KRONIKK: Hva betyr GDPR for oss som lager IT-løsninger?

[Redaksjonen.]

KRONIKK: Hva betyr GDPR for oss som lager IT-løsninger?

[Civilix]

Det første man kan gjøre er å pseudonymisere dataene. Da gjør vi dataene mindre identifiserende, for eksempel ved å bytte ut navnet ditt med et token, og lagre koblingen i et adskilt system, eller ved å hashe data. Kravene til pseudonyme data er mildere.

 

Mener å huske fra datatilsynets kontroll av Telenor Objects at selv om de bruker en token i løsningen måtte de behandle det som alle andre personopplysninger.

 

https://www.datatilsynet.no/globalassets/global/regelverk-skjema/avgjorelser-datatilsynet/tilsynsrapporter/2015/14-01291-7-vedtak-om-palegg---telenor-objects-502410_9_1.pdf

[Drogin]

Så man må i henhold til loven, egentlig spørre brukeren "Er det greit at requesten din havner i http access loggen? Haha sier jeg bare.

[Civilix]

Så man må i henhold til loven, egentlig spørre brukeren "Er det greit at requesten din havner i http access loggen? Haha sier jeg bare.

 

Hvorfor skal du logge data som er i requesten? Dette er jo ett typisk eksempel på hvor man ikke trenger å lagre dataen og derfor blir man nå tvunget til å ikke gjøre det. 

[Drogin]

 

Så man må i henhold til loven, egentlig spørre brukeren "Er det greit at requesten din havner i http access loggen? Haha sier jeg bare.

 

Hvorfor skal du logge data som er i requesten? Dette er jo ett typisk eksempel på hvor man ikke trenger å lagre dataen og derfor blir man nå tvunget til å ikke gjøre det. 

 

Ikke dataen, men om jeg tolker artikelen ritkig, er selv IP addresse å regne som personlig data.

Og IP addresse er både normalt og nyttig å lagre i request-loggene. Ja, det er vel til og med default oppførsel i alle webservere

[Civilix]

Ikke dataen, men om jeg tolker artikelen ritkig, er selv IP addresse å regne som personlig data.

Og IP addresse er både normalt og nyttig å lagre i request-loggene. Ja, det er vel til og med default oppførsel i alle webservere

 

IP adresse er personopplysning ja, http://privacylawblog.fieldfisher.com/2016/can-a-dynamic-ip-address-constitute-personal-data/

 

Kan du gi meg ett eksempel på nyttig bruk av IP-adresse i loggfil?

[LOH8PDYL]

Ingressen her er direkte feil. Den sier, som alle andre, at forordningen trer i kraft i mai. Det gjør den altså ikke. I hvert fall ikke i Norge. Forordninger gjelder EU land og ikke EØS land. Norge plikter derimot å innlemme forordningen i norsk lov, men jeg har til gode å se at departementet har utarbeidet lovforslag og saken er satt på Stortingets sakskart. Noen som vet noe om framdriften her?

 

Og hadde England allerede vært meldt ut av EU ville heller ikke forordningen foreligget på noe forståelig språk inntil nylig. Så her somler norske myndigheter. Og inntil norske myndigheter er ferdige med å somle, så gjelder altså ikke denne forordningen i Norge.

[Drogin]

 

Ikke dataen, men om jeg tolker artikelen ritkig, er selv IP addresse å regne som personlig data.

Og IP addresse er både normalt og nyttig å lagre i request-loggene. Ja, det er vel til og med default oppførsel i alle webservere

 

IP adresse er personopplysning ja, http://privacylawblog.fieldfisher.com/2016/can-a-dynamic-ip-address-constitute-personal-data/

 

Kan du gi meg ett eksempel på nyttig bruk av IP-adresse i loggfil?

 

- DOS / Spam beskyttelse (er vel en del programmer som analyserer logger for dette)

- Logganalyse (mulig det kan ordnes ved å anonymisere IP-addressene ved å hashe dem eller liknende).

- Finne ut hvem som gjør hva i systemet. Eksempelvis kjenner jeg til et prosjekt hvor man avdekket en alvorlig sikkerhetsglipp - Sensitiv informasjon var på avveie. Heldigvis kunne de se utifra loggene, at alle requests til den ubeskyttede resursen, var fra en bruker som de visste skulle ha tilgang. De kunne da fikse feilen, og betrygge brukeren om at ingen har fått tak i informasjonen hans.

 

I det heletatt er dette helt på trynet. Det får være måte på "personvern".

Når jeg går gjennom Oslo S er jeg klar over at jeg kommer til å bli overvåket.

