Prečo chrániť svoje osobné údaje – pred štátom aj pred korporáciami?

V poslednej dobe prichádzajú stále nové regulácie, kedy štát o nás zbiera informácie, ktoré nutne nepotrebuje k svojej činnosti. Z tohto zberu daného zákonmi nie je možný opt-out. Finančná správa zbiera údaje o našom nákupnom správaní pomocou systému eKasa (v rozsahu, ktorý ďaleko prevyšuje údaje potrebné na efektívny výber daní), a chce ho rozšíriť aj na faktúry. Užívatelia online platforiem sa budú musieť “predbonznúť” finančnej správe a platformy ich budú musieť nahlasovať. Okrem toho príjemcovia cezhraničných platieb (aj vrámci EÚ) budú nahlasovaní do centrálnej databázy.

Okrem toho sme zažili zbieranie informácií o polohe (počas pandémie).

Od privátneho sektora štáty EÚ chcú ochranu súkromných údajov. Ale stále menej im umožňujú, aby tieto údaje nezbierali. Ak mám vzťah so zákazníkom, nepotrebujem vždy vedieť jeho osobné údaje. Na kryptomenách funguje celý paralelný finančný systém, ktorý nepotrebuje poznať ani vaše meno. Mnohé v EÚ registrované firmy tak nemajú na výber – osobné údaje musia (z dôvodu štátnych regulácií) zbierať a potom ich musia (z dôvodu iných štátnych regulácií) chrániť. A v poslednej dobe ich stále viac musia nahlasovať rôznym štátnym inštitúciám.

A tu prichádzajú dve otázky – ak aj počítame, že ich dokáže chrániť súkromný sektor (čo nedokáže, GDPR je papierová regulácia, ktorá výrazne zhoršuje súkromie a bezpečnosť osobných údajov), dokáže to verejná správa, na ktorú sa GDPR vzťahuje len okrajovo? Keďže úniky z verejných aj súkromných databáz sú na dennom poriadku – a až po úniku nejaký úrad na ochranu osobných údajov prešetrí, kde nastala chyba, myslím si, že odpoveď je jednoznačne nie. Ale to nie je jediný problém.

Prečítal som si zaujímavý rozhovor s Christom Grozevom z Bellingcat o tom ako funguje trh s osobnými údajmi v Rusku. Zaujala ma hlavne táto časť:

Dnes to funguje tak, že existují zprostředkovatelé, kteří jsou k nalezení na internetových fórech. Zprostředkovatelé tam nabízejí, do jakých databází mají přístup. Typicky nabízí přístup do policejního systému, do systému pohraniční kontroly, finanční správy a do databází telefonních operatorů, kde se dají získat data o telefonních hovorech. Tohle jsou často mladí lidé, ne z Moskvy nebo Petrohradu, spíše z regionů, které nenabízí mnoho příležitostí.

Připadá jim, že jediný způsob, jak si vydělat nějaké peníze, je dělat takového zprostředkovatele. To znamená sehnat nějakého policistu, místního policistu, mladé lidi pracující u telefonního operátora nebo na daňovém úřadě. Nabízí jim zhruba 10 eur za vyhledání dat a sami si účtují zhruba 15 eur. Tohle je ta nejlevnější varianta. Třeba za telefonní data jim dají sto eur a od klienta si účtují 150. To jsou zprostředkovatelé. Koupit se od nich dá cokoliv.

Třeba u takového Fina bych jim řekl jméno a datum narození a dozvěděl bych se všechny vaše cesty do Ruska. Kdo vás do Ruska pozval, na jaké adrese jste bydleli, s daty a časy vstupu. Pokud jste Rusové, pak budu mít dat mnohem víc. Všechny jízdenky, které jste si koupili, vlak, autobus, letadlo, daňová přiznání za posledních deset let, tam je vidět, kdo vás zaměstnával. Pokud jde o cenu, nejlevnější je řekněme kopie pasu, to je 20 eur, nejdražší je detailní určení vaší pozice podle telefonních věží, to vychází na 500 eur za data za poslední tři měsíce. Takže taková data se dají získat.

Poviete si, jasné, skorumpované Rusko. Tak jeden zo Slovenska. Bol raz jeden pán, ktorý vlastnil niekoľko firiem. Myslel si, že ho podvádza manželka. Namiesto toho, aby ju konfrontoval, chcel mať túto informáciu potvrdenú. Dal nejakému policajtovi 500€ a túto informáciu si potvrdil. Keď sa s manželkou rozišiel a situáciu spracoval, tak si uvedomil, že za 500€ môže ktorýkoľvek jeho konkurent získať podobné informácie, ktoré môže využiť pri konkurenčnom boji. A začal hľadať ako zabezpečiť svoju komunikáciu.

