Fórum Root.cz
Hlavní témata => Sítě => Téma založeno: karel 17. 11. 2017, 06:12:39
-
Jak prosim resite centralni logovani pod windows + linux + netflow? My pro Linux + Net Flow pouzivame logoavani do ELK a je to fakt pekny ikdyz relativne narocny na HW -na to ze je to "jen logovani". S ohledem na GDPR se nas klienti ptaji na logovani do Windows. Pouzivate nekdo nejaky centralni logovani pro Win ci mate nejakou alternativu pro ELK?
-
System Center Operations Manager (SCOM)
-
Jen malé upozornění - ale to asi víte. GDPR není o logování a zpětném dohledání, ale GDPR vyžaduje zavést procesy (nejen v IT, ale v celém fungování firmy), o kterých lze říci, že prokazují maximální úsilí vyvinuté k ochraně citlivých údajů.
GDPR definuje tzv. objektivní odpovědnost. Firma nese plnou odpovědnost za veškeré důsledky (byť je např. sama obětí hackera nebo vynesení informací nezodpovědným zaměstnancem), a této odpovědnosti se zprostí jedině tím, že prokáže, že se to stalo i přes veškerá opatření. To je hlavní, ale podstatný rozdíl proti stávající zákonné úpravě.
Co mnoho lidí nerozumí např. tomu, že citlivou informací není jen rodné číslo. Citlivou informací může být i zdánlivě nevinný údaj - např. když řeknete "to je Jarda, ten co pracuje ve firmě X a žije ve vesnici Y". V konkrétním případě to totiž může být už dostatečně přesná informace, která vede k identifikaci osoby. Stejná informace je citlivá, pokud se jedná o menší firmu a menší obec, ale není už citlivá ve velké korporaci a ve velkém městě.
U lékaře je např. naprostým prohřeškem proti GDPR to, že sestřička má na stole položené karty pacientů či vytištěné recepty se jmény. Může být i prohřeškem to, že pacienty volá z čekárny jménem - bude se to opět lišit podle toho, o jaký obor půjde. Citlivěji to budou lidé vnímat u lékařů, kteří jsou spíš obvodní (spádoví) a u citlivých oborů (onkologie, kožní, ...), méně citlivé to bude např. u stomatologa, ke kterému navíc jezdí lidí i přes celé město.
Bohužel, zákazníci se dotazují na jasná pravidla, konkrétní opatření, jak GDPR vyhovět. To bez analýzy konkrétní situace nejde.
Mezi opatření pak patří zejména revize fyzických procesů, oběhu dokladů, omezení kompetencí a přístupu k informacím (nejen k digitálním). Samotné IT je také až na chvostu GDPR.
-
Splunk.
Teoreticky by mohlo jit pouzit Universal Forwarder (zadarmo) a pres syslog ho napojit na stavajici ELK.
A nebo by melo taky jit zkompilovat Lumberjack pro Windows - https://github.com/elastic/logstash-forwarder
-
Inac Elastic ma podporu windows logu:
https://www.elastic.co/downloads/beats/winlogbeat
-
A
-
U lékaře je např. naprostým prohřeškem proti GDPR to, že sestřička má na stole položené karty pacientů či vytištěné recepty se jmény. Může být i prohřeškem to, že pacienty volá z čekárny jménem - bude se to opět lišit podle toho, o jaký obor půjde. Citlivěji to budou lidé vnímat u lékařů, kteří jsou spíš obvodní (spádoví) a u citlivých oborů (onkologie, kožní, ...), méně citlivé to bude např. u stomatologa, ke kterému navíc jezdí lidí i přes celé město.
Kdy bude odpovědný ten, co ta data ukradne? Kdy se začne přemýšlet tak, aby to nekomplikovalo práci. Kdy se přestane mrhat prostředky?
Lidská hloupost nezná mezí. Ach jo.
-
Ak potrebujete z win dostat logy do syslogd nic lepsie ako correlog neexistuje https://correlog.com/distributed-security-solutions/correlog-agent-windows/
-
os sim - https://sourceforge.net/projects/os-sim/
-
U lékaře je např. naprostým prohřeškem proti GDPR to, že sestřička má na stole položené karty pacientů či vytištěné recepty se jmény. Může být i prohřeškem to, že pacienty volá z čekárny jménem - bude se to opět lišit podle toho, o jaký obor půjde. Citlivěji to budou lidé vnímat u lékařů, kteří jsou spíš obvodní (spádoví) a u citlivých oborů (onkologie, kožní, ...), méně citlivé to bude např. u stomatologa, ke kterému navíc jezdí lidí i přes celé město.
Kdy bude odpovědný ten, co ta data ukradne? Kdy se začne přemýšlet tak, aby to nekomplikovalo práci. Kdy se přestane mrhat prostředky?
Lidská hloupost nezná mezí. Ach jo.
Ve světě kde každým dnem díky novým technologiím ztratíme trochu soukromí, mi také podobné kraviny připadají jako výplod pomatených hlav. Tak máme kamery co mě na několik metrů dokáží identifikovat podle duhovky, zobrazit mi reklamu pro mě určenou, ale sestřička v ordinaci nesmí říct mé jméno?
Ano politici a úředníci by měli lidi ještě více šikanovat a srát. Defenestrace tu už vážně dlouho nebyla.
Jo a rodné číslo je veřejný údaj ať si úřad na ochranu osobních dat kváká co chce, protože minimálně prostě dič, a těch situací kdy se človek prokazuje rodným číslem je daleko více. Ono to má totiž svojí logiku, každý má unikátní číslo, proto u spousty formulářů jak .... neustále všude vyplňujeme adresu a místo narození. Aby nás mohl stát identifikovat.
-
Kdy bude odpovědný ten, co ta data ukradne? Kdy se začne přemýšlet tak, aby to nekomplikovalo práci. Kdy se přestane mrhat prostředky?
Lidská hloupost nezná mezí. Ach jo.
Ale to se přeci nevylučuje. Odpovědní jsou oba. Podobně objektivní odpovědnost funguje např. u držení zbraně. Prostě je na legálním držiteli, aby zbraň zajistil před zneužitím a odcizením. Při držení do dvou zbraní je ještě na něm, aby určil, jak je zabezpečí. Od třetí zbraně dál už zákon klade požadavky na úroveň bezpečnosti trezoru. Obdobně máte povinnost zajistit vozidlo proti zneužití, jinak nesete spoluodpovědnost (málokdo ví, ale všichni naštěstí auta zamykají - v Německu ale dostanete pokutu i za pootevřené okýnko).
GDPR je naprosto správná direktiva. Doposud se děje, že na internetu Vám "někdo" prodá databázi e-mailů ke spamům a dá Vám k tomu "prohlášení", že to jsou lidé, kteří vyjádřili souhlas s komerčním oslovování. Nakupující jedná v dobré víře, prodávající často taky (nebo to vždy aspoň tvrdí). Obětí je spamovaný uživatel, který se nemá jak domoci práva - všichni jsou "nevinní" a on má schránku plnou spamů.
GDPR např. přinese to, že koncový "rozesílač" si musí být jistý, jinak se k údajům musí chovat jako k citlivým.
GDPR je sice pro hodně firem složitá směrnice na pochopení (každý očekává, že zákon dá jasná pravidla, ne jenom cíl), ale z mého pohledu je to krok správným směrem. Každý by měl přemýšlet a vykonat rozumné maximum, co může.
V IT znám firmy, které si o průšvih přímo koledují. Např. 10-15 lidí, sehraná parta, znají se 10 let. Všichni mají práva všude, i když je ve skutečnosti nepotřebují. Majitel do toho nechce zasáhnout, protože by narušil důvěru v kolektivu. Ale ono stačí málo - stačí se s jedním zaměstnancem pohádat, nebo může zaměstnanec začítí mít osobní problémy (rodinné trable, závislost na něčem, nemoc), a informace už v ohrožení jsou.
Pravidlo best effort se praktikuje v mezinárodním právu např. u autorských děl. Autorské zákony jednotlivých zemí jsou prehistorické a z velké části neslučitelné. Jsou psané ve světle toho, že dílo má hmotnou podobu, existuje originál a reprodukce. Úmluvy, které se snažily autorské právo sjednotit - Bernská (1886) a Ženevská (1952) ve svých dobách pomohly, ale dnes už jsou překonané. Např. dílo podléhá autorskému zákonu v zemi, kde bylo poprvé uvedeno. Jaká je to země v případě internetu? Jak je to v případě děl, které na internetu zveřejní někdo pod pseudonymem? Pak není ani jasný domicil autora. Originál fotografie (high res) koupíte z fotobanky, ale ve skutečnosti nevíte, jestli ho fotobanka opravdu koupila, a jestli ho koupila od autora - i jí ho mohl prodat podvodník. To se v době diapozitivů stát nemohlo (nebo jen obtížně). Proto v případě autorského zákona se vynakládá best effort a praktikuje fair use - tedy stav, kdy není postižitelné užití v dobré víře a zároveň za předpokladu, kdy sami poskytnete kontaktní údaje a mechanismy, aby Vás mohl autor oslovit ke zjednání nápravy (např. tlačítko "nahlásit nelegální obsah").
Tím vším jsem chtěl říct, že někdy není dohledatelné, ale ani jasné, kdo je "viník", a proto je potřeba zavádět zákony takové, které k zodpovědnému chování vedou na všech úrovních. Mně, když někdo bez poplatku zveřejní fotografii, nebo rozdá můj e-mail k rozesílce spamů, jde mi hlavně o to, aby byla zjednána náprava. Teprve v druhé fázi mě zajímá (nebo možná ani nezajímá), kdo to zavinil.
A proto máme GDPR.
-
+1
Tazatel IMHO spise narazel na zdejsi foklor, kdy v pripade bezpecnostniho incidentu je spilano a vysmivano temer vyhradne osobe odpovedne za bezpecnost systemu, samotnym utocnikum nikdy.
-
Tazatel IMHO spise narazel na zdejsi foklor, kdy v pripade bezpecnostniho incidentu je spilano a vysmivano temer vyhradne osobe odpovedne za bezpecnost systemu, samotnym utocnikum nikdy.
Tomu rozumím, ale proto je zde institut vyvinění se - liberace. Odpovědnost nenesete, i když je zákonem stanovena jako objektivní, pokud prokážete, že jste udělal veškerá vhodná opatření, aby škodlivý důsledek nenastal. V případě zbraně, jak jsem již psal, až dvě nemusíte mít ani v trezoru. Ale když Vám je někdo odcizí, nesete objektivní odpovědnost. Pokud je však budete mít v dobrém trezoru, a i přesto se tam někdo vloupe, pak Vaše odpovědnost padá.
V případě GDPR je to stejné. Osoba odpovědná za bezpečnost systému nemá dělat jen nutné minimum opatření (což je nejběžnější praxe), ale naopak možné maximum.
A to je také zdejší folklór, že každý hledá, jak smysl zákona občůrat tak, aby na něj nikdo nemohl, ale přitom se moc nenadřít.
-
Dekuji, za vsem komentare. Zaver z logovani win : bez nainstalovaneho sw treti strany logy do Elk nedostanu. K Gdpr: nevite o nejakych pripravenych vzorech procesu ci smernic. Nebo nejakem foru?
-
Dekuji, za vsem komentare. Zaver z logovani win : bez nainstalovaneho sw treti strany logy do Elk nedostanu. K Gdpr: nevite o nejakych pripravenych vzorech procesu ci smernic. Nebo nejakem foru?
:))) to je to, co jsem se Vám snažil vysvětlit. Celá podstata GDPR je o tom, že nemůže existovat nic připraveného, to tzv. nutné minimum.
Existuje spousta školení, ale na reálnou implementaci si musíte buďto sednout, nebo najmout odborníka. Ten začne mapováním firmy, nikoliv IT. K IT se dostane až na konci svého procesu.