Når jeg går inn på www.gog.com, oppretter en konto, og kjøper et spill, så er jeg jo klar over at IP'en min havner i en eller annen loggfil, og at epostaddressen min lagres, og at kjøp av spill knyttes opp mot kontoen min, så jeg kan se hvilke spill jeg har kjøpt. Jeg har ikke noe behov for å trykke på en knapp som sier "ok, dere kan lagre denne informasjonen" for hver sånn ting. Og som end-user, er jeg heller ikke interessert i å betale regninga for den svindyre operasjonen det er å implementere disse latterlige personvernlovene

Endret 25. oktober 2017 av Drogin

[Drogin]

Forøvrig det samme med den cookie-loven.

Alle vet at så og si alle nettsteder bruker cookies. Det er normalt og ikke spesielt farlig.

Det er bare irriterende å måtte klikke "ok" på disse overalt.

[Pop]

Fremdriftsplanen er at Norge får denne forordningen inn i loven fra 26. mai 2018. Jeg har ikke sett noen tegn på at dette skjemaet ikke skal holde foreløpig. Det er liten tvil om at den vil måtte prioriteres i justisdepartementet og Storting, men forventningen om dato er klar.

 

Om sanksjonene blir tatt ut i det fulle i løpet av 2018 er derimot lite trolig. Det vil jo potensielt gi astronomiske effekter på norske virksomheter. Frister neppe med 4% av årsomsetning i bot for overtredelse.

[Civilix]

Ingressen her er direkte feil. Den sier, som alle andre, at forordningen trer i kraft i mai. (...)

Uavhengig i når den trer i kraft må man jobbe som om den trer i kraft i mai, 

 

- DOS / Spam beskyttelse (er vel en del programmer som analyserer logger for dette)

- Logganalyse (mulig det kan ordnes ved å anonymisere IP-addressene ved å hashe dem eller liknende).

- Finne ut hvem som gjør hva i systemet. Eksempelvis kjenner jeg til et prosjekt hvor man avdekket en alvorlig sikkerhetsglipp - Sensitiv informasjon var på avveie. Heldigvis kunne de se utifra loggene, at alle requests til den ubeskyttede resursen, var fra en bruker som de visste skulle ha tilgang. De kunne da fikse feilen, og betrygge brukeren om at ingen har fått tak i informasjonen hans.

 

DOS angrep ønsker du å stoppe før de når web-serveren og du vil vanligvis jobbe med live data som ikke lagres.

For SPAM formål kan du bruke for eksempel netteier(fjern siste nummer i ipadressen) for å få lage filtrene dine.

Logganalyse kan som du sier anonymiseres.

Ett system som inneholder sensitiv informasjon burde ha intern loggelogikk og ikke basere seg på logger fra web-server, foruten det lurer jeg på hvordan ip-adressen i loggen bekreftet at det var en bruker som skulle ha tilgang som hadde lest data. I beste fall viste det at det var lest data fra en maskin som også brukes av en som skal ha tilgang til data.  

[Drogin]

Systemet logget brukernavn, i tillegg til IP. Det forandrer dog ingenting. Brukernavn enda mer sensitivt - man må trykke ok for at loggene skal føres.

Og muligens også ha mulighet til å enkelt kunne slette seg selv fra loggfilene? Da forsvinner plutselig formålet med tilgangslogging.

 

Og hvorfor ta seg bryet med å begynne å skrive kode for å anonymisere og rekonfigurere standard logging til å gå vekk fra IP-logging? Er det verdt det? Åpenbart ikke

Endret 25. oktober 2017 av Drogin

[djgudleif]

Blir jævlig ekstra stress å være på jobb, teit lov. Få den bort.

[Civilix]

Systemet logget brukernavn, i tillegg til IP. Det forandrer dog ingenting. Brukernavn enda mer sensitivt - man må trykke ok for at loggene skal føres.

Og muligens også ha mulighet til å enkelt kunne slette seg selv fra loggfilene? Da forsvinner plutselig formålet med tilgangslogging.

 

Og hvorfor ta seg bryet med å begynne å skrive kode for å anonymisere og rekonfigurere standard logging til å gå vekk fra IP-logging? Er det verdt det? Åpenbart ikke

 

Sammen med brukernavn følger det ofte en brukeravtale, der kan man legge inn masse rart. Så vidt jeg vet er det ikke krav om at brukeren selv skal kunne slette opplysninger.

 

Og ja dette undergraver en del logging, personvern og overvåking er motsetninger så når man styrker personvernet går det ut over overvåkingen.

 

Om det er verdt opp til 4% av omsetningen, jeg vil tro svaret for de fleste firma er ett absolutt ja.

[Drogin]

 

Systemet logget brukernavn, i tillegg til IP. Det forandrer dog ingenting. Brukernavn enda mer sensitivt - man må trykke ok for at loggene skal føres.

