GDPR

[stavmanr]

Αυτά που γράφεις εδώ, ποιου περιουσία είναι;

Το λογισμικό που τρέχει για να παρουσιάζει και να αποθηκεύει αυτά που γράφω, ποιανού περιουσία είναι;

Αυτού που το δημιούργησε ή αγόρασε.
Εδώ ποιος δημιούργησε-αγόρασε αυτά που γράφονται;

Θα σου γράψω το περίεργο της υπόθεσης.
Σε ένα φόρουμ υπάρχει ο όρος "τα δικαιώματα των κειμένων έχουν οι δημιουργοί τους" κι από κάτω " συνεχίζει "οι οποίοι παραχωρούν την αποκλειστική εκμετάλλευση προβολής κι αναπαραγωγής στο φόρουμ".
Εδώ έρχεται η πρώτη παρατήρηση: τα κείμενα σου ανήκουν
και η δεύτερη: η προβολή τους είναι ευθύνη του φόρουμ.

[itteithe]

Αυτού που το δημιούργησε ή αγόρασε.
Εδώ ποιος δημιούργησε-αγόρασε αυτά που γράφονται;

Θα σου γράψω το περίεργο της υπόθεσης.
Σε ένα φόρουμ υπάρχει ο όρος "τα δικαιώματα των κειμένων έχουν οι δημιουργοί τους" κι από κάτω " συνεχίζει "οι οποίοι παραχωρούν την αποκλειστική εκμετάλλευση προβολής κι αναπαραγωγής στο φόρουμ".
Εδώ έρχεται η πρώτη παρατήρηση: τα κείμενα σου ανήκουν
και η δεύτερη: η προβολή τους είναι ευθύνη του φόρουμ.

Ναι, έχεις δίκιο, απλά αναφερόμουν γενικά στους πόρους και ορισμένα περιεχόμενα του διαδικτύου και ειδικά στην υλικοτεχνική δομή του. Τα φόρα και τα κοινωνικά δίκτυα έχουν περιεχόμενο που δημιουργείται από χρήστες και είναι πνευματική τους ιδιοκτησία.

Π.χ., το παρόν φόρουμ, χρησιμοποιεί μια πλατφόρμα ανοιχτού κώδικα, η οποία είναι και δωρεάν. Βέβαια ο Adminovic που τρέχει το παρόν φόρουμ ρίχνει λεφτά από την τσέπη του για να το συντηρήσει (υποθέτω κυρίως γιατί του αρέσει να διατηρεί μια τέτοιου είδους κοινότητα, ή για την ψυχή της μάνας του - κι εγώ ήθελα να δημιουργήσω μια, δεν είναι τραγικά τα έξοδα αν είναι μικρή η κοινότητα), μιας και ούτε διαφημίσεις έχει το elefthero, ούτε συνδρομή. Υπάρχουν όμως φόρα, όπως το forums, που βασίζεται σε κώδικα που έγραψαν οι ιδιοκτήτες του και επιπλέον έχουν διαφημίσεις (για να μην παρεξηγηθώ, δεν το θεωρώ επ' ουδενί κατακριτέο).

Για να καταλήξω, το περιεχόμενο μπορεί να είναι δική σου ιδιοκτησία, αλλά το μέσο για να το προβάλλεις δεν είναι. Το μέσο έχει λειτουργικά έξοδα και είτε θα παραχωρήσεις τα μεταδεδομένα σου για να πληρωθούν αυτά τα λειτουργικά έξοδα (σε ορισμένες περιπτώσεις για να βγει και κέρδος, που επίσης δεν είναι κατακριτέο, αν και καλό θα ήταν να μοιράζεται με τον δημιουργό, όπως γίνεται με το youtube), είτε θα πρέπει να πληρώσεις από την τσέπη σου. Και μην ξεχνάς πως εκτός από τους δημιουργούς περιεχομένου στα φόρα, υπάρχουν και οι απλοί καταναλωτές/αναγνώστες

Μεταξύ μας όμως, όλοι γνωρίζαμε για την εκμετάλλευση των μεταδεδομένων μας και σιωπηρά όλη την ανεχόμασταν(ε). Το ποιο εντυπωσιακό που βγήκε στη φόρα με το GDPR (και ίσως το πιο θετικό), είναι πως τα ιατρικά κέντρα εκμεταλλεύονταν όλα αυτά τα χρόνια τα ιατρικά δεδομένα των ασθενών χωρίς την έγκριση τους.

