GDPR: Palebná příprava na digitální hranice? | Kapitola 3
Seznam kapitol
GDPR (General Data Protection Regulation) nám často vysvětlují jen jako banální věc, dobrou věc, věc sloužící k ochraně osobních údajů. To je v době, kdy si s daty dělal, kdo chtěl, co chtěl a masivní úniky byly na každodenním v pořádku, celkem pochopitelné. Problém s GDPR je v něčem jiném: V tom, že tiše zavádí do internetu digitální státní hranice
Když se regionalizace internetu domáhalo Rusko, dalo se to pochopit. Rusko se dívá na řadu služeb jako na svého druhu nepřátelskou činnost, protože z jejich perspektivy nezdravě moc otevírají pohled do toho, co se v Rusku děje a to Rusko nemá rádo, jelikož ono si libuje v nepřístupnosti a v tajemství. Za Studené války bylo pro Američany velmi obtížné pronikat do toho, co se v Sovětském Svazu děje, což si koneckonců vynucovalo i takové kousky, jako byly přelety špionážních letounů U2.
Lockheed U-2R v konfiguraci Senior Spear, volné dílo, Odkaz
Dnes mají Američané Facebook a Amazon, který jim může dodat informace o tom, čím ho ruští anebo libovolní jiní občané krmí – a z toho lze extrahovat cenné údaje. Proto si Rusko řeklo, že chce, aby se servery s informacemi o jeho občanech nacházely na jeho území a nikde jinde, protože je chce kontrolovat.
GDPR zachází v této myšlence ještě dál a v podstatě prohlašuje, že kdokoliv, kdo nakládá s údaji o jeho občanech, vlastně podléhá legislativě EU, což je skutečně odvážná myšlenka. Představte si, že máte blog, na kterém zveřejníte něco nepěkného o iránském ajjatolláhovi – a pak vám přijde z Iránu bumážka, že to okamžitě musíte smazat, protože fakt, že píšete o ajjatolláhovi znamená, že spadáte pod iránskou legislativu a ta vám to zakazuje.
GDPR compliance je našincům vykládána jako technická drobnost, v podstatě je to jen o tom, že data máte chránit. Státy o tom ví svoje, například britským státním úředníkům se povedly tak skvělé úniky dat, že by se na to téma dala napsat opereta. Je tedy celkem logické, že by se únikům mělo bránit, že by k datům měl mít přístup jenom někdo, že by měla být uložena bezpečně. Ale GDPR jde ve skutečnosti ještě dál a žádá, abyste přesně popsali, co a jak s daty děláte – a tyto informace musí být k dispozici pro regulátory.
Takže po řadě chlácholivých článků o tom, jak pro slušné firmy GDPR nic neznamená, se objevují názory, že jde ve skutečnosti o jednu z regulací s historicky největšími technickými nároky a dopady. Teprve teď spoustě lidí po čtení onoho vágního dokumentu došlo, co to EU vlastně chce. Není to jenom o tom, že data musíte mít uložená bezpečně, ale že na vyžádání musíte říct, co s nimi děláte, musíte je na žádost smazat a navíc se objevil požadavek na jejich regionalizaci.
Méně rafinované služby s nízkými obraty, jako Spolužáci.cz, tedy raději skončí. To moc velký problém není. Jenomže mnoho společností zachází ve zpracování mnohem dál a jejich zpracování je mnohem složitější. Co například když vaše technologie pracuje pomocí neuronových sítí? U nich buď řeknete, že je „agregujete“ a bude to stačit – anebo někdo bude chtít vědět postup zpracování přesně, což vysvětlit nemůžete, protože do neuronové sítě nevidíte. A co když se někdo bude chtít vymazat? Vymazat můžete zdrojová data, ale ne agregovaná. A pokud jsou agregovaná v neuronových sítích, jak je budete vymazávat? To budete celý systém po každém požadavku o vymazání přeučovat? GDPR tvrdí, že pod něj nespadají anonymizované údaje, ale anonymizované údaje nejsou nic jiného než kolekce zpracovaných osobních údajů. Pokud se neuronová síť naučí rozeznávat váš hlas, prostě to umí. I když jde o agregovanou znalost, stále je schopná z hlasového vzorku vyvodit vaši identitu mezi mnoha jinými.
Komentáře naleznete na konci poslední kapitoly.
