GDPR

[Mocca]

Otsikko sen jo lyhyesti kertookin, on tämä nykyään tehty vaikeaksi, jos haluaisin esim. laittaa sivuilleni yksinkertaisen rekisteröitymisen, niin nimimerkki + salasana = on mukamas jo henkilötieto = muodosta henkilörekisteri. Jos nuo vielä salattuna laittaisi tietokantaan, niin miten ihmeessä tuosta muka voisi kehenkään mitään yhdistää? edes välillisesti.

 

[ojisama]

Otsikko sen jo lyhyesti kertookin, on tämä nykyään tehty vaikeaksi, jos haluaisin esim. laittaa sivuilleni yksinkertaisen rekisteröitymisen, niin nimimerkki + salasana = on mukamas jo henkilötieto = muodosta henkilörekisteri. Jos nuo vielä salattuna laittaisi tietokantaan, niin miten ihmeessä tuosta muka voisi kehenkään mitään yhdistää? edes välillisesti.

Nimimerkki + salasana -yhdistelmä ei kyllä nähdäkseni muodosta yhdistelmää joiden perusteella voi tunnistaa henkilön. Sähköposti sitten erikseen..?

Ehkä joku lähde ajatukselle, että noista muodostuu henkilörekisteri olisi hyvä keskustelun pohjaksi?

 

[AkiL]

Pelkkä nimimerkki (edes salasanaan yhdistettynä) ei ole henkilötieto. Henkilötietoa on sellainen tieto, josta voi tunnistaa henkilön. GDPR:stä on nykyään materiaalia niin paljon, että runsaudenpula saattaa vähän hankaloittaa koko asian hahmottamista, mutta tietoa kyllä löytyy.

Sähköpostikin on vähän niin ja näin, netin ollessa täynnä mailipalveluita joihin voit rekisteröityä ilman oikeita henkilötietoja.

 

[Mocca]

Nimimerkki + salasana -yhdistelmä ei kyllä nähdäkseni muodosta yhdistelmää joiden perusteella voi tunnistaa henkilön. Sähköposti sitten erikseen..?

Ehkä joku lähde ajatukselle, että noista muodostuu henkilörekisteri olisi hyvä keskustelun pohjaksi?

Tällainen oli kanta, kun soitin ja kysyin asiasta, tietosuojavaltuutetun toimistosta.

 

[ojisama]

Sähköpostikin on vähän niin ja näin, netin ollessa täynnä mailipalveluita joihin voit rekisteröityä ilman oikeita henkilötietoja.

Juu. Sähköposti ei välttämättä ole henkilötieto, ja 'yleiset' onkin rajattu pois esimerkeissä, mutta noin yleisesti ottaen jos käyttäjä rekisteröityy, niin joutuu olettamaan, että se on juuri kyseisen henkilön henkilökohtainen sähköpostiosoite (jota käyttää muuallakin).

Mikä on henkilötieto? | Tietosuojavaltuutetun toimisto

tietosuoja.fi

Tällainen oli kanta, kun soitin ja kysyin asiasta, tietosuojavaltuutetun toimistosta.

Hyvin jännä vastaus kyllä. Hatusta tulee mieleen, että olisi ymmärtänyt väärin, ja tehnyt jonkun piilo-oletuksen sähköpostilla tehtävästä rekisteröimisen vahvistamisesta.

 

[AkiL]

Juu. Sähköposti ei välttämättä ole henkilötieto, ja 'yleiset' onkin rajattu pois esimerkeissä, mutta noin yleisesti ottaen jos käyttäjä rekisteröityy, niin joutuu olettamaan, että se on juuri kyseisen henkilön henkilökohtainen sähköpostiosoite (jota käyttää muuallakin).

Juu, näinhän se ikävä kyllä on. Lukaisin itsekin muistin virkistykseksi (vaikka juuri pari kk sitten on taas vuosittainen GDPR -muistinvirkistys käyty läpi ) tuon postaamasi linkin ennenkuin vastasin. Tokihan se virallisesti on juuri noin, että sähköpostikin lasketaan henkilötiedoksi, mutta IMHO se on kyllä ihan harmaata aluetta. Jos rekisteröityy johonkin random-mailipalveluun ja antaa nimekseen "Suomen Tietosuojavaltuutettu" ja ottaa mailikseen "suomen.tietotuojavaltuutettu@[whatever mailipalvelu onkaan]" niin vaikea sitä on yhdistää henkilöön. IP:kin on vähän niin ja näin, koska jos käyttää julkista avointa verkkoa, proxya, vpn:ää tai jotain muuta metodia, ei IP johda henkilöön.

