Najnowsze artykuły
Technologie RFID i EPC | Ochrona danych i konsumentów
2665
post-template-default,single,single-post,postid-2665,single-format-standard,ajax_fade,page_not_loaded,smooth_scroll,,qode-theme-ver-1.4.1,wpb-js-composer js-comp-ver-4.3.4,vc_responsive

Ochrona danych i konsumentów

Ochrona danych i konsumentów

20:41 02 Styczeń w Inne, Wiedza

Wprowadzenie

Technologia RFID znajduje zastosowanie w coraz to nowych obszarach życia człowieka. Zalety wykorzystanych rozwiązań są oczywiste, jednakże wraz z dynamicznym rozwojem oraz ich upowszechnianiem pojawiły się również rosnące niepokoje społeczne związane z rosnącą świadomością ludzi na temat RFID. Ochrona danych i konsumentów jest kluczowym problemem rozwoju technologii. Podstawowym pytaniem jakie możemy sobie zadać jest to w jaki sposób wykorzystywane są dane personalne osób prywatnych i klientów, w jaki sposób są zabezpieczane przed osobami trzecimi oraz co się dzieje z informacjami zawartymi na tagach po dotarciu produktu na koniec łańcucha dostaw.

Pierwsze próby prawnej regulacji zasad ochrony danych podjęła Komisja Europejska. W maju 2009 r. opublikowała zalecenie „w sprawie wdrożenia ochrony prywatności i zasad ochrony danych w zastosowaniach wspieranych identyfikacją radiową”. Celem było zapewnienie „wytycznych dla państw członkowskich w sprawie projektowania i eksploatacji aplikacji RFID w legalny, etyczny społecznie i politycznie do zaakceptowania sposób, z poszanowaniem prawa do prywatności i zapewnienia ochrony danych osobowych. Proces zwiększania bezpieczeństwa trwa do dziś i zmierza do osiągnięcia kilku celów:

  • sprzyjanie „prywatności w fazie projektowania”, wspomagając kontrolerów danych przy wprowadzaniu ochrony prywatności i danych osobowych, zanim produkt lub usługa będzie uruchomiona,
  • pomoc administratorom w sposób kompleksowy, zmniejszenie niepewności prawnej i uniknięcie utraty zaufania ze strony konsumentów,
  • pomoc administratorom danych oraz organom ochrony danych w zakresie uzyskania lepszego wglądu w politykę prywatności i aspektów ochrony danych aplikacji RFID.

Ochrona prywatności nośników RFID będziemy rozpatrywać w czterech różnych warstwach: aspektach prawnych, polityki usług, specyfikacji technicznych i sposobów zabezpieczeń. Chodzi o to, aby zapewnić łatwe w użyciu i skuteczne narzędzia ochrony danych. W przypadku, gdy jest to niemożliwe, tagi muszą być w odpowiednim momencie wyłączone lub usunięte.

Ramy prawne

Dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Podstawowe zasady Dyrektywy 95-46 Parlamentu Europejskiego zawierają następujące zapisy dotyczące zabezpieczonych danych: przetwarzane rzetelnie i legalnie, na ograniczony czas, pozyskane na odpowiednie i nie nadmierne cele, dokładne i aktualne, nie przechowywane dłużej, niż jest to konieczne,
przetwarzane zgodnie z prawami jednostki, zabezpieczone w okresie przetwarzania, przechowywania i przekazywania, nie przenoszone do innych krajów bez właściwego poziomu ochrony.

  • Zarządzanie tożsamością

Tożsamość klientów przechowywana w aplikacjach RFID lub zawarta w tagach jest kluczowym elementem który powinno się zabezpieczać. Aby przeciwdziałać próbom „kradzieży tożsamości” można zastosować rodzaj identyfikatora, znaku, itp., znanego jako „pseudonim” przez obie strony. Tak zwana pseudonimizacja jest uznana za ważną metodę ochrony prywatności danych osobowych.
Techniki pseudonimizacji mogą być wykorzystywane w różnych organizacjach lub organach administracji publicznej, w dziedzinie i w przedsiębiorstwach prywatnych.