-
Nebo ještě jinými slovy: Vaše firma si musí určit, nebo najmout osobu, která bude za GDPR zodpovědná. Tak projde procesy a definuje požadavky na IT oddělení. V první fázi bude asi chtít popis systémů, uložení a zabezpečení dat. Pak ta osoba vytvoří první nástřel požadavků na IT úpravy tak, aby to sedělo do procesů firmy a zabezpečení se zlepšilo. Teprve v ten moment nastupuje práce IT oddělení.
Nevím, jestli je to případ i u vás, ale setkávám se s obrovskou mýlkou, že firmy si myslí, že GDPR je něco, co má řešit IT oddělení. Nikoliv.
-
Každý by měl přemýšlet a vykonat rozumné maximum, co může.
Už se těším, jak bude soud řešit, jestli zaplatit 1M za změnu interních procesů bylo "rozumné" nebo nebylo.
-
Kdy bude odpovědný ten, co ta data ukradne? Kdy se začne přemýšlet tak, aby to nekomplikovalo práci. Kdy se přestane mrhat prostředky?
Lidská hloupost nezná mezí. Ach jo.
Kdyz ti nekdo slohne auto, a zjisti se, ze nebylo zamceny, nebo ze si dokonce nechal klicky v zapalovani, tak prvni kdo dostane pokutu budes prave TY. Tohle je stejny.
...K Gdpr: nevite o nejakych pripravenych vzorech procesu ci smernic. Nebo nejakem foru?
Nic takovyho neexistuje a ani nexistovat nemuze. Protoze to zalezi na tom co delas, s cim to delas a jak to delas.
Pricemz z 99% GDPR nema s IT spolecnyho zhola nic.
-
Každý by měl přemýšlet a vykonat rozumné maximum, co může.
Už se těším, jak bude soud řešit, jestli zaplatit 1M za změnu interních procesů bylo "rozumné" nebo nebylo.
Soud to resit nebude, ten to jednoduse spocita ... flastr je pokud vim 4% celosvetovyho bratu. Takze se vemou 4%, coz u pidifirmy hodi 4M, a v tom pripade je 1M naprosto oduvodnitelnej naklad, takze se ti ulozi sankce (napoprvy) 2M, abys nemel pocit, ze to vyslo nastejno, nebo ze si dokonce usetril.
Trebas u takovy Skodovky to pak bude +-stejny, jen misto M tam budou G.
-
Každý by měl přemýšlet a vykonat rozumné maximum, co může.
Už se těším, jak bude soud řešit, jestli zaplatit 1M za změnu interních procesů bylo "rozumné" nebo nebylo.
Soud to resit nebude, ten to jednoduse spocita ... flastr je pokud vim 4% celosvetovyho bratu. Takze se vemou 4%, coz u pidifirmy hodi 4M, a v tom pripade je 1M naprosto oduvodnitelnej naklad, takze se ti ulozi sankce (napoprvy) 2M, abys nemel pocit, ze to vyslo nastejno, nebo ze si dokonce usetril.
Takže když by to stálo 5M a firma usoudí, že do toho nepůjde, protože radši zaplatí flastr 4M než vydat tyhle náklady, tak soud usoudí, že to odůvodnitelné nebylo a firmu tu pokutu nedostane?
-
Už se těším, jak bude soud řešit, jestli zaplatit 1M za změnu interních procesů bylo "rozumné" nebo nebylo.
Soud rozhodně nebude řešit, jestli by to bylo ekonomicky smysluplné - od toho má každá firma mít spočítanou svoji ekonomiku. Soud vyjde z předpokladu, že nesete odpovědnost, a na Vás bude prokázat, že jste víc nemohli udělat. Trochu drsně řečeno, je jen Váš problém, že máte firmu organizačně tak špatně nastavenou, že zavedení GDPR bude stát tolik peněz.
Důvodem pro liberaci je nepředpokladatelnost následku. Např. neponesete odpovědnost, pokud Vám zdi archivu / spisovny naruší zemětřesení a v důsledku toho se lejstra dostanou volně na ulici. Naopak ponesete odpovědnost, pokud je nezabezpečíte přiměřeně. Pokud to budou méně důvěrné informace a v malém množství, bude stačit třeba jen zabezpečení dveří. Pokud by šlo o spisovnu advokáta nebo zdravotnického zařízení, tam už by soud asi očekával zabezpečení pomocí PCO, případně hlídací agentury apod.
Ještě nutno poznamenat, že GDPR neklade o moc větší požadavky na ochranu informací, než současné zákony. Jediné, co se změnilo je, že byla stanovena objektivní odpovědnost. Tedy firmy, které braly vážně i dosavadní zákony, jsou z větší části připravené. Firmy, které podle současných zákonů dělali vyčůraně jen nutné minimum, mají teď problém.
-
Kdyz ti nekdo slohne auto, a zjisti se, ze nebylo zamceny, nebo ze si dokonce nechal klicky v zapalovani, tak prvni kdo dostane pokutu budes prave TY. Tohle je stejny.
Když nezamknu auto, a do auta sedne moje nezletilé dítě, a někoho přejede, tak nezaplatím jen pokutu, ale dokonce ponesu odpovědnost i za ten následek. Protože mezi nezabezpečením auta a přejetým člověkem je nezpochybnitelný řetězec příčiny a důsledku (kauzální nexus). (V případě prosté krádeže převáží příčinná souvislost se zločinem krádeže, maximálně bude část spoluviny).
-
Jak prosim resite centralni logovani pod windows + linux + netflow? My pro Linux + Net Flow pouzivame logoavani do ELK a je to fakt pekny ikdyz relativne narocny na HW -na to ze je to "jen logovani".
Prečo je náročné na HW? (pýtam, lebo ELK neprevádzkujem).
Máte aj nejakú analytiku nad tými dátami, napr. notifikácia pri prekročení určitej download/upload kvóty per IP, alebo prekročený počet flow per src/dst IP?
Viem niečo takéto spraviť (jednoducho) priamo v ELK?
-
Už se těším, jak bude soud řešit, jestli zaplatit 1M za změnu interních procesů bylo "rozumné" nebo nebylo.
Soud rozhodně nebude řešit, jestli by to bylo ekonomicky smysluplné - od toho má každá firma mít spočítanou svoji ekonomiku. Soud vyjde z předpokladu, že nesete odpovědnost, a na Vás bude prokázat, že jste víc nemohli udělat. Trochu drsně řečeno, je jen Váš problém, že máte firmu organizačně tak špatně nastavenou, že zavedení GDPR bude stát tolik peněz.
Jasně, takže tvrzení "Každý by měl přemýšlet a vykonat rozumné maximum, co může." je nesmysl, protože pojem "rozumný" v kontextu firmy je z velké části v podstatě ekvivalentní "ekonomické smysluplnosti".....
-
Kdyz ti nekdo slohne auto, a zjisti se, ze nebylo zamceny, nebo ze si dokonce nechal klicky v zapalovani, tak prvni kdo dostane pokutu budes prave TY. Tohle je stejny.
Když nezamknu auto, a do auta sedne moje nezletilé dítě, a někoho přejede, tak nezaplatím jen pokutu, ale dokonce ponesu odpovědnost i za ten následek. Protože mezi nezabezpečením auta a přejetým člověkem je nezpochybnitelný řetězec příčiny a důsledku (kauzální nexus). (V případě prosté krádeže převáží příčinná souvislost se zločinem krádeže, maximálně bude část spoluviny).
Když nezamkneš auto a do auta sedne zletilý a odpovědný člověk a šlohne ti ho, tak jsi taky zodpovědný? A když někdo vyrobí nůž, někdo si ho koupí a zabije, tak je taky výrobce zodpovědný? Tohle je nesmysl, jediný proč to vypadá důvěryhodně je to "dítě". Jakmile do toho dáš dospělého, tak to tak vůbec nefunguje. A pokuty v německu jsou nesmysl, dneska auto bez klíčku stejně nenastartuješ (a i tak by tak pokuta byla právě za to "co kdyby tam vlezlo dítě", pokud ti tam vleze svéprávný dospělý, tak za případnou nehodu může on).
Trochu drsně řečeno, je jen Váš problém, že máte firmu organizačně tak špatně nastavenou, že zavedení GDPR bude stát tolik peněz.
Tak můj osobní názor je, že pokud někdo chce udělat "rozumné maximum", tak je 1M jenom na zpracování logů a úplně minimální revizi zabezpečení drsně málo. Pokud máte nějaké systémy s daty a je to připojené do internetu, tak na tom je možné vyhodit "rozumně" vcelku libovolné množství peněz. V podstatě by člověk měl mít "rozumně" SIEM, na SIEM tak minimálně jednoho full-time člověka - a to je v podstatě jen "rozumný" začátek.
-
...
Ale to je přesně, jak píšete. IT-lidé rádi posuzují zákony binárně - pravda/nepravda. Ale tak to není. Zákony se aplikují podle situace. Když pojedete autem a dostanete smyk a vyletíte do pole, dostanete maximálně pokutu. Pokud ale budete mít smůlu, a zrovna v tu chvíli a v tom místě půjde po krajnici chodec a Vy ho zabijete, dostanete podmínku nebo si půjdete sednout. Stejná chyba => jiný důsledek (stochasticky) => (pro stejný důsledek = +/- stejný trest | pro jiný důsledek = jiný trest). Soud pak posuzuje, jak moc to bylo zaviněné, na kolik hraje roli náhoda a jestli jste jednáním nešel průseru vstříc.
Pak je tu něco, čemu se říká objektivní odpovědnost. To je zákonem poměrně řídce využívaný institut, který v případech, kdy běžné posuzování / prokazování viny/zavinění (vs. presumpce neviny/břemeno důkazní) není dostatečné k ochraně zájmů společnosti. Pak se zavádí něco, co by se v trestním právu nazvalo "presumpcí viny", ve veřejném právu pak "přenesením důkazního břemene". Současný zákon na ochranu osobních údajů se ukázal jako nedostatečný. Ku příkladu, lidé jsou spamováni a nemají obranu. Proto bylo usouzeno, že je vhodnější (a praktikovatelnější) přenést toto břemeno na ty, co s informacemi hospodaří. Na tom není nic nelogického, jen musíte přemýšlet mimo soustavu 0-1.
Účel zákona je pak jednoznačný. Nemáte se pouštět do činností, kde pracujete s citlivými údaji, a nemáte zakalkulovanou jejich ochranu. To, že informace lze chránit, je zřejmé. Banky či velká zdravotnická zařízení to praktikují a zvládají. Nyní jde o to, že si to musí uvědomit i ti menší.
Peníze nejsou měřítkem. Pokud ochrana informací není ekonomicky realizovatelná, neměl by pak takový byznys patrně existovat.
Z Vaší reakce je zřejmé, že patříte k těm, kteří od zákonů očekávají jasně stanovené postupy.
-
Když nezamkneš auto a do auta sedne zletilý a odpovědný člověk a šlohne ti ho, tak jsi taky zodpovědný? A když někdo vyrobí nůž, někdo si ho koupí a zabije, tak je taky výrobce zodpovědný? Tohle je nesmysl, jediný proč to vypadá důvěryhodně je to "dítě". Jakmile do toho dáš dospělého, tak to tak vůbec nefunguje.
Zřejmě neznáte znění zákona o provozu na pozemních komunikacích, který Vám nařizuje zabezpečit auto proti neoprávněnému užití a pokud je vybaveno nějakým zabezpečovacím systémem, tak jej máte povinnost použít při vzdálení se od vozu. To je rozdíl proti tomu výrobci nože. Pokud se ukáže, že tuto povinnost jsem nesplnil, už se vezu na spoluvinně. Takže přirovnání s GDPR je u toho auta relativně vhodné. :-)
A poznámka bokem: je lepší, pokud Vám to auto zneužije cizí dospělý. Protože když to udělá vlasní dítě a budue k tomu aktivní svědek, tak hrozí, že způspbenou škodu celou zaplatím ze svého a pojišťovna udělá dlouhý nos. To je dopad zákona o povinném ručení, kdy je ručení za škody zbavena k okamžiku, kdy se auta zmocní někdo jiný, koho jsem k užívání nepověřil (a blbě budu obhajovat, že souhlasím s tím, aby se můj nezletilý syn bez řidičáku v autě potuloval po městě). Pokud čas není znám, tak je to k času, kdy se to nahlásilo na Policii. Takže pokud se při vyšetřování pak najde aktivní soused a vypoví, že viděl 14:05 nasedat nezletilého syna do auta a odjíždět, tak k tomu 14:05 končí povinnost pojišťovny hradit škody způsobené daným vozem a škodu z přejetí důchodkyně na přechodu v 14:15 už tak za něj platím ze svého a v plné výši, pokud toho synátora na tom přechodu v tom autě odchytí...