Muoks: ja siis en mitenkään ole GDPR:ää vastaan, päinvastoin. Mutta siinä on selkeitä teknisiä harmaita alueita. Toki parempi noissakin on kallistua käyttäjän oikeuksien puolelle, kuin toiseen suuntaan.

 

[kolistelija]

Se että käyttäjä voi mahdollisesti tehdä kyseisestä kentästä anonyymin (IP-osoite, sähköpostiosoite jne.) ei tietenkään tee siitä muuta kuin henkilötietoa. Voithan antaa keksityn nimen ja hetunkin jos niin haluat, näin kärjistääkseni.

 

[ojisama]

Juu, näinhän se ikävä kyllä on. Lukaisin itsekin muistin virkistykseksi (vaikka juuri pari kk sitten on taas vuosittainen GDPR -muistinvirkistys käyty läpi ) tuon postaamasi linkin ennenkuin vastasin. Tokihan se virallisesti on juuri noin, että sähköpostikin lasketaan henkilötiedoksi, mutta IMHO se on kyllä ihan harmaata aluetta. Jos rekisteröityy johonkin random-mailipalveluun ja antaa nimekseen "Suomen Tietosuojavaltuutettu" ja ottaa mailikseen "suomen.tietotuojavaltuutettu@[whatever mailipalvelu onkaan]" niin vaikea sitä on yhdistää henkilöön. IP:kin on vähän niin ja näin, koska jos käyttää julkista avointa verkkoa, proxya, vpn:ää tai jotain muuta metodia, ei IP johda henkilöön.

Muoks: ja siis en mitenkään ole GDPR:ää vastaan, päinvastoin. Mutta siinä on selkeitä teknisiä harmaita alueita. Toki parempi noissakin on kallistua käyttäjän oikeuksien puolelle, kuin toiseen suuntaan.

Näinhän se on, ja olen samaa mieltä, että nuo ei välttämättä ole yksittäisen tiedon kohdalla henkilötietoja. Olen silti itse harmaudesta enimmäkseen eri mieltä, koska kyllä yhä voidaan olettaa, että suurin osa sähköpostiosoitteista on 'oikeita', ja jopa anonyymit sähköpostiosoitteet sinänsä liittyy siihen yhteen henkilöön, kun se on kommunikaatioväylä juuri tälle henkilölle (kun pitäisi tehdä aika monta oletusta muuten).

Tuossa ehdittiinkin väliin sanomaan osin sama asia.

 

[Mocca]

Juu. Sähköposti ei välttämättä ole henkilötieto, ja 'yleiset' onkin rajattu pois esimerkeissä, mutta noin yleisesti ottaen jos käyttäjä rekisteröityy, niin joutuu olettamaan, että se on juuri kyseisen henkilön henkilökohtainen sähköpostiosoite (jota käyttää muuallakin).

Mikä on henkilötieto? | Tietosuojavaltuutetun toimisto

tietosuoja.fi

Hyvin jännä vastaus kyllä. Hatusta tulee mieleen, että olisi ymmärtänyt väärin, ja tehnyt jonkun piilo-oletuksen sähköpostilla tehtävästä rekisteröimisen vahvistamisesta.

Oli minullekkin yllätys. Tätä harmaata aluetta tuntuu nyt olevan tässä paljon ja tuon puhelun, joka kesti yli puoli tuntia, aikana tuli hyvin selväksi se, että tietosuojavaltuutetun kannalta, melkeinpä mistä vain voi tulla henkilötieto. Oma alkuperäinen idea oli laittaa sivustolleni rekisteröitymiseen nimimerkki + salasana + fingerprintJS combo, jossa tuo jälkimmäinen vähän itseäni arvelutti GDPR:n kannalta, mutta yllätys olikin suuri, että pelkkä nimimerkki + salasana voitaisiin katsoa jo henkilötiedoksi. Miten näitä palveluita pystyy enää tekemään, kun joka paikkaan pitäisi olla perustamassa henkilörekisteri ja oma nimi tietysti jokaisessa vielä sivulla esillä.