  • Dobre praktyki

Dobre praktyki zostały określone w ramach warsztatów w sprawie ochrony danych i
prywatności (WS / DPP). W myśl postanowień organizacje powinny wyznaczyć osobę, która okresowo sprawdza czy zgłoszona informacja jest jeszcze kompletna, dokładna i aktualna, oraz czy jest nadal potrzebna. Głównym celem konieczności prowadzenia publicznego rejestru jest zachowanie przejrzystości i otwartości. Opinia publiczna powinna wiedzieć, kto przetwarza dane osobowe, jak również inne szczegóły dotyczące przetwarzania. Osoby których dane dotyczą, powinny mieć do nich prawo dostępu, sprostowania, usunięcia oraz ich blokowania. Zgodnie z § 3 niniejszej dyrektywy, dane podmioty mają prawo dowiedzieć się, za darmo, jeżeli podmiot (osoba fizyczna lub
organizacja) przechowuje informacje o nich. Mogą również wystąpić o opisanie celu (-ów) przechowywania informacji na swój temat.

  • PIA Framework RFID

PIA (Privacy Impact Assessment) Framework dla RFID z 12 stycznia 2011 to dokument wyjaśniający kluczowe pojęcia, procedury wewnętrzne i kryteria klasyfikacji dla aplikacji RFID. Aplikacje można podzielić na 4 poziomy (skala poziomów od 0 do 3), gdzie poziom 0 oznacza, że przechowywane dane nie są prywatne i można swobodnie je przetwarzać, nie stosując żadnych zabezpieczeń, natomiast poziomy nr 2 i 3 zawierają poufne dane osobowe wymagające pełnego wachlarza zabezpieczeń. Jednakże PIA zapewnia jedynie ogólny schemat ochrony i musi być uzupełniony bardziej szczegółowymi informacjami takimi jak role, cele ochrony, klas i szablonów odzwierciedlających szczególne aspekty aplikacji branżowych i indywidualnych.

  • Wytyczne techniczne jako szablony dla PIA

Podejście Komisji Europejskiej proponuje zastosowanie tzw. szablonów jako rozszerzeń do dokumentu ramowego, w celu osiągnięcia pożądanego poziomu szczegółowości. W 2007 r. Federalny Urząd Niemiec ds. Bezpieczeństwa Informacji (BSI) uruchomiła, którego celem jest określenie zaleceń technicznych dla operatorów RFID (TG RFID-Technical Guidelines for the Secure Use of RFID). Dzięki temu rozwiązania są teraz dostępne dla obszarów zastosowań: transport publiczny, bilety eventowe, logistyka, sprzedaż detaliczna oraz karty pracownicze.

  • Opis struktury i metodologia zabezpieczeń TG RFID

TG RFID są tworzone dla określonych obszarów zastosowań i składają się z trzech głównych części:

  • opis strefy aplikacji,
  • ocen,
  • rekomendacji.

Szczegółowe, ale rodzajowe opisy wszystkich usług i modeli biznesowych na obszarze aplikacji podano w pierwszej części. To jest podstawa do oceny i obejmuje odpowiednio: modele, usługi, produkty, procesy biznesowe, przypadki użycia, oraz wszelkie inne informacje, które mogą mieć znaczenie dla bezpieczeństwa i oceny prywatności. W celu zapewnienia funkcjonalności i użyteczności dla wszystkich dostawców usług i operatorów, ta część odbywa się w ścisłej z ekspertami z domeny aplikacji. Część ocena opiera się na opisie obszaru zastosowania i konkretnych celach bezpieczeństwa. Cele są zdefiniowane i dostosowane do wszystkich zainteresowanych. Metodyka oceny ryzyka jest zgodna z normą ISO 27005. Trzecia część dokumentu wytycznych zawiera zalecenia na temat realizacji systemu RFID w odpowiedni sposób. Daje jasne i ekonomicznie wytyczne do projektowania systemu. Organizacje muszą być w stanie wykazać, że wprowadziły ochronę danych systemu zarządzania (DPMS) stosując odpowiednią technologię (PET) i operacyjne środki ochronne (OPMs) w celu ochrony danych osobowych.

