2019'u hatırlayacak kadar büyüğüm. O günlerde çoğu insan yüz yüze görüşmeler yapıyordu ve hatta bazen sadece işlerini halletmek için başka ülkelere seyahat ediyordu. Altı ay ileri sarıldı ve toplantılar kendi evimizin rahatlığında yapılıyor. Video konferanslar hızla arttı ve bugün iş dünyasında en çok kullanılan cümle artık "Sessizsiniz".
Covid-19'un bize zorladığı değişikliklere uyum sağlamak için kültürü ve uygulamaları hızla uyarlayan kuruluşlarla, hepimiz teknolojiye alışmaya başladık ve insanlar ek özellikler ve teklifler hakkında daha fazla merak uyandırıyor. Meslektaşlarımın ve müşterilerin ilginç geçmişleri benimsediğini görmekten keyif aldım ve hatta kendime potansiyel bir iş fırsatını da açtım - kin besleyen ve diğer toplantı katılımcılarını hasta hissettirmek isteyen pasif agresif insanları hedefleyen bir dizi garip video konferans arka planı başlattım. kolaylaştırmak. Kazanan bir ürün olduğunu düşünüyorum ama konuyu başka bir zaman için başka bir blog yazıyorum.
İnsanların dikkatini çeken araçlardan biri de Toplantı kaydı işlevidir. Birkaç müşterimin ve eski meslektaşlarımın, kuruluşlarının video görüşmelerini kaydedip kaydedemeyeceği veya kaydetmesi gerektiği konusunda Veri Koruma tavsiyesi için benimle iletişime geçmesiyle sonuçlandı. Cevabım net olmak oldu, ancak biraz izin verdiğimde daha ayrıntılı bir yazım sözü verdim, işte burada.
Ayrıntılara girmeden önce, bu makalenin kapsamının çeşitli ürünlerin güvenlik ve gizlilik yönlerini kapsamadığını açıkça belirtmek isterim, Google Hangouts, Microsoft Teams gibi kullanımda olan birçok ürün vardır. Zoom, Webex ve liste devam ediyor. Bu şirketler hakkında bazı harika makaleler yazıldı ve bu konu benden daha fazla bilgi gerektirmiyor. Bu blog, kuruluşların video kaydı kullanıp kullanmaması gerektiğini ve bunun Avrupa'daki Veri Koruma Yönetmeliği - yani GDPR ile nasıl uyumlu olup olmayacağını araştırıyor.
Herhangi bir şüphe olması durumunda, bir video görüşmesinin içeriği kesinlikle kişisel verilerdir. Kişisel veriler, tanımlanmış veya tanımlanabilir yaşayan bir bireyle ilgili herhangi bir bilgidir. Kaydedilen içeriğe bağlı olarak, siyasi görüşler, dini inançlar, sağlıkla ilgili veriler veya bir kişinin cinsel yönelimi gibi şeyler ortaya çıkarsa özel kişisel veri kategorileri de içerebilir .
Kuruluşunuz elbette video görüşmesinin katılımcılarını kaydedecek, ancak evden çalışmaya geçişte, video kaydı kelimenin tam anlamıyla insanların özel hayatlarına bir pencere açacak. Takım toplantılarımız sırasında yarı çıplak partnerlerin geçmişte dolaştığına hepimiz şahit olduk *, ara sıra çocuk ve evcil hayvanın da çağrıya katıldığını gördük. Ev aktivitelerini kaydetmek, istekli bir toplantı katılımcısından daha fazlasını kaydettiğinizi düşünmeye başladığınızda çok rahatsız edici hissetmeye başlar. Çocuklar veya savunmasız bireyler de dahil olmak üzere evdeki diğer insanlar hakkında hangi kasıtsız bilgilerin açığa çıkabileceğini kim bilebilir? Bu kişilere kaydedildikleri konusunda bilgi verildi mi?
* hafif abartı
Kişisel verileri işlemek için bir kuruluş , işleme amacını ve yasal dayanağını tanımlamış olmalıdır . Basitçe söylemek gerekirse, sadece yapabildiğiniz için teknolojiyi kullanmamalısınız. Video görüşmeleri kaydetmek isteyen herhangi bir şirkete bunu yapmak için çok iyi bir nedene sahip olduklarından emin olmak için tavsiye ederim, bu da işleme kayıtlarına ve gizlilik bildirimlerine kaydedilir.