[stavmanr]

Για να καταλήξω, το περιεχόμενο μπορεί να είναι δική σου ιδιοκτησία, αλλά το μέσο για να το προβάλλεις δεν είναι.

Αυτή είναι η μία πλευρά του θέματος. Η άλλη είναι ότι δεν υπάρχει φόρουμ όταν δεν υπάρχουν κείμενα των συντακτών τους.
Επομένως, υπάρχει ήδη μία σιωπηρή συναλλαγή μεταξύ δημιουργών και φόρουμ στην οποία ο ένας προσφέρει τα κείμενά του κι ο άλλος τα προβάλλει. Σε άλλη περίπτωση θα είχαμε έναν admin να γράφει μόνος του, σα σε μπλογκ.

Το μέσο έχει λειτουργικά έξοδα και είτε θα παραχωρήσεις τα μεταδεδομένα σου για να πληρωθούν αυτά τα λειτουργικά έξοδα (σε ορισμένες περιπτώσεις για να βγει και κέρδος, που επίσης δεν είναι κατακριτέο, αν και καλό θα ήταν να μοιράζεται με τον δημιουργό, όπως γίνεται με το youtube), είτε θα πρέπει να πληρώσεις από την τσέπη σου. Και μην ξεχνάς πως εκτός από τους δημιουργούς περιεχομένου στα φόρα, υπάρχουν και οι απλοί καταναλωτές/αναγνώστες

Τίποτα δεν είναι κατακριτέο όταν είναι ευδιάκριτο και υπάρχει αντίστοιχη ενημέρωση.

Μεταξύ μας όμως, όλοι γνωρίζαμε για την εκμετάλλευση των μεταδεδομένων μας και σιωπηρά όλη την ανεχόμασταν(ε). Το ποιο εντυπωσιακό που βγήκε στη φόρα με το GDPR (και ίσως το πιο θετικό), είναι πως τα ιατρικά κέντρα εκμεταλλεύονταν όλα αυτά τα χρόνια τα ιατρικά δεδομένα των ασθενών χωρίς την έγκριση τους.

[itteithe]

Αυτή είναι η μία πλευρά του θέματος. Η άλλη είναι ότι δεν υπάρχει φόρουμ όταν δεν υπάρχουν κείμενα των συντακτών τους.
Επομένως, υπάρχει ήδη μία σιωπηρή συναλλαγή μεταξύ δημιουργών και φόρουμ στην οποία ο ένας προσφέρει τα κείμενά του κι ο άλλος τα προβάλλει. Σε άλλη περίπτωση θα είχαμε έναν admin να γράφει μόνος του, σα σε μπλογκ.

Όμως οι συντάκτες των κειμένων σε ένα φόρουμ δεν είναι οι μόνοι αναγνώστες του φόρουμ, γι αυτό αναφέρω οτι τα φόρα και οι πλατφόρμες δικτύωσης είναι ιδιαίτερες περιπτώσεις, γιατί έχουν και χρήστες που συμβάλλουν στο περιεχόμενο. Υπάρχει σχέση αλληλεξάρτησης εδώ πέρα, αλλά μόνο με τους χρήστες που συμβάλλουν, οι υπόλοιποι είναι απλοί καταναλωτές.

Σε ένα online περιοδικό, ή εφημερίδα, ή site εξειδικευμένου περιεχομένου, δεν έχεις αυθαίρετο δικαίωμα στο περιεχόμενό του. Ή θα πληρώσεις συνδρομή (που πολλά από τα παραπάνω είτε είχαν ήδη συνδρομή για ορισμένο περιεχόμενο, είτε ήταν εξ' ολοκλήρου συνδρομητικά), ή θα παραχωρήσεις τα μεταδεδομένα σου και θα έχεις ελεύθερη πρόσβαση σε όλο το περιεχόμενο.

