התייחסות לrecall ולפתרונות של אינקודס מידע, אם יש לכם את זה , אתם מפירים את הזכויות של אנשים אחרים ועצמכם, פשוט תשנו את מערכת ההפעלה בה אתם משתמשים אם אתם לא יכולים להסיר את זה

היה לי דיון מעניין על משמעות recall של מייקרסופט ושל מערכות האינדוקס של הלקוחות הרזים שמתחברים לשימוש בתוך הרשתות המוגנות. מייקרוסופט פרסמו הברה לגבי מימוש הפרטיות של הנושא. 

המסקנה שהגענו אליהם הם, שאסור להשתמש במערכת בהם מופעל מערכות צילום / הסרטה במידה והמערכת היא איננה של האירגון המנהל. 

 

במערכות ה cyberark (אם אני זוכר נכון את השם של המוצר) , המערכות אומנם מקליטות את כל המידע אבל זה מוגדר ברמת האירגון, אז כל האשמה שם היא על האירגון, דרך אגב אני אישית סבלתי מאוד מהמוצר שלהם, זה לא היה זז אצלי בשיט.

זה מתקשר לכלל שלימדו אותי פעם, אם אתה צריך שהמידע לא יזלוג אל תשמור אותו מלתחילה, אם נניח אתם מלווים חולים לטיפול רפואי או קובעים בשבילהם את התורים שלהם (כי המערכת עקומה ברמות הזויות), הפתרון של recall יצלם כל רגע ויאפשר לתוכנה אחרת שאין לכם שום שליטה עליה לשמור ולקטלג את המידע.  במקרה הזה התוכנה הזאת היום אומרת שהמידע ישאר מקומי, אבל לא ידוע מה ייקרא עוד שנה שנתיים. כבר ראינו איך חברות משנות את תנאי השימוש שלהן לרעה. האם אפשר להשתמש במערכות שמפעילות את זה בהתאם לחוקי ה GDPR ? אז לא הצלחנו להבין אם תחת ה GDPR קיים איסור או לא קיים איסור להשתמש במערכות כאלה. במדינתי אין שום הגנות פרטיות אז אין מה לדאוג יותר מדי וחבל, ישנם רק החוזים מול החברות.

לנו בקוד הפתוח כבר היה פיאסקו כזה בשם baloo , והיה רעש מאוד גדול בגלל שהוא אינדקס מידע מתיקיית הבית בברירת מחדל, מה שגרם לזה שכל מתכנת היה עובר על החוזה שלו , וכל מי שעובד עם מידע פרטי (למשל עמותות שעוסקות במידע של קטינים) היה פתוח לתביעות ובמקרה הגרוע ביותר אפילו למצוא את עצמו בבית המשפט.

הפתרון של baloo היה לשנות את הקוד שלהם, ולהפוך את זה ל opt-in עבור תיקות אותם רוצים לאנדקס.
 

האמת גם בdolphin הייתה פעם קיימת בעייה דומה בה נשמרו התמונות המוקטנות (thumbnail) של התמונות שנצפו אצלכם, אבל זה ניתן לשינויי ממה שאני יודע.

בבעיית הייצוא אצל מוזילה, ממה שאני יודע אפשרו את  הייצוא בגרסאות ה f-droid, בצורה כזאת הם שמרו על ה GDPR ולא סיבכו את המשתמשים שלהם כלל.

לגבי recall ? הדבר הזה פשוט אסור לאדם שהוא נוגע במידע שהוא לא שלו !  אני זוכר דיון שהיה עם איזה עובד מדינה שאמר אבל יש לי אישור לקבל את המידע של אדם מסויים,  והאדם אמר, נכון את המידע שלי כן אבל לא של אישתי או הוריי! נניח ואתם מורה פרטי שקרוא דואר שמגיע מהורה לגבי הילד שלו, הדבר הזה מצלם ושומר מידע שלכם אסור לשמור, את מצד אחד עבדתם נכון והשתמשם במכשיר שהמעסיק שלכם נתן ובמייל של האירגון (כי אתם יודעים שאסור לכם לתת את המייל הפרטי שלכם בג'ימייל להורים ולמטפלים), באידאל כל אירגון אמור לספק כתובת מייל פנימית להתכתבות, כלומר אם אתם עובדים מול בית חולים אז בית החולים עדייף היה אילו היה מספק כתובות דוא"ל לכל המטופלים / אפוטרופסים בצורה כזאת הוא היה מקטין את זליגת המידע מחוץ למוסד, כי אם מישהוא משתמש בג'ימייל למשל אז שירותי גוגל סורקים את כלל הדואר לצרכים שלהם (זה חלק מהחוזה של החשבון).

בכתבה שארס דיווחו על הנושא מתברר שאפילו מייקרוספט בוחרים להשתמש ב sqlite למאגרי המידע של. היה מעוד מעניין לראות שהם משתמשים ב sqlite (קוד פתוח) ולא בשרתי ה mssql  שהם עצמם מפתחים בשביל לאגור את המידע, אני אישית הייתי מעדיף שהיו משתמשים mssql מהסיבה הפשוטה שאת בסיס הנתונים שלהם קל יותר להצפין ולחזיק מיד פתוח רק בזיכרון ככה שרק לאדמין (למי שיש מפתח הצפנה) תהיה יכולת לקבל את המידע, ולא לכל משתמש במחשב ! עכשיו אני יודע טוב מאוד שיש SEE שמאפשר לנו לשמור קבצי sqlite מוצפנים, אבל אמרתי שזה קל יותר , נכון ?

לגבי השאלה האם מידע מוצפן הוא תקין לשמור, אני אזכיר את הדיון שהיה בעבר לגבי מוזילה והעברת המועדפים המוצפנת, מידע שאסור להוציא מהאירגון אסור להוצאה בכל צורה, הצפנה היא לא יותר מצורת קידוד, שזה פשוט הצורה בה אתם שומרים את המידע, לכן זה לא משנה אם אתם מצפינים או סתם שומרים צילומי מסך של המיילים, זה למה אם אתם מחזיקים מועדפים למידע אישי אסור לכם להשתמש בהעברת המועדפים של מוזילה,  אסור לכם להוציא אותם מחוץ לארגון. זה למה עורכי הדין של החברה / האירגון שלכם כתבו כי אסור להוציא מידע ללא אישור מראש.