 

[Paapaa]

Miten näitä palveluita pystyy enää tekemään, kun joka paikkaan pitäisi olla perustamassa henkilörekisteri ja oma nimi tietysti jokaisessa vielä sivulla esillä.

Ei oikein pystykään. Mutta ei se rekisteri niin habkala asia ole toteuttaa oikein että sen takia pitää pistää projekti jäihin. Mutta kyllä GDPR on tehty hyvin voimakkaasti loppukäyttäjän ehdoilla ja suojelemiseksi.

 

[Mocca]

Ei oikein pystykään. Mutta ei se rekisteri niin habkala asia ole toteuttaa oikein että sen takia pitää pistää projekti jäihin. Mutta kyllä GDPR on tehty hyvin voimakkaasti loppukäyttäjän ehdoilla ja suojelemiseksi.

Entäs jos ei halua sitä omaa nimeään julkiseksi joka paikkaan netissä? Tässä ei oteta ollenkaan huomioon sen rekisterinpitäjän tietoturvaa, varsinkin jos yksityishenkilöstä kyse, eikä mistään firman tietosuojavastaavasta. En vaan vieläkään käsitä miten pelkkä nimimerkki + salasana riittää henkilötiedoksi, en sitten millään.

 

[ojisama]

Entäs jos ei halua sitä omaa nimeään julkiseksi joka paikkaan netissä? Tässä ei oteta ollenkaan huomioon sen rekisterinpitäjän tietoturvaa, varsinkin jos yksityishenkilöstä kyse, eikä mistään firman tietosuojavastaavasta. En vaan vieläkään käsitä miten pelkkä nimimerkki + salasana riittää henkilötiedoksi, en sitten millään.

Kirjoita nimimerkin ohjeeksi, että älä käytä henkilötietoa tässä, kirjoita selosteeseen, että et keräät vain nimimerkit, ja laita oma nimimerkki tekijäksi, ja joku anonyymi maili yhteysosoitteeksi.

Eiköhän tuo olisi tarpeeksi lähellä vaatimuksia, kun et kerran henkilötietoja kerää, mutta sait tuollaisen vastauksen.

 

[Mocca]

Kirjoita nimimerkin ohjeeksi, että älä käytä henkilötietoa tässä, kirjoita selosteeseen, että et keräät vain nimimerkit, ja laita oma nimimerkki tekijäksi, ja joku anonyymi maili yhteysosoitteeksi.

Eiköhän tuo olisi tarpeeksi lähellä vaatimuksia, kun et kerran henkilötietoja kerää, mutta sait tuollaisen vastauksen.

Kysyin itseasiassa tästäkin ja kerroin, että entäs jos laitan ohjeeksi, rekisteröitymisen yhteyteen. että "älä käytä omaa oikeaa nimeäsi nimimerkiksi" ja että salasana vielä vahvasti salataan tietokantaan, eikä mitään muuta tietoa sinne käyttäjästä tallenneta, tuli pitkä sepustus siitä, että jos kuitenkin välillisesti ehkäjottakoskakunmahdollisesti tunnistaakin käyttäjän siitä ja aina silti joku voi laittaa sen oman nimensä kuitenkin. Tulipa vielä sekin, että emme voi tietää millaisia tekniikoita tulevaisuudessa on näiden salaustenkin purkuun jne....että aika epätoivoista alkaa olemaan tämä meininki jos tähän on tultu.

Googlehan joutui tekemään isoja muutoksia GDPR:n takia Analytics 4 (GA4) käytäntöihin, jotka liittyivät henkilötietojen käsittelyyn. Joutuivat muuttamaan esim radikaalisti miten IP osoitteet anonymisoidaan täysin, eikä enää tallenneta niitä.