Και κάτι πιο τεχνικό, υπάρχουν δεδομένα και μεταδεδομένα χρηστών που αποθηκεύονται από διάφορες πλατφόρμες για την πιο αποδοτική λειτουργία της ίδιας της πλατφόρμας (caching), τα οποία είτε είναι όροι αναζήτησης, ώστε να αποφεύγεις να κάνεις κλήσεις και να δημιουργείς φόρτο εργασίας στο σύστημα που λειτουργεί πίσω απ' την πλατφόρμα, είτε δημογραφικά στοιχεία και στατιστικά επισκέψεων ώστε να μπορείς να δημιουργείς περιεχόμενο που όντως ενδιαφέρει τους χρήστες σου.

[stavmanr]

Αυτή είναι η μία πλευρά του θέματος. Η άλλη είναι ότι δεν υπάρχει φόρουμ όταν δεν υπάρχουν κείμενα των συντακτών τους.
Επομένως, υπάρχει ήδη μία σιωπηρή συναλλαγή μεταξύ δημιουργών και φόρουμ στην οποία ο ένας προσφέρει τα κείμενά του κι ο άλλος τα προβάλλει. Σε άλλη περίπτωση θα είχαμε έναν admin να γράφει μόνος του, σα σε μπλογκ.

Όμως οι συντάκτες των κειμένων σε ένα φόρουμ δεν είναι οι μόνοι αναγνώστες του φόρουμ, γι αυτό αναφέρω οτι τα φόρα και οι πλατφόρμες δικτύωσης είναι ιδιαίτερες περιπτώσεις, γιατί έχουν και χρήστες που συμβάλλουν στο περιεχόμενο. Υπάρχει σχέση αλληλεξάρτησης εδώ πέρα, αλλά μόνο με τους χρήστες που συμβάλλουν, οι υπόλοιποι είναι απλοί καταναλωτές.

Σε ένα online περιοδικό, ή εφημερίδα, ή site εξειδικευμένου περιεχομένου, δεν έχεις αυθαίρετο δικαίωμα στο περιεχόμενό του. Ή θα πληρώσεις συνδρομή (που πολλά από τα παραπάνω είτε είχαν ήδη συνδρομή για ορισμένο περιεχόμενο, είτε ήταν εξ' ολοκλήρου συνδρομητικά), ή θα παραχωρήσεις τα μεταδεδομένα σου και θα έχεις ελεύθερη πρόσβαση σε όλο το περιεχόμενο.

Δεν διαφωνούμε καθόλου σε αυτό. Όμως, αυτός είναι ο λόγος που τα ΜΚΔ γενικά έχουν επικρατήσει των εφημερίδων. Το μόνο που κρατά τις εφημερίδες ζωντανές είναι η όποια αξιοπιστία τους σε αντίθεση με τα ΜΚΔ που ο κάθε ...παλαβός γράφει την παλαβομάρα του κι εσύ πασχίζεις να καταλάβεις τί συμβαίνει. Αυτό είναι το τίμημα της δωρεάν/αφιλτράριστης επικοινωνίας.

Και κάτι πιο τεχνικό, υπάρχουν δεδομένα και μεταδεδομένα χρηστών που αποθηκεύονται από διάφορες πλατφόρμες για την πιο αποδοτική λειτουργία της ίδιας της πλατφόρμας (caching), τα οποία είτε είναι όροι αναζήτησης, ώστε να αποφεύγεις να κάνεις κλήσεις και να δημιουργείς φόρτο εργασίας στο σύστημα που λειτουργεί πίσω απ' την πλατφόρμα, είτε δημογραφικά στοιχεία και στατιστικά επισκέψεων ώστε να μπορείς να δημιουργείς περιεχόμενο που όντως ενδιαφέρει τους χρήστες σου.

Επιστροφή στο θέμα λοιπόν...
Τον διεθνή κανονισμό GDPR δεν απασχλούν καθόλου τα προβλήματα του εκάστοτε υπεύθυνου επεξεργασίας (ορίζεται ως εκείνος που διαχειρίζεται την πληροφορία με κάθε τρόπο). Αυτά τα θέματα είναι που δημιουργούν το ζήτημα εξαρχής. Η διαχείριση των προσωπικών πληροφοριών για προσωπικό όφελος (μείωση κόστους, αύξηση απόδοσης, διαφημιστικό περιεχόμενο κλπ) είναι αυτό που το GDPR περιορίζει επι της ουσίας.
Σύμφωνα με το GDPR θα πρέπει να κωδικοποιείς τα δεδομένα των χρηστών σου με τέτοιο τρόπο ώστε η αναγνωρισιμότητα/ταυτοποίηση των δεδομένων προσωπικού χαρακτήρα των χρηστών να είναι μη αντιστρέψιμη. Από εκεί και πέρα μπορείς να χειρίζεσαι τα ανώνυμα, γενικά στατιστικά της υπηρεσίας σου όπως νομίζεις.
Το πρόβλημα της διαφήμισης είναι βέβαια ότι ενδιαφέρεται αποκλειστικά για ΠΡΟΣΩΠΙΚΗ "επίθεση". Θέλει να ξέρει τα ενδιαφέροντά σου, τις ανάγκες σου, τα προβλήματά σου για να στοχεύει επακριβώς σε εκείνα. Δεν προλαβαίνουν να σε ληστέψουν και σου έρχεται διαφήμιση για πόρτες ασφαλείας...