-
Zpět k GDPR. Moje praxe mě vede k tomu neustále vysvětlovat, že GDPR není o IT. Citlivá informace totiž může vypadat i úplně nevinně. Např.: "kolegyně Jana má dvě děti". Pokud sama neuzná za vhodné to říkat, je to její soukromí, a zejména zaměstnavatel musí dbát, aby se tato informace nedostala ze mzdové účtárny ven. Nejde jen o data na počítačích, ale i o školení a neustálé doškolování zaměstnanců a úprav předpisů nejnovějším poznatkům. Dalším příkladem citlivé informace, která vypadá na první pohled nevinně je: "To je Jiří, ten co pracuje u firmy ACME Tools, a bydlí v Radlicích" - taková informace už vede (často) k identifikaci konkrétní osoby a je tedy chráněná. Neměla by se např. objevit na webu zaměstnavatele, jakkoliv vypadá neškodně.
...a to vše nemůže hlídat IT manažer...
-
... protože pojem "rozumný" v kontextu firmy je z velké části v podstatě ekvivalentní "ekonomické smysluplnosti".....
Ale kdeze ...
Mas rekneme kartoteku s papirovej sanonama. Je ti uplne jedno, kdo si co precte nebo odnese - pro firmu to neznamena zadny naklady, ani ztraty nebo skody. Tudiz je ekonomicky nesmyslny, tam davat dvere nebo na ty dvere zamek. To sou proste zbytny vydaje, ktery firme ekonomicky nic neprinesou, naopak, poskodi ji (ty penize muze vynalozit jinde).
Docela bych chtel videt, jak bys ten pristup obhajil.
... dneska auto bez klíčku stejně nenastartuješ...
lol ... honem upaluj pro nobelovku, protoze takovy auto jeste nikdo nikdy nevidel.
-
... dneska auto bez klíčku stejně nenastartuješ...
lol ... honem upaluj pro nobelovku, protoze takovy auto jeste nikdo nikdy nevidel.
???? asi nechápu.... a jak bych to měl asi (bez speciálního vybavení) udělat?
Z Vaší reakce je zřejmé, že patříte k těm, kteří od zákonů očekávají jasně stanovené postupy.
Zatímco vy patříte k těm, kteří od zákonů neočekávají vůbec žádné stanovené postupy a říkají soudům, ať si to samy nějak rozhodnou? Neočekávám od zákonů jasně stanovené postupy, ale očekávám nějaké základní limity, a třeba nějaký návod, podle čeho se řídit.
Právě proto jsem psal, že jsem zvědavý, jak bude soud posuzovat maximální rozumné zabezpečení.
To je zákonem poměrně řídce využívaný institut, který v případech, kdy běžné posuzování / prokazování viny/zavinění (vs. presumpce neviny/břemeno důkazní) není dostatečné k ochraně zájmů společnosti
GDPR je v podstatě jít s atomovkou na data. Důsledky jsou zřejmě podobné, že se musel využít takový institut?
Účel zákona je pak jednoznačný. Nemáte se pouštět do činností, kde pracujete s citlivými údaji, a nemáte zakalkulovanou jejich ochranu.
Tak to je právě ta ekonomická otázka. Fakt? Zcela vážně si myslím, že ne. Tohle jsou fakt vzletná slova, ale reálný dopad těch úniků je poměrně malý.
Buď bude tak, že buď to občas odnese někdo, komu sem tam uniknou data a započítá se to jako další riziko podnikání s tím, že firmy budou mít v ruce papír o GDPR auditu a budou se tvářit, že "vše rozumné" udělali (hlavní je mít tu kategorii, co všechno nevyhovuje ukrytou někde v šuplíku), nebo třeba budou ty data někam outsourcovat a tvrdit, že (zvlášť když to nění IT firma) to rozumné udělali. Posun směrem k lepšímu asi bude (někteří ti, kam to budou outsourcovat, to budou mít udělané dobře, jiní nikoliv), a soud pak bude přesně rozhodovat, jestli investovat X mega ročně do nějakých specialistů by bylo pro firmu "rozumné" či nikoliv. Protože pokud jste někdy jen trochu zkusil, tak zjistíte, že "rozumně" by se na tom dalo spálit skoro nekonečně času.
Banky či velká zdravotnická zařízení to praktikují a zvládají. Nyní jde o to, že si to musí uvědomit i ti menší.
Měl jsem možnost dostat pár informací jak z bank tak ze zdravotnických zařízení a tohle je ale totální nesmysl. V bankách je to (výrazně) lepší, ale pokud se bavíme o maximální rozumné míře zabezpeční, tak tam rozhodně nejsou (bavíme-li se o minimální-rozumné, tak tam banky celkem jsou). Ve zdravotnictví nic takového neexistuje. Lidi z UK mi říkali, že tam unikají zdravotnická data tak ob týden, u nás moc neunikají, ale zabezpečení je tragédie.
Ono nejde o to, že by nebylo potřeba krok tímto směrem udělat. Spíš jde o to, že je to ve stylu "něco je potřeba udělat; tohle je něco; tak to uděláme". Kvůli spamům (čímž se tady pořád argumentuje) zavádět zákon, který se chová k datům jako k atomové elektrárně mi připadá poněkud přehnané.
-
Jak prosim resite centralni logovani pod windows + linux + netflow? My pro Linux + Net Flow pouzivame logoavani do ELK a je to fakt pekny ikdyz relativne narocny na HW -na to ze je to "jen logovani". S ohledem na GDPR se nas klienti ptaji na logovani do Windows. Pouzivate nekdo nejaky centralni logovani pro Win ci mate nejakou alternativu pro ELK?
Co je na tom presne narocny na hardware, sber a parsovani logu a upload logu, nebo post analyticky procesy?
Ja delam ted na spise objemove malem projektu v microservice architekture, vse loguju pres log4j2 primo do elastiku, pro sber dat ze systemovych logu (vse na Linuxu) pouzivam syslog-ng a opet pres server primo do elasticu. Takze v tomto pripade zadny logstash a kafka clustery nepotrebuju.
Ale napr. v pripade sberu dat ze sitovych zarizeni pro real-time bezpecnostni analyzu(intrusion detection system pro nemeckou banku) uz elastic nebyl option (1000+ sitovych zarizeni po celym svete), takze se to stavelo na hadoop filesystemu, kafka spark streaming, apod. Ale tady neslo o vykon, nebo hardware, ale jednoduse o to, ze elastic neni databaze ale search engine, a data, ktery do nej pumpujes, zejmena v nejakem complexnejsim clusteru, se ti muzou jednoduse ztratit :-), coz je ale taky duvod, proc je tak rychlej na druhou stranu
Urcite uz zde probehlo spousta vylepseni a stabilizaci, ale posud sam
https://www.elastic.co/guide/en/elasticsearch/resiliency/current/index.html
Kdyz za mnou prijde nejaky clovek a rekne mi, ze jde stavet highly secure system nad elasticem, tak ho bohuzel uz povazuju predem za idiota, kterej vubec nevi co dela. Ukazal jsem jim 30 cases (vetsina uz nejak zafixovana), kdy proste dojde ke ztrate dat, ale oni tomu nemohli vubec uverit :-))) a proste jeste nekolik mesicu jim trvalo, nez pochopili, ze elastic je super rychla weapon, ale nema nic spolecnyho s durable storem, ackoli se elastic snazi.... nemluvim o use cases, ktery jeste nebyly odhaleny...
Urcite bych se kouknul na InfluxDB, ma velmi dobrou kompresi dat. V pripade elastic searche bych take organizoval indexy jako casove partitions v databazi, elastic ma curator, takze ve svem zivem clusteru budes mit jen indexy dat za obdobi, ktere te zajima, vsechy ostatni vyexportuj, zalohuj (pokud to smernice definuji) a v zivem clusteru je znic. Takto se da velmi dobre organizovat zatez. Dalsi vec je optimalizace dotazu do elastiku, nejak ho limituj, aby neprohledaval vsechny indexy apod. ale spise definuj dynamicky indexy pro scope pri tezbe informaci.
Z pohledu limitu dat pro analyzu, to same plati pro sber. At uz pouzijes flume, nebo logstash, tak si tam odfiltruj data, ktera te doopravdy zajimaji, pokud musis drzet vsechna log data stejne, tak je presmeruj do nejakeho archivu mimo ELK cluster, tj. nezasirej si cluster bordelem k nicemu.
Urcite by me zajimaly vysledky tveho postupu v konkretnim pripade.
-
Zatímco vy patříte k těm, kteří od zákonů neočekávají vůbec žádné stanovené postupy a říkají soudům, ať si to samy nějak rozhodnou? Neočekávám od zákonů jasně stanovené postupy, ale očekávám nějaké základní limity, a třeba nějaký návod, podle čeho se řídit.
Právě proto jsem psal, že jsem zvědavý, jak bude soud posuzovat maximální rozumné zabezpečení.
No to je právě ono: žádný zákon a žádný zákonodárce nedokáže podchytit všechny situace, a už vůbec ne s výhledem na budoucí vývoj. Co Vy víte, kam se bude ubírat například digitální zpracování dat za dalších 10 let? Proto je naprosto správné nechat zákonem položený cíl, nějaké obezřetně položené požadavky vyjmenovat. Zbytek se musí nechat na tom, jak se bude situace vyvíjet a nechat soudy, ať takový vývoj reflektují.
Hezkým příkladem takového správného vývoje aplikace zákona je např. péče o děti. Zákon stanoví, že soud rozhoduje v nejlepším zájmu dětí s přihlédnutím k zájmu rodičů. V minulosti převažoval názor, že jednotné výchovné prostředí je pro děti nejlepší, a proto soudy rozhodovaly o výlučné péči jen jednoho rodiče. Teprve desetiletí praxe ukázaly, že i toto přináší určité nevýhody a páchá to ve společnosti zase jiné křivdy. A soudy se postupně začaly přiklánět k tomu, že neexistuje jen právo dítěte "být vychováván", ale i právo rodiče "smět vychovávat". Ukázalo se také, že ten rodič, který získal děti do péče, velmi často situaci zneužíval a druhého rodiče z života dětí vytěsnil a omezil ho jen na "platiče alimentů" a "víkendového rodiče na zážitky". Na to všechno ale byl potřeba čas a ponechaný prostor pro přirozený vývoj.
To samé je v případě GDPR. Jste podnikatel, musíte umět nést rizika (spočítat je, ocenit je, eliminovat je nebo je aspoň mitigovat). Před 15 lety bylo dostatečné mít firewall na modemu a stanici Windows s heslem. Dnes už víme, že převažují hrozby ransomwaru, a je na jednotlivých firmách, nikoliv na zákonodárci, aby tu situaci sledovaly, a reagovaly na ni.
Jako manažer firmy tedy musíte sednout ke stolu, vypsat si rizika a napsat si, jak je budete hodnotit a řešit. Tento postup pak zopakujete např. každého půl roku, či rok. Vyjde Vám patrně to, že budete muset školit personál - a perioda školení se bude lišit podle toho, jak velká část zaměstnanců pracuje s informacemi a jakou máte fluktuaci - zákon to za Vás neurčí. Pak zjistíte, že máte veškeré doklady firmy uložené ve skříni na společné chodbě - vymyslíte tedy, že ve vašich podmínkách necháte běžné faktury od obchodních společností v té skříni, zatímco na faktury živnostníků - podnikatelů založíte jinou číselnou řadu a uložíte je na bezpečnější místo. Samozřejmým opatřením bude přestěhování šanonů se mzdovou agendou. V jiných firmách může být nutné oddělovat od zaměstnanců i faktury s obchodními korporacemi, protože může být předmětem plnění něco, co se dotýká důvěrných informací - např. faktury od agentur práce, nebo faktury za školení lidí, či za vstupní lékařské prohlídky. Některé firmy takové doklady mají, jiné třeba ne.
