Конфиденциальность данных и безопасность в технологиях здоровья и фитнеса
Linas JuozėnasПоделиться
Конфиденциальность и безопасность данных
Используйте технологии для здоровья и фитнеса, лучше понимая, чем вы делитесь, кто может получить к этому доступ и что означает защита.
Запись о тренировке может помочь отслеживать прогресс. Защищённое сообщение может поддержать консультацию. Маршрут может помочь вспомнить удачный день на свежем воздухе. Каждый из этих элементов становится полезнее, когда понятны его цель, аудитория и ограничения.
Это руководство объясняет, как персональная информация перемещается между подключёнными сервисами, отделяет функции безопасности от обещаний конфиденциальности и предлагает практические шаги для отдельных пользователей, тренеров и организаций.
Поймите, зачем нужна информация и куда она направляется.
Защита соединения, шифрование хранилища и сквозное шифрование защищают разные вещи.
Проверьте настройки доступа, исправляйте ошибки и узнайте, как покинуть сервис.
Конфиденциальность, безопасность и доверие
Технологии для здоровья и фитнеса часто превращают персональную информацию во что-то полезное: запись, напоминание, беседу или анализ. Ценность такого использования зависит от того, чего человек хочет достичь, и от того, насколько ответственно сервис обращается с информацией.
Полезно начать с простого вопроса: Какая информация нужна для этой задачи и кому она нужна? Ответ может прояснить как пользу сервиса, так и его границы.
Конфиденциальность касается использования информации
Конфиденциальность включает причины сбора информации, выводы, которые из неё делают, получателей информации и то, как она влияет на человека. Система может не допускать злоумышленников, но при этом использовать информацию в неожиданной или ненадлежащей цели.
Например, человек может спокойно поделиться журналом тренировок с тренером, но испытывать дискомфорт из-за использования той же информации для рекламы. Данные не изменились. Изменились цель и отношения.
Безопасность защищает информацию и сервисы
Безопасность включает защиту конфиденциальности, сохранение целостности записей и обеспечение доступности информации, когда она необходима. Частная запись, изменённая без разрешения, или медицинская служба, которая не может восстановить свои записи после инцидента, создаёт иную проблему, чем публичное раскрытие информации.
Эти цели дополняют друг друга. Людям нужна информация, доступная нужному человеку, достаточно точная для своей цели и защищенная от ненадлежащего доступа. Ни одна отдельная настройка не обеспечивает все три условия.
Персональная информация выходит за рамки имени
Согласно GDPR, персональные данные относятся к идентифицированному или идентифицируемому человеку. Идентификация может быть косвенной: номера учетных записей, записи о местоположении или другой связанной информации может быть достаточно, чтобы связать запись с человеком. Удаление имени не устраняет автоматически эту связь.[1]
Учитывайте деловые отношения
Сервис может получать доход от подписок, оборудования, договоров с организациями, рекламы или другой деятельности. Одна лишь цена не показывает, как используется информация. Платному сервису все равно нужна понятная политика конфиденциальности, а бесплатный сервис не следует считать продающим персональные данные без доказательств.
Ищите конкретное объяснение целей и получателей информации сервиса. «Улучшение вашего опыта» менее информативно, чем описание того, какие записи поддерживают какую функцию, передается ли информация другой организации и от каких необязательных способов использования можно отказаться.
Доверие растет, когда эти объяснения соответствуют поведению продукта. Должна быть возможность пользоваться полезной функцией, понимая, что она требует взамен.
Какие данные могут собирать сервисы для здоровья и фитнеса
Разные продукты собирают разную информацию. Базовый автономный таймер, подключенные часы, приложение для питания и клинический портал не следует считать взаимозаменяемыми. Приведенная ниже таблица - это руководство по вопросам, которые стоит задать, а не утверждение, что каждый сервис собирает все категории.
| Информация | Примеры | Полезный вопрос |
|---|---|---|
| Учетная запись и профиль | Контактные данные, возраст, предпочтения, потребности в доступности и идентификаторы учетной записи. | Какие сведения необходимы, а какие необязательны? |
| Данные об активности и физиологические записи | Тренировки, шаги, показатели частоты сердечных сокращений и данные, связанные со сном. | Что измеряется, что оценивается и как долго это хранится? |
| Местоположение и время | Маршруты, временные метки, регулярно используемые начальные точки и обмен данными об активности в реальном времени. | Видно ли это другим пользователям, поставщику услуги или подключенным сервисам? |
| Медицинская и генетическая информация | Симптомы, диагнозы, результаты анализов, записи о лечении или генетические отчеты. | Какая цель оправдывает сбор этой конфиденциальной информации? |
| Сообщения, изображения и консультации | Чаты, загруженные фотографии, документы, а также включенные записи или расшифровки. | Ведется ли запись или транскрипция и кто может получить доступ к результату? |
| Техническая и выводимая информация | Идентификаторы устройств, журналы подключений, модели использования и рассчитанные показатели. | Что выводится о моей учетной записи помимо введенной мной информации? |
Измерения и выводы - это разные записи
Сигнал датчика может быть обработан для получения оценки частоты сердечных сокращений, которая затем может использоваться при расчёте показателя восстановления. Этот показатель представляет собой ещё один уровень интерпретации. При проверке конфиденциальности следует спрашивать как об исходных записях, так и о выводах, сохранённых о человеке.
Это различие также важно, когда что-то не так. Устройство не носили, активность классифицировали неверно или заметку прикрепили не к тому аккаунту. У сервиса должен быть способ объяснять и исправлять соответствующие ошибки, включая, где это уместно, последующие интерпретации.
Чувствительность зависит от контекста и использования
Медицинские и генетические данные получают дополнительную защиту в соответствии с GDPR. Что касается биометрических данных, статья 9 конкретно относится к обработке с целью однозначной идентификации человека. Широкое использование фитнес-компанией слова «биометрический» в маркетинге не определяет юридическую классификацию каждого измерения.[2]
Количество шагов и медицинская запись не обязательно дают ответ на один и тот же вопрос. Однако обычные на вид записи могут раскрывать больше информации, если связать их с симптомами, местоположением, приёмами или другими сведениями. Спросите, что сервис фактически с ними делает.
Консультация не означает автоматического создания записи
Видеозвонки могут проходить в реальном времени без записи. Запись, расшифровка, заметки, созданные ИИ, и хранение итоговой записи врача - это отдельные функции. Поставщик должен объяснить, какие из них используются, какова их цель и какие предусмотрены варианты выбора или правовое основание.
Перед звонком участнику полезно спросить: «Что будет сохранено после этой консультации и где я могу найти это объяснение?» Это помогает не предполагать ни то, что ничего не сохраняется, ни то, что каждое взаимодействие записывается навсегда.
Проследите путь информации через сервис
Человек может считать, что запись об активности принадлежит «часам». На практике она может передаваться с устройства на телефон, затем в облако поставщика, аналитический сервис и аккаунт, подключённый пользователем. Каждый этап может добавить отдельную цель, получателя или срок хранения.
Отследите фактический путь
Выберите одну функцию и проследите её работу простыми словами. Где информация создаётся впервые? Остаётся ли она на устройстве? Что синхронизируется? Какие люди или организации могут её прочитать? Что происходит при отключении функции?
Вам не нужно восстанавливать всю сетевую схему. Поставщик должен уметь чётко объяснить её важные элементы. Если объяснения нет, спросите о конкретной функции, а не просите дать общее заверение в том, что всё безопасно.
Поймите, кто несёт ответственность
С точки зрения GDPR оператор определяет цели и основные средства обработки. Обработчик работает с персональными данными от имени оператора. Эти роли определяются фактическими действиями, и одна организация может выполнять разные роли в рамках разных процессов обработки. Одного обозначения в договоре недостаточно, чтобы решить этот вопрос.[3]
Для потребителя практический вопрос заключается в том, кто может ответить на запрос об информации. Для клиники или тренера, приобретающего услугу, это также означает понимание роли поставщика, его субподрядчиков и инструкций по обработке данных.
