Tech

Security Think Tank: เพิ่มประสิทธิภาพความเป็นส่วนตัว หลัง GDPR

Airbus CyberSecurity CTO Paddy Francis สำรวจผลกระทบของกฎระเบียบเกี่ยวกับการปกป้องข้อมูล และวิธีที่มีการเปลี่ยนแปลงวิธีการเพิ่มประสิทธิภาพความเป็นส่วนตัวของข้อมูลในองค์กร

Paddy Francis

โดย

    ที่ตีพิมพ์: 08 ก.ย. 2564

    ภายหลังการตรากฎหมาย ระเบียบการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) เมื่อวันที่ 25 พฤษภาคม 2561 มีเครื่องหมาย sh ในทางที่องค์กรปฏิบัติต่อความเสี่ยงต่อข้อมูลส่วนบุคคล

    ในสมัยก่อน GDPR การรักษาความปลอดภัยทางไซเบอร์เริ่มถูกมองว่าเป็นความเสี่ยงทางธุรกิจ แต่บ่อยครั้งที่ผลกระทบของการสูญเสียข้อมูลไม่สามารถวัดได้อย่างเหมาะสม และค่าใช้จ่ายในการเพิ่มการป้องกันทางไซเบอร์ไม่ได้ขึ้นอยู่กับกรอบกฎหมาย ดังนั้น หาเหตุผลได้ง่ายน้อยกว่า

    การถือกำเนิดของ GDPR ด้วยคำมั่นสัญญาว่าจะต้องเสียค่าปรับจำนวนมากโดยพิจารณาจากผลประกอบการประจำปีในด้านหนึ่งและกรอบการกำกับดูแลที่ชัดเจนซึ่งอนุญาตให้แสดงการปฏิบัติตามกฎระเบียบได้ ทำให้กรณีความเสี่ยงทางธุรกิจง่ายขึ้นมาก แม้ว่าองค์กรจะไม่สนใจการปกป้องข้อมูลส่วนบุคคลที่พวกเขาประมวลผลก่อนการเปิดตัว GDPR พวกเขาก็สนใจในตอนนี้

    แต่การปฏิบัติตาม GDPR อย่างง่ายไม่ได้รับประกัน ความเป็นส่วนตัวของพนักงานและลูกค้า สหราชอาณาจักร สำนักงานคณะกรรมการข้อมูล (ICO) ตอนนี้ใช้คำว่า “การปกป้องข้อมูลโดยการออกแบบ” แทนที่จะเป็น “ความเป็นส่วนตัวโดยการออกแบบ” อย่างน้อยก็ส่วนหนึ่งเป็นเพราะ “ความเป็นส่วนตัว” เป็นส่วนตัวในระดับหนึ่ง ซึ่งกฎการปกป้องข้อมูลไม่สามารถทำได้ นอกจากนี้ ผู้ที่อ้างว่าปฏิบัติตามกฎการปกป้องข้อมูลอาจปฏิบัติตามจดหมายของข้อบังคับ แต่ไม่จำเป็นต้องปฏิบัติตามเจตนารมณ์ของกฎเหล่านั้น

    ตัวอย่างเช่น ในกรณีของการยินยอม ข้อกำหนดระบุว่า: “โดยทั่วไป ควรจะเป็นเรื่องง่ายสำหรับพวกเขา เพิกถอนความยินยอมเช่นเดียวกับที่คุณได้รับความยินยอม” นี่ไม่ใช่สิ่งที่ฉันเคยเจอมา อาจเป็นเพราะมันค่อนข้างยากที่จะบรรลุ คนส่วนใหญ่เห็นสิ่งนี้เมื่อเราเรียกดูเว็บไซต์ใหม่และถูกขอให้ “ยอมรับคุกกี้ทั้งหมด” ทำได้ง่ายมากเพียงแค่คลิกปุ่ม หากคุณเปลี่ยนใจ การกลับไปและเพิกถอนการอนุญาตอาจเป็นเรื่องยากในหลายกรณี