Pak musíte stanovit kontrolní mechanismy. Cokoliv, co zavedete, může být považováno za opatření jedině za předpokladu, že vymyslíte a dodržíte mechanismy kontrol plnění.
To všechno jsou jen příklady, jak musí manažer přemýšlet během zavádění GDPR - a z celého odstavce se IT týkalo jen zavedení číselné řady pro určitý typ dokladů.
Nic z toho nemůže stanovit zákon jako mantinely. Jinak to dopadne tak zoufale, jako to, že vstupní lékařskou prohlídku dnes musí mít i kancelářský zaměstnanec, a školení BOZP v kancelářích vypadá tak, že bezpečák vysvětluje, že je potřeba varnou konvici pohlídat, aby se vypnula a nevzplála - to jsou oproti tomu příklady dvou norem, které firmám nařizují jasné mantinely, ale vůbec nedávají smysl.
GDPR je v podstatě jít s atomovkou na data. Důsledky jsou zřejmě podobné, že se musel využít takový institut?
Proč? Pokud máte pocit, že není potřeba ve Vaší firmě nic měnit, tak Vás nikdo nebude postihovat. Postih nastane teprve ve chvíli, kdy dojde k bezpečnostnímu incidentu, a tím se prokáže, že Vás odhad, že se jedná o atomovku, byl mylný a měl jste ji opravdu zavést.
...firmy budou mít v ruce papír o GDPR auditu a budou se tvářit, že "vše rozumné" udělali (hlavní je mít tu kategorii, co všechno nevyhovuje ukrytou někde v šuplíku), nebo třeba budou ty data někam outsourcovat a tvrdit, že (zvlášť když to nění IT firma) to rozumné udělali...
Právě od toho je ta objektivní odpovědnost. To, že jste to outsourcoval Vás nezbaví odpovědnosti, Vaše odpovědnost je v tu chvíli de facto o tom, abyste vybrali správnou, opravdu kvalitní firmu. Soud nebude řešit, jestli to dělal Váš zaměstnanec, nebo externí firma. Soud dokonce nebude ani zajímat, že Vám ta externí firma nepředala dobrou dokumentaci. Prostě to Vy musíte doložit soudu, jinak nesete odpovědnost. Pokud tu dokumentaci nemáte (ať už od Vašeho zaměstnance, nebo externí firmy), ocitnete se rázem v tzv. důkazní nouzi, kdy nejste schopen prokázat svá tvrzení.
Zdá se mi, že princip objektivní odpovědnosti vs. proces tvrzení-dokazování příliš nechápete.
Měl jsem možnost dostat pár informací jak z bank tak ze zdravotnických zařízení a tohle je ale totální nesmysl. V bankách je to (výrazně) lepší, ale pokud se bavíme o maximální rozumné míře zabezpeční, tak tam rozhodně nejsou (bavíme-li se o minimální-rozumné, tak tam banky celkem jsou). Ve zdravotnictví nic takového neexistuje. Lidi z UK mi říkali, že tam unikají zdravotnická data tak ob týden, u nás moc neunikají, ale zabezpečení je tragédie.
Ono nejde o to, že by nebylo potřeba krok tímto směrem udělat. Spíš jde o to, že je to ve stylu "něco je potřeba udělat; tohle je něco; tak to uděláme". Kvůli spamům (čímž se tady pořád argumentuje) zavádět zákon, který se chová k datům jako k atomové elektrárně mi připadá poněkud přehnané.
Moje firma má šanony pod zámkem, citlivé informace mám hlavně já a dva další lidi. Ostatní zaměstnanci mají přístup jen k datům a informacím, které potřebují ke své práci. Udělal jsem, jako malá firma, maximum, co jsem mohl.
Co je na tom tak složitého a nejasného?
-
No já si nemyslím, že každá firma je až tak unikátní. A ordinace už vůbec ne. Fungují tam víceméně ty symé procesy. Takže pokusy vnutit každému subjektu analýzu na míru považuji za snahu se napakovat na panice ze změny prostředí. Očekávám, že třeba pro ty lékaře budou nějaké pokyny, standardy a vzorové dokumenty zpracovány jejich komorou.
Zrovna ve zrdavotnictví bude opravdu největší boj na úrovni přístupu personálu, ještě teď se červenám při vzpomínce, kdy jsem ležel v nemocnici, na stěně nad hlavou moje jméno, na dveřích do pokoje moje jméno, na posteli připevněná složka s mým aktuálním tlakem, a několikrát za den do pokoje vstoupila krásná mladá sestřička a na celou místnost hlásí "tak co, pane inženýre, měl jste dnes stolici?". Oni jsou už otupělí a na nějakou lidskou důstojnost nebo anonymitu se tam nehraje, vždyť je to přece lidské... ...
-
No já si nemyslím, že každá firma je až tak unikátní. A ordinace už vůbec ne. Fungují tam víceméně ty symé procesy. Takže pokusy vnutit každému subjektu analýzu na míru považuji za snahu se napakovat na panice ze změny prostředí. Očekávám, že třeba pro ty lékaře budou nějaké pokyny, standardy a vzorové dokumenty zpracovány jejich komorou.
Ale to co píšete, je přeci dost dobře možné, to nikdo nevylučuje. Nemusíte dělat anlýzu, můžete klidně převzít jiné zkušenosti, když usoudíte, že jsou pro Vás použitelné. Příklad s komorou je myslím dokonce přiléhavý.
Jediné, co se změnilo je, že za to nesete odpovědnost, musíte se prostě nad tím zamyslet. (Tomu zamyšlení se se říká "analýza").
Dovedu si dobře představit, že - ať neuvádím jen citlivé obory - např. autoservisy budou mít brzy připravené jednoduché postupy a jejich software bude mít doporučené nastavení tak, aby řešení GDPR napomáhal.
Vždyť se proboha nic nemění, GDPR je v podstatě to samé, jako dávno platný Zákon na ochranu osobních údajů, jen už je jasné, kdo nese odpovědnost.
-
GDPR je absurdní kokotina.
-
Princip objektivní odpovědnosti nemusí být generálně špatný, pokud legislativa okolo něj není nechutně vágní. Problém kolem GDPR není o tom, že autoservisy použijí SW a postupy pro autoservisy a gynekologové postupy a SW pro gynekology. Problém je, že nikde jasně není řečeno, co je osobní údaj. Jméno "Jan Novák" asi nebude osobní údaj, "Jan Novák z Prahy" taky ne, ale méně obvyklé jméno z menší obce už jednoznačně určí konkrétní osobu. Prodejci leštěných prdů vytušili možnost, jak vyvolat strach a vystrašené ovce podojit o spoustu peněz za nepotřebný SW (na blokaci a evidenci tisků, blokaci a evidenci přenosných médií, šifrování, tzv. digitální skartaci) a konzultace. Je jedno, jak moc vážně to firma vezme, ale jakýkoliv případ firmě zvedne náklady bez užitku pro zákazníka. Sami vlastním firmám takto zase o nějaký kousek snižujeme konkurenceschopnost oproti mimoEU konkurenci.
GDPR na odpovědnosti za škodu vzniklou únikem citlivých dat nic nemění. Na tohle by měla být aplikovatelná standardní legislativa (nedbalostní trestný čin, nedovolené nakládání s osobními údaji, apod.). Je to stejné jako s auty a stočeným tachometrem, nebo nesprávně udaným stavem (svařenec ze 2 kusů vs. nebourané) - zde jde zkrátka podvod. Není důvod vynalézat extra novou legislativu.
Vemte si třeba absurdní situaci, kdy zákazník může požádat o zapomenutí. Představte si, že jste autoservis, máte jednoduchý systém pro evidenci zakázek (vedete informaci o autě - VIN, ujeté km, provedené úkony a o majiteli - adresa, jméno, telefon, email), tento systém není nic sofistikovaného, nějaký bastl nad *.mdb na síťovém disku, zálohovaný Cobianem do ZIPu na USB disk, který teda někdo jednou za týden vymění a točí se tam takto 4 disky. Jak zajistíte zapomenutí těchto dat dnem podání žádosti o zapomenutí? Budete mazat v zálohách? Představte si to ve větším systému ve firmě, např. virt. server - zálohy snapshotem a na pásky - jak budete v takových zálohách mazat?
Na jedné z konferencí přednášel jeden z prodejců cloudových služeb, jak že je jejich cloud na GDPR připraven. GDPR a cloud se logicky vylučují. Představte si, že namísto vlastního serveru (který mi i při vynaložení přiměřeného úsilí - EZS, zamčená místnost s mříženi někdo může ukrást a data zneužít, ale na druhou stranu mi data nemůže vynést poskytovatel HW/SW/cloudu) si data nahraji do cloudu (vyřeším tím otázku fyzického odcizení, ale vystavím se riziku, že data utečou poskytovateli cloudu. V obou případech je cíl jasný, a v obou případech se míjí účinkem.
To opravdu GDPR vzniklo kvůli spamu, nebo google a facebooku, jak nám snaží nalhat? Opravdu věříte, že když 1.6.2018 pošlu žádost facebooku, aby vše o mě zapomněl, tak že se tak stane a že orgán když provede kontrolu a shledá, že se tak s jistotou stalo? Tenhle zákon je socansko-chůvičkovský paskvil - budeme generálně chránit osobní údaje každého, sebemrskačsky si budeme zvedat náklady a generovat marnou práci, a obratem ruky o sobě kdejaký trouba kdeco vytroubí na facebook.
-
...
Ode mě jen tři malé poznámky:
1. Velcí hráči si své cloudy nechali auditovat GDPR compliance velkou čtyřkou, tam patrně nebude problém s liberací.
2. Současná legislativa je nedostatečná, většina incidentů končí na neprokazatelnosti odpovědnosti konkrétní osoby (podle zásady in dubio mitius / pro reo).
3. Je naopak správné, že legislativa okolo není příliš rigidní, aplikace normy se může ustálit během doby. Příkladů, kde je v zákoně stanovena objektivní odpovědnost, a nejsou určená pravidla jak ji vykonávat, je mnoho. BTW, kdyby bylo možné tato pravidla stanovit, nebylo by potřeba objektivní odpovědnost zavádět.
-
Velké hráče bych se nezdráhal označit za spoluautory GDPR paskvilu. Jak mohu v případě provozu v cloudu zajistit vymazání osobních údajů, když nemám kontrolu nad tím, kde data jsou a v jaké jsou podobě?
Současný stav, kdy existuje ÚOOÚ a platná legislativa, ale žádné OÚ ten ÚOOÚ neochránil není problém té legislativy ale nečinnosti orgánu. To máte jako ÚOHS, ale při tom dnes zjistíte, že prakticky celé zemědělství ovládá STBák. Kde pak ÚOHS byl?
Objektivní odpovědnost můžete aplikovat, ale musíte pečlivě vymezit mantinely. Analogie s auty a zbraněmi dává smysl, jde o fyzické předměty a když si v trezoru mobilem vyfotím pistoli a půjdu s fotkou mávat do banky, tak se nestane nic, pistole v trezoru nechybí a fotka nestřílí ale když vyfotím z monitoru/spisu (v jinak perfektně GDPR compliant prostředí) osobní údaje, tak údaje ze systému nezmizí, ale k úniku dojde.
In dubio pro reo je naopak správné. Orgán musí postavit obvinění na hmatatelných a nezpochybnitelných základech. Nechť si vytvoří legislativu takovou, která k tomu dá prostor. Nechť své postupy orgán v tomhle směru zlepšuje.
Vyrobit paskvil a za provozu jej možná opravit je nejhorší možné řešení.