Учитывайте участвующие страны и организации
GDPR предусматривает дополнительные условия для передачи персональных данных за пределы Европейской экономической зоны. Механизм передачи не заменяет другие требования к законной обработке данных.[4]
Узнайте, где хранится информация, какие организации её получают и кто может получить к ней доступ из других мест. Заявление о местонахождении сервера отвечает лишь на часть этого вопроса. Поставщик должен объяснить соответствующие условия, не заставляя вас догадываться по названию бренда.
Подключения создают дополнительные копии и разрешения
Связывание двух приложений может предоставить доступ к историческим записям, будущим записям или и к тем и к другим. Оно также может позволить одному приложению записывать информацию в другое. При подключении проверьте запрашиваемые разрешения.
Отключение интеграции может остановить будущий доступ, но при этом сохранить записи, которые уже были переданы. Если удаление этих записей важно, также спросите принимающий сервис об их удалении. Отзыв разрешения и удаление копии - разные действия.
Публичная видимость и доступ поставщика - разные вещи
Перевод профиля в приватный режим обычно меняет то, что могут видеть другие пользователи. Это не обязательно меняет то, что сам сервис хранит, анализирует или передаёт в соответствии со своей политикой. Точно так же скрытие части общедоступного маршрута не доказывает, что исходные координаты были удалены из записей поставщика.
Проверьте оба уровня: настройки аудитории, определяющие, что могут видеть другие люди, и политику, регулирующую обработку данных поставщиком. Понятный продукт должен объяснять это различие.
Учитывайте экспорт и резервные копии
Загруженный медицинский отчёт становится файлом в любом месте, куда вы его сохраняете или отправляете. Он может оказаться в папке загрузок, на синхронизируемом диске, во вложении электронной почты или в записях другого человека. Перед экспортом решите, где должна находиться эта копия.
Цель не в том, чтобы избегать любой передачи данных. Важно, чтобы каждая полезная передача была осознанной, с чётко определённым получателем и целью. Отчёт, переданный по согласованному клиническому каналу, может быть ценным именно потому, что информация попадает к нужному человеку.
Как возникают проблемы с конфиденциальностью и безопасностью
Некоторые проблемы начинаются с действий злоумышленника. Другие возникают из-за вводящей в заблуждение настройки, ненужной передачи данных, чрезмерно широких разрешений для сотрудников или записи, которую хранят ещё долго после того, как её цель перестала существовать. Прежде чем решать, какая защита нужна, полезно определить механизм возникновения проблемы.
Несанкционированный доступ
Украденный пароль, скомпрометированное устройство, база данных с открытым доступом или ненадлежащий внутренний доступ могут сделать информацию доступной тому, у кого не должно быть к ней доступа. Надлежащие меры защиты зависят от пути утечки: усиленная защита входа не исправит публично доступную базу данных, а шифрование базы данных не решит проблему вводящего в заблуждение экрана согласия.
Неожательная передача данных без взлома
Пиксели отслеживания и аналогичные интеграции могут передавать информацию другой организации как обычную часть работы веб-сайта. FTC объясняла, как такие инструменты могут раскрывать конфиденциальные сведения об активности, связанной со здоровьем, и рассматривала этот вопрос в связи с принудительными мерами, принятыми в 2023 году против GoodRx и BetterHelp.[5]
Вывод шире этих исторических случаев: передача информации может быть проблемой конфиденциальности, даже если ни один преступник не взламывал систему. По-прежнему важны цель, авторизация и раскрытие информации человеку.
Связывание записей может раскрыть личность
Исследования мобильности людей показали, что данные о местоположении могут быть весьма характерными, из-за чего предположительно обезличенные записи становятся уязвимыми для идентификации при объединении с внешними сведениями. Результаты зависят от набора данных и обстоятельств; они не представляют собой универсальный показатель идентификации для каждого фитнес-приложения.[6]
Для функции обмена маршрутами практической проблемой может быть повторяющаяся начальная точка или узнаваемый распорядок. В исследованиях это может быть вопрос о том, можно ли связать местоположение и время с конкретным человеком, несмотря на удаление очевидных идентификаторов.
Не все обозначения означают анонимность
Псевдонимизация заменяет или отделяет идентифицирующую информацию, сохраняя возможность связать записи с исходными данными с помощью дополнительной информации. Такие данные остаются персональными данными в соответствии с GDPR. Эффективная анонимизация требует, чтобы человека больше нельзя было идентифицировать с помощью средств, использование которых можно обоснованно ожидать; это более сложная задача, чем удаление имени.[7]
Агрегирование также требует контекста. Сводка по большой группе и результат, описывающий небольшую, легко узнаваемую группу, могут создавать разные риски. Спросите, что именно раскрывается и что получатель может обоснованно вывести из этих данных.
Неверные или недоступные записи также могут причинить вред
Измененная запись, ошибочная привязка учетной записи или перебой в работе сервиса могут подорвать назначение системы даже без публичного раскрытия данных. Клиника может нуждаться в надежном доступе к записям; человеку может потребоваться возможность оспорить вводящий в заблуждение профиль.
Соразмеряйте реакцию ситуации. Пропуск тренировки обычно представляет собой иную проблему, чем взлом клинической учетной записи. Понимание этой разницы помогает избежать как беспечности, так и ненужной тревоги.
Что защищает шифрование - и что оно оставляет открытым
Шифрование преобразует читаемую информацию в форму, для восстановления которой требуется соответствующий ключ. Защита зависит от того, где начинается и заканчивается шифрование, кто контролирует ключи и что происходит, когда авторизованная система считывает информацию.
| Защита | Что именно оно призвано защищать | Важное ограничение |
|---|---|---|
| Шифрование при передаче | Информация, передаваемая по соединению, например между приложением и сервером. | Получающий сервер обычно расшифровывает его и может обработать читаемое содержимое. |
| Шифрование данных в состоянии покоя | Хранимая информация, например база данных, резервная копия или данные на устройстве. | Авторизованное приложение или владелец ключа всё ещё может иметь возможность прочитать его. |
| Сквозное шифрование | Содержимое между предназначенными для общения конечными устройствами. | Конечные устройства и поведение получателя по-прежнему имеют значение; не все виды метаданных обязательно скрыты. |
HTTPS защищает соединение
HTTPS использует Transport Layer Security, или TLS, для защиты связи с веб-сайтом или сервисом. TLS обеспечивает конфиденциальность, целостность и аутентификацию соединения.[8]
Это помогает защищать информацию при передаче. Но это не доказывает, что получающая сторона использует информацию надлежащим образом, страница является добросовестной или поставщик не может прочитать отправленные вами данные. Вводящий в заблуждение веб-сайт также может использовать HTTPS.
Старый термин SSL всё ещё встречается в маркетинговых материалах, но в современном защищённом веб-обмене используется TLS. Декоративный значок безопасности не заменяет понимание того, как на самом деле устроены сервис и соединение.
Сквозное шифрование касается конечных устройств участников общения
При сквозном шифровании сообщений содержимое защищено между конечными устройствами участников общения, а не доступно для чтения серверам, которые доставляют его. Протокол Messaging Layer Security, разработанный IETF, описывает эту модель для группового общения.[9]
Обычное зашифрованное соединение с телефона с сервером поставщика само по себе не обеспечивает такую защиту. Если сервер расшифровывает сообщение для его анализа, поставщик в этот момент может получить доступ к его читаемому содержимому.
Проверьте границы утверждения
Уточните, распространяется ли шифрование на сообщения, вложения, записи, резервные копии и вновь подключённые устройства. Продукт может по-разному защищать разные функции. Фразы «конфиденциальная консультация» недостаточно, чтобы определить, какая техническая модель используется.
