Oceń wpis  oddane głosy: 2 / 0

To już jest naprawdę kompromitacja: ledwie co przebrzmiały pierwsze echa wycieku danych osobowych z systemu Wrocławskiej Karty Miejskiej, a tu się okazuje, że -- grubą wtopę z bezpieczeństwem danych zaliczył serwis Allegro.

Jak piszą w Niebezpieczniku wczoraj, przez dobrą godzinę, każdy mógł ściągnąć wszystkie dane (w tym hasło do serwisu) innych allegrowiczów. Zdaniem QXL Poland sp. z o.o. oczywiście nie ma problemu, ponieważ z "ludzkiej pomyłki" mógł skorzystać tylko użytkownik webAPI (i skorzystała tylko jedna osoba, która na szczęście użyła swej wiedzy wyłącznie w celu poinformowania o luce Niebezpiecznika), zaś ewentualnym amatorom pogrożono palcem, bo "przechowywanie oraz przetwarzanie danych pozyskanych nielegalnie jest przestępstwem zagrożonym karą więzienia do lat dwóch. Każdy kto wszedł w posiadanie takich danych powinien je należycie zabezpieczyć przed nieautoryzowanym dostępem oraz trwale usunąć".

Najlepsze (najgorsze) w sprawie jest jednak to, że Allegro nadal trzyma hasła w serwisie w "czystym tekście", czyli w sposób, który przy każdej takiej luce pozwala na zapoznanie się z każdym hasłem każdego użytkownika. Czym to grozi wiem nawet ja, jakby na to nie patrzeć -- lajkonik w tematach informatycznych.
Ot na razie grozi choćby tym, że po każdej takiej wtopie dostaję kolejnego listela od QXP Poland, w którym przekonuje się mnie, iż

W trosce o bezpieczeństwo Twojego konta, przeprowadzamy akcję zmiany haseł dostępu do Allegro.
Przy następnej próbie logowania, zostaniesz prawdopodobnie poproszony o zmianę hasła. Zmień je. Pozwoli to zachować wysoki poziom bezpieczeństwa w serwisie.
Zbyt proste i popularne hasło stanowi potencjalne zagrożenie dla Twojego konta. Pamiętaj, aby po zmianie hasła uaktualnić dane we wszystkich zewnetrznych aplikacjach i programach, używanych do obsługi konta w Allegro.

co oznacza, że Allegro znów "zepsuło" moje hasło i znów muszę wymyślać coś nowego -- ciesząc się, że w tzw. międzyczasie ktoś nie wywinął mi tam niezłego psikusa.

Piszę "znów", bo przecież Allegro zaliczyło podobny strzał w kolano niecałe półtora roku temu!! Już wówczas zwrócono uwagę na potencjalne skutki lekceważenia elementarnych zasad bezpieczeństwa danych tego serwisu, już wówczas praktykę taką krytykowali eksperci od bezpieczeństwa danych, już wówczas w wypowiedzi dla Dziennika Internautów mówiłem (wybaczcie autocytat), iż:

Wróżąc z fusów, można jednak powiedzieć, że serwis może mieć poważny problem z prawidłowym zabezpieczeniem integralności danych tam zgromadzonych, w szczególności z dopełnieniem obowiązku zapewnienia zastosowania środków bezpieczeństwa danych osobowych na poziomie wysokim (zgodnie z rozporządzeniem MSWiA z 2004 r.). W takim przypadku należy pamiętać, iż administrator danych ponosi odpowiedzialność zarówno ze względu na brak prawidłowego zabezpieczenia danych, jak i -- o czym często się zapomina -- może ponosić odpowiedzialność, jeśli wskutek nieuprawnionego dostępu do danych osoba trzecia wyrządzi szkodę osobie, której dane są przetwarzane.