Otázkou je, zda je nutné vytvářet pravidla, která budou danou problematiku zkoušet podrobně popsat, nebo zda využít stávajících elementárních pravidel. Koneckonců, říkáte, že kdo se doposud choval odpovědně - tzn. určité normy dodržoval - ten nebude mít s GDPR problém (teda krom nějakých nemalých nákladů na analýzu změny prostředí ... žeano).
Zkuste pochopit problematiku GDPR i tak, že např. mě, nebo mým dodavatelům či zákazníkům to vygeneruje náklady a zkomplikuje fungování - musí odůvodnit sběr každého konkrétního osobního údaje. Přičemž se pro mě s ohledem na můj komfort a bezpečí nic nemění - pro google a facebook se nemění nic, kamer na každém kroku přibývá, přibývá registrů, stát si zvesela sleduje a zaznamenává. Vidíte ten rozpor? Stát má na sběr generální pardon.
Několik ustanovení je rozumných (například právo být zapomenut, nutnost přiměřenosti sběru osobních údajů a nutnost si tento sběr obhájit), ale zbytek je jen vata. Na jednu stranu minimalismus směrem k objektivní odpovědnosti a na druhou stranu snaha o vytvoření normy na vyřešení všech problémů světa.
-
...
Na každé normě je co vylepšovat. Podle mě je GDPR krok správným směrem, vede víc k odpovědnosti každého jednotlivě. Myslím, že je správné, když se firma zamyslí, jestli nějaká citlivá data sbírá, a pokud ano, jestli je nesbírá zbytečně, a pokud ne, tak jestli je správně chrání.
In dubio mitius je zásada z trestního práva, ve správním se také uplatňuje. Bohužel, dává nepřiměřený prostor pro vyhnutí se odpovědnosti v určitých případech. Spamy a prodeje databází osobních údajů byly jen příkladem. ÚOOÚ nikdy nikoho nepotrestal, protože každý databázi e-mailů "legálně" koupil i s prohlášením o jejich využitelnosti. My se můžeme jen dovtipovat, jak velká část těchto tvrzení byla pravda. Úřad však musí stavět důkazy nad veškerou pochybnost, a nemůže rozhodnout jinak.
V případě např. přestupků v dopravě, kdy například prosté překročení rychlosti (bez dalších následků - nehody) nemá prakticky žádný další negativní dopad na společnost, a kdy je nutné dodržet souvislost mezi zaviněním a postihem, tam je na místě udržovat právo "čisté" a raději nechat jednoho hříšníka běhat po světě, než trestat někoho možná nevinného.
V případě ochrany údajů je tato odpovědnost realizovatelná. Každý o ní ví a může udělat opatření. V tomto případě jsou škody nevratné - zásah do soukromí je poměrně zásadní záležitost, která se začala rozmáhat v druhé polovině devadesátých let. Do té doby nebyla žádná společnost takové situaci vystavena, a nyní, po cca 20 letech je potřeba už reagovat úpravou norem. A právě kvůli tomu, že chráněný zájem (soukromí) je tak důležitý, je podle mě zcela na místě zavádět objektivní odpovědnost.
(Celé si to srovnejte s životem třeba na začátku devadesátých let - tenkrát bychom vůbec nesnesli takové zásahy do soukromí, jaké musíme strpět nyní, a na jaké jsme si postupně, během té doby zvykali, až jsme je skoro přestali vnímat).
-
3. Je naopak správné, že legislativa okolo není příliš rigidní, aplikace normy se může ustálit během doby.
To práve (minimálne v systéme kontinentálneho práva a ešte zosilnené východoeurópskou nízkou vymáhateľnosťou práva, nedajbože ešte spravodlivosti) vôbec správne nie je, lebo mašinéria podporená vágnymi predpismi mnohých na začiatku zomelie.
A domáhaj sa odškodnenia po tom, keď ťa orgán poslal pod most zlikvidovaním dovtedy úspešnej firmy, keď sa po čase ukáže, že "aplikačná prax" bola akosi "nie celkom primeraná". Veľa šťastia!!! (myslím ironicky)
Z pohľadu nejakej pomazanej hlavy vo vedení štátu môže tento iteratívny vývoj vyzerať pekne, veď všetko sa dostane do správnych koľají. Len tí postihnutí týmto procesom vývoja si túto krásu môžu akurát tak votknúť hrubším koncom do...
-
To práve (minimálne v systéme kontinentálneho práva a ešte zosilnené východoeurópskou nízkou vymáhateľnosťou práva, nedajbože ešte spravodlivosti) vôbec správne nie je, lebo mašinéria podporená vágnymi predpismi mnohých na začiatku zomelie.
A domáhaj sa odškodnenia po tom, keď ťa orgán poslal pod most zlikvidovaním dovtedy úspešnej firmy, keď sa po čase ukáže, že "aplikačná prax" bola akosi "nie celkom primeraná". Veľa šťastia!!! (myslím ironicky)
Z pohľadu nejakej pomazanej hlavy vo vedení štátu môže tento iteratívny vývoj vyzerať pekne, veď všetko sa dostane do správnych koľají. Len tí postihnutí týmto procesom vývoja si túto krásu môžu akurát tak votknúť hrubším koncom do...
Souhlasím s tím, co píšete, ale nesouhlasím s cestou, kterou byste šel. Já považuji za nutné, i za cenu "ztrát" vymanit se z našeho právního marasmu. Je poměrně zřejmé, že právo a jeho vymahatelnost kroky za posledních 20 let moc nezlepšujeme, takže podle mě je čas tím kormidlem trochu otočit.
-
...nemusí být generálně špatný...
Čo si, pán Kúdelka, predstavujete pod slovom "generálně"?
...GDPR na odpovědnosti za škodu vzniklou únikem citlivých dat nic nemění. Na tohle by měla být aplikovatelná standardní legislativa (nedbalostní trestný čin, nedovolené nakládání s osobními údaji, apod.).
Dle pana Šilhavého se mění odpovědnost. Každopádně je systém ochrany informací dnes sotva funkční. A koneckonců, jak píšete, kdo již nyní pracuje s údaji dle zákona, ten už přece GDPR splňuje a jeho zavedení jej nezatíží, ne? Nebo je to všechno trochu jinak?
Vemte si třeba absurdní situaci, kdy zákazník může požádat o zapomenutí. Představte si, že jste autoservis, máte jednoduchý systém pro evidenci zakázek ... Jak zajistíte zapomenutí těchto dat dnem podání žádosti o zapomenutí? Budete mazat v zálohách? Představte si to ve větším systému ve firmě, např. virt. server - zálohy snapshotem a na pásky - jak budete v takových zálohách mazat?
Máte zjevně problém pochopit, že nemůžete nakládat s informacemi, na které nemáte právo. A jestli nezvládáte ukočírovat svoje data, pak se na to vyserte. Pro mě osobně jako uživatele různých služeb je výhodou, když takové subjekty pochcípají. Přijde někdo jiný, kdo to zvládne.
...Opravdu věříte, že když 1.6.2018 pošlu žádost facebooku, aby vše o mě zapomněl, tak že se tak stane a že orgán když provede kontrolu a shledá, že se tak s jistotou stalo?...
Nesplňuje-li organizace zákonný požadavek, nemůže na území platnosti zákonu podnikat. Facebook není výjimkou.
...budeme generálně chránit osobní údaje každého, sebemrskačsky si budeme zvedat náklady a generovat marnou práci, a obratem ruky o sobě kdejaký trouba kdeco vytroubí na facebook.
Do toho, co si dělá trouba se svými údaji, je vám hovno, to podstatné je, jak se k jeho údajům chováte vy. A dle projevu vás tipuju na takového toho klasického českého omrdávače - není důležité, jak poškodíte něčí práva, důležité je, že se na tom dá ušetřit.
-
Mně ještě napadá poznámka k tomu právu na zapomenutí. Samozřejmě že není nezbytně nutné, dokonce ani kvůli konzistenci dat vhodné, aby se zpětně mazaly zálohy. Je potřeba ale zavést takovou proceduru, která po natažení zálohy zajistí, že budou zapomenuta ta data, která zapomenuta měla být v mezidobí mezi zálohou a obnovením - patrně se bude jednat o interní směrnici pro IT oddělení. O tom je GDPR, ne o tom, že ajťáci budou muset mazat zálohy - to není technicky možné a záloha by nezůstala konzistentní. Právo na zapomenutí se také netluče s povinností zachovávat auditní stopu.
Zjednodušeně řečeno: právo být zapomenut neznamená nutně smazat fyzicky data, ale zajistit, aby se od určitého okamžiku nemohly octnout v jakémkoliv dalším procesu zpracování.
-
Dle pana Šilhavého se mění odpovědnost. Každopádně je systém ochrany informací dnes sotva funkční. A koneckonců, jak píšete, kdo již nyní pracuje s údaji dle zákona, ten už přece GDPR splňuje a jeho zavedení jej nezatíží, ne? Nebo je to všechno trochu jinak?
Systém je sotva funkční a proto jej nahradíme paskvilem. Který pak evolučně necháme dorůst, co na tom, že při tom odstřelíme pár nevinných firem. Sorryjako.
Máte zjevně problém pochopit, že nemůžete nakládat s informacemi, na které nemáte právo. A jestli nezvládáte ukočírovat svoje data, pak se na to vyserte. Pro mě osobně jako uživatele různých služeb je výhodou, když takové subjekty pochcípají. Přijde někdo jiný, kdo to zvládne.
Vyserte se psát komentáře pod text, kterému nerozumíte. To co jsem popisoval není nic nestandardního a nepochopitelného. Ani to nic nepovídá o nemožnosti ukočírování dat. Raději místo tupé rady zkuste říct, jak lze mazat v zálohách. Dejte použitelnou radu do praxe uživatelům, na které tento paskvil za půl roku dopadne.
Nesplňuje-li organizace zákonný požadavek, nemůže na území platnosti zákonu podnikat. Facebook není výjimkou.
Rád uvidím, jak tohle budou orgány aplikovat v digitálním světě. Problém spamu vyřeší tak, že ho zregulují a zakážou, a ruští spammeři si z toho sednou na zadek. BRAVO!
Do toho, co si dělá trouba se svými údaji, je vám hovno, to podstatné je, jak se k jeho údajům chováte vy. A dle projevu vás tipuju na takového toho klasického českého omrdávače - není důležité, jak poškodíte něčí práva, důležité je, že se na tom dá ušetřit.
Tak teď jste tomu nasadil korunu. Protože 90% dementů v populaci kdekomu (bez ohledu na důvěryhodnost) na potkání vydá své údaje, tak zavedeme presumpci viny pro všechny. Bravóoo, volil jste koblihu, že?
Pletete dohromady hrušky jabka a náklaďáky. Zpracovávat údaje mohu jakkoli ale poškodím něčí práva až tím, že je zneužiji a mezi tím, jestli práva poškozuji nebo ne není vztah zda ušetřím nebo ne. Spousta zpracovatelů údajů to doposud dělala správně, tak proč by měli nést vícenáklady kvůli několika zmetkům, které orgán (který bude vymáhat platnost nové normy) kašlal hnát k odpovědnosti?
-
Vyserte se psát komentáře pod text, kterému nerozumíte. To co jsem popisoval není nic nestandardního a nepochopitelného. Ani to nic nepovídá o nemožnosti ukočírování dat. Raději místo tupé rady zkuste říct, jak lze mazat v zálohách. Dejte použitelnou radu do praxe uživatelům, na které tento paskvil za půl roku dopadne.
Není nutné mazat ze záloh, a kdo to tvrdí, ten nepochopil celou tu normu. Je nutné zavést ochranu záloh (aby se nedostaly do rukou neproškoleným osobám), a zavést procedury, při nichž budou data, která mají být zapomenuta, zabezpečena před použitím. Nepište tu prosím nesmysly.