Даже когда содержимое сообщений защищено сквозным шифрованием, кто-то на легитимном конечном устройстве может сохранить, сфотографировать или переслать его. Само устройство также нуждается в защите. Шифрование не может заставить получателя забыть информацию, которую он уже прочитал.
Облачный анализ требует пояснений
Если сервис утверждает одновременно, что не может получить доступ к вашему содержимому, и что анализирует читаемое содержимое на своих серверах, спросите, как эти утверждения согласуются между собой. Некоторые системы используют локальную обработку или специализированные методы защиты конфиденциальности. Другие просто расшифровывают информацию на сервере при контролируемом доступе.
У каждой архитектуры своя модель доверия. Чёткое объяснение полезнее, чем представление терминов «военного уровня», «с нулевым разглашением» или «полностью защищённый» как понятных без пояснений гарантий.
Для медицинского сервиса важно выяснить, поддерживает ли выбранная архитектура необходимый уход, доступ и ведение записей, обеспечивая при этом надлежащую защиту информации. Шифрование является частью этой архитектуры наряду с назначением, разрешениями и подотчётностью.
Учётные записи, устройства и повседневная безопасность
Ежедневная защита учётных записей может снизить распространённые риски без необходимости постоянно уделять ей внимание. В первую очередь сосредоточьтесь на учётных записях, которые обеспечивают доступ к другим учётным записям, например к адресу электронной почты, используемому для восстановления доступа, а также на сервисах, где хранится важная для вас информация.
Используйте уникальные учётные данные
Используйте отдельный надёжный пароль для каждой учётной записи. Менеджер паролей может помочь создавать и хранить их, уменьшая необходимость помнить множество несвязанных секретов. CISA рекомендует надёжные пароли и менеджеры паролей как часть базовой защиты учётных записей.[10]
Повторное использование пароля связывает в иных случаях независимые сервисы: компрометация одного из них может упростить доступ к другому. Смена пароля одной учётной записи не устраняет повторное использование пароля в других местах.
Усильте защиту входа
Многофакторная аутентификация добавляет проверку помимо пароля.[11] Если это поддерживается, используйте подходящий дополнительный метод и заранее узнайте, как работает восстановление доступа к учётной записи. Храните данные для восстановления в месте, к которому вы можете безопасно получить доступ.
Ключи доступа используют аутентификацию с открытым ключом и предназначены для защиты от фишинга. Они могут храниться на устройстве или синхронизироваться через провайдера. PIN-код устройства или локальная биометрическая проверка могут подтверждать их использование; биометрические данные, применяемые для такой локальной проверки, не отправляются веб-сайту в качестве учётных данных ключа доступа.[12]
Подходящий вариант зависит от того, что поддерживает сервис и чем вы можете надёжно управлять. Надёжную защиту входа следует сочетать с практичным способом восстановления доступа, особенно перед заменой телефона или ключа безопасности.
Защищайте устройство и активные сеансы
Разблокированный телефон может открыть доступ к уже авторизованной учётной записи без необходимости вводить пароль. Используйте подходящую блокировку экрана, проверьте предварительный просмотр уведомлений и выйдите из учётных записей на общих устройствах.
Если сервис предоставляет список активных сеансов, используйте его, чтобы проверить устройства, которыми вы больше не пользуетесь. Помните, что смена пароля, отзыв сеанса и отключение другого приложения могут быть отдельными действиями.
Поддерживайте программное обеспечение в актуальном состоянии
Обновления безопасности устраняют известные уязвимости программного обеспечения. Где это уместно, включите автоматические обновления и при проверке учтите телефон, приложения и прошивку подключённых устройств.[13]
Устройство может продолжать выполнять свою основную функцию после того, как производитель прекратит выпускать обновления. Если важно продолжать пользоваться им онлайн, уточните срок поддержки. Запланируйте замену устройства или другой способ его использования с учётом обрабатываемой им информации и сохраняющегося риска.
Проверяйте неожиданные запросы
Фишинговые сообщения имитируют доверенных людей или организации, чтобы получить информацию или убедить кого-то совершить действие. Срочный запрос, связанный с аккаунтом, доставкой или утечкой данных, может быть частью обмана.[14]
Если вы сомневаетесь, откройте сервис привычным надёжным способом и проверьте информацию там. Не сообщайте пароль или код подтверждения только потому, что в сообщении утверждается, будто оно пришло от службы поддержки. Сообщайте о подозрительных запросах через установленный канал сервиса.
Эти меры помогают пользователю обеспечить безопасность со своей стороны. Поставщик услуг по-прежнему отвечает за собственные системы, средства контроля доступа и законную обработку информации.
Маршруты, сообщества и онлайн-консультации
Обмен информацией может сделать технологии более полезными. Тренер может проверить тренировку, друзья - вместе насладиться активностью, а медицинский специалист - получить информацию до приёма. Главное - выбрать аудиторию и объём сведений, необходимые для таких отношений.
Проверьте маршруты перед публикацией
Проверьте, не раскрывает ли маршрут ваш дом, место работы, школу или регулярно повторяющийся распорядок. Подумайте, хотите ли вы поделиться всей картой, сокращённым видом или сводной информацией без маршрута. Если платформа позволяет скрывать начало и конец маршрута, проверьте опубликованный результат, а не предполагайте, что настройки по умолчанию подходят для вашей ситуации.
Публикация в реальном времени и публикация после активности также имеют разные последствия. Доверенный человек, который следует по согласованному маршруту в реальном времени для конкретной цели, - это не та же аудитория, что и публичный профиль.
Не ограничивайтесь основной настройкой профиля
Для активностей, фотографий, таблиц лидеров, членства в группах и возможности подписываться на вас могут действовать отдельные настройки. Изменение одной настройки может не повлиять на старые публикации. Проверьте используемые вами разделы и любую уже видимую информацию.
Если на фотографии присутствует другой человек или его маршрут включён в общую активность, учитывайте и его предпочтения. Ваше решение опубликовать собственные результаты не определяет автоматически решение за него.
Используйте предусмотренный медицинский канал
Для консультации подтвердите данные поставщика услуг, ссылку на приём и согласованный способ отправки документов. Проверьте получателя перед отправкой отчёта, особенно если имена или адреса похожи.
Если вам нужна помощь с подключением к звонку, спросите поставщика услуг о доступных альтернативных вариантах или помощи. Настройки конфиденциальности должны обеспечивать доступ к медицинской помощи. Они не должны лишать человека возможности участвовать из-за того, что инструкции или элементы управления сложны в использовании.
Уточните вопросы записи и помощи ИИ
Уточните, используется ли во время консультации запись, расшифровка или сервис на базе ИИ для ведения заметок. Узнайте, какие материалы сохраняются и какие организации их обрабатывают. Итоговая медицинская запись, полная расшифровка и аудиозапись - это разные записи, которые могут иметь разные цели.
Клиницисту может потребоваться хранить надлежащую медицинскую запись, даже если учётная запись пациента впоследствии закрыта. Поставщик должен объяснить применимые требования к срокам хранения и отличать их от необязательных записей или использования для улучшения продукта.
Делайте договорённости об общих устройствах понятными
В домашних хозяйствах и отношениях по уходу иногда требуется практическая помощь с учётными записями. По возможности используйте функции авторизованного доступа или доступа представителя, чтобы для оказания помощи не требовалось всем пользоваться одним паролем.
Обсудите объём доступа и способы его изменения при изменении обстоятельств. Помощнику могут быть нужны сведения о записи на приём, но не каждое личное сообщение. Тренеру может требоваться сводка тренировок, но не вся история здоровья.
Полезная договорённость об обмене данными достаточно конкретна, чтобы все понимали, чем и почему обмениваются. При этом должна сохраняться возможность пересмотреть эту договорённость, если отношения или цель изменятся.