A to bolo ešte predtým ako existovali databázy ako napríklad eKasa, kde sú v databáze prístupnej z Internetu všetky informácie o nákupoch zákazníkov v jeho pokladniach. Na prístup k jednotlivým bločkom samozrejme treba vedieť číslo dokladu (hrubá sila nezafunguje, číslo je dostatočne dlhé). A otázka je – ako je táto databáza zabezpečená. A doplňujúca otázka – koľko peňazí treba dať niekomu, kto k nej má prístup, aby dodal niektoré dáta? V záznamoch je skoro všetko, čo máte na bločku – názvy produktov, počty kusov, jednotkové ceny, miesto a čas nákupu… Vyskúšajte si to, zoberte si bloček, načítajte appkou finančnej správy Over doklad QR kód (v ktorom je len to dlhé číslo – identifikátor dokladu) a pozrite sa, čo všetko sa dotiahne z databázy Finančnej správy, ktorá je pripojená na Internet(!).

A posledný problém – predpokladajme, že štátne inštitúcie vyriešia IT bezpečnosť, dokonca aj korupciu na všetkých úrovniach prístupu k dátam. Proste všetko bude super. Tie údaje v databáze stále sú. A bude k nim mať prístup aj nová vláda, či nové vedenie Finančnej správy. Pripomínam, že celé bývalé vedenie Finančnej správy je momentálne vo väzbe. Budú správcovia týchto databáz v budúcnosti všetci super týpci a táto situácia sa nikdy nemôže stať? Na základe čoho to predpokladáme? Volič sa nikdy nemôže už pomýliť? Každé jedno rozhodnutie o prijatí do zamestnania na úradoch bude od dnes už natoľko dobré, že žiadny skorumpovaný úradník už nikdy nevznikne?

Čo s tým?

Samozrejme, bolo by pekné, keby štáty, korporácie a nadnárodné celky prestali špehovať a ukladať na dlhé roky citlivé dáta o ľuďoch, ktoré nepotrebujú na dodanie svojich služieb.

V privátnom sektore si môžeme vybrať poskytovateľov. Namiesto textových správ cez SMS alebo Telegram, ktoré nie sú end-to-end šifrované môžeme používať niektorý zo šifrovaných messengerov ako napríklad Signal. Môžeme si vybrať sociálne siete, vyhľadávače, e-mailových poskytovateľov a pod., ktoré nie sú postavené na sledovaní, monetizovaní pozornosti a big data. Ako na to učím v kurze Digitálna bezpečnosť a súkromie.

Vo verejnom sektore si tiež môžeme za istých okolností vyberať poskytovateľov alebo aspoň zmeniť správanie. Lístok na autobus si môžete kúpiť “SMSkou” alebo anonymne za mince v automate. Pri platbe môžete použiť hotovosť alebo kryptomeny, aby nebolo ľahké spojiť váš nákup (ktorý sa nahlasuje do verejnej správy) s vašou identitou. A samozrejme môžete nakupovať v zahraničí, kde tieto špionážne systémy zatiaľ nefungujú. Okrem toho nie každý potrebuje vaše skutočné osobné údaje – viď napríklad pekný projekt Peter Horváth, ktorý vysvetľuje, že môžete pri mnohých situáciách používať pseudonym.

Regulatórna arbitráž funguje aj na pomedzí súkromného a verejného sektora. Napríklad mobilné dáta a telefónne číslo si kupujeme od slovenského operátora, ten je však nútený zbierať o nás informácie. V Čechách ale táto povinnosť nie je, ale vzťahuje sa na nich regulácia o roamingu vrámci EÚ. Takže môžete kľudne používať anonymné predplatené SIM karty z českej republiky v slovenskej sieti. A ani to nie je drahšie.

Možno je to zbytočná paranoja a všetko dopadne dobre – spoluobčania nikdy nezvolia nejakých náckov alebo diktátorov do vlády a naozaj zatočia s korupciou – všetci úradníci s prístupom k osobným údajom budú žiť iba z výplaty a nie z obáločiek. V takom prípade získate len uvedomenie si, aké osobné údaje sa kedy a kam posielajú a či je náročné alebo naopak jednoduché sa tomu vyhnúť. Sledovanie sa zhoršuje, ale spolu s týmto procesom vzrastá dopyt po súkromí a zlepšujú sa šifrovacie a anonymizačné technológie (to je jeden zo základných princípov Lunarpunku, o ktorom píšem v poslednej kapitole mojej knihy Kryptomeny – vyhackuj si lepší život). V opačnom prípade bude dobre, že ste tomuto venovali čas aj z iného dôvodu.