-
Mně ještě napadá poznámka k tomu právu na zapomenutí. Samozřejmě že není nezbytně nutné, dokonce ani kvůli konzistenci dat vhodné, aby se zpětně mazaly zálohy. Je potřeba ale zavést takovou proceduru, která po natažení zálohy zajistí, že budou zapomenuta ta data, která zapomenuta měla být v mezidobí mezi zálohou a obnovením - patrně se bude jednat o interní směrnici pro IT oddělení. O tom je GDPR, ne o tom, že ajťáci budou muset mazat zálohy - to není technicky možné a záloha by nezůstala konzistentní. Právo na zapomenutí se také netluče s povinností zachovávat auditní stopu.
Zjednodušeně řečeno: právo být zapomenut neznamená nutně smazat fyzicky data, ale zajistit, aby se od určitého okamžiku nemohly octnout v jakémkoliv dalším procesu zpracování.
Výše uvedené je pouze Váš právní názor, byť logický, ale jděte s logikou před soud... Jak to doopravdy je se bohužel zjistí až v praxi u soudu (někoho nevinného to bude stát nervy, čas a peníze za právníka).
V poslední větě si trochu protiřečíte. Smazaná data se od určitého okamžiku v procesu zpracování (obnovené zálohy) objeví.
Aby bylo co uvádíte technicky splnitelné, bude nutné tyto postupy do systémů doprogramovat. Otázkou je, jak se zachovat v případě kompletní obnovy systému ze zálohy (včetně seznamu již zapomenutých údajů).
Paskvilnost GDPR je o tom, že se nejspíše nikdo neptal techniků, jak danou věc realizovat. Podobně jako blokování přístupu k sázkovým webům. Od odborníků si do toho kecat nenecháme, vše je v pořádku ...
-
Vyserte se psát komentáře pod text, kterému nerozumíte. To co jsem popisoval není nic nestandardního a nepochopitelného. Ani to nic nepovídá o nemožnosti ukočírování dat. Raději místo tupé rady zkuste říct, jak lze mazat v zálohách. Dejte použitelnou radu do praxe uživatelům, na které tento paskvil za půl roku dopadne.
Není nutné mazat ze záloh, a kdo to tvrdí, ten nepochopil celou tu normu. Je nutné zavést ochranu záloh (aby se nedostaly do rukou neproškoleným osobám), a zavést procedury, při nichž budou data, která mají být zapomenuta, zabezpečena před použitím. Nepište tu prosím nesmysly.
Jde jen o Váš názor, díky vágnosti GDPR.
-
Jde jen o Váš názor, díky vágnosti GDPR.
Ano, stejně jako další postoje v podnikání jsem ochotný si i tento obhájit. Jakmile začnou existovat a do praxe se zavádět postupy, které dokáží data od sebe separovat a tvořit konzistentní zálohy i poté, bude na místě zavést i tyto technologie. A právě proto je nutné, aby zákon nedával tyto limity, ale aby měly firmy povinnost na správě informací neustále pracovat podle nejnovějších poznatků.
Např. lékaři by nesměli vzít do ruky ani teploměr, kdyby měli mít zákonem vyjmenované postupy. Medicína, byť nás může ohrožovat daleko bezprostřednějši, než práce s informacemi, funguje také "jen" na všeobecně uznávaných a neustále se vyvíjejících postupech. Každý lékař pak musí vést takovou dokumentaci, aby vzhledem ke zjištěným skutečnostem a současném všeobecném poznání v medicíně dokázal obhájit svůj postup jako správný.
Chtěl byste mít v zákoně, kdy smí lékař píchnout injekci, kdy má předepsat čípek, a kdy tabletu? Vyjmenovat jakou? Určit, jaká antibiotika má předepisovat, když jedině on, Váš lékař, ví, co máte v kartě za alergie, kolik jste toho už v minulosti užíval, a to, co zrovna v jeho "rajonu" nejvíc řádí? Chápete tu analogii?
A jen připomínám, GDPR Vás nebude trestat za to, že něděláte opatření. Podle GDPR budete potrestán až ve chvíli, kdy informace neuhlídáte a budou zneužity. Pak budete, stejně jako ten lékař, muset obhájit, že lépe jste to udělat nemohl.
-
Ano, stejně jako další postoje v podnikání jsem ochotný si i tento obhájit. Jakmile začnou existovat a do praxe se zavádět postupy, které dokáží data od sebe separovat a tvořit konzistentní zálohy i poté, bude na místě zavést i tyto technologie. A právě proto je nutné, aby zákon nedával tyto limity, ale aby měly firmy povinnost na správě informací neustále pracovat podle nejnovějších poznatků.
Budovatelská fráze. Záloha z minulého týdne je včetně dat z minulého týdne. Kde se dozvím, že mám po obnově dozvědět, že mám vymazat dvě osoby? Pokud systém havaruje, veme sebou i žurnál změn. Co píšete se hezky čte, ale v reálném světě to nebude fungovat.
Např. lékaři by nesměli vzít do ruky ani teploměr, kdyby měli mít zákonem vyjmenované postupy. Medicína, byť nás může ohrožovat daleko bezprostřednějši, než práce s informacemi, funguje také "jen" na všeobecně uznávaných a neustále se vyvíjejících postupech. Každý lékař pak musí vést takovou dokumentaci, aby vzhledem ke zjištěným skutečnostem a současném všeobecném poznání v medicíně dokázal obhájit svůj postup jako správný.
Chtěl byste mít v zákoně, kdy smí lékař píchnout injekci, kdy má předepsat čípek, a kdy tabletu? Vyjmenovat jakou? Určit, jaká antibiotika má předepisovat, když jedině on, Váš lékař, ví, co máte v kartě za alergie, kolik jste toho už v minulosti užíval, a to, co zrovna v jeho "rajonu" nejvíc řádí? Chápete tu analogii?
Lékař určuje léčebný plán, ale má poměrně přesně určeno, jaká je indikace a kontraindikace pro konkrétní medikamenty a postupy. Pokud Vám bude rýmu léčit čípkem, tak na první pohled vidíte, že to je špatně.
U GDPR to přesně nevíte.
A jen připomínám, GDPR Vás nebude trestat za to, že něděláte opatření. Podle GDPR budete potrestán až ve chvíli, kdy informace neuhlídáte a budou zneužity. Pak budete, stejně jako ten lékař, muset obhájit, že lépe jste to udělat nemohl.
Zdroj?
-
Kde se dozvím, že mám po obnově dozvědět, že mám vymazat dvě osoby? Pokud systém havaruje, veme sebou i žurnál změn. Co píšete se hezky čte, ale v reálném světě to nebude fungovat.
O tom je právě GDPR, že musíte toto riziko identifikovat (což jste udělal), a provést opatření. Např. v malém lze uvažovat o papírové evidenci, ve větším pak např. o odděleném zálohování různých typů dat.
Lékař určuje léčebný plán, ale má poměrně přesně určeno, jaká je indikace a kontraindikace pro konkrétní medikamenty a postupy. Pokud Vám bude rýmu léčit čípkem, tak na první pohled vidíte, že to je špatně.
Jestli se nepletu, efedrin se dá podávat formou čípků, a je to jedno z nejběžnějších léčiv na rýmu. Kdybyste psal zákon, už byste možná šlápl vedle.
Zdroj?
Samotné GDPR (přečíst, nemudrovat, číst), a pak heslo "objektivní odpovědnost".
-
Tady se nabízí otázka, jak pojmout ten seznam zapomenutých, když zapomenutí by v žádném seznamu už být neměli. Obávám se, že si to vyžaduje docela zásadní zásah do architektury jakéhokoliv systému. Což v důsledku znamená, že v polovině příštího roku bude veškeré IT na kolenou, protože najednou bude všude plno nových chyb. Ach jo.
-
Tady se nabízí otázka, jak pojmout ten seznam zapomenutých, když zapomenutí by v žádném seznamu už být neměli. Obávám se, že si to vyžaduje docela zásadní zásah do architektury jakéhokoliv systému. Což v důsledku znamená, že v polovině příštího roku bude veškeré IT na kolenou, protože najednou bude všude plno nových chyb. Ach jo.
Pokud by se vytvořil kvalitní hash, tak by teoreticky v žádném seznamu nebyli a zároveň by byli identifikovatelní.
-
Identifikovatelní právě být nemají :-)
Ale jo, chápu. Tady se bavíme o záznamech, ne o lidech. Záznamy ale úplně vyjmout nelze, rozbila by se konzistence všeho navazujícího, takže by se to mohlo řešit tou anonymizací, pseudonymizací.
Další věc, kterou bych připomněl, je fakt, že např. podle účetní, daňové a pracovně-právní legislativy se určitá dokumentace má uchovávat po nějaký čas, v případě mezd jsou to desetiletí. Tohle by se s právem na zapomenutí bilo. Vy, co jste to už studovali, je v GDPR nějak ošetřená kolize s jinou legislativou?
-
Identifikovatelní právě být nemají :-)
Ale jo, chápu. Tady se bavíme o záznamech, ne o lidech. Záznamy ale úplně vyjmout nelze, rozbila by se konzistence všeho navazujícího, takže by se to mohlo řešit tou anonymizací, pseudonymizací.
Další věc, kterou bych připomněl, je fakt, že např. podle účetní, daňové a pracovně-právní legislativy se určitá dokumentace má uchovávat po nějaký čas, v případě mezd jsou to desetiletí. Tohle by se s právem na zapomenutí bilo. Vy, co jste to už studovali, je v GDPR nějak ošetřená kolize s jinou legislativou?
Píšete nesmysly, GDPR nepřikazuje, aby byly informace o uživateli vymazány ve smyslu, že ta firma je už nesmí nikde a za žádných okolností mít. To samozřejmě nejde. GDPR řeší, aby se nikdy už neocitly ve zpracování - tedy, že např. marketingové oddělení už neuvidí "zapomenuté" kontakty. Nebo, že na firemní party už nejsou zváni ani bývalí zaměstnanci, pokud si přejí, aby se na ně zapomnělo. Pokud např. má Facebook "zapomenout" uživatele, nemusí smazat fyzicky jeho data, jen musí zajistit (a opravdu zajistit), že jeho posty a aktivity zmizí odevšad, kde s nimi mohou ostatní přijít do styku. Ale samozřejmě, v archivu pro interní použití (oprávněnými osobami!), například kvůli auditovatelnosti či bezpečnosti, data ještě nějakou dobu mít bude.
GDPR není o IT a o mazání dat, ale o firemních procesech!!!
Prosím zajděte si na nějaké školení, a nenechávejte se strhávat hysterií nechápajících jedinců, kteří neumějí přemýšlet jinak, než o nulách a jedničkách, natož interpretovat zákony.
-
Další věc, kterou bych připomněl, je fakt, že např. podle účetní, daňové a pracovně-právní legislativy se určitá dokumentace má uchovávat po nějaký čas, v případě mezd jsou to desetiletí. Tohle by se s právem na zapomenutí bilo. Vy, co jste to už studovali, je v GDPR nějak ošetřená kolize s jinou legislativou?
Ano, toto je v GDPR řešeno, pokud je tu legislativa, která po mě žádá uchovávat tyto data, tak je uchovávat mám a budu. GDPR max jen zdůrazňuje v tomto případě, abych se k nim choval rozumně a neválela se všude na hromadě dostupná všem.
Add to typické zálohování dat a pak náslené vymazání. Už se občas hemží dodavatelé, co to prý jejich systémy umí. Zkrátka osobní data lidí jsou uložena pseudoanonymizovaně, obvykle šifrována, kde pro každý subjekt se používá jiný šifrovací klíč, systémy se zálohují normálně, jak je zvykem, zvlášť je systém záloh identifátor subjektu/jeho dešifrovací klíč, při požadavku na vymazání se jen odstraňuje informace ze záloh šifrovacích klíčů s daným subjektem a data pak už nejdou dešifrovat. Při obnovení mám tak už anonymizovaná data, místo zapomenutých subjektů. Pěkná pakárna.