Правовой ландшафт: контекст ЕС и международные различия
Законы о конфиденциальности распространяются не на одних и тех же людей, организации или сведения. Международная доступность фитнес-продукта может сделать значимыми несколько правовых систем, но знакомая юридическая аббревиатура не даёт полного объяснения того, какую защиту получает пользователь.
GDPR - это не просто правило о гражданстве в ЕС
GDPR может применяться к обработке данных в рамках деятельности организации, учреждённой в ЕС. Он также может применяться к определённым организациям за пределами ЕС, если они предлагают товары или услуги людям в ЕС или отслеживают их поведение там. Одно лишь гражданство не определяет сферу действия.[15]
Полезно спросить, какая организация предоставляет сервис и почему она утверждает, что применяются соответствующие правила. Формулировка вроде «доступно во всём мире» не отвечает на этот вопрос.
Необходимо правовое основание, а для чувствительных данных требуются дополнительные условия
Для обработки персональных данных необходимо соответствующее правовое основание согласно статье 6. Обработка медицинских или генетических данных обычно также требует применимого условия из статьи 9. Явное согласие является одним из возможных условий; здравоохранение, исследования и другие ситуации могут предусматривать иные условия и меры защиты.[2]
Поэтому согласие не является универсальным объяснением того, почему клиника должна хранить каждую запись. Равным образом принятие условий сервиса не означает автоматически разрешения на любое будущее использование, которое компания сочтёт полезным.
HIPAA имеет определённую сферу применения в США
В Соединённых Штатах HIPAA применяется к охватываемым организациям и их деловым партнёрам в соответствующих обстоятельствах. Независимо выбранное потребителем приложение для здоровья не подпадает под действие закона автоматически лишь потому, что хранит медицинскую информацию или что его рекомендует клиницист. В разъяснениях HHS используются практические сценарии, чтобы объяснить это различие.[16]
Таким образом, информация, перемещаемая из клинической системы в отдельный потребительский сервис, может попасть в другую правовую и договорную среду. Уточняйте информацию о принимающем сервисе, а не только об исходном источнике.
Могут применяться и другие законы
Правило FTC об уведомлении об утечках медицинских данных распространяется на определенные компании, работающие с персональными медицинскими записями, на которые не распространяется HIPAA. Его сфера действия и требования к уведомлению отличаются от правил HIPAA.[17]
Закон Калифорнии CCPA предоставляет жителям Калифорнии права в отношении подпадающих под этот закон компаний с учетом установленных им условий и исключений.[18] В других юрисдикциях действуют собственные нормы. Эти примеры иллюстрируют различия, а не служат глобальным контрольным списком для проверки соответствия требованиям.
Изучите конкретное обещание
Поставщик должен уточнять, к чему относится такое заявление, как «соответствует требованиям». Идет ли речь обо всем сервисе, одной функции, договорных отношениях или аудите определенной системы? Сертификация безопасности и соблюдение законодательства о защите данных - это разные вопросы.
Для решений, имеющих серьезные последствия, - например, о хранении медицинских записей, мониторинге на рабочем месте или использовании данных страховой компанией - обращайтесь за рекомендациями, относящимися к конкретной стране и ситуации. Общий маркетинг продукта не должен быть окончательным источником ответов на такие вопросы.
Осмысленное согласие и этичное использование
Хорошо спроектированный сервис должен объяснять суть выбора в тот момент, когда он имеет значение. Тот, кто решает, делиться ли маршрутом, должен видеть, с кем он будет доступен. Тот, кто рассматривает участие в исследовании, должен понимать предполагаемое использование данных в рамках исследования. Длинная политика не может заменить четкое объяснение в соответствующий момент.
Для согласия недостаточно одного флажка
Если согласие является правовым основанием, оно должно быть добровольным, конкретным, информированным и однозначным. В некоторых обстоятельствах требуется явное согласие, в том числе когда оно является применимым условием обработки специальных категорий данных. Отзыв согласия должен быть возможен, но он не делает задним числом незаконной обработку, которая ранее осуществлялась на законных основаниях.[19]
Для читателя полезны такие вопросы: На что именно я соглашаюсь? Могу ли я отказаться от этого необязательного использования? Как я смогу изменить свой выбор позже? Расплывчатое обещание «улучшить самочувствие» не указывает на конкретную цель.
Разделяйте цели, для которых нужны отдельные варианты выбора
Использование информации для предоставления запрошенной функции, публикация отзыва, отправка маркетинговых сообщений и поддержка исследовательского проекта - это разные виды деятельности. Продукт должен четко разграничивать их, а не представлять каждый выбор как условие базового использования учетной записи.
Разрешение операционной системы телефона отвечает на технический вопрос о доступе, например о том, может ли приложение использовать данные о местоположении. Само по себе оно не является полным объяснением всех последующих способов использования этой информации.
Обратите внимание на взаимосвязь с запросом
На рабочем месте бывает трудно дать согласие свободно из-за неравенства между работодателем и сотрудником. Руководство EDPB специально рассматривает эту проблему.[19] Аналогичные практические вопросы возникают, когда человек опасается, что отказ от оздоровительной функции может повлиять на отбор, поддержку или доступ к занятию.
Организация должна объяснить, что необходимо, что является необязательным и что произойдет, если человек откажется. Не следует превращать конфиденциальную медицинскую информацию в условие получения несвязанных с ней возможностей без надлежащего обоснования.
Участие в исследовании заслуживает четкого объяснения
Исследования могут приносить общественную пользу, но человек должен иметь возможность понять цель исследования, запрашиваемую информацию, получателей и соответствующие условия отзыва согласия. Слово «исследование» не следует использовать как универсальное описание для каждого будущего коммерческого эксперимента.
Правовое основание и гарантии зависят от проекта. Не следует предполагать, что каждое исследование требует одинаковой процедуры получения согласия или что согласие на один проект означает согласие на все будущие проекты.
Проектируйте сервис с учетом людей, которые им пользуются
Понятный текст, доступные элементы управления и четкая возможность задать вопросы помогают людям принимать осознанные решения. Это важно для пользователей с разными языками, возможностями и уровнями технической грамотности.
Для сервисов, которыми пользуются дети, учитывайте применимые правила в отношении возраста и согласия, понимание ребенка и необходимость запрашиваемой информации. Обстановка должна способствовать участию и обеспечивать надлежащую защиту, а объяснение должно соответствовать уровню понимания ребенка и его опекунов.
Отличайте рекомендацию от имеющего значимые последствия автоматизированного решения
GDPR устанавливает ограничения и гарантии в отношении решений, основанных исключительно на автоматизированной обработке, которые имеют юридические или аналогичные существенные последствия. Исключения имеют свои условия. Обычная рекомендация по тренировке не обязательно соответствует этому порогу.[20]
Если решение влияет на важную возможность, узнайте, какую информацию использовали, кто несет за это ответственность и как можно оспорить решение. Успокаивающее объяснение, созданное той же системой, не обязательно является содержательной проверкой человеком.
Этичное использование также предполагает оценку того, отвечает ли результат интересам человека. Информация, собранная для помощи человеку в реализации его прав, не должна незаметно превращаться в оценку, ограничивающую его возможности или направленную на его уязвимость.