Og muligens også ha mulighet til å enkelt kunne slette seg selv fra loggfilene? Da forsvinner plutselig formålet med tilgangslogging.

 

Og hvorfor ta seg bryet med å begynne å skrive kode for å anonymisere og rekonfigurere standard logging til å gå vekk fra IP-logging? Er det verdt det? Åpenbart ikke

 

Sammen med brukernavn følger det ofte en brukeravtale, der kan man legge inn masse rart. Så vidt jeg vet er det ikke krav om at brukeren selv skal kunne slette opplysninger.

 

Og ja dette undergraver en del logging, personvern og overvåking er motsetninger så når man styrker personvernet går det ut over overvåkingen.

 

Om det er verdt opp til 4% av omsetningen, jeg vil tro svaret for de fleste firma er ett absolutt ja.

 

Nå snakket jeg ikke om straffen, men om kostnaden samfunnet må ta, vs det loven prøver å gjennomføre.

Vil personvern bli så mye bedre, at man unngår så mye misbruk og lidelse i samfunnet, at det er verdt å bruke så store summer på hele landets IT-systemer? Selv en liten "hjemmesnekret" (eller ihvertfall tilsvarende i størrelse) hjemmeside for en rørlegger i Tynset vil bli rammet. ALT og ALLE må nesten ansette eller leie inn en personvernsekspert, og så rekonfigurere og redesigne datasystemene sine.

Forumet vi skriver på i dette øyeblikk, bryter trolig loven.

Endret 25. oktober 2017 av Drogin

[Civilix]

Nå snakket jeg ikke om straffen, men om kostnaden samfunnet må ta, vs det loven prøver å gjennomføre.

Vil personvern bli så mye bedre, at man unngår så mye misbruk og lidelse i samfunnet, at det er verdt å bruke så store summer på hele landets IT-systemer? Selv en liten "hjemmesnekret" (eller ihvertfall tilsvarende i størrelse) hjemmeside for en rørlegger i Tynset vil bli rammet. ALT og ALLE må nesten ansette eller leie inn en personvernsekspert, og så rekonfigurere og redesigne datasystemene sine.

Forumet vi skriver på i dette øyeblikk, bryter trolig loven.

 

Hvis det stopper rørleggeren på Tynset fra å ha persondata på sin hjemmesnekra hjemmeside så ser jeg bare på det som positivt.

At det tvinger bedrifter til å bruke kompetente leverandører er riktig, for de fleste blir nok løsningen heller å unngå personopplysninger som pesten og bruke profesjonelle leverandører der man må.

 

Regner man i kroner og øre er det på ingen måter verdt det, men nå er det mer til ett samfunn enn penger så for alle som verdsetter privatlivet sitt er det nok verdt det hundre ganger over.

[Drogin]

Hva slags del av privatlivet mitt er det egentlig jeg eksponerer ved at diskusjon.no lagrer IP'en min i en access logg?

Eller at postene mine ikke enkelt kan fjernes over hele forumet ved å trykke på en knapp?
Eller at postene mine ligger i backups av databasen?

 

Som sagt, om jeg går inn på gog.com, registrerer epostaddressen min, og kjøper noen spill, så synes jeg ikke de skal trenge å spørre meg om de kan lagre informasjonen - det forstår jeg når jeg registrerer kontoen min. Det er selvsagt.

Synes også det er urimelig at de skal måtte passe på at IP addressen min lagres, eller at jeg skal kunne slette alle mine spor av spill-kjøping. Det får være en konsekvens jeg tar.

 

Jeg kan jo ikke stikke innom en spill-butikk på et kjøpesenter, og så kreve at butiken fjerner alle mine fingeravtrykk og henretter alle andre som så meg i butikken.

 

En sak er om loven hadde sikret at uprofesjonelle aktører ikke lagrer kredittkort-info, sensitive passord, misbruker personopplysninger til reklame eller blackmailing.

Men denne loven er mye mer omfattende enn som så. Diskusjon.no må antakeligvis leie inn en personvernekspert og gjøre større endringer, skal de oppfylle kriteriene. En normal godt kompetent IT-ingeniør med sans for sikkerhet vil teoretisk sett ikke oppfylle loven, om han/hun lager en normalt godt fungerende nettside med epost-registrering, passord-lagring, bruker-account, og matoppskrifter. Det er så mange fallgruver, lover og tolkning, at man trenger en jurist.

Endret 25. oktober 2017 av Drogin

[Pop]

Det er ikke så mye å bekymre seg for her. Vel og merke om du hadde et bevisst forhold til lovverket allerede og fulgte det. Endringen fra dagens personopplysningslov er ikke stor, ser man bort fra sanksjonsmulighetene. 

