GDPR — новые правила обработки персональных данных в Европе для международного IT-рынка

Balancer>>> Раза в 2-3.
C.d.>> 14-20 тысяч в месяц?
Balancer> Скорее, ближе где-то к первому числу. Тысяч 15 в месяц, наверное.

15000 : 200 = 75 "социально ответственных". По статистике форумов наберется? И цифра не критичная...

Balancer> Если тут сильно краски не сгущают, то есть шанс, что Авиабазу, таки, придётся закрывать.
Balancer> GDPR как оружие массового поражения / Блог компании Plesk / Хабр

А в чём проблема НЕ хранить мэйлы и IP???

Fakir> То есть если выделить Морской ... ???
Fakir> Я правильно понимаю мысль?

Морской — это подавляющее большинство аттачей. Но по числу сообщений (от чего зависит требование к БД и объёму памяти) он вряд ли больше половины занимает.

Но тут ещё тонкость в том, что Морской и с рекламы больше половины дохода приносит

Fakir> А в чём проблема НЕ хранить мэйлы и IP???

Не хранить email — это потерять возможность восстановить пароль и подтвердить аккаунт.

Не хранить email и IP — это рай для спамеров и неадекватов.

Наконец, не хранить email и IP — это бан форума в России при первом же интересе ФСБ

Balancer> Но тут ещё тонкость в том, что Морской и с рекламы больше половины дохода приносит

Balancer> Не хранить email — это потерять возможность восстановить пароль и подтвердить аккаунт.

Например, через дополнительный контрольный вопрос. Как в куче мест.

Да и не самая актуальная задача.

Balancer> Не хранить email и IP — это рай для спамеров и неадекватов.

Ничего принципиально не изменится ИМХО.
С учётом того, что ты по IP всё равно не банишь.

Balancer> Наконец, не хранить email и IP — это бан форума в России при первом же интересе ФСБ

Храни отдельную базу на их серверах А ты типа ни при чём.

Fakir> Впрочем, не исключено, что со временем и нынешнее будет за радость

Не то что не исключено , а практически гарантировано .

Fakir> Например, через дополнительный контрольный вопрос. Как в куче мест.

Не путай спамеров с ботами.

Fakir> Да и не самая актуальная задача.

Очень актуальная. Спамеры с кривой почтой (не смотря на наличие у нас контрольного вопроса) отсеиваются в огромных количествах. За последний месяц у нас 9 новых активированных пользователей и … 152 не активированных. Вот эти 152 спамера и отсеялись.

Fakir> Ничего принципиально не изменится ИМХО.

Это твоё ХО

Fakir> С учётом того, что ты по IP всё равно не банишь.

Я ничего не говорил про баны.

Balancer>> Наконец, не хранить email и IP — это бан форума в России при первом же интересе ФСБ
Fakir> Храни отдельную базу на их серверах А ты типа ни при чём.

Вот иногда не понимаю, нафига этот тороллинг? То, что ты тупой — не верю. Значит — троллинг.

Fakir>> Например, через дополнительный контрольный вопрос. Как в куче мест.
Balancer> Не путай спамеров с ботами.

Я про восстановление пароля без мыла. Как на банковских карточках - ключевое слово.


Balancer> Очень актуальная. Спамеры с кривой почтой (не смотря на наличие у нас контрольного вопроса) отсеиваются в огромных количествах. За последний месяц у нас 9 новых активированных пользователей и … 152 не активированных. Вот эти 152 спамера и отсеялись.

Ну не отсеялись бы, ну забанился бы юзер после первого спама.
Это ж мелочи.
Расширить число пользователей, обладающих правом бана спамеров - и всё.
Или даже дать такое право абсолютно всем пользователям, и при совпадении двух (или трёх, или более, или в зависимости от весов) сигнало - банить. И всё будет мгновенно происходить. Безо всяких IP, мылов и иных формальных нарушений.

Fakir>> Храни отдельную базу на их серверах А ты типа ни при чём.
Balancer> Вот иногда не понимаю, нафига этот тороллинг? То, что ты тупой — не верю. Значит — троллинг.

Ничуть. Это намёк на то, что надо искать какой-то способ, который формально не нарушает европейские требования, и притом полностью удовлетворяет отечественные инстанции.
Скорее всего, какой-то вариант возможен.

Fakir> Расширить число пользователей, обладающих правом бана спамеров - и всё.