Bu işlevi kullanmaya karar veren birçok şirket, amacı tanımlamayı unutacak ve doğrudan tüm katılımcılardan onay alacakları fikrine atlayacaktır. Bu yolun özellikle baştan çıkarıcı olduğunu kanıtlıyor çünkü bu araçların çoğu yerleşik onay mekanizmaları sağlıyor, ancak işte bunun korkunç bir fikir olduğunu düşünmemin birkaç nedeni var:
Rıza serbestçe verilmelidir - rızanın geçerli olması için serbestçe verilmesi gerekir . Bir çalışandan toplantının kaydedilmesi için rıza vermesi istenirse, bir güç dengesizliği olduğunu iddia ediyorum, çünkü kaydı reddetmenin sonuçları hakkında endişelenebilirler, örneğin engelleyici veya işbirlikçi olma korkusu. Bu, incelemeye alınırsa onayı geçersiz kılabilir.
Rızanın geri çekilmesi kolay olmalıdır - rızanın GDPR'nin katı standartlarını karşılaması için, rızayı geri çekmek de rıza vermek kadar kolay olmalı ve bunun yönetilmesi kolay olduğunu sanmıyorum. Toplantıyı kaydetmek için gerçek bir amacınız varsa, bir katılımcının iznini geri çekmeye karar vermesi amacınıza engel olabilir, çünkü artık işlemek için izniniz olmadığı için dosyayı silmeniz gerekir.
Onay bir amaç değildir - bir kuruluş yine de bu verileri işlemek için geçerli bir nedeni olduğunu göstermelidir. Video görüşmelerini kaydetme nedenleri işten işletmeye değişebilir, ancak çoğu standart kuruluşta, özellikle herhangi bir amaç için gerçekten gerekli ve orantılı olup olmadığını düşünmeye başlarsam, video görüşmeleri kaydetmek için iyi bir neden bulmakta zorlanırdım .
İsteksiz katılımcılar - Arka planda yanlışlıkla görünüp duyulan ve kişisel verilerini işlemeye son verebileceğiniz, isteksiz katılımcılardan onay alınamaz.
Onay kullanılmazsa, başka bir yasal dayanak bulmanız gerekir ve çoğu şirket meşru menfaatler talep edecektir. Bu, meşru bir menfaat etki değerlendirmesi gerektiren başka bir şüpheli yasal dayanaktır - bir kuruluşun, işlemenin amaçları için neden gerekli olduğunu, bu faydaların veri sahiplerinin hakları ve özgürlükleriyle nasıl dengelendiğini belirtmesi gereken belgelenmiş bir uygulama olan bir LIA, neden daha az müdahaleci bir şekilde hedefe ulaşılamadığı ve diğer temel unsurlar. Bazı istisnalar olsa da, çoğu kuruluş şimdiye kadar mükemmel bir şekilde başa çıkabildikleri bir faaliyeti üstlenmek için meşru çıkarlar göstermek için mücadele edecek.
Elbette dikkate alınması gereken başka yasal dayanaklar da var, ancak çoğu durumda, bu amaç için bunların zayıf olduğunu düşünüyorum.
Kuruluşunuz video görüşmeleri kaydetmeye başlarsa, bu kişisel veriler veri sahibi haklarının yerine getirilmesi için kapsam dahiline girer. Veri Koruma Görevlinizin (veya ilgili ekibinizin) Konu Erişim İsteğine verdiğiniz yanıtın bir parçası olarak video görüşmesinin kopyalarını sağlaması gerekebilir. Kuruluşunuzun bunu ele almak için ne kadar donanımlı olduğunu ve talebin yerine getirilmesinin diğerlerinin hak ve özgürlüklerini etkilemediğinden emin olmak için videoları arama, inceleme ve gerekirse yeniden düzenleme gibi ekstra masrafları üstlenmek isteyip istemediğinizi değerlendirin. veri konuları - tümü 30 gün içinde. Bu, uzun, külfetli ve pahalı bir egzersiz haline gelebilir; bu da, bu aramaları kaydetmek için gerçekten sağlam ve önemli bir nedene sahip olmak isteyeceğinize işaret eder, çünkü maliyet / faydayı göz önünde bulundurmaya başladığınızda, bu pek zararsız ücretsiz özellik değildir. ilk olarak öyle görünüyor.
Bir silme hakkı alırsanız, aynı şey geçerlidir, bu verileri işlemeye devam edebileceğiniz yasal bir dayanağınız yoksa, 30 gün içinde bulmanız ve silmeniz gerekir.
Video kayıtlarına izin vermek, veri konularına onları kaydettiğinizi söylemeniz ve GDPR Madde 13 ve 14'ün gerekliliklerini yerine getirmeniz gerektiği anlamına gelir. Size önceden haber vereyim - söz konusu araçların hiçbirinin tüm bilgileri sağlayan bir işlevi yoktur. bilgilendirilme hakkı kapsamında gerekli bilgiler. Elbette, video konferans araçlarının çoğu aramanın kaydedildiğini belirten bir mesaj sağlar, ancak kuruluşunuzun özel amacını, yasal dayanağını, saklama süresini ve bilgilendirilme hakkını yerine getirmek için gereken diğer bilgileri sağlamaz . Çalışanlara (ve görüşmedeki diğer kişilere) Gizlilik Bildiriminizin bunu yeterince kapsadığından emin olmanız gerekecektir.