    แต่ความยินยอมเป็นเพียงหนึ่งในฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคล อื่นๆ รวมถึงความรับผิดตามสัญญาหรือทางกฎหมายที่สามารถทำได้ในลักษณะนี้เท่านั้น หรือ “ผลประโยชน์โดยชอบด้วยกฎหมาย” ซึ่งถูกนำไปยังแถวหน้าด้วยความจำเป็นในการขอความยินยอม

    ในกระบวนการยินยอมคุกกี้ มักจะมีปุ่ม “ผลประโยชน์โดยชอบด้วยกฎหมาย” ซ่อนอยู่ที่ด้านล่างของหน้าจอ . ผลประโยชน์โดยชอบด้วยกฎหมายคือการประมวลผลข้อมูลส่วนบุคคลโดยเป็นส่วนหนึ่งของผลประโยชน์ที่ชอบด้วยกฎหมายของบุคคล บุคคลที่สาม หรือบริษัทในการให้บริการ หรือเนื่องจากมีประโยชน์ทางสังคมในวงกว้าง สิ่งที่ผู้บริโภคคาดหวังว่าจำเป็นเพื่อให้สามารถใช้บริการหรือผลประโยชน์เชิงพาณิชย์ของผู้ให้บริการได้

    “แม้ว่าองค์กรจะไม่สนใจเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลที่พวกเขาประมวลผลก่อนการเปิดตัว GDPR พวกเขาก็สนใจในตอนนี้”
    ข้าวเปลือก ฟรานซิส แอร์บัส ไซเบอร์ซีเคียวริตี้

อย่างไรก็ตาม องค์กรที่ประมวลผลข้อมูลจะต้องสามารถแสดงได้ ว่าไม่มีอันตรายต่อผู้ที่ข้อมูลได้รับการประมวลผลและไม่มีทางล่วงล้ำน้อยลงในการบรรลุวัตถุประสงค์ของบริการ ผลประโยชน์โดยชอบด้วยกฎหมายอาจเป็นพื้นฐานทางกฎหมายที่มีประโยชน์สำหรับการประมวลผลโดยไม่ได้รับความยินยอมอย่างชัดแจ้ง ซึ่งไม่มีความสัมพันธ์ตามสัญญาหรือข้อกำหนดทางกฎหมาย อย่างไรก็ตาม ก็ยังต้องมีการประกาศและเหตุผลอันสมควร ส่วนหนึ่งอาจเป็นสาเหตุที่เว็บไซต์บางแห่งมีส่วนได้เสียโดยชอบด้วยกฎหมายในกระบวนการยินยอม อย่างไรก็ตาม แม้ว่าคุกกี้ที่ต้องขอความยินยอมจะถูก “ปิด” โดยค่าเริ่มต้น คุกกี้ที่เกี่ยวข้องกับผลประโยชน์ที่ชอบด้วยกฎหมายมักจะ “เปิด”

ตัวอย่างในโลกแห่งความเป็นจริงที่อาจใช้ผลประโยชน์ที่ชอบด้วยกฎหมาย แต่อาจพิสูจน์ได้ยาก คือการสแกนไวรัสของ อีเมลออกจากองค์กร

. อาจมีการโต้แย้งว่าเพื่อประโยชน์ของชื่อเสียงของบริษัทและบุคคลที่สามที่ได้รับอีเมลที่ติดไวรัส แต่ในขณะเดียวกัน บุคคลที่ระบุตัวตนได้อาจเชื่อว่าการส่งอีเมลดังกล่าวโดยไม่เจตนาอาจถูกระงับ

อีกตัวอย่างหนึ่งคือเมื่อพนักงานมีโฟลเดอร์บนเดสก์ท็อปชื่อ “personal ” ที่พวกเขาใช้เพื่อสนับสนุนกิจกรรมทางธุรกิจของตัวเอง นายจ้างจะมีส่วนได้เสียโดยชอบด้วยกฎหมายในการเข้าถึงโฟลเดอร์ “ส่วนตัว” ของผู้ใช้หรือไม่ และหากเป็นเช่นนั้น หลักฐานที่ได้จากการทำเช่นนั้นจะเป็นที่ยอมรับในศาลการจ้างงานหรือไม่