Modele ramowe prywatności

  • Referencyjne modele zarządzania polityką prywatności OASIS (PMRM)

PMRM stanowi wytyczną lub szablon do rozwijania rozwiązań w kwestii prywatności. Służy również jako narzędzie analityczne dla oceny kompletności proponowanych rozwiązań i jako podstawa do utworzenia kategorii i grup zarządzania prywatnością. Model ten opiera się na metodzie opartej na usługi, określając je w trzech kategoriach:

  • Usługi podstawowe: umowy handlowe (z możliwościami i uprawnieniami), kontroli (zarządzania danymi),
  • Prezentacja i cykl życia usługi: interakcji, agent (oprogramowanie, które wykonuje procesy), zużycie (wykorzystanie danych, agregacja), dostęp (indywidualny przegląd / aktualizacje informacji osobistych),
  • Usługi ochrony ubezpieczeń: certyfikacja (poświadczenia zaufanych procesów), audyt (niezależne, weryfikowalne odpowiedzialności), walidacja (dokładność kontroli osobistej informacji), wykonanie (w tym odszkodowania za naruszenia).

Ogólne aspekty ochrony danych

Prawo dotyczące ochrony danych może być stosowane, jeżeli dane osobowe są przechowywane w tagach RFID lub nieosobowe dane w chipie RFID, który można powiązać z daną osobą (zidentyfikować ją). Jeżeli tagi RFID są wykorzystywane w łańcuchu dostaw do poziomu sklepu, to dane nie są objęte prawną ochroną (pod warunkiem, że dane systemowe nie są powiązane z indywidualnymi osobami). W Niemieckiej Federalnej Ustawie o Ochronie Danych (BDSG) możemy odnaleźć zasadę o zakazie gromadzenia i przetwarzania danych osobowych, natomiast jest to dozwolone w drodze wyjątku za zgodą podmiotu którego dane dotyczą. Kolejna zasada tzw. „unikania danych i gospodarki danymi” odnosi się do użytkowników, którzy przechowują dane personalne. W myśl zasady kontroler już przed wprowadzeniem danych musi rozważyć alternatywne rozwiązania, które pozwolą osiągnąć ten sam cel, bez gromadzenia danych osobowych. Jeżeli natomiast nie ma innej możliwości, to muszą być one zbierane w sposób jawny i zrozumiały dla osób, których dotyczą. Ustawa reguluje również sposób przetwarzania danych w sektorze niepublicznym. Dozwolone jest przetwarzanie danych na użytek wewnętrzny w razie potrzeby, w celu ochrony uzasadnionych interesów administratora danych.

Aspekty dotyczące przepisów ochrony danych

  • Scenariusz I

Zapobieganie kradzieży danych w sklepach – znaczniki powinny być usuwane po dokonaniu zakupu (przy kasie) i przekazane do ponownego użycia. Klien powinien otrzymać informację o zastosowaniu technologii RFID, wraz z opisem dokładnych lokalizacji gdzie występują tagi oraz możliwości usuwania znaczników (nie niszcząc przy tym produktów). Nie jest to jednak ustawowym obowiązkiem.