[itteithe]

Επιστροφή στο θέμα λοιπόν...
Τον διεθνή κανονισμό GDPR δεν απασχλούν καθόλου τα προβλήματα του εκάστοτε υπεύθυνου επεξεργασίας (ορίζεται ως εκείνος που διαχειρίζεται την πληροφορία με κάθε τρόπο). Αυτά τα θέματα είναι που δημιουργούν το ζήτημα εξαρχής. Η διαχείριση των προσωπικών πληροφοριών για προσωπικό όφελος (μείωση κόστους, αύξηση απόδοσης, διαφημιστικό περιεχόμενο κλπ) είναι αυτό που το GDPR περιορίζει επι της ουσίας.
Σύμφωνα με το GDPR θα πρέπει να κωδικοποιείς τα δεδομένα των χρηστών σου με τέτοιο τρόπο ώστε η αναγνωρισιμότητα/ταυτοποίηση των δεδομένων προσωπικού χαρακτήρα των χρηστών να είναι μη αντιστρέψιμη. Από εκεί και πέρα μπορείς να χειρίζεσαι τα ανώνυμα, γενικά στατιστικά της υπηρεσίας σου όπως νομίζεις.
Το πρόβλημα της διαφήμισης είναι βέβαια ότι ενδιαφέρεται αποκλειστικά για ΠΡΟΣΩΠΙΚΗ "επίθεση". Θέλει να ξέρει τα ενδιαφέροντά σου, τις ανάγκες σου, τα προβλήματά σου για να στοχεύει επακριβώς σε εκείνα. Δεν προλαβαίνουν να σε ληστέψουν και σου έρχεται διαφήμιση για πόρτες ασφαλείας...

Σε ένα IoT project που συμμετέχω, το app που συντηρώ επικοινωνεί με ένα microcontroller μέσω ενός message broker στον οποίο ο microcontroller στέλνει δεδομένα κάθε δευτερόλεπτο, ο οποίος (ο message broker) έχει την δυνατότητα να αποθηκεύσει αυτά τα δεδομένα εν είδει χρονοσειράς σε ένα backend. Μάλιστα δίνουμε την δυνατότητα στον χρήστη να δει τις χρονοσειρές αυτές ώστε να έχει μια εικόνα για την απόδοση της συσκευής του. Αυτά τα δεδομένα δεν περιέχουν κανένα προσωπικό στοιχείο του χρήστη, αλλά ούτε και μεταδεδομένα (διευθύνσεις IP, geolocation κτλπ). Παρ' όλ' αυτά είμαστε υποχρεωμένοι από το GDPR να ενημερώσουμε τον χρήστη οτι αποθηκεύουμε και αυτά τα δεδομένα και μάλιστα πρέπει να τον ενημερώσουμε και για πιο λόγο το κάνουμε (που είναι και το σωστό, δεν αμφιβάλλω γι αυτό).