สถานการณ์แรกอาจได้รับความยินยอมได้ดีกว่าและครั้งที่สองโดยสัญญาจ้างที่ให้สิทธิ์แก่นายจ้าง

การใช้หลักการ GDPR

“ความชอบธรรม ความยุติธรรม และความโปร่งใส” ถือเป็นครั้งแรกของ เจ็ดหลักการของ GDPR ซึ่งจำเป็นต้องพิจารณาล่วงหน้าอย่างชัดเจนในโครงการใหม่ใด ๆ และบำรุงรักษาตลอดชีวิตของระบบในขณะที่มีวิวัฒนาการ หลักการอีกหกประการคือ: การจำกัดวัตถุประสงค์ การลดขนาดข้อมูล ความแม่นยำ; ข้อจำกัดในการจัดเก็บ ความซื่อสัตย์และการรักษาความลับ; และความรับผิดชอบ

ในขณะที่ GDPR ทั้งหมดจำเป็นต้อง พิจารณาตั้งแต่วันแรกของโครงการใหม่ “ข้อจำกัดวัตถุประสงค์” และ “การลดขนาดข้อมูล” อาจเป็นสิ่งที่สำคัญที่สุดที่ต้องพิจารณาก่อน

การทำความเข้าใจวัตถุประสงค์ของการลงทุนเป็นสิ่งสำคัญ ด้วย GDPR นี่หมายถึงวัตถุประสงค์ในการรวบรวมและประมวลผลข้อมูลส่วนบุคคล หากไม่เข้าใจสิ่งนี้ คุณจะไม่สามารถทราบได้ว่าข้อมูลใดที่คุณต้องการรวบรวม และจะไม่สามารถกำหนดพื้นฐานทางกฎหมายในการรวบรวมและประมวลผลได้

วัตถุประสงค์จะต้องจัดทำเป็นเอกสารและกำหนดไว้ในนโยบายความเป็นส่วนตัวหรือเทียบเท่ากับผู้ใช้ทั้งหมด การระบุวัตถุประสงค์ทั้งหมดที่ข้อมูลจะต้องได้รับการประมวลผลในตอนแรกเป็นสิ่งสำคัญ เนื่องจากการประมวลผลข้อมูลเพื่อวัตถุประสงค์อื่นในภายหลังจะหมายถึงการได้รับความยินยอมเพิ่มเติมและอัปเดตเอกสารของคุณ

ในทางกลับกัน การลดขนาดข้อมูลเป็นเรื่องเกี่ยวกับการลดข้อมูลที่รวบรวมให้เหลือเฉพาะที่จำเป็นต่อวัตถุประสงค์เท่านั้น คำว่า “จำเป็น” ในที่นี้ก็มีความสำคัญเช่นกัน เพราะหมายความว่าวิธีแก้ปัญหาควรลดสิ่งที่จำเป็นในการรวบรวมให้เหลือน้อยที่สุด นั่นคือ หากการเลือกโซลูชัน A ต้องการการรวบรวมข้อมูลส่วนบุคคลมากกว่าเมื่อเปรียบเทียบกับโซลูชัน B ความจริงที่ว่าข้อมูลที่รวบรวมนั้นจำเป็นสำหรับโซลูชัน A ไม่ตรงตามข้อกำหนดของการลดขนาดข้อมูลหากไม่จำเป็นสำหรับโซลูชัน B นี่เป็นสิ่งสำคัญ ไม่เพียงแต่เพื่อให้สอดคล้องกับ GDPR เท่านั้น แต่ยังลดจำนวนข้อมูลส่วนบุคคลที่ต้องการการป้องกันและลดหรือขจัดความจำเป็นในการรวบรวมหรือเก็บข้อมูลส่วนบุคคลที่ละเอียดอ่อนให้น้อยที่สุด