Z drugiej strony dziwne, że Allegro odwraca uwagę od problemu, mówiąc -- skądinąd słusznie -- o problemie używania identycznych haseł do różnych serwisów. Mając świadomość, że niektórzy internauci postępują w tak nieroztropny sposób, Allegro powinno zachować szczególną ostrożność, jeśli chodzi o przechowywanie haseł w serwisie aukcyjnym.

Wniosek nasuwa się sam i jest on raczej prosty: niby cały czas panta rhei, ale pewne sprawy -- w tym podejście administratorów Allegro do bezpieczeństwa danych użytkowników -- raczej się nie zmienia.

 Oceń wpis  oddane głosy: 2 / 0

Absurdalna ciekawostka, tym razem nie z Polski: władze Kuwejtu zakazały używania w miejscach publicznych, na ulicach i w centrach handlowych... cyfrowych aparatów lustrzanych (DSLR). Odtąd lustrzanki będą dozwolone wyłącznie w rękach profesjonalnych, prasowych fotografów.

Problem polega na tym -- o ile dobrze rozumiem dość lakoniczny tekst opublikowany w "Kuwait Times" -- że widok "dużego czarnego" aparatu w rękach różnych osób mógł powodować wśród przechodniów pewnego rodzaju dyskomfort (a więc wraca temat, o którym pisałem w tekstach Fotografowanie a prawo do prywatności (sprawa J.K. Rowling) czy Wraca temat zakazu fotografowania (a prawo do prywatności). Zakaz nie dotyczy posługiwania się wyposażonymi przecież w moduły fotograficzne komórkami, kompaktami ani też -- jak sądzę -- coraz popularniejszymi aparatami bezlusterkowymi.
Aparaty lustrzane nadal będą w Kuwejcie dozwolone, jednak w pełni legalne będzie ich używanie dla fotografowania robaczków lub krajobrazów ;-)

Prawa do prywatności postronnych osób ignorować się nie da, stąd z jednej strony rozumiem uwagi, że przecież czy to komórką, czy mniejszym aparatem można osiągnąć taki sam efekt; z drugiej strony jak sądzę rządowi Kuwejtu chodzi raczej tylko o tzw. "odczucie społeczne" -- przekonuje mnie do tego zdanie "przechodnie mogą się zastanawiać czy aparat nie jest aby używany w złych celach"...
Oczywiście "zły cel" można osiągnąć każdym aparatem, a jeszcze prędzej rewolwerem; z drugiej strony przecież każdy powinien mieć możliwość samodzielnej oceny, co uważa za naruszenie jego prywatności -- i nikt, zwłaszcza władze -- nie powinien go w tej (swobodnej) ocenie wyręczać.

Słowo komentarza osobistego: używałem lustrzanek od 22 lat -- aż do lata tego roku, kiedy pozbyłem się (odsprzedałem) -- chyba podejrzewając podobne kroki i w naszym pięknym kraju -- ostatnią z nich. Stąd zaprezentowane powyżej zdjęcie zostało wykonane aparatem, z którym mógłbym już swobodnie pojawić się na kuwejckich ulicach. Czego sobie i Państwu życzę.

PS polecam też ciekawy tekst w temacie na blogu Jacka Sierpińskiego.

 Oceń wpis  oddane głosy: 2 / 2

Na marginesie sprawy wycieku danych osobowych z systemu Wrocławskiej Karty Miejskiej warto zwrócić uwagę na jeszcze jedną -- niedoceniane chyba przez nas, szaraczków, a niedostrzegane chyba przez część usługodawców, którzy decydują się na przetwarzanie naszych danych osobowych -- możliwość jaką daje nam ustawa o ochronie danych osobowych.

z ustawy o ochronie danych osobowych:
Art. 32. 1. Każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do:
1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska,
2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze,
3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych, (...)
Art. 33. 1. Na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej:
1) jakie dane osobowe zawiera zbiór,
2) w jaki sposób zebrano dane,
3) w jakim celu i zakresie dane są przetwarzane,
4) w jakim zakresie oraz komu dane zostały udostępnione. (...)