Det er også i dag slik at du som behandlingsansvarlig skal ha oversikt over hvilke personopplysninger du behandler og hvordan de er sikret. Du skal ha et regime for å slette ikke lenger relevante opplysninger. Du skal ha et regime for å behandle registrertes rettigheter, enten de kun vil vite hva du har lagret, endre det eller slette det. Og du skal ha oversikt over hvem som har tilgang til de registrertes opplysninger, når de har hatt det og om tilgangen har vært i henhold til behov. 

Har du ikke det i dag, bryter du allerede loven. 

 

Dessverre faller forskriften til POL bort, dermed mister man en del operasjonalisering av hvordan man skal forholde seg til kravene i praksis. Så enten må man ha en stilling som kan sette seg inn i dette, ellers kjøper man tjenestene eksternt. At man må bruke penger på å bli i takt med lovverket vekker ikke spesielt mye medfølelse hos meg.

[Drogin]

Det er ikke så mye å bekymre seg for her. Vel og merke om du hadde et bevisst forhold til lovverket allerede og fulgte det. Endringen fra dagens personopplysningslov er ikke stor, ser man bort fra sanksjonsmulighetene. 

Det er også i dag slik at du som behandlingsansvarlig skal ha oversikt over hvilke personopplysninger du behandler og hvordan de er sikret. Du skal ha et regime for å slette ikke lenger relevante opplysninger. Du skal ha et regime for å behandle registrertes rettigheter, enten de kun vil vite hva du har lagret, endre det eller slette det. Og du skal ha oversikt over hvem som har tilgang til de registrertes opplysninger, når de har hatt det og om tilgangen har vært i henhold til behov. 

Har du ikke det i dag, bryter du allerede loven. 

 

Dessverre faller forskriften til POL bort, dermed mister man en del operasjonalisering av hvordan man skal forholde seg til kravene i praksis. Så enten må man ha en stilling som kan sette seg inn i dette, ellers kjøper man tjenestene eksternt. At man må bruke penger på å bli i takt med lovverket vekker ikke spesielt mye medfølelse hos meg.

Så om jeg lager en hjemmeside på et utenlandsk webhotell, uten noen registreringer av bruker-data, hvor siden viser bilder av malte figurer jeg lager, og lister opp telefonnummer og eposten min, for kjøpere.... så bryter jeg altså loven?

For jeg kan ikke si om nevnte webhotell lagrer IP-addresser, eller hvilke personer ansatt i webhotellet som har tilgang til hva.

 

 

Og hva er egentlig "nødvendig data"?

Dersom en webside lagrer en del settings knyttet til brukeren din - f.eks om du foretrekker alfabetisk sortering av en gitt liste, fra begynnelsen eller slutten av alfabetet. Er dette da å regne som ikke en strengt nødvendig opplysning, men en "kjekt å ha"-opplysning? I så fall må du trykke på en egen ok-knapp for å si det er greit at du lagrer denne opplysningen. Og de må ha på plass en dato hvor denne settingen utløper automatisk....

Hvor går grensene? Plutselig må alle ansette jurister for å lage en hjemmeside.

Endret 25. oktober 2017 av Drogin

[Civilix]

Så om jeg lager en hjemmeside på et utenlandsk webhotell, uten noen registreringer av bruker-data, hvor siden viser bilder av malte figurer jeg lager, og lister opp telefonnummer og eposten min, for kjøpere.... så bryter jeg altså loven?

For jeg kan ikke si om nevnte webhotell lagrer IP-addresser, eller hvilke personer ansatt i webhotellet som har tilgang til hva.

 

 

Og hva er egentlig "nødvendig data"?

Dersom en webside lagrer en del settings knyttet til brukeren din - f.eks om du foretrekker alfabetisk sortering av en gitt liste, fra begynnelsen eller slutten av alfabetet. Er dette da å regne som ikke en strengt nødvendig opplysning, men en "kjekt å ha"-opplysning? I så fall må du trykke på en egen ok-knapp for å si det er greit at du lagrer denne opplysningen. Og de må ha på plass en dato hvor denne settingen utløper automatisk....

Hvor går grensene? Plutselig må alle ansette jurister for å lage en hjemmeside.

 

Du har misforstått loven, det er ingenting som hindrer deg i å publisere dine egene persondata hvis du ønsker det, problemer er hvis du systematisk lagrer andre personer sine data.

 

Webhotell vil få mange artige utfordringer i forhold til GDPR, men det er nok alt mulig å løse. Mest sannsynlig blir det snakk om en databehandleravtale må være på plass, noe som det også burde ha vært under dagens lovverk.

 

Innstillinger på en nettside er ikke persondata, brukerkontoen som innstillingene lagres som kan inneholde persondata. 

Endret 25. oktober 2017 av Civilix