Ваши права и прекращение использования сервиса
Права в сфере защиты данных помогают людям понимать и влиять на то, что происходит с информацией о них. В соответствии с GDPR доступное право и условия его реализации зависят от обработки данных. Сервис должен делать подачу запросов понятной и доступной.[21]
| Право | Цель | Важен контекст |
|---|---|---|
| Доступ | Получить доступ к своим персональным данным и информации об их обработке. | Права других людей по-прежнему требуют защиты.[22] |
| Исправление | Исправить неточные или неполные персональные данные. | Укажите запись и соответствующую ошибку. |
| Удаление | Запросить удаление при соблюдении установленных условий. | Могут применяться юридические обязательства и другие исключения. |
| Ограничение | Ограничить обработку в определенных обстоятельствах. | Это может отличаться от удаления. |
| Переносимость | Получить предоставленные вам данные, на которые распространяется это право, в пригодном для повторного использования формате. | Как правило, касается автоматизированной обработки на основании согласия или договора. |
| Возражение | Возразить против соответствующей обработки. | Возражение требует прекратить обработку для прямого маркетинга, включая связанное с ним профилирование. |
Задайте конкретный вопрос
В полезном запросе о доступе можно указать учетную запись, соответствующий сервис и информацию, которую вы хотите понять. Не обязательно использовать сложные формулировки. Сохраните копию запроса и ответа.
Право доступа включает информацию об обработке, а также сами персональные данные. Проверка личности должна быть соразмерна обоснованным сомнениям в том, кто подает запрос; она не должна становиться предлогом для сбора ненужных документов.[22]
Поймите сроки ответа
Как правило, организации должны ответить на запрос о реализации прав в течение одного месяца. Может применяться обоснованное продление еще максимум на два месяца при условии уведомления и указания причин в течение первого месяца. Условия также применяются к отказу в выполнении явно необоснованных или чрезмерных запросов либо к взиманию платы за них.[22]
Если ответ не отвечает на ваш вопрос, определите, чего в нем не хватает. Четкое дополнительное обращение может оказаться эффективнее, чем начало нового, гораздо более широкого запроса.
Удаление имеет значение, но не является безусловным
Удаление может применяться, когда информация больше не нужна или обрабатывалась незаконно, а также при других обстоятельствах. Исключения включают обработку, необходимую для выполнения юридических обязательств или предъявления иска либо защиты от него.[20]
Поэтому клинике может потребоваться хранить определенные записи в соответствии с применимым законодательством. Она должна объяснить, какие данные хранит, зачем и как долго. Требование хранить конкретную запись само по себе не оправдывает любое не связанное с этим использование этой записи.
Разделите действия, необходимые для прекращения использования
Отмена подписки, закрытие учетной записи, удаление приложения, отзыв разрешений для интеграций и запрос на удаление могут быть отдельными действиями. Перед уходом решите, нужна ли вам выгрузка данных и где вы будете ее хранить.
Спросите, что происходит с существующими копиями, резервными копиями и материалами, уже переданными другим сервисам. Поставщик должен объяснить соответствующий процесс хранения и удаления, а не заставлять вас делать выводы по исчезновению значка приложения.
Пример конкретного запроса
«Пожалуйста, объясните, какие персональные данные вы храните для этой учетной записи, для каких целей и в течение каких сроков, а также кому их раскрываете. Я также хотел(а) бы узнать, как закрыть учетную запись и запросить удаление данных, которые больше не требуется хранить».
Адаптируйте формулировку под свою цель. Запрос на доступ и запрос на удаление могут иметь разные последствия, поэтому четко укажите, чего именно вы хотите.
Где получить дополнительные рекомендации
Если проблема остается нерешенной, обратитесь в соответствующий орган по защите данных. В Литве официальные рекомендации и актуальную контактную информацию предоставляет Государственная инспекция по защите данных — Valstybinė duomenų apsaugos inspekcija, или VDAI.[23]
Сохраняйте соответствующие сообщения, формулировки политик и даты. Они помогут объяснить ситуацию, не требуя отправлять все не относящиеся к делу записи из вашей учетной записи.
Что организации должны создавать и поддерживать
Люди не должны компенсировать избыточный сбор данных, запутанные настройки по умолчанию или плохо контролируемый внутренний доступ. Организациям, работающим с медицинской информацией и сведениями о физической активности, необходимо сделать ответственное поведение частью дизайна сервиса и его повседневной работы.
Собирайте данные для четко определенной цели
Защита данных на этапе проектирования и по умолчанию означает встраивание надлежащих мер в процесс обработки, а также ограничение сбора, использования и доступности по умолчанию только тем, что необходимо для этой цели. В рекомендациях EDPB это рассматривается как постоянная обязанность, а не как функция, добавляемая в конце.[24]
Для продуктовой команды практический вопрос перед добавлением поля звучит так: «Для какого решения или функции это нужно и что произойдет, если мы не будем это собирать?» Ответ должен быть достаточно конкретным, чтобы определять сроки хранения, доступ и объяснение для пользователя.
Предоставляйте людям доступ, необходимый для их роли
Регистратору, тренеру, врачу, инженеру-программисту и расчетной команде может требоваться разная информация. Настраивайте разрешения с учетом задач, пересматривайте их при изменении ролей и удаляйте доступ, который больше не имеет цели.
Общие учетные записи сотрудников затрудняют понимание того, кто получил доступ к записи или изменил ее. Индивидуальный доступ, надлежащая аутентификация и полезные аудиторские записи помогают обеспечить подотчетность. При этом сами журналы не должны собирать лишние конфиденциальные данные.
Считайте поставщиков частью сервиса
Использование известного облачного провайдера не снимает ответственности за настройку, доступ сотрудников или собственные цели организации. Небольшой поставщик не обязательно небезопасен, а крупный бренд не заменяет полноценную оценку безопасности.
Уточните, какие данные обрабатывает поставщик, где и на каких инструкциях он это делает, а также каких субподрядчиков привлекает. Изучите практические меры в отношении инцидентов, удаления данных, прекращения обслуживания и запросов на доступ. При смене владельца сервиса или замене поставщика ответственность должна оставаться четко определенной.
Поддерживайте защиту с течением времени
Кибербезопасностиная рамка NIST 2.0 помогает организациям выявлять риски и управлять ими в областях управления, защиты, обнаружения, реагирования и восстановления. Это структура для организации работы, а не доказательство безопасности конкретного сервиса.[25]
На практике организациям нужны поддерживаемые системы, контролируемые обновления, надлежащие резервные копии, тестирование восстановления и способ выявлять и устранять уязвимости. Аудит или тестирование на проникновение дают свидетельства в пределах своей области и периода проведения. Они не могут гарантировать, что уязвимость никогда не возникнет.
Обеспечьте работу настроек конфиденциальности в соответствии с описанием
Если на кнопке написано «приватный», проверьте соответствующие настройки аудитории. Если дополнительная функция отключена, проверьте связанный с ней поток данных. Если пользователь удаляет запись, поведение системы должно соответствовать объяснению, включая любые обоснованные ограничения срока хранения.
Это вопросы качества продукта, а также конфиденциальности. Механизм, который выглядит понятным, но работает иначе, подрывает осознанный выбор.
Готовьтесь к изменениям и сбоям
Организации должны знать, как они будут уведомлять затронутых людей, восстанавливать важные сервисы и отвечать на вопросы после инцидента. Им также следует планировать обычные случаи прекращения использования: сотрудник увольняется, клиент закрывает аккаунт или устройство достигает конца срока поддержки.
Ответственное обращение с данными заметно в таких обычных переходных ситуациях. Оно зависит от чёткого распределения ответственности и воспроизводимых процессов, а также от технических мер защиты.
Реагирование на уведомление об инциденте или утечке
Уведомление об инциденте должно помочь человеку понять, что произошло и что делать дальше. В нём следует отличать известные факты от вопросов, которые ещё расследуются, и указывать типы затронутой информации.
Если вы получили уведомление
Проверьте информацию через официальный сайт, приложение или канал связи поставщика. После настоящей утечки могут последовать мошеннические сообщения, имитирующие службу поддержки или предлагающие ненужные услуги «восстановления».
Прочитайте, какие данные были затронуты. Утечка пароля, несанкционированный сеанс в аккаунте, проблема с платёжными данными и утечка медицинских записей могут требовать разных действий. Следуйте соответствующим проверенным инструкциям, а не предполагайте, что каждое уведомление означает раскрытие всех видов информации.