 

[tjkoo]

Otsikko sen jo lyhyesti kertookin, on tämä nykyään tehty vaikeaksi, jos haluaisin esim. laittaa sivuilleni yksinkertaisen rekisteröitymisen, niin nimimerkki + salasana = on mukamas jo henkilötieto = muodosta henkilörekisteri. Jos nuo vielä salattuna laittaisi tietokantaan, niin miten ihmeessä tuosta muka voisi kehenkään mitään yhdistää? edes välillisesti.

Siis minkälainen bisnes sulla on tuossa mihin käytät henkilötietoja?

Ethän sä varmaan kännykkäsi yhteystietoluettelostakaan yksityishenkilönä laadi rekisteriselostetta, miksi siis kotisivusi vierailijoista?

 

[Mocca]

Siis minkälainen bisnes sulla on tuossa mihin käytät henkilötietoja?

Ethän sä varmaan kännykkäsi yhteystietoluettelostakaan yksityishenkilönä laadi rekisteriselostetta, miksi siis kotisivusi vierailijoista?

Jos sinä teet julkisen sivuston/palvelun, jossa on rekisteröintivelvollisuus, eli tietoja käyttäjistä kerätään tietokantaan, se velvoittaa myös samalla sivuston tekijän tiettyjen GDPR:n sääntöjen alaiseksi. Vertauksesi ontuu nyt pahasti.

 

[tjkoo]

Jos sinä teet julkisen sivuston/palvelun, jossa on rekisteröintivelvollisuus, eli tietoja käyttäjistä kerätään tietokantaan, se velvoittaa myös samalla sivuston tekijän tiettyjen GDPR:n sääntöjen alaiseksi. Vertauksesi ontuu nyt pahasti.

Jos yksityishenkilönä teet niin ei sun tartte mitään GDPR:ää noudattaa. Ei sua voida siitä sakottaakaan.

 

[AkiL]

Hyvä pointti yllä. Tuo siis koskee yrityksiä/organisaatioita.

 

[ojisama]

Hyvä pointti yllä. Tuo siis koskee yrityksiä/organisaatioita.

Jos ulkoiset käyttäjät mahtuu tämän sisälle, niin joo. Riippuu mitä katsotaan täysin henkilökohtaiseksi toimimiseksi. Tuo on kuitenkin palvelu ulkopuolisille käyttäjille.

This Regulation does not apply to the processing of personal data by a natural person in the course of a purely personal or household activity and thus with no connection to a professional or commercial activity. Personal or household activities could include correspondence and the holding of addresses, or social networking and online activity undertaken within the context of such activities. However, this Regulation applies to controllers or processors which provide the means for processing personal data for such personal or household activities.

Eipä silti, se käyttäjänimi ei kyllä itsessään todennäköisesti riitä käyttäjän tunnistamiseen.

Icolla näyttää vieläkin olevan erinomaista gdpr tekstiä aiheesta: What are identifiers and related factors?

 

[Mocca]

Jos yksityishenkilönä teet niin ei sun tartte mitään GDPR:ää noudattaa. Ei sua voida siitä sakottaakaan.

Ei se ihan näinkään mene. Jos sinä teet sivuston esim vaikka perheen sisäiseksi huvisivustoksi, tällöin et ole GDPR:n alainen.

Mutta, jos vaikka teet nyt yleisen chatin kaikkien saataville, missä esim rekisteröidytään ja sinusta tallennetaan tiettyjä tietoja, vaikkakin teet tämän yksityishenkilönä ja huvikseen, olet GDPR:n alainen.

Eli, jos yksityishenkilön ylläpitämä sivusto on julkisesti saatavilla ja se esimerkiksi tallentaa käyttäjän yhteystiedot, kommentit, evästetiedot tai IP-osoitteet ja sivusto on suunnattu EU:n kansalaisille tai kerää EU:ssa olevien henkilöiden tietoja, olet GDPR:n alainen.

 

[Mocca]

Jos ulkoiset käyttäjät mahtuu tämän sisälle, niin joo. Riippuu mitä katsotaan täysin henkilökohtaiseksi toimimiseksi. Tuo on kuitenkin palvelu ulkopuolisille käyttäjille.

Eipä silti, se käyttäjänimi ei kyllä itsessään todennäköisesti riitä käyttäjän tunnistamiseen.