Otóż jednym z naszych podstawowych praw jest prawo do tego, by wiedzieć, kto coś o nas wie. Prawo do polega przede wszystkim na możliwości sprawowania kontroli nad sposobem przetwarzania naszych danych osobowych -- tak, kontroli osobistej, bo przepis mówi "każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą".
W ramach tego prawa możemy w szczególności żądać uzyskania wyczerpującej informacji o tym, czy nasze dane są w jakimś zbiorze danych, kto jest administratorem tego zbioru, jakiego rodzaju dane zostały zgromadzone, w jakim celu i zakresie oraz od kiedy przetwarza się nasze dane osobowe.

Oznacza to, że każdy, kto dysponuje takim zbiorem danych -- czy to jako administrator, czy jako procesor wykonujący pewne czynności w zakresie przetwarzania danych osobowych na zlecenie administratora -- ma obowiązek udostępnienia zainteresowanej osobie informacji o sposobie przetwarzania ich danych osobowych.
Słowem: jeśli mam przypuszczenie, że moje dane "wpadły" komuś do systemu, mam prawo go spytać czy "ma mnie" u siebie -- a jeśli tak to mam prawo żądać informacji: co dokładnie na mnie zebrano, dlaczego coś się na mnie zbiera, jaki jest cel tworzenia tego dossier, etc. etc. (zachęcam do lektury całego art. 32 UoODO).

Odmowa udzielenia informacji może być podyktowana wyłącznie: ochroną tajemnicy państwowej, zagrożeniem dla obronności państwa, życia i zdrowia ludzi, zagrożeniem dla podstawowego interesu gospodarczego lub finansowego państwa bądź istotnym zagrożeniem dóbr osobistych osób, których dane dotyczą, lub innych osób (art. 34 w zw. z art. 30 UoDO -- przy czym nie da się ukryć, że skoro pytam o moje dane, to przesłanka w postaci naruszenia moich dóbr osobistych w rachubę nie wchodzi). [*]

Przetwarzający dane osobowe nie ma prawa odmówić odpowiedzi w innych przypadkach, np. ze względu na rozmaite sekretności wynikające z umów handlowych (już wiem, że część procesorów danych lubi zasłaniać obowiązkiem zachowania poufności w umowie zawartej z podmiotem zlecającym przetwarzanie danych osobowych). Niestety: ich umowa, choćby nie wiem jak surowe kary umowne przewidywała, nie może ograniczać mojego prawa by wiedzieć, kto coś o mnie wie.

W oparciu o te właśnie przepisy udało mi się ustalić na czyje zlecenie wykonano feralny mailing (był to pośrednik), zaś obecnie -- ponieważ pośrednik działa jako procesor danych -- staram się ustalić kto zlecił agitkę pośrednikowi. 

PS no tak, ja zawsze pomijam przepisy karne, bo dla mnie prawo karne to nie prawo ;-) Godzi się zatem powiedzieć, iż niewykonanie obowiązków ciążących na podmiotach przetwarzających dane osobowe (obowiązków w zakresie "przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie" jest przestępstwem ściganym z urzędu, a sprawca może trafić za kratki nawet na 1 rok (art. 54 UoDO).

Administrator danych odmawia osobie, której dane dotyczą, udzielenia informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, jeżeli spowodowałoby to:
1) ujawnienie wiadomości zawierających informacje niejawne,
2) zagrożenie dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa i porządku publicznego,
3) zagrożenie dla podstawowego interesu gospodarczego lub finansowego państwa,
4) istotne naruszenie dóbr osobistych osób, których dane dotyczą, lub innych osób

[*] tu ważna uwaga: w ostatniej nowelizacji ustawy o ochronie danych osobowych, już podpisanej przez prezydenta, ale jeszcze nie promulgowanej, art. 30 ustawy (wraz z art. 29) zostają uchylone, natomiast art. 34 otrzymuje treść:

 Oceń wpis  oddane głosy: 4 / 1

Upada chyba silnie lansowana teoria o "prowokacji PO", która to partia miała wykraść dane osobowe użytkowników Urbancard i rozesłać na pozyskane w ten sposób adresy poczty elektronicznej spamerską agitkę -- a wszystko to w celu przysolenia Rafałowi Dutkiewiczowi tuż przed wyborami.