Предпримите действия, связанные с утечкой
- Доступ к аккаунту: Используйте настоящий сервис, чтобы изменить затронутые учётные данные, проверить активные сеансы и при необходимости усилить защиту при входе.
- Повторное использование пароля: Если тот же пароль использовался где-либо ещё, измените его и в этих сервисах.
- Финансовая информация: Свяжитесь с соответствующим платёжным провайдером через надёжный канал, если затронуты платёжные данные или обнаружены подозрительные транзакции.
- Медицинская информация: Уточните, какие записи были затронуты, что предпринял поставщик услуг и как он будет сообщать о дальнейших результатах.
- Продолжающаяся проблема: Сохраните уведомление, даты и соответствующую переписку для последующего обращения или подачи жалобы.
Некоторые данные нельзя просто заменить, как пароль. Если утечка касается истории болезни или генетической информации, важны понятное объяснение и надлежащая поддержка.
Что организации должны различать в соответствии с GDPR
Утечка персональных данных может повлечь нарушение конфиденциальности, целостности или доступности. Контролёры обязаны документировать утечки. Уведомление соответствующего надзорного органа, как правило, требуется без неоправданной задержки и, если это практически возможно, в течение 72 часов с момента, когда стало известно об утечке, если только она, вероятно, не создаёт риска для прав и свобод физических лиц.[26]
Информирование затронутых лиц требует соблюдения другого порога: вероятен высокий риск, при этом уведомление должно быть направлено без неоправданной задержки, с учётом соответствующих исключений. Обработчики должны уведомлять контролёра без неоправданной задержки. Эти правила не означают, что каждый технический инцидент требует публичного объявления в течение 72 часов.[26]
Реагировать и извлекать уроки
Рекомендации NIST по реагированию на инциденты рассматривают подготовку, обнаружение, реагирование и восстановление как часть непрерывного управления рисками. Эта работа включает повышение способности организации справляться с будущими инцидентами.[27]
Полезная коммуникация сообщает людям, что известно, что остаётся неопределённым, какие шаги имеют значение и где получать обновления. Общее заверение в важности безопасности не отвечает на эти вопросы.
Для отдельного человека цель заключается в том, чтобы вернуть полезный контроль и получить ясное представление о ситуации. Для организации — локализовать проблему, выполнить свои обязательства, восстановить надлежащее предоставление услуг и устранить причины, позволившие инциденту произойти.
Технологии конфиденциальности и будущие направления
Некоторые улучшения конфиденциальности очевидны: собирать меньше данных, по возможности обрабатывать их локально и предоставлять пользователям понятные элементы управления. Другие улучшения требуют специализированных математических или криптографических методов. Для каждого из них следует объяснить, что именно он защищает и какие допущения предполагает.
| Подход | Потенциальная польза | Остающийся вопрос |
|---|---|---|
| Локальная или периферийная обработка | Анализировать информацию на устройстве и сокращать объём загружаемых данных. | Что всё же покидает устройство, включая резервные копии и технические журналы? |
| Федеративное обучение | Обучать модель на данных раздельных владельцев, не собирая централизованно все исходные записи. | Что могут раскрыть обновления модели и какие дополнительные меры защиты используются? |
| Дифференциальная приватность | Ограничить влияние отдельного человека на публикуемые результаты в рамках определённой математической гарантии.[28] | Какие параметры, расчёты и особенности реализации обеспечивают эту гарантию? |
| Безопасные вычисления | Использовать такие методы, как многосторонние вычисления или гомоморфное шифрование, чтобы ограничить раскрытие данных во время вычислений.[29] | Какие стороны, результаты и допущения остаются доверенными? |
| Доказательства с нулевым разглашением | Доказать указанное утверждение, не раскрывая исходную секретную информацию.[29] | Что именно доказано и какую ещё информацию собирает сервис? |
Оцените реализацию в целом
Метод защиты конфиденциальности может защищать одну часть процесса, тогда как другая по-прежнему раскрывает информацию. Например, хранение необработанных данных на устройствах не делает автоматически безопасным каждое переданное обновление. Защищенный расчет все еще может выдавать результат, раскрывающий больше, чем предполагалось.
В отчете ENISA по инженерным методам защиты данных описываются несколько технических подходов и важность выбора мер для соответствующей цели.[29] Их наличие в продукте должно приводить к более понятным объяснениям, а не заменять объяснение ярлыком.
Для дифференциальной приватности требуется нечто большее, чем добавление произвольного шума
Дифференциальная приватность дает формальный способ рассуждать об утечке конфиденциальности. В рекомендациях NIST подчеркивается, что реальные реализации требуют внимания к допущениям, параметрам и практическим рискам.[28] Поставщик должен уметь объяснить область действия своего утверждения и то, как оно оценивалось.
Сквозные протоколы являются частью архитектуры
Защита сообщений также зависит от взаимодействия учетных записей, устройств, групп и вспомогательных сервисов. В документе IETF об архитектуре MLS рассматриваются эти более широкие аспекты.[30]
Для пользователя практические вопросы остаются вполне понятными: какие устройства могут читать содержимое? Что происходит при подключении нового устройства? Как обрабатываются резервные копии? Что сервис все еще может узнать из сопутствующей активности?
Блокчейн не делает злоупотребления невозможными
Реестр может помочь сделать определенные изменения обнаруживаемыми. Но он не может подтвердить, что исходная информация была точной, что ее сбор был надлежащим или что никто не скопировал информацию за пределами реестра. Постоянные записи также могут создавать сложности для исправления, удаления и минимизации данных.
В анализе CNIL блокчейна и GDPR рассматриваются эти проблемы защиты данных.[31] Не следует помещать конфиденциальные записи в неизменяемую общедоступную систему лишь потому, что неизменяемость звучит убедительно.
Спросите, какую пользу получает человек
Полезная инновация может сократить ненужное раскрытие информации, упростить понимание доступа или помочь исследователям ответить на вопрос с использованием менее идентифицируемой информации. Оценка должна включать удобство использования, стоимость, доступ и последствия возможных сбоев.
Наиболее обоснованное утверждение указывает на конкретную защиту, условия, при которых она действует, и сохраняющиеся ограничения. Это дает людям основу для решения, подходит ли сервис для их потребностей.
Практическая проверка конфиденциальности
Не нужно сразу проверять все устройства и учетные записи. Начните с одного сервиса, в котором хранится важная для вас информация, а затем разберите относящиеся к нему варианты. Эта схема представляет собой оригинальное учебное пособие.
-
Назовите цель.
Запишите, что помогает вам делать этот сервис. Определите записи, необходимые для этой цели, и людей, которым нужен доступ.
-
Проверьте сбор и передачу данных.
Проверьте видимость профиля, данные о местоположении, записи, подключённые приложения и необязательные способы использования данных. Убедитесь, как настройки влияют как на существующую информацию, так и на будущие записи.
-
Защитите доступ.
Проверьте способы входа, блокировки устройств, варианты восстановления, активные сеансы и обновления. Уделите приоритетное внимание аккаунту, используемому для восстановления, а также самому фитнес-сервису.
-
Разберитесь в хранении данных и прекращении использования.
Узнайте, как экспортировать полезные записи, отменить подписку, закрыть аккаунт и запросить удаление. Отметьте отдельные требования к медицинским картам или информации, уже переданной в другие места.
-
Устраните важные пробелы.
Задайте поставщику конкретный вопрос, если существенный момент неясен. Сохраните ответ и пересмотрите договорённости, если меняются ваши потребности, подключения или сервис.
Пример: общедоступный профиль активности
Человеку нравится делиться завершёнными велозаездами, но он не хочет раскрывать регулярно используемое место старта. Он проверяет, кто может видеть его занятия, изучает опубликованный маршрут и выбирает уровень детализации, подходящий для предполагаемой аудитории.
