej strony służy administratorowi danych z drugiej strony służy właśnie podmiotowi danych więc jest to bardzo ważne żeby znaleźć dobry balans i dobre procesy dla podejmowania decyzji w zakresie Właśnie takich działań typu Dark patterns żeby je minimalizować

dlatego co jest takim Ważnym aspektem to jest to że w tej prezentacji chciałem pokazać że każdy uczestnik procesu przetwarzania danych osobowych W pewnym w pewien sposób musi hakować drugą stronę czy z jednej strony biznes szuka metod na pozyskanie danych osób fizycznych z innej strony osoby fizyczne muszą szukać rozwiązań które wzmocnią ich prawa dlatego na przykład osoby fizyczne są taką słabszą stroną więc mają dodatkowe narzędzia prawne także mogą korzystać z narzędzi technicznych a także mogą kontaktować się z inspektorem żeby chronić swoje prawa Niestety zdarza się że na żądania osób fizycznych Administratorzy w tym inspektorze nie odpowiadają to na przykład dotyczy również banku gdzie miałem tego typu zdarzenie że odpowiedź nie została udzielona ani w terminie podstawowym ani w

terminie rozszerzonym w związku z tym trzeba podejmować więcej działań po to żeby chronić swoje prawa z drugiej strony biznes tutaj ma taki problem że ciągle chce więcej ciągle chce się utrzymać na rynku chce zmaksymalizować swoje przychody i postrzegana jest ochrona danych osobowych jako duża przeszkoda dla biznesu dlatego budowanie procesów wewnętrznych w organizacji pomaga naprawić to co jest zepsute w przepisach chociażby ogólnego rozporządzenia o ochronie danych Więc podsumowując jakie mamy tutaj do czynienia z jakimi do czynienia mamy problemami w całym tym procesie funkcjonowania serwisów webowych z jednej strony Administratorzy danych muszą przechodzić przez całą sieć złożonych nieostrych regulacji gdzie na przykład rodo jest jedną z nich na przykład pracownicy naukowi prawnicy inspektorzy ochrony danych będą wskazywali na jedne grupy

rozwiązań natomiast organ ochrony danych będzie wskazywał na rozwiązanie jeszcze inne które będzie niekoniecznie korzystne ani w jednym ani w drugim kierunku dalej biznesy mogą mieć problemy z tym żeby znaleźć taki zdroworozsądkowy i uczciwy balans między wartością biznesową a ochroną danych osobowych osoby fizyczne również muszą być bardzo uważne jeżeli chodzi o oszustwa próby wyłudzeń próby wyzyskania czy pozyskania różnego rodzaju zgód natomiast inspektor ochrony danych musi być gdzieś pośrodku żeby wspierać jedną i drugą stronę osoby w obszarze cyberbezpieczeństwa

d inspekt wspierać działania Zespołów produktowych po to żeby Budować no winwin scenario aby możliwe było wyeliminowanie czy ograniczenie nieuczciwych praktyk w biznesie dlatego na co Chciałem zwrócić uwagę pomimo pod zgodności z artykułem 25 i mechanizmy certyfikacji w ogóle nie działają i są nieskuteczne Co ogranicza nasze możliwości związane z rozliczalności z artykułem 25 a obecnie nieuczciwe praktyki w formie Dark patterns są ogromnym problemem to bardzo ważne jest to żeby jednak uwzględniać te procesy i wspierać biznes w wyborze tych bezpiecznych opcji które Zredukuj ryzyko nałożenia administracyjnych kar pieniężnych A podniosą jakość biznesu i być może pomoże to w identyfikacji nowych technik marketingowych analitycznych które będą wspierały prywatność osób fizycznych co mógłbym zalecić w związku z moją prezentacją taka takie małe działanie

dla biznesu jeżeli macie możliwość zerknijcie czy Wasze wewnętrzne polityki mają przewidziane procesy związane z ochroną przed Dark patterns Czy macie rż w swoim mechanizmie oceny ryzyka takie elementy jak ocena interfejsów użytkownika czy obejmują one działania związane z marketingiem i w jaki sposób one chronią prawa i wolności osób fizycznych a jeżeli jesteście osobami fizycznymi konsumentami zerknijcie czy ostatnio dostaliście maile marketingowe bez waszych zgód i

także najmocniej Dziękuję za uwagę zapraszam oczywiście na do kontaktu przez Linkedin a także przez moją stronę internetową jeżeli są jakieś pytania to bardzo proszę zostawić pytanie na czacie lub napisać na linkedinie żebym mógł na nie odpowiedzieć Dziękuję

i