-
Píšete nesmysly, GDPR nepřikazuje, aby byly informace o uživateli vymazány ve smyslu, že ta firma je už nesmí nikde a za žádných okolností mít. To samozřejmě nejde. GDPR řeší, aby se nikdy už neocitly ve zpracování - tedy, že např. marketingové oddělení už neuvidí "zapomenuté" kontakty. Nebo, že na firemní party už nejsou zváni ani bývalí zaměstnanci, pokud si přejí, aby se na ně zapomnělo. Pokud např. má Facebook "zapomenout" uživatele, nemusí smazat fyzicky jeho data, jen musí zajistit (a opravdu zajistit), že jeho posty a aktivity zmizí odevšad, kde s nimi mohou ostatní přijít do styku. Ale samozřejmě, v archivu pro interní použití (oprávněnými osobami!), například kvůli auditovatelnosti či bezpečnosti, data ještě nějakou dobu mít bude.
GDPR není o IT a o mazání dat, ale o firemních procesech!!!
Prosím zajděte si na nějaké školení, a nenechávejte se strhávat hysterií nechápajících jedinců, kteří neumějí přemýšlet jinak, než o nulách a jedničkách, natož interpretovat zákony.
IMHO jste hysterický Vy...
-
IMHO jste hysterický Vy...
Proč myslíte? Šíříte tu paniku o nějakém mazání dat, ale to už je nepochopený význam práva na zapomenutí. "M." Vám dokonce popsal, jak se dá řešit i technicky, ale to už musíte posoudit Vy, jestli máte tak velkou firmu, že se data nedají uhlídat jednoduššími opatřeními, a musíte zavést úplně jiné technické prostředky.
Malá firma, která nerozesílá spamy, a která má v pořádek na pracovišti, v podstatě nemusí nic dělat, a pokud chce, tak stačí, když své současné procesy zadokumentuje a vytvoří jednoduché směrnice.
Víc k tomu není co dodávat.
-
To jste mě nepochopil, já tím chtěl právě naznačit, že mazání není cesta. A že pokud se to bude brát příliš proaktivně, tak to bude bolet, navíc zbytečně. S vaším přístupem, kdy se snažíte všchny přinutit k maximálnímu úsilí v době, kdy ještě ani není jasné zadání, zkrátka nesouhlasím. A to, že na ostatní pokřikujete, že píšou nesmysly, ještě neznamená, že píšou nesmysly.
-
To jste mě nepochopil, já tím chtěl právě naznačit, že mazání není cesta. A že pokud se to bude brát příliš proaktivně, tak to bude bolet, navíc zbytečně. S vaším přístupem, kdy se snažíte všchny přinutit k maximálnímu úsilí v době, kdy ještě ani není jasné zadání, zkrátka nesouhlasím. A to, že na ostatní pokřikujete, že píšou nesmysly, ještě neznamená, že píšou nesmysly.
Ale to je to, co Vy nechcete akceptovat. GDPR je napsané záměrně tak, že nikdy nebude žádné "zadání".
Z hlediska GDPR nemusíte dělat vůbec nic, nikdo Vás nebude pokutovat, pokud nebudete mít reálný bezpečnostní incident.
Jako příklad jsem dával zabezpečení zbraní. Do dvou kusů je na Vás, jak je zabezpečíte, nemusí být ani v uzamykatelné skříni. Ale když se stane průšvih, jde to za Vámi. Já osobně mám zbraň rozebranou na dvou místech, protože tak vím, že z ní nikdo nevystřelí. Ale také vím, že když mi někdo ukradne hlaveň, budu mít minimálně oplétačky a zaplatím pokutu. Je to riziko, které jsem zhodnotil a akceptoval, abych nemusel kupovat trezor s bezpečnostní homologací.
-
Ohledně mazání dat to je jedna z interpretací firmy, která se validací procesů s ohledem na GDPR zabývá. Vaše interpretace je jiná, máme zde objektivní odpovědnost, takže uvidíme jak se bude vyvíjet judikatura. V okamžiku, kdy GDPR začne být bráno seriózně, tak vyvstane spousta nejasností. Vzhledem k objektivní odpovědnosti je nutné skutečně vážit rizika a buď vynaložit sumu X na úpravu sytému nebo nevynaložit a riskovat pokutu Y v případě průšvihu a pokud X>Y.
Osobně nesouhlasím s tím, co dělá s daty google, facebook a jiní (i taková alza, kde si opisují číslo OP při vyzvednutí předem zaplaceného zboží i při znalosti identifikátoru objednávky a hesla). Nesouhlasím s tím, když kdekdo vyžaduje až příliš mnoho informací, než je nezbytně nutné. Je vhodné stávající stav změnit, ale nemyslím si, že by stávající legislativa byla totálně špatná. Pouze ji nikdo nevymáhal. Vemte analogii k EET, dříve platilo, že při nákupu nad 50 korun musím dostat účtenku, kdo je nedával, ten by při kontrole narazil. Bez kontroly nenarazí ani při povinnosti provozovat EET.
To co popisujete povede jen k tomu, že třeba facebook můj profil nesmaže, daty bude dále disponovat a prakticky vzato tím nic nezískám. V praxi by mě zajímalo, co se bude dít s fotkou, kterou si tam nahraje můj kamarád na které mě označí a já požádám o "zapomenutí". Dále můj profil povede pod nějakým ID a bude vázat na další ID, jen k profilu nebude přiřazeno třeba jméno a email. řekněme, že ID XY má nějaké atributy (vazby na jiné ID, vzorce chování, ...) a ty svým způsobem dovedou osobu jednoznačně identifikovat (třeba Frantu Nováka a Zdeňka Vomáčku zná zároveň jen Pepa pod ID XY a zde není důležité, že uchovávám jméno "Pepa" nebo ne).
V tomto případě by IMO mělo dojít ke smazání celého profilu (vč. fotografií - i cizích, a všech metadat), ne pouze označení příznakem "zapomenutý". Zdroj: https://www.gdpr.cz/gdpr/heslo/pravo-na-vymaz/
-
Ohledně mazání dat to je jedna z interpretací firmy, která se validací procesů s ohledem na GDPR zabývá. Vaše interpretace je jiná, máme zde objektivní odpovědnost, takže uvidíme jak se bude vyvíjet judikatura. V okamžiku, kdy GDPR začne být bráno seriózně, tak vyvstane spousta nejasností. Vzhledem k objektivní odpovědnosti je nutné skutečně vážit rizika a buď vynaložit sumu X na úpravu sytému nebo nevynaložit a riskovat pokutu Y v případě průšvihu a pokud X>Y.
Osobně nesouhlasím s tím, co dělá s daty google, facebook a jiní (i taková alza, kde si opisují číslo OP při vyzvednutí předem zaplaceného zboží i při znalosti identifikátoru objednávky a hesla). Nesouhlasím s tím, když kdekdo vyžaduje až příliš mnoho informací, než je nezbytně nutné. Je vhodné stávající stav změnit, ale nemyslím si, že by stávající legislativa byla totálně špatná. Pouze ji nikdo nevymáhal. Vemte analogii k EET, dříve platilo, že při nákupu nad 50 korun musím dostat účtenku, kdo je nedával, ten by při kontrole narazil. Bez kontroly nenarazí ani při povinnosti provozovat EET.
To co popisujete povede jen k tomu, že třeba facebook můj profil nesmaže, daty bude dále disponovat a prakticky vzato tím nic nezískám. V praxi by mě zajímalo, co se bude dít s fotkou, kterou si tam nahraje můj kamarád na které mě označí a já požádám o "zapomenutí". Dále můj profil povede pod nějakým ID a bude vázat na další ID, jen k profilu nebude přiřazeno třeba jméno a email. řekněme, že ID XY má nějaké atributy (vazby na jiné ID, vzorce chování, ...) a ty svým způsobem dovedou osobu jednoznačně identifikovat (třeba Frantu Nováka a Zdeňka Vomáčku zná zároveň jen Pepa pod ID XY a zde není důležité, že uchovávám jméno "Pepa" nebo ne).
V tomto případě by IMO mělo dojít ke smazání celého profilu (vč. fotografií - i cizích, a všech metadat), ne pouze označení příznakem "zapomenutý". Zdroj: https://www.gdpr.cz/gdpr/heslo/pravo-na-vymaz/
Záleží na situaci. Asi kdybych tvořil nebo refaktoroval systém, už bych na výmaz dat pamatoval a snažil bych se ho mít co nejmožnější.
Souhlasím, že existuje spousta zákonů, které by stačilo vymáhat, ale nikdo (a zejména stát) to nedělá. Opisování čísla OP by mi tolik nevadilo, šlo by určitě nahradit např. videozáznamem z převzetí. Ale je samozřejmě pochopitelné, že i ta Alza potřebuje mít v ruce důkaz, který obstojí i před soudem, že jste si zboží opravdu vyzvedl Vy.
Pokud na FB nahraje fotku Váš kamarád, nejsou to Vaše data a Vaše právo na zapomenutí, ale jeho. Vy musíte v první řadě požádat o zapomenutí toho kamaráda, který narušil Vaše soukromí - to neudělal facebook. Ten kamarád naložil s daty špatně.
Ad mazání - ano, tam, kde to jde, je to vhodnější. Moje poznámka byla k tomu, že někdy to není technicky nebo i právně možné. Pak to samozřejmě nemusíte provést formou výmazu dat, ale jen jejich zabezpečením před využitím. Typickým příkladem jsou právě ty zálohy v běžné firmě, kdy není dost dobře možné systémy, minimálně ze dne na den, nastavit tak, aby se dala data takto separovat. Pak je potřeba nastavit procedury pro obnovu dat, aby vyhověly.
Myslím, že tu mícháte poznatky z úplně jiných situací, a pochopitelně Vám nedává smysl, jak se dají dodržet.
-
Souhlasím, že existuje spousta zákonů, které by stačilo vymáhat, ale nikdo (a zejména stát) to nedělá. Opisování čísla OP by mi tolik nevadilo, šlo by určitě nahradit např. videozáznamem z převzetí. Ale je samozřejmě pochopitelné, že i ta Alza potřebuje mít v ruce důkaz, který obstojí i před soudem, že jste si zboží opravdu vyzvedl Vy.
Pokud někdo bude mít k dispozici číslo zásilky a heslo k vyzvednutí, obstará si kradený/falešný OP. Na tento údaj nemají nárok a heslo je dostatečné k vydání zásilky.
Pokud na FB nahraje fotku Váš kamarád, nejsou to Vaše data a Vaše právo na zapomenutí, ale jeho. Vy musíte v první řadě požádat o zapomenutí toho kamaráda, který narušil Vaše soukromí - to neudělal facebook. Ten kamarád naložil s daty špatně.
Kamarád s daty nenaložil špatně, vyfotil mě a označil mě, nic bez mého souhlasu. Po čase požádám facebook o výmaz.
Ad mazání - ano, tam, kde to jde, je to vhodnější. Moje poznámka byla k tomu, že někdy to není technicky nebo i právně možné. Pak to samozřejmě nemusíte provést formou výmazu dat, ale jen jejich zabezpečením před využitím. Typickým příkladem jsou právě ty zálohy v běžné firmě, kdy není dost dobře možné systémy, minimálně ze dne na den, nastavit tak, aby se dala data takto separovat. Pak je potřeba nastavit procedury pro obnovu dat, aby vyhověly.
Pokud GDPR požaduje vymazání, není možné jej nahradit např. zneplatněním záznamu. Zde je asi důležité vnímat cíl normy. Řeknu to jinak, např. eshop bude mít mé jméno, adresu, email a nákupní preference. Pokud jej požádám o výmaz, tak primárně z důvodu, abych nebyl cílem marketingové kampaně. Při anonymizaci záznamu (tzn. vymazání emailu, adresy a jména) pořád disponuje nákupními preferencemi a může je využít k marketingovým účelům a směřování reklamy konkrétní skupině obyvatel a tím i ke mě.
Myslím, že tu mícháte poznatky z úplně jiných situací, a pochopitelně Vám nedává smysl, jak se dají dodržet.