Они также проверяют, сохраняются ли для более ранних занятий другие настройки видимости. Цель состоит в том, чтобы сохранить приятную сторону обмена, одновременно осознанно определяя аудиторию и объём сведений.
Пример: отправка информации врачу
Человек хочет отправить важные сведения из истории перед приёмом. Он уточняет допустимый канал и отправляет запрошенную информацию надлежащему получателю. Он спрашивает, станет ли загруженный файл частью медицинской карты и как контролируется доступ.
Им не нужно подключать каждый фитнес-сервис только потому, что полезен один отчёт. Объём передачи определяется клинической целью.
Пример: отказ от неиспользуемого приложения
Человек больше не пользуется приложением для питания. Он сохраняет копию нужной информации, отменяет платный тариф, проверяет подключённые аккаунты и проходит процедуру закрытия аккаунта.
Если они хотят удалить данные, то явно формулируют этот запрос и уточняют, что ещё сохраняется. Они намеренно сохраняют экспортированный файл, а не оставляют конфиденциальный файл в незаметной папке загрузок.
Пример: тренер выбирает программное обеспечение
Тренеру нужно, чтобы клиенты отмечали посещаемость и записывали согласованные сведения об упражнениях. Перед выбором сервиса он сравнивает, какая информация необходима, как осуществляется доступ и как клиенты могут уйти.
Они спрашивают поставщика об обязанностях, субподрядчиках, поддержке и обработке инцидентов. Решение учитывает как опыт клиента, так и способность тренера ответственно управлять информацией.
Проверяйте всё при существенных изменениях
Полезные моменты для проверки включают подключение другого приложения, замену устройства, включение помощи ИИ, добавление лица, осуществляющего уход, вступление в организационную программу или получение уведомления о новом использовании данных.
Цель - сделать взаимодействие с технологиями управляемым. Вы должны знать, чем пользуетесь, понимать основные информационные потоки и иметь практический способ изменить эту договорённость.
Часто задаваемые вопросы
Означает ли HTTPS, что поставщик не может прочитать мою информацию?
Нет. HTTPS защищает соединение с сервисом. Получающий сервис обычно расшифровывает информацию. Дальнейшее использование зависит от устройства сервиса, его целей, разрешений и юридических обязательств.
То же ли самое сквозное шифрование, что и шифрование данных в состоянии покоя?
Нет. Шифрование хранящихся данных защищает информацию в зависимости от того, у кого находятся ключи. Сквозное шифрование защищает содержимое между взаимодействующими конечными точками. Уточните, какую функцию, устройства и резервные копии охватывает это утверждение.
Остаётся ли закрытый профиль недоступным и для самой компании?
Не обязательно. Видимость профиля обычно касается других пользователей. Сбор, анализ и передача данных поставщиком - отдельные вопросы, регулируемые фактической обработкой данных и применимыми правилами.
Становится ли набор данных анонимным после удаления моего имени?
Не автоматически. Другие сведения всё ещё могут идентифицировать вас или позволить связать записи. Псевдонимизированная информация остаётся персональными данными, если идентификация возможна с использованием дополнительных сведений.
На все ли фитнес-приложения распространяется HIPAA?
Нет. Применимость HIPAA зависит от роли организации и обстоятельств. Одна лишь цель, связанная со здоровьем, или рекомендация врача не превращает независимое потребительское приложение в делового партнёра.
Могу ли я отозвать согласие и немедленно удалить всё?
Отзыв согласия и удаление данных - разные действия. Законная обработка, выполненная ранее, не отменяется отзывом согласия, а удаление имеет условия и исключения. Уточните, что прекратится, что будет удалено, а что необходимо сохранить.
Закрывается ли учётная запись после удаления приложения?
Обычно это лишь удаляет приложение с устройства. Ознакомьтесь с отдельными настройками сервиса для управления подписками, закрытия учётной записи, интеграций и удаления сохранённой информации.
Отправляется ли мой отпечаток пальца на веб-сайт при входе с помощью ключа доступа?
Локальная биометрическая проверка может разрешить использование ключа доступа на устройстве. Веб-сайт получает криптографическое подтверждение подлинности, а не ваш отпечаток пальца в качестве учётных данных ключа доступа. Также защищайте устройство и средства восстановления доступа.
О каждом ли нарушении безопасности данных нужно сообщать в течение 72 часов?
Нет. Документирование в соответствии с GDPR, уведомление надзорного органа и информирование людей имеют разные условия. Срок уведомления надзорного органа связан с осведомлённостью о нарушении и риском; информирование людей обычно требуется при вероятном высоком риске.
Можно ли проводить полезные исследования, одновременно защищая конфиденциальность?
Да, при наличии соответствующей цели, правового основания, мер защиты и управления. Методы могут снизить раскрытие данных, но утверждения об анонимности или защищённых вычислениях необходимо оценивать в конкретной ситуации.
Источники и область применения
В этом руководстве используются официальные европейские рекомендации по защите данных, первичные технические документы, отдельные исследования и ограниченные международные сравнения. Правовые нормы, протокол безопасности и организационная структура отвечают на разные вопросы; ни один из них сам по себе не подтверждает пригодность всей потребительской услуги.
Исторические примеры иллюстрируют такие механизмы, как отслеживание или выявление маршрутов передвижения. Они не описывают каждого современного поставщика и не представляют собой актуальный рейтинг продуктов. Технические стандарты приведены для соответствующих концепций, а не в качестве контрольного списка развёртывания конкретной системы.
Примеры, вопросы для проверки и пятиэтапная схема являются оригинальными учебными иллюстрациями. Они предназначены для содействия пониманию и практическому обсуждению. Конкретные обязанности зависят от обработки, юрисдикции, договора и обстоятельств.
Источники проверены: 6 сентября 2026 г. Настройки сервисов, доказательства и законодательство могут измениться. При принятии решений, имеющих существенные последствия, используйте актуальные официальные рекомендации.