Aramaların kaydedilmesine izin vermeyi planlıyorsanız, kaydedildiği biçimin ve konumun yeterli düzeyde güvenlik sağladığından emin olmanız gerekir. Anahtar sağlayıcıların çoğu, dosyayı indirme ve yerel olarak saklama seçeneği sunar; planınıza bağlı olarak, bulutta da depolayabilirsiniz.
Erişim başka bir önemli husustur. Kayda kimler erişebilir? Kayıt düğmesine basılan kişi mi? Toplantıdaki herkes mi? Bu aramadan aramaya değişir mi? Yanlış kişilerin buna erişmemesini nasıl sağlıyorsunuz? Görüşmedeki biri beklenmedik bir şey ortaya çıkarsa bu unsurlardan herhangi biri değişmeli mi? Pratikte, bunu yönetmek ve takip etmek hızla imkansız hale gelebilir. DPO'lar ve Gizlilik Yöneticileri ağımda, çok azı bu yönün pratikliği ile gerçekten başa çıktıklarını söyleyebilir.
Ayrıca sağlam bir saklama politikasına sahip olmanız gerekir. Bu video kayıtlarının saklama süreleri muhtemelen diğer amaçlara yönelik saklama sürelerinden çok daha kısa olmalıdır; bu nedenle, bu saklama süresinin sonunda dosyanın silinmesini garanti etmek için bir işleme ihtiyacınız vardır. Yapmazsanız ve bu verilerin kaybıyla ilgili herhangi bir olay varsa, o zaman neden hala depoladığınızı açıklamak oldukça zor olacaktır. Daha kısa saklama süreleri de DSAR'ları çok daha yönetilebilir hale getirir.
21 yıllık kariyerim boyunca yaptığım tüm toplantıları düşündüğümde. Kaydedildikleri ve yeniden oynanabilecekleri düşüncesiyle utanıyorum. Hepimiz iyi günler geçirmedik, pişman olduğumuz ya da tekrar izlenirse bizi en iyi şekilde gösteremeyebileceğimiz şeyler söyler ya da yüzleri çekeriz. Disiplinli dikkat gerektiren berbat veya uygunsuz şeylerden bahsetmiyorum, sadece birinin hava şartlarında, stres altında veya en iyi durumda olmamak için başka nedenleri olduğu ortalama toplantınız. Bu durumların kayıtlarını gerçekten istiyor muyuz? Bundan rahatsızlık duyuyorum ve bunun mahremiyete gerçek bir müdahale olduğunu düşünüyorum. Pek çok toplantı beklenmedik yönlere sapıyor, bazen çok hassas bilgileri açığa çıkarıyor ve hiç kimsenin tüm tarihi toplantılarının kayıtlarından memnun olacağını iddia edemeyeceğini düşünüyorum.
Ayrıca aramaların asıl amaçlarının ötesinde kullanılması fikri ile de gerçekten ilgileniyorum. Yanlış ellere geçerse davranışları, dikkat aralıklarını, performansı vb. Analiz etmek için kullanılabilir. İyi bir hayal gücünüz varsa distopik olabilir.
Şimdiye kadar, video kaydetme görüşmelerinin kötü bir fikir olduğunu düşündüğüme göre, bu özelliğin çoğu kullanıcı için devre dışı bırakılması gerektiğine gerçekten inanıyorum. Çoğu amaç için gerekli ya da orantılı değildir ve her nüanslı bakışı ya da ifadeyi yeniden izleme yeteneği en azından söylemek ürkütücüdür. İnsanların evlerinde kayıt son derece müdahaleci olduğu için sorun Covid-19 ile daha da karmaşık hale geliyor.
Bir kuruluş bu işlevselliğe izin vermeyi seçerse, bunu hassas ve doğru bir şekilde yapmak zorunda kalırsa, bu maliyetli ve karmaşık bir uygulama haline gelebilir ve bu da nadiren maliyet avantajı sağlar.
Bazen işler en iyisi yalnız bırakılır.
Standart günlük uygulama olarak video kayıt özelliğini etkinleştirmeye veya izin vermeye karşıyım, ancak Veri Denetleyicileri kendi gereksinimlerini ve risklerini göz önünde bulundurarak işleri için doğru olduğunu düşündükleri şeyi yapmalıdır. Kuruluşunuzun gerçek bir amacı ve işleme için yasal dayanağı olduğuna inandığı istisnalar olabilir. Örneğin, bir eğitim oturumu yürütüyor ve kaydı canlı oturumu yapamayan ve diğer katılımcıların girdilerini ve sorularını duymak isteyebilecek diğer kişilere sunmanın yararlı olacağına karar verebilirsiniz.