ข้อมูลผู้ใช้นามแฝง

แนวทางอื่นในการปกป้องข้อมูลของผู้ใช้คือ

แนวคิดของนามแฝง ตัวอย่างเช่น ชุดข้อมูลทางการแพทย์อาจมีการแทนที่ข้อมูลระบุตัวตนของผู้ใช้ด้วยข้อมูลระบุตัวตนปลอมแบบสุ่มที่ไม่ซ้ำกัน และความสัมพันธ์ระหว่างข้อมูลระบุตัวตนของผู้ใช้และตัวตนปลอมที่จัดเก็บแยกไว้ต่างหาก ข้อมูลจะถือเป็นนามแฝง ข้อมูลดังกล่าวจะไม่ถูกปกปิดอย่างสมบูรณ์ เนื่องจากผู้ใช้จะยังคงสามารถระบุตัวผู้ใช้ทางอ้อมได้โดยใช้ข้อมูลการทำแผนที่ อย่างไรก็ตาม ข้อมูลที่ใช้นามแฝงสามารถประมวลผลได้อย่างปลอดภัยโดยให้การแมปกับข้อมูลระบุตัวตนที่แท้จริงนั้นปลอดภัย หากไม่จำเป็นต้องระบุผู้ใช้รายใดเป็นพิเศษ ก็ไม่จำเป็นต้องเก็บการแมปไปยังข้อมูลระบุตัวตนจริง และข้อมูลอาจถูกพิจารณาว่าไม่ระบุชื่อโดยสมบูรณ์

อย่างไรก็ตาม ที่นี่จำเป็นต้องมีการดูแลบางอย่าง เพราะหากผู้ประมวลผลข้อมูลไม่ถือการแมป แต่ก็ยังมีอยู่ที่อื่น จะไม่ถือว่า ไม่ระบุชื่ออย่างเต็มที่ นอกจากนี้ หากข้อมูลมีข้อมูลอื่นๆ ที่สามารถใช้เพื่อระบุตัวบุคคลโดยสัมพันธ์กับข้อมูลอื่น เช่น วันเกิดและรหัสไปรษณีย์ที่สัมพันธ์กับทะเบียนการเลือกตั้ง ข้อมูลจะยังคงเป็นเพียงข้อมูลที่ไม่ระบุตัวตนเท่านั้น ดังนั้น จะต้องได้รับการปกป้องเป็นข้อมูลส่วนบุคคล

เคยเปลี่ยนแนวทางความเป็นส่วนตัว

GDPR มีผลกระทบอย่างแน่นอนในช่วงสามปีนับตั้งแต่เปิดตัว องค์กรต่างๆ ได้ปรับแนวทางของตนกับข้อมูลส่วนบุคคลเพื่อให้สอดคล้องกับระเบียบข้อบังคับ และหน่วยงานต่างๆ ได้นำเอาแนวทางดังกล่าวมาใช้เพื่อพิจารณาการละเมิดกฎระเบียบเหล่านั้น

นอกจากนี้ยังมีความสนใจในความเป็นส่วนตัวจากสาธารณะที่เพิ่มขึ้น โดยมีข้อมูลและการรายงานเกี่ยวกับการละเมิดข้อมูลต่างๆ และการประกาศเมื่อต้นปีนี้โดย Apple ว่า เป็นการลบความสามารถในการติดตามกิจกรรมของผู้ใช้ในแอปและอุปกรณ์ต่างๆ

แม้ว่าฉันจะไม่คาดหวังว่าข้อบังคับจะเปลี่ยนแปลงอย่างมีนัยสำคัญในอนาคต แต่การบังคับใช้อย่างต่อเนื่องและความเข้าใจของสาธารณชนที่เพิ่มขึ้นเกี่ยวกับความเป็นส่วนตัวในโลกดิจิทัลมีแนวโน้มที่จะเปลี่ยนแนวทางความเป็นส่วนตัวของเราต่อไปในอนาคต

อ่านเพิ่มเติมเกี่ยวกับความเป็นส่วนตัวและการปกป้องข้อมูล

Security Think Tank: ดำเนินธุรกิจเพื่อจัดการกับความเสี่ยงทางการค้า

โดย: Raef Meeuwisse

นอกเหนือจาก GDPR: ePrivacy อาจส่งผลกระทบกับอุปกรณ์เคลื่อนที่มากขึ้น

โดย: หยก Nester

เทค

Back to top button