Icolla näyttää vieläkin olevan erinomaista gdpr tekstiä aiheesta: What are identifiers and related factors?

Olen samaa mieltä, mutta tämän päiväisen puhelun jälkeen...en tiedä mitä ajatella. Suomessa GDPR:ää tulkitaan ilmeisesti aika yliampuvasti jopa tietosuojavaltuutetun silmissä. He lakia valvonana eivät ottaneet siis selvää kantaa siihen onko nimimerkki + salasana yksiselitteisesti henkilötieto, mutta hyvin painokkaasti tähän se kallistui. Ei annettu siimaa yhtään, vaan suositeltiin vain tekemään henkilörekisteri.

 

[tjkoo]

Ei se ihan näinkään mene. Jos sinä teet sivuston esim vaikka perheen sisäiseksi huvisivustoksi, tällöin et ole GDPR:n alainen.

Mutta, jos vaikka teet nyt yleisen chatin kaikkien saataville, missä esim rekisteröidytään ja sinusta tallennetaan tiettyjä tietoja, vaikkakin teet tämän yksityishenkilönä ja huvikseen, olet GDPR:n alainen.

Eli, jos yksityishenkilön ylläpitämä sivusto on julkisesti saatavilla ja se esimerkiksi tallentaa käyttäjän yhteystiedot, kommentit, evästetiedot tai IP-osoitteet ja sivusto on suunnattu EU:n kansalaisille tai kerää EU:ssa olevien henkilöiden tietoja, olet GDPR:n alainen.

Ok, asia selvä.. Mikä ongelma sitten sulla oon tuossa GDPR:ssä, mikset vaan tee sitä tietosuojaselostetta? Esim. tässä näyttäisi olevan valmis pohja, ei vaikuta kovin isotöiseltä. Näin teet helposti tietosuojaselosteen nettisivuillesi

 

[Mocca]

Ok, asia selvä.. Mikä ongelma sitten sulla oon tuossa GDPR:ssä, mikset vaan tee sitä tietosuojaselostetta? Esim. tässä näyttäisi olevan valmis pohja, ei vaikuta kovin isotöiseltä. Näin teet helposti tietosuojaselosteen nettisivuillesi

Kannattaa lukea ketju alusta asti. Viesteistä päätellen, et ole näiden GDPR asioiden kanssa ollut paljon tekemisissä. Se vastuuviidakko on aikamoinen, kun alkaa rakentamaan vähänkään monimutkaisempaa järjestelmää ja mitä tietoja saa kerätä ja mitä ei. Pelkät evästeet jo tuo mukanaan ihan kivasti opiskeltavaa, riippuen käyttötarkoituksesta. Kritisoin aloituksessani tänään esille tulletta seikkaa, että pelkkä nimimerkki + salasana combo toisi mukanaan henkilörekisterin perustamisen, mikä taas vie asiat eri levelille.

 

[ojisama]

Olen samaa mieltä, mutta tämän päiväisen puhelun jälkeen...en tiedä mitä ajatella. Suomessa GDPR:ää tulkitaan ilmeisesti aika yliampuvasti jopa tietosuojavaltuutetun silmissä. He lakia valvonana eivät ottaneet siis selvää kantaa siihen onko nimimerkki + salasana yksiselitteisesti henkilötieto, mutta hyvin painokkaasti tähän se kallistui. Ei annettu siimaa yhtään, vaan suositeltiin vain tekemään henkilörekisteri.

Sinänsä tuossa Icokin vähän viittaa tuohon. Ei se suoraan ole, mutta juuri tuo "may be personal data". Ja tosiaan, kyllä minä pari henkilöä tunnen, jotka sangen suurella varmuudella olisivat juuri he, jos nimimerkin näkisin jossakin.

(sivuhuomautuksena ongelman voisi kiertää antamalla random nimimerkit, eli käytännössä vaikka arpoisi setin jossa pari random substanttiivia (tai adj + sub) peräkkäin, ja käyttäjä valitsisi itselleen kelpaavan)

What are online identifiers?​

The UK GDPR specifically includes the term ‘online identifiers’ within the definition of what constitutes personal data.
[...]
Other examples of online identifiers that may be personal data include:

• MAC addresses;
• advertising IDs;
• pixel tags;
• account handles; and
• device fingerprints.