Τώρα τα analytics που κάνουν track την συμπεριφορά των χρηστών σε διάφορα sites και app, δεν περιέχουν (και δεν περιείχαν ποτέ) ονομαστικές πληροφορίες από τους χρήστες, ή γενικά πληροφορίες που μπορούν να τους ταυτοποιήσουν. Δηλαδή κανένα analytics tool δεν αποθήκευε ποτέ πληροφορίες του στυλ, ο Γιώργος Παπαδόπουλος, που είναι άνδρας, 25 χρονών, με την τάδε IP και το τάδε geolocation επισκέφτηκε την τάδε σελίδα, ή screen. Κρατάνε συσσωρευτικά στατιστικά στοιχεία για την ηλικία, το φύλο την τοποθεσία και την οθόνη ή σελίδα που επισκέφτηκαν οι χρήστες, αλλά δεν μπορείς (και δεν μπορούσες) να κάνεις track προς τα πίσω την δραστηριότητα ενός συγκεκριμένου χρήστη. Υπάρχουν και πλατφόρμες αυτόματης αναφοράς error και crash για διάφορες εφαρμογές, που συλλέγουν πληροφορίες από errors και crashes που μπορούν να προκύψουν στην εφαρμογή σου (γιατί θα πρέπει να έχεις έναν τρόπο να κάνεις track από τεχνικής πλευράς για το τι πήγε στραβά στην εφαρμογή σου). Για όλα τα παραπάνω είσαι υποχρεωμένος να δώσεις αναφορά στους χρήστες με βάση το GDPR (που -ξαναγράφω- το βρίσκω απόλυτα σωστό). Βέβαια για το τι κάνουν από πίσω τα διάφορα ad libraries δεν το γνωρίζω, αλλά μπορώ να υποθέσω τα χειρότερα...

[stavmanr]

Υποθέτω ότι όταν, με το καλό, σου γίνει έλεγχος από αρμόδιες υπηρεσίες για τον εναρμονισμό με το GDPR θα πρέπει να είσαι σε θέση να αποδείξεις ότι τα φυσικά πρόσωπα δεν είναι ταυτοποιήσιμα με κανέναν τρόπο.

[itteithe]

Υποθέτω ότι όταν, με το καλό, σου γίνει έλεγχος από αρμόδιες υπηρεσίες για τον εναρμονισμό με το GDPR θα πρέπει να είσαι σε θέση να αποδείξεις ότι τα φυσικά πρόσωπα δεν είναι ταυτοποιήσιμα με κανέναν τρόπο.

Για να είμαι ειλικρινής όμως...

Σε πληροφοριακό σύστημα παραγγελιών στην Αμερική, είδα να κρατάνε audit με λεπτομερέστατες πληροφορίες για κάθε κίνηση που έκανε ο χρήστης, με όλα τα δεδομένα να ταυτοποιούν πλήρως τον χρήστη. Ο λόγος που κρατούσαν αυτά τα δεδομένα ήταν για να μπορούν να αναπαράγουν τις συνθήκες και τα inputs του χρήστη σε περίπτωση που κάτι πήγαινε στραβά. Έτσι μας είχαν πει τουλάχιστον.

Στην Ευρώπη δεν έχω συναντήσει κάτι παρόμοιο.

[stavmanr]

Υποθέτω ότι όταν, με το καλό, σου γίνει έλεγχος από αρμόδιες υπηρεσίες για τον εναρμονισμό με το GDPR θα πρέπει να είσαι σε θέση να αποδείξεις ότι τα φυσικά πρόσωπα δεν είναι ταυτοποιήσιμα με κανέναν τρόπο.

Σε πληροφοριακό σύστημα παραγγελιών στην Αμερική, είδα να κρατάνε audit με λεπτομερέστατες πληροφορίες για κάθε κίνηση που έκανε ο χρήστης, με όλα τα δεδομένα να ταυτοποιούν πλήρως τον χρήστη. Ο λόγος που κρατούσαν αυτά τα δεδομένα ήταν για να μπορούν να αναπαράγουν τις συνθήκες και τα inputs του χρήστη σε περίπτωση που κάτι πήγαινε στραβά. Έτσι μας είχαν πει τουλάχιστον.

Το μεγάλο πρόβλημα κατά τη γνώμη μου έχει ως εξής:
υπεύθυνος επεξεργασίας είναι όποιος αποθηκεύει, προβάλλει, επεξεργάζεται, συντηρεί κλπ. τα δεδομένα προσωπικού χαρακτήρα στο διαδίκτυο. Υπεύθυνος επεξεργασίας, επομένως είναι και η ίδια η αστυνομία που διαχειρίζεται τέτοια δεδομένα.
Δεν μπορώ να κατανοήσω πώς ακριβώς θα εργάζεται η αστυνομία στο διαδίκτυο, όταν της αφαιρείται το δικαίωμα να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, έμμεσα ή άμεσα.