  • Scenariusz II

Użycie znaczników RFID jako wsparcie procesów magazynowych lub do poprawienia dostępności towarów nie powinno stwarzać barier prawnych, ze względu na umieszczanie w tagach danych dotyczących np. ceny, opisu pozycji, numeru itp. Problem natomiast pojawia się, gdy technologii chcemy użyć do usprawnienia płatności przy użyciu tzw. karty stałego klienta, karty bankowej lub kredytowej. Dane mogą wiązać się z osobą, więc operacja podlega ochronie danych. Ustawa BSDG dopuszcza przetwarzanie takich danych, jeżeli jest to niezbędne do realizacji umowy. W tym przypadku nie jest potrzebna zgoda podmiotu danych, niemniej jednak, dane osobowe mogą być używane tylko do określonego celu i przechowywane tak długo, jak jest to konieczne. Administratorzy danych posiadają również obowiązki informacyjne, a mianowicie informowania osób, których dane są zbierane i przetwarzane, w jakim celu i przez kogo są zbierane oraz kto będzie odbiorcą danych. Oprócz tego osoba ma prawo do otrzymania informacji na temat tych danych i korygować lub usuwać je wg własnej woli.

Środki techniczne i organizacyjne wg BSDG

Ochrona danych może być uważana za skuteczną, jeżeli całość podjętych działań zapewnia odpowiednią ochronę przed nadużyciem danych. Celem jest zapewnienie ochrony poufności, dostępności, integralności i autentyczności danych. Podstawowym aspektem ochrony będzie tutaj obowiązek wyłączenia tagów RFID w momencie, gdy cel przechowywania danych został wykonany (a dodatkowo usunięcie tych danych z systemu).

Kary

Prawo przewiduje rekompensaty w przypadku naruszenia z przepisów prawa o ochronie danych. Ponadto, naruszenia te klasyfikowane są jako przestępstwa administracyjne, które również mogą być rozpatrywane na podstawie przepisów prawa karnego. Aplikacje będą uznane za prawnie zgodne w przypadku, gdy przedsiębiorstwo spełnia wymogi dobrowolnie i z własnej inicjatywy, w szczególności w odniesieniu do powiadomienia klientów o korzystania z etykiet RFID w sklepie i możliwości ich wyłączania po użyciu. Rozważmy scenariusz zarządzania relacjami z klientem za pomocą znaczników RFID w celu stworzenia grup klientów. Prawnie jest to dopuszczalne tylko za zgodą klienta. Poważnym naruszeniem prawa byłoby śledzenie ruchów klienta bez jego skutecznej zgody w sklepie i generowanie na tej podstawie grup klientów z wykorzystaniem danych personalnych. Skuteczna zgoda oznacza tu świadomy wybór, a dokumenty napisane tzw. „drobnym drukiem” nie są dopuszczalne. Jeżeli informacje personalne są przechowywane w firmie przez wiele lat, klienci powinni potwierdzać rozszerzeniem ich zgody w regularnych odstępach czasu. W przypadku złamania przepisów podmiot może domagać się odszkodowania od administratora danych.

Podsumowanie

Wszystkie modele TG RFID podążają wspólną koncepcją bezpieczeństwa. Mając na uwadze zalecenia RFID głównie skierowane na prywatność i ochronę danych. Ponadto, TG RFID zawierają szczegółowe wytyczne o tym jak przeprowadzić szczegółowo wszystkie prace określone w PIA (dokument przeznaczony bardziej dla kierownictwa wyższego szczebla). TG RFID są napisane dla specjalistów IT, którzy są odpowiedzialni za projektowanie systemów, badanie zagrożeń i słabości wynikających z właściwych przepisów dotyczących ochrony. Wszystko to przyczynia się do podnoszenia jakości bezpieczeństwa danych, co powoduje wzrost zaufania interesariuszy systemu opierającego się na RFID.

Autor: Mateusz Pelc
Literatura:
W.Hansen, F. Gillert: RFID for the Optimization of Business Process, John Wiley & Sons, Munich 2006, s. 197-204.
M. Arnaud: Deploying RFID – Challenges, Solutions and Open Issues, Intech, Rijeka 2011, s. 365-376.

Strony www:

https://ec.europa.eu/digital-agenda/en/blog/the-privacy-and-data-protection-impact-assessment-framework-for-rfid-applications-a-defining-moment-in-the-modern-epic-of-co-regulation-in-ict

https://ec.europa.eu/digital-agenda/en/blog/looking-foward-to-a-promising-privacy-impact-assessment-pia-conference