А сколько вообще юзеров пишут? 20 или ближе к 10? Можно просто подтверждать создание аккаунта вручную, но, в свою очередь, возможен DoS очереди на создание аккаунта.

digger> А сколько вообще юзеров пишут? 20 или ближе к 10?

За последний месяц — 660. От 10 сообщений и больше — 341.

digger> Можно просто подтверждать создание аккаунта вручную

- Это сразу отпугнёт большую долю и без того небольшого числа новичков.

- Ты в 90% случаев не отличишь по нику в заявке добропорядочного юзера от спамера: Спам на форуме

16-й> ...Нужна качественная непробегаемая напоминалка на входе и несколько охватывающих вариантов перевести платеж. Чай не все жмоты, даже не большинство, заплатят за свое удовольствие.
Точно, точно Уважаемые форумчане с опытом работы в бизнесе, научите пожалуйста Балансера деньги собирать.
Типа, что бы не забывалось, дружественный интерфейс для людей предпенсионного возраста, забугорные участники форума не мучилиь бы вопросами, а что такое яндексденьги ..может такой биткоин, но и его нет. Как-то обуржуиваться пора
Возможность пожертвования от просто посетителей так же должна быть.
Принцип - заметно, интересно и просто. Публичность так же желательна с чётким правилом, если кто скажет типа " я платил, ты нет" или "ты платил и у тебя привелегии", то этo однозначное RO на неделю другую.

Штуша-Кутуша> Принцип - заметно, интересно и просто. Публичность так же желательна с чётким правилом, если кто скажет типа " я платил, ты нет" или "ты платил и у тебя привелегии", то этo однозначное RO на неделю другую.

Я уже искал такое в краудфандинге вчера. Чтобы:

- Было на русском
- Имело возможность постоянных или периодических, а не разовых акций
- Имело разные варианты оплаты — карты, Я.Деньги, PayPal…
- Имело открытую статистику о поступлениях и балансе

Под такое дело было бы проще развернуть серию экспериментов с организацией защищённого форума. Да и себе за затраты времени можно б было что-то официально забирать за конкретные работы, чтобы мне веселее работалось

Но пока не нашёл Кикстартеры/Бумстартеры все апериодические. Для разовых акций, ограниченных по времени. Тоже, конечно, вариант «Сбор средств на работу Авиабазы в 2019 году», но неудобно. Patreon — без русского интерфейса, большинство форумчан не разберулся. На Я.Деньгах есть возможность создать страничку для пополнений:

Но там нет никакой статистики, просто ещё один вариант перевода в Я.Кошелёк :-/

Так что пока х.з.

Balancer> Я уже искал такое в краудфандинге вчера. Чтобы:
Balancer> - Было на русском
Думаешь это критично? Здесь все настолько просто, что даже чайнику понятно.

Balancer>> - Было на русском
C.d.> Думаешь это критично?

Для большинства форумчан — критично.

Balancer>>> - Было на русском
C.d.>> Думаешь это критично?
Balancer> Для большинства форумчан — критично.

Можно написать гайд для таких случаев.

C.d.> Можно написать гайд для таких случаев.

Всё это сразу отсекает львиную долю потенциальных участников.

C.d.>> Можно написать гайд для таких случаев.
Balancer> Всё это сразу отсекает львиную долю потенциальных участников.

Нет решения.Большинство населения не занимается онлайновыми платежами и справедливо опасается, что это опасно.Известный метод открывать отдельный счет и переводить туда сколько надо - морока.

А теперь - мой перевод:

Я написал это письмо несколько лет назад чтобы детализировать вопрос на персональную информацию в худшей форме который канадская компания может получить согласно PIPEDA.
Я подумал что возможно имеет смысл обновить это в свете доступа по GDPR и представить худшую ситуацию.
Вы можете это просто использовать в вашей органиции для оценки того, какой запрос вы можете потенциально получить.

Более интресно то, что вы можете использовать это письмо как настольное упражнение, подобное тем,
которые используются для поиска уязвимостей, чтобы увидеть как ваша организация могла бы ответить.
Было бы весьма забавно, если бы такое письмо было бы послано вашими дружественными партнерами
чтобы увидеть как в действительности на него могли бы ответить - будут ли извещен отдел по секретам.
Как могла бы отреагировать организация на кого-нибудь, кто опытен как в законах так и технологиях, используемых в управлении данными? Подредактируйте как вам удобно чтобы создать кошмар, который вы выберете.

