Kdy přestane být únik dat pouhým únikem dat

Únik dat u jihokorejského giganta v oblasti e-commerce Coupang odhalil osobní informace 33,7 milionu uživatelů. Toto číslo samo o sobě je působivé. Ale to, co po úniku následovalo, proměnilo incident týkající se soukromí spotřebitelů v něco daleko neobvyklejšího: geopolitický pat mezi dvěma blízkými spojenci.

Zprávy naznačují, že americká vláda dala najevo, že může pozastavit vysokoúrovňové diplomatické a obranné konzultace s Jižní Koreou, pokud Soule nezaručí, že zakladatel Coupangu Bom Kim, americký občan, nebude čelit právním důsledkům v souvislosti s únikem. V reakci na to Jižní Korea zahájila rozsáhlou vládní odpověď, včetně policejních razií a parlamentních předvolání namířených proti vedoucím pracovníkům Coupangu.

Samotný únik způsobil bývalý zaměstnanec, což z něj činí incident způsobený vnitřní hrozbou, nikoli externím hackerem. Toto rozlišení je důležité pro pochopení toho, jak k němu došlo, nemění však nic na důsledcích pro desítky milionů lidí, jejichž data byla bez jejich souhlasu odhalena.

Problém odpovědnosti, o němž nikdo nechce mluvit

Jednou z nejzřetelnějších lekcí tohoto incidentu je to, jak rychle může odpovědnost vymizet, jsou-li v sázce mocné zájmy. Ve většině případů úniků dat postižení uživatelé úzkostlivě čekají, zda bude odpovědná společnost čelit smysluplným důsledkům. Regulační pokuty, odpovědnost vedení a povinná bezpečnostní zlepšení mají poskytovat určitou záruku toho, že společnosti berou ochranu dat vážně.

Jakmile však do rovnice vstoupí diplomatický tlak, tento rámec odpovědnosti se stává křehkým. Pokud je věrohodná hrozba právních důsledků pro vedoucí pracovníky fakticky odstraněna prostřednictvím lobbingu zahraniční vlády, odstrašující účinek zákonů o ochraně dat se výrazně oslabuje. Společnosti nakládající s obrovským množstvím osobních údajů musí chápat, že závažné úniky s sebou nesou závažné důsledky. Když geopolitika tento proces zkratuje, za to platí cenu běžní uživatelé.

Nejde o hypotetické obavy. 33,7 milionu lidí, jejichž informace byly při tomto úniku odhaleny, jsou skutečné osoby. Jejich jména, kontaktní údaje, historie nákupů a potenciálně další citlivá data jsou nyní nekontrolovaně na svobodě. Diplomatické manévrování, ke kterému nad nimi dochází, nijak nesnižuje jejich riziko.

Co to znamená pro vás

Pokud nakupujete na mezinárodních e-commerce platformách, tento případ vám připomíná, jak malý přehled máte o tom, kam vaše data putují a kdo je odpovědný za jejich ochranu poté, co je jednou předáte.

Když si vytvoříte účet na platformě, jako je Coupang, svěřujete dané společnosti osobní informace. Zároveň v praktickém smyslu důvěřujete každé jurisdikci, v níž tato platforma působí, že má funkční a vymahatelná pravidla ochrany dat. Tento incident ukazuje, že i robustní národní vymáhání může čelit rušení ze zahraničí.

VPN by uživatele Coupangu před tímto únikem neochránila. Data byla uložena přímo u společnosti, nebyla zachycena při přenosu. VPN maskuje váš internetový provoz před poskytovatelem internetových služeb a dalšími pozorovateli na úrovni sítě, ale nemá žádný vliv na to, co společnost dělá s daty, která jste jí již předali. Kdokoli tvrdí opak, přeceňuje možnosti technologie VPN.

Co skutečně záleží, je selektivnost v tom, které platformě svá data vůbec svěříte. Praktické kroky, které stojí za zvážení:

  • Používejte pro různé platformy unikátní e-mailové adresy nebo aliasy, aby únik u jedné služby neměl dopad na ostatní.
  • Neukládejte platební informace u prodejců, pokud k tomu neexistuje jasná a průběžná potřeba.
  • Sledujte služby upozorňující na úniky dat, které vás informují, když se vaše přihlašovací údaje objeví v uniklých datových sadách.
  • Pravidelně kontrolujte oprávnění aplikací a platforem a mažte účty, které již nevyužíváte.
  • Buďte skeptičtí k věrnostním programům a dobrovolnému sdílení dat, které nabízejí malé odměny výměnou za hlubší profilování.

Přeshraniční ochrana dat má strukturální slabiny

Tento případ také poukazuje na skutečnou mezeru v tom, jak mezinárodní ochrana dat funguje. Zákony jako evropské GDPR a jihokorejský zákon o ochraně osobních informací jsou navrženy tak, aby v konkrétních jurisdikcích zajišťovaly odpovědnost společností. Nebyly však navrženy s ohledem na scénáře, kdy zahraniční vláda aktivně tlačí na zastavení vymáhání.

Jak stále více společností působí globálně a jak stále více uživatelů sdílí data přes hranice, otázka, kdo je v konečném důsledku odpovědný za ochranu těchto dat, se stává obtížněji zodpověditelnou. Regulační rámce, které dobře fungují izolovaně, mohou selhat v okamžiku, kdy se střetnou s diplomatickými vztahy, obchodními jednáními nebo bezpečnostními aliancemi.

Pro spotřebitele je upřímná odpověď taková, že žádný jediný nástroj ani zvyk vás plně neochrání ve světě, kde data volně proudí přes hranice a kde lze odpovědnost vyměnit v diplomatických jednáních. Informovaný skepticismus vůči tomu, kdo vaše data drží a proč, je však rozumným výchozím bodem. Únik dat Coupangu připomíná, že soukromí spotřebitelů není jen technický problém. Je to také problém politický a běžní uživatelé si zaslouží toto rozlišení chápat.