Jak się okazuje za wyciek danych odpowiedzialny jest Jan Żarski, asystent prezydenta Wrocławia, który -- oczywiście samowolnie -- najpierw jakimś cudem "wydostał te dane" z systemu i przekazał "na zewnątrz urzędu".
Sam prezydent Dutkiewicz nazywa zachowanie swojego -- byłego już -- asystenta wynikiem "koszmarnej nieostrożności i głupoty mojego asystenta", ja jednak nadal widzę w tym wszystkim parę zagadek:

• dlaczego o źródle wycieku dowiedzieliśmy się po wyborach? Jeśli p. Żarski się przyznał do popełnienia przestępstwa, czyżby naszły go wątpliwości dopiero dziś? Czemu nie w piątek?
• jakim cudem asystent prezydenta miasta mógł mieć dostęp do tego rodzaju danych? Zapewniano nas, że dane są "niezwykle bezpieczne", a tu się okazujmy, że byle asystent mógł zgrać sobie niezły kawałek tej bazy?
• jeśli p. Żarski (niedługo już Jan Ż.?) uczynił to w obrębie magistratu, to gdzie są zapewnienia, że urząd nie ma wglądu w zbiór, a nad wszystkim trzyma pieczę Mennica? Czy nasze dane osobowe w ogóle są jakoś tam zabezpieczone?

Na marginesie: kuriozalnie brzmią zapewnienia, iż "wyciekły jedynie adresy mailowe, a nie dane osobowe" (tak mówi serwis tuWroclaw.pl) czy też "w nieprawidłowy sposób wykorzystane zostały nie dane osobowe, a jedynie e-maile, które w myśl prawa nie są tzw. daną wrażliwą" (tak pisze Gazeta.pl). Akurat żadna z tych teorii nie jest prawdziwa: (i) z systemu wyciekły także co najmniej imiona użytkowników Wrocławskiej Karty Miejskiej, (ii) adres poczty elektronicznej -- to już bezdyskusyjne wobec tego czym jest system Urbancard -- jest daną osobową, (iii) ani adres poczty elektronicznej, ani imię nie jest daną wrażliwą, ale nie o to przecież tu się rozchodzi.

No cóż, na razie mamy "oficjalnego" sprawcę przestępstwa (pytanie czy to aby nie leszcz rzucony na pożarcie). Ciekawym jednak jak do sprawy systemowo podejdzie ekipa Urbancard. Warto przede wszystkim pomyśleć o usunięciu rażących bolączek systemu, o których trąbię już od pół roku -- nie tylko na blogasku, ale i korespondując o tym z osobą odpowiedzialną za program Urbancard ze strony UM (a nie mówiłem, Panie Marcinie?).

PS od paru godzin próbuję skorzystać z ustawowo przysługujących mi uprawnień (art. 32 ust. 1 ustawy o ochronie danych osobowych) -- co ciekawe podmiot odpowiedzialny za wysyłkę ogólnie uchyla się od udzielenia mi informacji.

