Jak zabezpieczać serwisy przed wyciekiem?
GIODO przypomina o obowiązku zabezpieczenia serwisów internetowych przed wyciekiem przetwarzanych w nich danych osobowych.
W związku z napływającymi w ostatnim czasie zgłoszeniami związanymi z upublicznieniem na serwerach Google danych osobowych osób, które nie wyraziły na to zgody Generalny Inspektor Ochrony Danych Osobowych apeluje do administratorów i specjalistów odpowiedzialnych za tworzenie i administrowanie stron internetowych, o stosowanie właściwych narzędzi zabezpieczających je przed niekontrolowanym upublicznieniem objętych ochroną informacji. Do zdarzeń takich dochodzi często w serwisach, które oprócz powszechnie dostępnych informacji oferują różnorodne usługi osobom indywidualnym, takie jak np. pośrednictwo w poszukiwaniu pracy, których realizacja wymaga najczęściej kontrolowanej wymiany danych osobowych typu CV, tj. udostępniania ich tylko osobom upoważnionym. Z analizy zgłaszanych przypadków wynika, że jedną z przyczyn zaistniałych zdarzeń jest brak zabezpieczenia serwisów informacyjnych przed ingerencją robotów internetowych określanych często agentami programowymi, które działając autonomicznie mogą indeksować i kopiować zawarte serwisach internetowych informacje. W szczególności wielu administratorów nie blokuje robotom internetowym dostępu do danych, które powinny być udostępniane jedynie zalogowanym i uprawnionym osobom. Brak takiej blokady powoduje indeksowanie i kopiowanie wszystkich zamieszczonych informacji do wewnętrznych zasobów wyszukiwarek i w konsekwencji ich udostępniania osobom postronnym. Tylko w czerwcu 2011 r. do Biura GIODO zgłoszone zostały 2 przypadki wycieku danych spowodowane brakiem wspomnianych zabezpieczeń, tj. niewłaściwą konfiguracją serwisów, co spowodowało ich zaindeksowanie i skopiowanie na serwery wyszukiwarki Google.
Działania, jakie może podjąć osoba, której dane osobowe zostały bez jej zgody zamieszczone w Internecie zależne są w dużej mierze od rodzaju zaistniałej sytuacji. Jeśli dane zostały świadomie opublikowane bez naszej zgody przez administratora serwisu, wówczas należy w pierwszej kolejności skontaktować się z tym administratorem (właścicielem serwisu/webmasterem) z żądaniem ich usunięcia. Podobnie, należy postąpić w przypadku portali społecznościowych, jeśli dane umieszczone zostały przez nieznanego użytkownika portalu lub użytkownika, do którego istnieje kontakt, ale nie reaguje on na kierowane do niego żądanie. W sytuacji natomiast, kiedy dane osobowe pojawiły się w Internecie na skutek niewłaściwego ich zabezpieczenia, żądanie ich usunięcia należy kierować do administratora serwisu, z którego nastąpił ich wyciek. W niektórych przypadkach, np. jeśli dany serwis jest nieczynny i/lub nie ma możliwości szybkiego skontaktowania się z jego administratorem, w przypadku, gdy dane zostały skopiowane na inne serwery lub serwisy, wówczas należy skierować żądanie usunięcia kwestionowanych danych bezpośrednio do administratorów tych serwerów/serwisów. W przypadku np. gdy niewłaściwie zabezpieczone dane w serwisie, do którego przekazano dane, zostały zaindeksowane i skopiowane do podręcznych pamięci wyszukiwarki np. Google, a serwis do którego przekazaliśmy dane jest nieczynny, wówczas żądanie usunięcia danych należy skierować do administratora tej wyszukiwarki lub obsługującego takie żądania serwisu.
źródło: www.giodo.gov.pl