- Европейский совет по защите данных. Основы защиты данных. Руководство для малого бизнеса; дата обращения: 6 сентября 2026 г..Разъясняет понятия персональных данных, чувствительных категорий и основные концепции защиты данных. Вернуться к тексту ↑
- Европейский совет по защите данных. Законная обработка персональных данных. Руководство для малого бизнеса; дата обращения: 6 сентября 2026 г..Разъясняет правовые основания и дополнительные требования к данным специальных категорий. Вернуться к тексту ↑
- Европейский совет по защите данных. Рекомендации 07/2020 о понятиях оператора и обработчика в рамках GDPR. Окончательная версия принята 7 июля 2021 г..Разъясняет распределение ответственности с учётом фактических целей, средств и условий обработки. Вернуться к тексту ↑
- Европейский совет по защите данных. Международная передача данных. Руководство для малого бизнеса; дата обращения: 6 сентября 2026 г..Разъясняет дополнительные требования GDPR к передаче данных за пределы Европейской экономической зоны. Вернуться к тексту ↑
- Федеральная торговая комиссия, Управление технологий. Скрытые последствия: незаметное влияние пиксельного отслеживания. 16 марта 2023 г..Техническое описание пикселей отслеживания и рисков для медицинской информации, отмеченных в ходе правоприменительной деятельности FTC. Исторические примеры не описывают каждую действующую в настоящее время службу. Вернуться к тексту ↑
- de Montjoye YA, Hidalgo CA, Verleysen M, Blondel VD. Уникальность в толпе: границы конфиденциальности данных о мобильности людей. Scientific Reports. 2013;3:1376; doi:10.1038/srep01376.Исследование уникальности следов мобильности в конкретном наборе данных; это не универсальный показатель вероятности повторной идентификации для фитнес-платформ. Вернуться к тексту ↑
- Европейский совет по защите данных. Защита персональных данных. Руководство для малых предприятий; дата обращения: 6 сентября 2026 г..Разъясняет меры защиты на основе оценки рисков и различия между шифрованием, псевдонимизацией и анонимизацией. Вернуться к тексту ↑
- Национальный институт стандартов и технологий. Рекомендации по выбору, настройке и использованию реализаций Transport Layer Security (TLS). SP 800-52, редакция 2; объявление о публикации, 29 августа 2019 г..Используется для объяснения роли TLS в безопасности соединения, а не как актуальный контрольный список настроек. Вернуться к тексту ↑
- Barnes R, Beurdouche B, Robert R и др. Протокол Messaging Layer Security (MLS). IETF RFC 9420; июль 2023 г..Основной документ протокола, объясняющий сквозную защиту между взаимодействующими конечными узлами. Он не подтверждает безопасность какого-либо конкретного приложения для здоровья. Вернуться к тексту ↑
- Агентство по кибербезопасности и безопасности инфраструктуры. Используйте надёжные пароли. Рекомендации Secure Our World; дата обращения: 6 сентября 2026 г..Рекомендации для потребителей по использованию уникальных паролей и менеджеров паролей. Вернуться к тексту ↑
- Агентство по кибербезопасности и безопасности инфраструктуры. Включите MFA. Рекомендации Secure Our World; дата обращения: 6 сентября 2026 г..Рекомендации для пользователей по использованию более надёжной защиты доступа к учётной записи, чем один пароль. Вернуться к тексту ↑
- Альянс FIDO. Ключи доступа. Техническое объяснение и разъяснение для пользователей; дата обращения: 6 сентября 2026 г..Объясняет аутентификацию с открытым ключом, устойчивость к фишингу, локальную проверку пользователя, а также синхронизируемые или привязанные к устройству учётные данные. Вернуться к тексту ↑
- Агентство по кибербезопасности и безопасности инфраструктуры. Обновляйте программное обеспечение. Рекомендации Secure Our World; дата обращения: 6 сентября 2026 г..Рекомендации для пользователей по обновлениям безопасности; сроки поддержки продуктов различаются. Вернуться к тексту ↑
- Агентство по кибербезопасности и безопасности инфраструктуры. Распознавайте фишинг и сообщайте о нём. Рекомендации Secure Our World; дата обращения: 6 сентября 2026 г..Рекомендации по распознаванию обманных сообщений и безопасному сообщению о них. Вернуться к тексту ↑
- Европейский комитет по защите данных. Рекомендации 3/2018 о территориальной сфере действия GDPR (статья 3). Окончательная версия принята 12 ноября 2019 г..Объясняет критерии наличия представительства и ориентации на определённый рынок. Применимость GDPR определяется не только гражданством ЕС. Вернуться к тексту ↑
- Министерство здравоохранения и социальных служб США, Управление по гражданским правам. Сценарии использования приложений для здоровья и HIPAA. Февраль 2016 г.; ссылка приведена в ресурсах HHS для разработчиков, проверенных 22 апреля 2026 г..Объясняет, когда разработчик приложения выступает в качестве делового партнёра. Одна лишь рекомендация врача не устанавливает такой статус. Вернуться к тексту ↑
- Федеральная торговая комиссия. Правило об уведомлении об утечках медицинских данных: основные сведения для бизнеса. Июль 2024 года.Разъясняет сферу действия правила FTC и его отличие от требований HIPAA к уведомлению об утечках. Вернуться к тексту ↑
- Агентство по защите конфиденциальности Калифорнии. Часто задаваемые вопросы. Официальные рекомендации для потребителей и бизнеса; просмотрено 6 сентября 2026 года.Права в соответствии с CCPA касаются жителей Калифорнии и соответствующих требованиям предприятий с учётом условий и исключений, установленных законом. Вернуться к тексту ↑
- Европейский совет по защите данных. Рекомендации 05/2020 о согласии в соответствии с Регламентом 2016/679. Приняты 4 мая 2020 года; версия 1.1 от 13 мая 2020 года.Охватывает свободно данное, конкретное и информированное согласие, отзыв согласия и дисбаланс сил. Вернуться к тексту ↑
- Европейская комиссия. Информация для физических лиц. Официальные рекомендации; просмотрено 6 сентября 2026 года.Разъясняет права физических лиц, включая удаление данных и гарантии при принятии значимых автоматизированных решений. Применяются условия и исключения. Вернуться к тексту ↑
- Европейский совет по защите данных. Соблюдайте права физических лиц. Руководство для малого бизнеса; просмотрено 6 сентября 2026 года.Обзор прав в соответствии с GDPR, условий, исключений и сроков ответа. Вернуться к тексту ↑
- Европейский совет по защите данных. Рекомендации 01/2022 о правах субъектов данных — право доступа. Приняты 28 марта 2023 года; версия 2.1 с исправлениями от 30 мая 2024 года.Подробные рекомендации по запросам доступа и разумной проверке личности; это не универсальное право на получение каждого документа или алгоритма. Вернуться к тексту ↑
- Государственная инспекция по защите данных (VDAI). Государственная инспекция по защите данных. Официальный веб-сайт литовского государственного органа; дата обращения: 6 сентября 2026 г..Официальная отправная точка для получения рекомендаций по защите данных в Литве и актуальной контактной информации. Вернуться к тексту ↑
- Европейский комитет по защите данных. Рекомендации 4/2019 по защите данных на этапе проектирования и по умолчанию согласно статье 25. Версия 2.0; приняты 20 октября 2020 г..Обязанности в отношении проектирования и настроек по умолчанию. Примеры продуктов в статье являются оригинальными иллюстрациями. Вернуться к тексту ↑
- Национальный институт стандартов и технологий. Система кибербезопасности NIST (CSF) 2.0. NIST CSWP 29; 26 февраля 2024 г..Система управления организационными рисками; её использование не означает сертификацию безопасности сервиса. Вернуться к тексту ↑
- Европейский комитет по защите данных. Утечки данных. Руководство для малых предприятий; дата обращения: 6 сентября 2026 г..Разграничивает документирование, уведомление надзорного органа и информирование физических лиц, устанавливая для них разные условия. Вернуться к тексту ↑
- Nelson A, Rekhi S, Souppaya M, Scarfone K. Рекомендации и соображения по реагированию на инциденты для управления рисками кибербезопасности: профиль сообщества CSF 2.0. NIST SP 800-61, редакция 3; апрель 2025 г..Связывает подготовку к инцидентам, их обнаружение, реагирование и восстановление с непрерывным управлением рисками. Вернуться к тексту ↑
- Near J, Darais D, Lefkovitz N, Howarth G. Рекомендации по оценке гарантий дифференциальной приватности. NIST SP 800-226; март 2025 г..Объясняет оценку гарантий дифференциальной приватности; одна лишь эта маркировка не является полной оценкой приватности. Вернуться к тексту ↑
- Европейское агентство по кибербезопасности (ENISA). Инженерия защиты данных. 27 января 2022 года.Технический обзор методов повышения конфиденциальности. Преимущества любой реализации зависят от её дизайна и исходных предположений. Вернуться к тексту ↑
- Beurdouche B, Rescorla E, Omara E, Inguva S, Duric A. Архитектура Messaging Layer Security (MLS). IETF RFC 9750; апрель 2025 года.Описывается более широкая архитектура обмена сообщениями и ограничения защиты протокола в рамках полноценного сервиса. Вернуться к тексту ↑
- Commission nationale de l’informatique et des libertés (CNIL). Блокчейн и GDPR: решения для ответственного использования блокчейна в контексте персональных данных. 29 октября 2018 года.Рассматриваются проблемы защиты данных. Реестр не делает неправомерный сбор или раскрытие данных невозможными. Вернуться к тексту ↑