 Oceń wpis  oddane głosy: 0 / 0

• Dawno dawno temu (w czasach zdecydowanie przedinternetowych), wcale nie za siedmioma górami i wcale nie za siedmioma morzami, żył ponoć pewien minister od kultury, któremu podobno zdarzyło się zażądać od współpracowników umówienia go z pewnym malarzem. Niefart był tego rodzaju, że malarz ten miał już wówczas od lat być nieżyjącym...
  Wiele, wiele lat później jedna z gazet, która pisała o próbie wskrzeszenia malarza (prawdą jest, że tekst "chodzi" już jako klasyczna anegdota) musi ex-ministra przeprosić i zapłacić mu 5 tys. zadośćuczynienia...
• jeśli czegoś nie wiesz, to nie musisz mówić, nawet jeśli jesteś wielkim serwisem internetowym. Taka konkluzja płynie z wyroku wydanego parę dni temu przez Sąd Apelacyjny we Wrocławiu (sygn. akt I ACa 1129/10) w sprawie prowadzonej przez P.T. Kolegów na co dzień stanowiących ekipę bloga "Co w prawie piszczy". Warto przeczytać omówkę orzeczenia bardzo dokładnie; a w dużym skrócie można powiedzieć, że chodzi o to, że nawet jeśli w internetach piszą o nas źle (i anonimowo), to nie oznacza, że odpowiedzialność za to ponosić będzie serwis udostępniający miejsce na tę pisaninę;
• a teraz coś z całkiem innej beczki: cytowanie prywatnej korespondencji przez prasę, zwłaszcza jeśli dotyczy stanu zdrowia osoby, stanowi bezprawne naruszenie jej dóbr osobistych. To raczej oczywista oczywistość -- tym razem jednak padło na pewien fajny i ogólnie renomowany tygodnik (a orzekał Sąd Najwyższy, sygn. I CSK 664/09);
• 26 listopada pierwsza rozprawa o prawo do turbanu, a tu paranoi granicznej ciąg dalszy: jeśli Amerykanin jedzie do Kanady, na granicy mogą mu zrobić gruntowne przeszukanie auta, na co jego właściciel nawet nie może popatrzeć -- musi sobie pójść na stronę, zdając pogranicznikom na ten czas nawet swój telefon (!).
  To jeszcze nie wszystko. Jeśli się komuś nie podobają nowe zasady bezpieczeństwa na lotniskach, to nie ma "nie chcę, dziękuję". Jak się okazuje obywatel USA przystępujący do kontroli granicznej nie może się z niej wycofać, nawet jeśli nie zgadza się na rodzaj przedsięwziętych wobec niego czynności. Tymczasem obejmują one nie tylko przeglądanie zawartości laptopów, komórek i czego tam jeszcze można sobie wyobrazić, ale i -- tak, tak -- stosowanie "rozbierających" skanerów potrafiących zajrzeć pod odzież, a nawet... regulaminowe obmacywanie krocza.
  Czy tylko mnie się wydaje, że ten świat robi się coraz bardziej totalitarny?
• (już po 22, mogę pisać) paranoja przedwyborcza: szefowa sztabu obecnego prezydenta Gorzowa zleciła prywatnemu detektywowi inwigilację kandydatów na radnych z konkurencyjnych klubów. Chciała w ten sposób sprawdzić gdzie faktycznie mieszkają radni -- czy aby nie wyprowadzili się oni poza miasto, co uniemożliwiłoby im ubieganie się o mandat rajcy;
• w Świebodzinie wreszcie poświęcono figurę Chrystusa Króla. Jak ktoś jeszcze nie wierzy, niech zobaczy ten dowód na jego istnienie.
  Jak to szło? "Wiesz co robi ten miś? On odpowiada żywotnym potrzebom całego społeczeństwa. To jest miś na skalę naszych możliwości. Ty wiesz, co my robimy tym misiem? My otwieramy oczy niedowiarkom. Patrzcie - mówimy - to nasze, przez nas wykonane i to nie jest nasze ostatnie słowo (...)"
• zauważyliście, że dziś w moim tekście nie padła żadna nazwa, nazwisko, cokolwiek prócz nazw urzędów lub miejscowości? To mój własny protest przeciwko ciszy wyborczej -- która jest strasznie głupia. Głupsza od ciszy jest chyba tylko sama kampania pustosłowia i pojedynku na miny rozgrywającego się na plakatach.
  Czyżby zatem tylko cisza ratowała nas przed dodatkowymi 2 dniami głupoty?