Дорогой Господин/Дорогая Госпожа:

Я пишу вам сообразно вашей роли служащего по защите данных в вашей организации. Я ваш пользователей и, в свете последних событий, я делаю этот запрос на доступ к персональным данным согласно статье 15 GDPR. Я обеспокоен что информационная политика вашей компании может привести к ненадлежащему доступу к моей персональной информации или уже нарушила гарантии безопасности моей персональной информации, подобно <возьмите на ваш выбор какое либо событие или новость про кибербезопастность>

Я дополняю это письмо всеми необходимыми документами для идентификации моей личности.Если вам требуется дополнительная информация - свяжитесь со мной по адресу, предоставленному выше.

Я хотел бы также, чтобы вы были в курсе, что я ожидаю ваш ответ в течении одного месяца согласно
статье 12. В противном случае я перешлю мое расследование вместе с жалобой вам <выберите сообразный гос.орган по защите данных>

Прошу вас проконсультировать меня по следующим пунктам:

1. Пожалуйста подтвердите - обрабатывались или нет мои персональные данные ? Если да, то пожалуйста предоставьте мне категории моих персональных данных, которые хранятся в ваших базах данных и файлах.

а. В частности, пожалуйста скажите, что вы знаете обо мне, сообразно тому, что есть ваших информационных системах: хранящихся ( если таковой факт имеется ) в базах данных и включая электронную почту, документы в вашей сети или голосовых записях, которые вы возможно храните.

b. Дополнительно, пожалуйста сообщите мне в каких странах хранятся мои персональные данные и из каких к ним есть доступ. В случае, если вы используете облачные технологии, пожалуйста включите также страны в которых размещены сервера где мои данные сейчас или находились в последние 12 месяцев.

c. Пожалуйста предоставьте мне копию или доступ к персональным данным, которые вы обрабатываете.

2. Пожалуйста, предоставьте мне детальный отчет о характерном использовании которое вы делали, делаете или собираетесь делать с моими персональными данными.

3. Пожалуйста предоставьте мне список всех третьих организаций которым вы предоставляли или могли предоставить мои персональные данные.

a. Если вы не можете точно отождествить определенные третьи организации, которым вы открыли мои персональные данные, пожалуйста предоставьте список тех, которым вы могли бы их открыть.

b. Пожалуйста также укажите юрисдикции для этих третьих организаций, которым вы предоставляли или могли предоставить персональные данные, сообразно перечисленных вами в пункте 1(b), в которых они могли хранить их или с которых получать доступ к ним. Пожалуйста также предоставьте законодательные нормы, согласно которым вы могли передавать эти данные. Если вы это делали на основе соответствующих документов и охранных свидетельств, пожалуйста, предоставьте их копии.

c. Дополнительно, я бы желал знать, какие документы и охранные свидетельства положены в основе ваших отношений с третьими компаниями, которым вы означили выше как компании которым вы могли передать или передавали мои персональные данные.

4. Пожалуйста укажите насколько долго вы храните мои персональные данные и если срок хранения зависит от категории данных, то пожалуйста определите как долго хранится та или иная категория.

5. Если дополнительно к данным, которые предоставлены мною лично, вы храните мои персональные данные, полученные из других источников, то, в соответствии со статьй 14 GDPR, обеспечьте мне пожалуйста всю информацию по таким сторонним источникам данных.

6. Если вы производите автоматическое принятие решний относительно меня, включая анализ, согласно статье 22 GDPR или нет, пожалуйста предоставьте мне информацию касательно основ логики такого автоматического принятия решений, а также важность и последствия такой обработки.

7. Я хотел бы также знать были ли или нет открыты мои персональные данные вашей компанией неумышленно в прошлом, или были ли случаи утечек информации в вашей компании как результат уязвимостей в системе безопасности хранения личной информации.

a. Если таковые случаи были, пожалуйста предоставьте следующие детали каждой или одной из таких утечек:

i. Общее описание того, что произошло
ii. Дата и время утечки или максимально точная их оценка
iii. Дата и время когда утечка была обнаружена
iv. Источник утечки ( ваша организация или третьесторонняя организация, которой были переданы данные )
v. Детали моих персональных данных которые были открыты.
vi. Оценка вашей компании рисков нанесения мне вреда в результате такой утечки
vii. Описание мер принятых или тех, что собираются принять, для предотвращения несанкционированного доступа к моим персональным данным в будущем.
viii. Контактная информация если мне потребуется дополнительная информация или помощь в отношении подобной утечки, и
ix. Информация и рекомендации относительно того, как мне защитить себя от негативных последствий включая кражу учетной записи или мошенничество при использовании полученной информации.