Nemyslím si. Pouze se bojím, že při vágní formě, jakou je GDPR implementována, dopadne z velké části na menší firmy za bagatelní prohřešky (například nevhodně zvolený rozsah sbíraných údajů, nebo nevhodně napsaný souhlas/informace se sběrem údajů). Pro velké hráče (kteří jsou hlavní záminkou vzniku) se bohužel nic nemění.
-
Pokud někdo bude mít k dispozici číslo zásilky a heslo k vyzvednutí, obstará si kradený/falešný OP. Na tento údaj nemají nárok a heslo je dostatečné k vydání zásilky.
Nebyl bych si jistý, že takové ověření před soudem obstojí v případě dražší zásilky. Zvykem je, že totožnost se ověřuje podle platného dokladu (málokdo ví, že zákon nijak nezvýhodňuje občanský průkaz oproti cestovnímu pasu či řidičáku - já jsem se např. u soudu bez problémů prokazoval řidičákem: "Totožnost ověřena dle ŘP číslo:"). No a pak je druhá část: jak Alza prokáže, že ten doklad opravdu zkontrolovala. Opsáním číslo dokladu a prokázáním procesu (který může soud klidně na místě prověřit) to půjde lehce, tento postup je akceptovaný např. i při výdej zásilek na poště.
Je ovšem nutno se podívat i na druhou stranu mince. Číslo dokladu pak v procesu Alzy musí jít co nejdřív do míst, kde už s ním nemohou přijít do styku běžní zaměstnanci. V papírové praxi by stačilo tyto doklady s opasanými údaji průběžně sbírat a archivovat nadřízeným, pokud by se jednalo o digitální dokumentaci, tam už si nějaký postup také domyslíte.
Nabízí se zde srovnání s online bankovnictvím, kde jméno + heslo + autorizační SMS jsou považovány za bezpečné. Tam je to ovšem dáno tím, že bankovní trh je regulován a poměrně dobře kontrolován ČNB, takže banka má procesy související s tímto zabezpečením de facto auditované. V případě Alzy, jejich poměrně překotného vývoje jejich e-shopu a systémů, a práci bůh ví kolika brigádníků, to už může být problematičtější; banka zjednodušeně lépe prokáže že jmého, heslo a autorizační SMS u nich nejde zneužít zaměstnancem, Alza by to prokazovala daleko složitěji.
Tímto směrem by se mi asi ubíraly myšlenky, kdybych řešil GDPR na tento proces v Alze.
Kamarád s daty nenaložil špatně, vyfotil mě a označil mě, nic bez mého souhlasu. Po čase požádám facebook o výmaz.
Facebook zde není arbitrem, aby rozhodoval, jestli jste na té fotce Vy. Ta data nejsou Vaše, ale Vašeho kamaráda. Na něj se musíte v první řadě obrátit, a proti němu bude směřovat v první řadě žaloba. Facebook nemůže na žádost Karla smazat fotky, které jsou na profilu Jardy. Jak by vůbec ověřil, že je na té fotce Karel? Co kdyby se pak obrátil na soud naopak Jarda, že mu Facebook smazal fotografii, kterou legálně vyfotil?
Zde střílíte vedle.
Pokud GDPR požaduje vymazání, není možné jej nahradit např. zneplatněním záznamu. Zde je asi důležité vnímat cíl normy. Řeknu to jinak, např. eshop bude mít mé jméno, adresu, email a nákupní preference. Pokud jej požádám o výmaz, tak primárně z důvodu, abych nebyl cílem marketingové kampaně. Při anonymizaci záznamu (tzn. vymazání emailu, adresy a jména) pořád disponuje nákupními preferencemi a může je využít k marketingovým účelům a směřování reklamy konkrétní skupině obyvatel a tím i ke mě.
GDPR nevyžaduje mazání, ale zapomenutí. Záměrně je použitý tento termín. Z hlediska např. veřejné části Facebooku půjde samozřejmě o vymazání všech zmínek o Vás a referencí na Vás. Ale i ta akce vymazání musí být auditovatelná, a musí obsahovat mechanismy, aby aspoň dočasně bylo možné vzít akci zpět - např. když chybou vymažete víc, než můžete (smažete omylem cizí data). To se s GDPR vůbec nevylučuje. Pokud je to nutné, např. kvůli architektuře, její koherenci, prostě data nemažete, jen zabráníte přístupu všem, kteří s nimi nemají mít co do činění.
Představte si např. že budete provozovat online seznamku, kde Vám budou lidé platit za to, že u Vás mají profil, údaje o sobě, včetně fotografie. Pokud požádáte o to být zapomenut, určitě nemůže poskytovatel smazat Vaše údaje, ale minimálně po zákonnou dobu je bude držet (např. v jiném systému), jako důkaz toho, že Vám plnění poskytl. Kdyby je smazal, tak už jen samotná kontrola DPH a jestli došlo k plnění, by nebyla uskutečnitelná. V případě naší fiktivní seznamky by se uživatelský profil označil, nebo lépe odlil do úplně jiného systému, aby na veřejnost, ani pro marketingové účely vůbec nevykouknul. Na venek pak budete zcela vymazán.
Takže: jednou perspektivou pohledu zákona je soukromí. Tedy, proti Vašemu přání nesmí poskytovatel navenek o Vás uvádět žádné informace. Požádáte Facebook, celý Váš profil od té chvíle bude vypadat smazaný, a Vaše posty buďto zmizí, nebo budou zanonymizovány (pokud to vůbec jde - v případě FB si myslím, že i po zanonymizování budou Vaši přátelé vědět, o koho šlo).
Druhou perspektivou je interní zpracování dat ve firmě, kde musíte dbát na to, aby k informacím měly přístup jen oprávněné osoby, a aby jejich okruh nebyl bezdůvodně příliš široký.
Za co nemůžete jako poskytovatel nést odpovědnost (například): když někdo třetí o někom něco napíše, či cituje (pak je správcem dat ten, kdo to udělal) - ale z toho budou také výjimky - např. v případě zpravodajských serverů, kde články přebírá redakce. Pokud je přebírá a rediguje, pak už za ně zodpovídá vydavatel. Pokud internetový server jen poskytuje neredigovanou platformu pro zveřejňování informací, pak je vlastníkem ten, kdo data pořídil. Analogicky, nemůžete požádat všechny poskytovatele e-mailových serverů, aby vymazali veškeré zprávy, které jste kdy komu poslal. Ty zprávy už patří vlastníkům schránek, a je můžete žádat. Nebo nemůžete nést odpovědnost za rozšíření informací o veřejně činných osobách - tam už je dávno judikováno, že určitý zásah do soukromí musí strpět - např. nebylo by možné, aby Karel Gott chtěl být zapomenut ze zpravodajských serverů, takový požadavek by soud považoval za absurdní. Naopak, kdyby Karel Gott měl vlastní profil na Facebooku, bylo by na místě i technicky proveditelné, aby Facebook jeho profil a jeho posty smazal.
To rozlišení odpovědnosti je pro GDPR také důležité, a bude vždy posuzováno individuálně. Vyjmenovali jsme už takových příkladů, že je zřejmé, že na to nemůže existovat obecné pravidlo. Proto GDPR vyžaduje, abyste si na to pravidla udělal sám, podle Vaší vlastní situace, a měl k tomu ve firmě určenou osobu.
Nemyslím si. Pouze se bojím, že při vágní formě, jakou je GDPR implementována, dopadne z velké části na menší firmy za bagatelní prohřešky (například nevhodně zvolený rozsah sbíraných údajů, nebo nevhodně napsaný souhlas/informace se sběrem údajů). Pro velké hráče (kteří jsou hlavní záminkou vzniku) se bohužel nic nemění.
GRPR dopadne na firmy jedině, pokud dojde k nějakému důsledku. Pokud máte databázi e-mailů, tak holt nesmíte rozeslat spamy, nebo musíte mít zadokumentovaný souhlas osob (opt-in) a poskytnuté mechanismy pro opt-out. Teprve až toto mít nebudete, a na úřad se obrátí zaspamovaný uživatel, tak si to opravdu slíznete. Na tom nevidím nic špatného. Nevidím nic špatného ani na tom, aby se změnilo přemýšlení, a aby i malá firma přemýšlela o tom, jestli potřebuje údaje sbírat, a jak s nimi naloží. Přemýšlím o portfoliu svých klientů, a napadají mě možná dva, možná tři, kteří opravdu pro svůj byznys citlivé údaje sbírat musejí. Zbytek je sbírá buďto jen z plezíru (mohou se hodit), nebo pro marketingové účely.
Je také rozdíl, jestli data sbíráte hromadně, nějakým technickým prostředkem (např. registrační formulář k Vaší službě na internetu), nebo jestli máte adresář obchodních kontaktů nasbíraný svojí letitou obchodní činností. V prvním případě musíte mít explicitní souhlas, v druhém případě ho máte konkludentně, tím, že se s Vámi druhá strana bavila. V druhém případě však např. historicky sebrané e-mailové kontakty nesmíte použít pro hromadnou korespondenci spamu. Naopak, pokud všem svým obchodním partnerům potřebujete sdělit, že měníte sídlo firmy, nebo účet pro platby, je to legální využití takto nasbíraných dat.
Nezapomínejte, že kde není žalobce, tam není soudce. Kdyby k soudu dorazila žaloba pro zásah do soukromí jen kvůli tomu, že někomu přišel jeden e-mail se sdělením změny sídla firmy, soud by zamítl žalobu pro bezdůvodnost. V prvé řadě musí existovat tvrzení žalobce, a k němu důkaz o tom, že k něčemu došlo. Důkaz musí být takového charakteru, aby bylo jasné, že k odpovědnosti máte být volán zrovna Vy. Teprve poté, co toto je splněno, nastupuje procedura důkazního řízení, kde nesete obejktivní odpovědnost. Tedy, pokud rozešlete reklamní e-maily, požádá Vás soud, abyste doložil souhlas příjemce se zasíláním. Patrně budete muset doložit kdy k vyjádření souhlasu došlo, jakými prostředky, jak jste ověřil totožnost nebo opravdovost souhlasu, a jaké bylo znění textu souhlasu.
Pokud nebudete vědět kdy, na jaké internetové stránce, a s jakými podmínkami osoba souhlasila, jste v důkazní nouzi. Nebo byste musel mít proceduru potvrzovacího e-mailu a zpětného odkliku, který ověří souhlas vlastníka e-mailové schránky s daným využitím. Zpětný odklik může, např. pro účely využití e-mailové schránky být dostatečný. Pak je ale ve Vašem zájmu zachovat znění potvrzovacího e-mailu a logy o akcích uživatele.
Další, co bude soud zkoumat je věrohodnost Vašich tvrzení a důkazů. To už je ryze subjektivní proces a od něj je na své židli soudce. Pokud budete firma, která má 10 let stejné zaměstnance, na bezpečnost dbá (zjistí se např. z výpovědí zaměstnanců), bude soud schopný Vašim tvrzením uvěřit. Pokud se ukáže, že se Vám celý tým 20 lidí vymění 2x do roka (opravdu jsou takoví zaměstnavatelé), patrně soud konstatuje, že jste ho nepřesvědčil o dostatečně dobře nastavených procedurách ochrany informací, protože řada 10 svědků, kteří se na pozici odpovědné osoby vystřídali, už nevypovídala přesvědčivě shodně.
Jiným případem může být, pokud využijete procedury renomovaných vendorů, které jsou auditované na GDPR compliance. Samo o sobě Vás to nezbaví odpovědnosti, ale určitě v očích soudu to bude vypadat daleko lépe, když prokážete, že jste se této oblasti věnovali i tímto způsobem.
U malých firem to asi nebude možné, ale u středně velkých a větších firem pak lze uvažovat i o auditu celé oblasti, a určitě audit někým z velké čtyřky by měl u soudu velkou váhu.
Neočekávám, že byste se dostal až před soud kvůli tomu, že pár lidem jednou odešlete e-mail.
-
Dekuji za nazory
-
Dekuji za nazory
Až dojdete k nějakým závěrům, podělíte se, prosím, o Vaši situaci i přijatá opatření? Minimálně mě by to opravdu zajímalo.