The use of these may leave traces which, when combined with unique identifiers and other information received by servers, may be used to create profiles of individuals and identify them.

When assessing if an individual is identifiable, you must consider whether online identifiers, on their own or in combination with other information that may be available to those processing the data, may be used to distinguish one user from another, possibly by the creation of profiles of the individuals to identify them.

This may be either as a named individual or simply as a unique user of electronic communications and other internet services who may be distinguished from other users.

An individual’s social media ‘handle’ or username, which may seem anonymous or nonsensical, is still sufficient to identify them as it uniquely identifies that individual. The username is personal data if it distinguishes one individual from another regardless of whether it is possible to link the ‘online’ identity with a ‘real world’ named individual.

 

[Vaateri]

(sivuhuomautuksena ongelman voisi kiertää antamalla random nimimerkit, eli käytännössä vaikka arpoisi setin jossa pari random substanttiivia (tai adj + sub) peräkkäin, ja käyttäjä valitsisi itselleen kelpaavan)

En usko että voisi. Pseudonymisoitua tietoa pidetään edelleen henkilötietona ja anonymisointi taas vaatisi ettei yksittäistä käyttäjää voi eritellä muista. Lainaamasi UK GDPR viittaa samaan.

Tosin jos kerran ainoa tieto mihin tuon käyttäjän voisi liittää on AP:n mukaan salasana, niin ollaan aika harmaan asian äärellä.

 

[Xiyng]

Lonkalta heitän, että täysin satunnainen käyttäjätunnus ilman valinnanvaraa tuskin olisi henkilötieto. Salasanan taas on tarkoituskin pysyä salassa, joten olisi yllättynyt, jos se voitaisiin laskea henkilötiedoksi, mutta mene ja tiedä. Itse kyllä lähtökohtaisesti olettaisin, että salasana ei ole henkilötieto, mutta vähän asian vakavuudesta riippuen kai senkin voisi vielä varmistaa jostain.

Vähän hiusten halkomiseksihan tämä toki menee. Lähes mikä tahansa varmaan mahdollistaa käyttäjän tunnistuksen jonkun toimesta. Esimerkiksi kirjoitustyylistäkin voi jo varmasti päätellä jotain.

 

[ojisama]

En usko että voisi. Pseudonymisoitua tietoa pidetään edelleen henkilötietona ja anonymisointi taas vaatisi ettei yksittäistä käyttäjää voi eritellä muista. Lainaamasi UK GDPR viittaa samaan.

Ei toi random nimimerkki yksinään ole henkilötieto (ei ole additional dataa, joka yhdistämällä henkilön voisi tunnistaa). Vertaa (samasta icosta edelleen):

By itself, the name ‘John Smith’ may not always be personal data because there are many individuals with that name. However, if the name is combined with other information (such as an address, a place of work, or a telephone number) this is often sufficient to clearly identify one individual.

Toki riippuu mitä muuta dataa tuolla oikeasti logataan (ip-osoite automaattisesti?), mutta käytännössä tuo estää sen, että käyttäjä laittaisi tunnukseksi vaikka nimensä, josta potentiaalisesti voitaisiin käyttäjä tunnistaa.

Ja anonymisointi ei tarkoita, etteikö voisi erottaa muista, vaan, ettei sitä henkilöä voi tunnistaa siitä.

https://www.edps.europa.eu/system/files/2021-04/21-04-27_aepd-edps_anonymisation_en_5.pdf

anonymous data is “information which does not relate to an identified or identifiable natural person or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable”

Tää alla oleva osui silmään jo aiemmin, mutta tuossa yllä olevassa pdf:ssä muuten tuo salaus mainittunakin ja sen rajoitukset. Eli tuossa kohtaa on oletettavasti väärinkäsitys, kun salasanan tiiviste oletettavasti tallennettu yksisuuntaisella tiivistefunktiolla (vai mikä (kryptografinen)hash onkaan suomeksi), eikä niinkään kryptattu.

Tulipa vielä sekin, että emme voi tietää millaisia tekniikoita tulevaisuudessa on näiden salaustenkin purkuun