8. Я также хотел бы знать какие политики и стандарты информационной безопасности вы используете в вашей организации касательно обеспечения безопасности моих персональных данные как, например, придерживаетесь ли вы стандарта ISO27001 в области информационной безопасности и в частности ваших правил касательно следующего:

a. Пожалуйста, предоставьте мне сведения, делаете ли вы резервные копию моих персональных данных на магнитную ленту, диск или другие носители, и как вы их храните и как обеспечивается безопасность их хранения, включая шаги, которые вы делаете для предотвращения потенциальной потери или кражи моей персональной информации, и используется ли при этом шифрование.

b. Пожалуйста таже укажите, есть ли у вас в наличии та или иная технология, которая позволяет вам
с разумной степенью достоверности определить, были ли открыты или нет мои персональные данные, включая следующие пункты но не ограничиваясь ими:

i. Системы обнаружения взлома
ii. Технологии брандмауэров
iii. Технологии упраления доступом и учетными записями
v. Системы анализа поведения, системы анализа журналов или система аудита.

9. Касательно сотрудников и подрядчиков пожалуйста укажите следующее:

a. Какие технолгии или бизнес-процедуры у вас используются, чтобы обеспечить мониторинг персонала
в вашей организации чтобы служить гарантией того, что они, умышленно или неумышленно, не могли передать персональные данные из вашей компании наружу посредством электронной почты, веб-почты, мессенджерами или иным способом.

b. Были или нет вашей организации случаи, когда сотрудники или подрядчики были уволены или привлечены
к уголовной ответственности за ненадлежащий доступ к моим персональным данным или, если такого не было
применительно к моим данным, были ли подобные случаи касательно других ваших пользователей в последние 12 месяцев.

c. Пожалуйста также укажите, какие тренинги или меры обеспечения вы проводили для того, чтобы обеспечить гарантию, что работники и подрядчики при доступе к моим данным следуют правилам GDPR.

С уважением, <Имя, Фамилия>

Константин Карбалиотис,
Директор, Руководитель управления сервисами управления приватностью
PricewaterhouseCoopers LLP, Canada

digger> Самое радикальное и справедливое - скоординированый бойкот со стороны всей неевропы с целью прочистки мозгов.
А это тренд общемировой. И в сша к тому же идут, и в рф, и в ес. Да и в китае подтянутся.
То есть, или рисовать формы формального согласия на обработку, как гугл прилепил себе, или что-то еще... Но тупо игнорить и бойкотить не выйдет.

Fakir> Расширить число пользователей, обладающих правом бана спамеров - и всё.
Вот на паралае к примеру уже второй год под вечер засирание спамом начинается. Какое-то время был популярен польский - с рекламой их сервисов. Теперь пошла волна "проститутки из..".
И таки там немало людей с правом бана, но по ночам они обычно спят.
Вот тебе надо ежеутренннее вычищение вот такой фигни? А если учесть, что точно так же можно накатать и что-либо, противозаконное, чтоб абазу вообще прикрыли? А если спам-атаку еще?
Зачем призывать геморрой на свою же жопу?

Fakir> Или даже дать такое право абсолютно всем пользователям, и при совпадении двух (или трёх, или более, или в зависимости от весов) сигнало - банить. И всё будет мгновенно происходить.
Примени это к спам атаке сразу с сотни ботов. Всё оочень мгновенно, ага-ага. Я на вк задолбался спамеров чистить, пока там не прикрутили механизм одним кликом "удалить всё от юзера за последнюю неделю и забанить его самого". По нескольку сотен спамопостов в сутки было в разных закоулках, и это при том, что читателей поменьше, чем у ромы.

Fakir> надо искать какой-то способ, который формально не нарушает европейские требования, и притом полностью удовлетворяет отечественные инстанции.
Fakir> Скорее всего, какой-то вариант возможен.
а вот с этим согласен. Это лучше, чем депрессить и паниковать.

Bredonosec> И таки там немало людей с правом бана, но по ночам они обычно спят.

Я, кстати, в теории решил эту проблему (механизм Flatnesy, в ZeroNet описывал). Теперь осталось реализовать это на практике (при чём это побочный эффект, главная цель — децентрализация в человекочитаемом формате). И нужно будет решить потенциальные новые проблемы (например, проблема появления новых юзеров )