Video kaydının sizin için olduğuna karar verirseniz, işte en önemli ipuçlarım:
1. İnsanlar evden çalışıyorsa ve onları kaydetmeniz gerekiyorsa, arka planı karartmalarını isteyin.
2. Tüm katılımcılara kaydedildiklerini söyleyin ve onlara kameralarını kapatma veya misilleme olmaksızın bırakmaları için gerçek bir seçenek verin.
3. İlgili kişilere iletilmiş olan kayıt için bir amacınız ve yasal dayanağınız olduğundan emin olun. Bu amaç, incelemeye dayanacak kadar spesifik ve sağlam olmalıdır - diğer bir deyişle gerekli ve orantılıdır.
4. Veri sahibi haklarının kolayca yerine getirilebilmesi için kayıtların nerede saklandığını bilin.
5. Kayıtlara erişimi kesinlikle sınırlayın.
6. Kaydı süresiz olarak tutmayın, aslında mümkün olan en erken fırsatta silmek için bir sisteme sahip olun. Kaydedildikleri amacı yerine getirdikten sonra 30 günden fazla saklamamanızı tavsiye ederim.
7. Kayıtların olabildiğince güvenli bir şekilde saklandığından emin olun. İdeal olarak, bunlar en azından şifrelenecektir.
8. Yazılım sağlayıcısını iyice araştırın ve her birinin artılarını ve eksilerini değerlendirin. Bazı sağlayıcıların verilerinizi AB dışına aktaracağını unutmayın.
9. İşlenen verilerin amacına, hacmine ve türüne bağlı olarak, bir DPIA gerçekleştirilmesini şiddetle tavsiye ederim.
10. Gerçekleştirilen etkinlikleri yansıtmak için işleme ve gizlilik bildirimleri kayıtlarınızı güncelleyin.
11. İhtiyaç ne kadar haklı görünürse görünsün, video kayıtlarını belirtilen amaçlar dışında kullanmayı düşünmeyin.
Görüntülü görüşmeler kaydedilmeli mi? Belki de kuruluşunuzda video kayıtlarını onaylayan ve benim görüşümü çok dogmatik bulan bir Gizlilik Uzmanısınız. Ya da belki de belirlediğiniz bazı endişeleri gözden kaçırdım? Aramaları kaydetmeyi düşünen ve ek görüşleriniz, düşünceleriniz veya bazı tavsiyelere ihtiyacınız olan bir işletme misiniz? Her iki durumda da, sizden haber almak iyi olur!
Okuduğunuz için teşekkürler.
Https://www.flaticon.com/authors/freepik tarafından yapılan Görüntü Simgesi
Gizlilik Odaklı Web Analitiğine Neden İhtiyaç Duyulur? Hey! Gizlilik odaklı web analitiği dünyasına dalmaya hazır mısınız? Topladığınız ve Google Analytics'e veya Facebook Analytics'e aktardığınız tarama geçmişine ve web sitesi verilerine ne olduğunu hiç merak ettiniz mi? İnternetin korkunç bir yer olduğu bir sır değil. Etrafta dolaşan tüm ürkütücü tarayıcılar ve veri hırsızları ile, çevrimiçi etkinliklerinizin güvenliği konusunda bunalmış ve endişeli hissetmek kolaydır.
Aralık 2020'de haberler, bir ağ yönetim araçları paketi olan SolarWinds'i içeren karmaşık bir hacklemenin teknoloji sektörünü vurdu. İlk raporlar ve o zamandan beri saldırıyla ilgili hemen hemen tüm haberler, teknik olmayan işletme sahibini ne olduğu ve ne anlama geldiğinin açıklaması için teknoloji sektörünün insafına bırakan "özel dil" kullanımına yenik düştü. işleri için.
Hiçbir şey gerçekten "özgür" değildir, değil mi? Siz de benim gibi, muhtemelen her yerde QR Kodlarının arttığını fark ettiniz. New South Wales, Avustralya gibi hükümet tarafından yönetilen ve yönetilenlerden bağımsız perakendeciler ve eğlence mekanlarına kadar, küçük çizgiler ve şekiller her yerde.
Bilişsel hackleme, dezenformasyon ve hesaplama propagandasından kaynaklanan bir tehdittir. Psikolojik zayıflıkları kullanan, önyargıları sürdüren ve sonunda bilişsel uyumsuzluğa yol açan mantıksal ve eleştirel düşünmeyi tehlikeye atan bir siber saldırıdır.
Bu makalede, size Zip dosyalarını içeren en çok kötüye kullanılan güvenlik açıklarından ikisini anlatacağım. Bu güvenlik açıklarının nereden geldiğini ve sistemlerden nasıl yararlanabileceklerini açıklıyorum.