CBC-jeva istraga otkrila je masovno curenje dojava Crime Stoppersa, a posljedice nameću neugodno pitanje. Kada organizacija obeća anonimnost i zatim je ne uspije zaštititi, tko odgovara za taj neuspjeh? Priča o privatnosti u slučaju provale podataka Crime Stoppersa poprimila je zabrinjavajući obrat nakon što su i savezni i provincijski nadzornici za privatnost sugerirali da su im ruke vezane.

Što je otkrilo curenje podataka Crime Stoppersa

CBC-jeva istraga otkrila je curenje velikih razmjera dojava poslanih Crime Stoppersu. Pravni stručnjak citiran u izvještaju rekao je da bi to mogla biti "jedna od najgorih provala u kanadskoj povijesti". To je snažna izjava i odražava prirodu uključenih podataka: dojava ljudi kojima je rečeno da mogu progovoriti bez otkrivanja identiteta.

Drugi izvještaji o toj priči naveli su brojke poput više od 1,5 milijuna dojava poslanih u posljednjih 25 godina, a neki izvještaji spominju i to da je Toronto Crime Stoppers pauzirao svoju liniju za dojave. Brojke se razlikuju među medijima, pa ovdje nijednu pojedinačnu brojku ne tretiramo kao konačnu. CBC-jev izvještaj najbolje je mjesto za provjeru pojedinosti kako se budu razvijale.

Za čitatelje je važna vrsta podataka o kojima je riječ. Linije za dojave mogu sadržavati pojedinosti o susjedima, rođacima, radnim mjestima, a ponekad i o vlastitim okolnostima osobe koja daje dojavu. Čak i kada prijava ne uključuje ime, sadržaj može uputiti na to tko ju je napisao.

Zašto kanadski nadzornici za privatnost kažu da su im ruke vezane

Prema CBC-jevom sažetku izvještaja, i savezni i provincijski nadzornici za privatnost sugerirali su da imaju ograničenu mogućnost djelovanja. Jednostavno rečeno, uredi za koje Kanađani obično očekuju da će istražiti i odgovoriti na velike provale podataka signaliziraju da možda neće moći pozvati Crime Stoppers na odgovornost.

Nećemo nagađati o točnom pravnom obrazloženju jer pojedinosti pripadaju CBC-jevom cjelovitom izvještaju. Šira je poanta ipak lako shvatljiva. Regulatori za privatnost mogu djelovati samo u okviru ovlasti koje im daju njihovi zakoni. Kada organizacija upadne u prazninu u tim zakonima, ozbiljna provala može se dogoditi bez jasnog puta do provedbe.

Ta praznina nije jedinstvena za ovaj slučaj. Pokrivali smo slične zabrinutosti u provali podataka o biračima u Alberti, gdje je izlaganje osobnih podataka oko tri milijuna birača istaknulo kako političke stranke sjede u mutnom kutu zaštite privatnosti. Različite organizacije, isti obrazac: osjetljivi podaci koje drže skupine čija je odgovornost nejasna.

Što to znači za anonimne dojavitelje

Za svakoga tko je koristio liniju za dojave ili bi to mogao učiniti u budućnosti, praktični zaključci su trezveni, ali njima se može upravljati.

Anonimnost je obećanje, a ne jamstvo. Linija za dojave može iskreno namjeravati zaštititi vaš identitet i ipak pohraniti vaše podatke u sustav koji bude provaljen. Obećanje je samo onoliko snažno koliko je snažna sigurnost iza njega i pravne posljedice zbog njegova nepoštivanja.

Pravni lijek može biti ograničen. Ako regulatori kažu da ne mogu djelovati, ljudi pogođeni provalom imaju manje očitih mjesta kojima se mogu obratiti. To smanjuje pritisak na organizacije da ulažu u sigurnost i ostavlja pojedincima da nose rizik.

Pojedinosti vas mogu identificirati čak i bez imena. Stil pisanja, vrijeme, konkretni događaji i osobne reference mogu sve suziti krug onih koji su poslali dojavu. Ako baza podataka bude izložena, te pojedinosti postaju slaba točka.

Ništa od ovoga ne znači da su linije za dojave beskorisne ili da bi ljudi trebali prestati prijavljivati teška kaznena djela. Znači da biste trebali krenuti s realističnim pogledom na to koliko zaštite zapravo imate i razmisliti o tome što uključujete u prijavu.

Što to znači za vas

Većina čitatelja nikada neće poslati dojavu Crime Stoppersu, ali temeljna lekcija široko se primjenjuje. Organizacije koje obećavaju anonimnost ili povjerljivost, od linija za dojave do platformi za ankete do zagovaračkih skupina, pohranjuju podatke koji mogu biti provaljeni kao i svaki drugi. Hoće li regulator moći naknadno intervenirati, ovisi o zakonima koje vjerojatno niste pročitali.

Ista se zabrinutost pojavljuje i u raspravama o politikama drugdje. Naše izvještavanje o ottawskom zakonu o internetskoj sigurnosti i provjerama dobi odražava sličnu napetost: sustavi koji prikupljaju više osobnih podataka stvaraju više toga za zaštitu, a kritičari propituju jesu li zaštitne mjere dovoljno snažne.

Kako ograničiti vlastitu izloženost podataka

Ne možete kontrolirati kako organizacija osigurava svoje poslužitelje, ali možete kontrolirati što predajete.

  • Podijelite minimum. Prije slanja bilo kojeg izvještaja, obrasca ili dojave, pitajte je li svaki detalj nužan. Izostavite informacije koje bi mogle uputiti na vas ako nisu ključne.
  • Odvojite svoj identitet od prijave. Izbjegavajte korištenje osobnih e-adresa, radnih uređaja ili radnih mreža za osjetljive prijave. VPN može sakriti vašu IP adresu od usluge koja prima podatke, ali ne štiti sadržaj koji predate nakon što bude pohranjen.
  • Pročitajte uvjete privatnosti. Potražite koliko se dugo podaci čuvaju, tko im može pristupiti i navodi li organizacija da je obuhvaćena zakonom o privatnosti. Nejasni odgovori signal su da budete oprezniji.
  • Razmotrite alternativne kanale. Za ozbiljne stvari razmislite odgovara li vašoj situaciji bolje od anonimnog web-obrasca odvjetnik, pouzdan stručnjak ili izravna prijava nadležnom tijelu.
  • Pazite na službene obavijesti. Ako ste koristili uslugu navedenu u provali, pratite ažuriranja organizacije i medija poput CBC-a o tome što je izloženo.

Ključni zaključak

Rasprava o privatnosti u slučaju provale podataka Crime Stoppersa podsjetnik je da je obećanje anonimnosti samo onoliko snažno koliko su snažne zaštitne mjere i zakoni iza njega. Budući da kanadski regulatori sugeriraju da su im ruke vezane, teret se pomiče na pojedince da pažljivo razmisle o tome što dijele. Odvojite nekoliko minuta ovaj tjedan da pregledate koje organizacije drže osjetljive informacije o vama i što su zauzvrat obećale. Za još jedan primjer praznina u kanadskoj zaštiti podataka pročitajte naš izvještaj o provali podataka o biračima u Alberti.