Россия и Китай требуют от коммерческих компаний хранить персональные данные местных пользователей на своей территории. В Евросоюзе тоже есть ограничение на передачу персональных данных за границу. Это сделано для защиты конфиденциальности граждан. Согласно закону GDPR, в данном случае интернет-компания, оператор связи или другая фирма, что собирает данные пользователей, рассматривается как временный «хранитель» этих данных, действующий в интересах пользователя, с его согласия и по его распоряжению. По прошествии некоторого срока компания обязана автоматически удалять эти данные. Любые движения делаются только с разрешения пользователя — все процедуры прозрачны. В России и Китае дух и буква закона несколько отличаются от GDPR.Тем не менее, иностранным компаниям приходится выполнять местное законодательство, иначе им грозят серьёзные санкции: от штрафа до полного запрета на коммерческую деятельность в стране. И если российским рынком часто можно пренебречь, то потеря китайского рынка для крупной IT-компании станет катастрофой. Вот почему и Google, и Apple, и остальные вынуждены подчиняться требованиям КНР.
17 июля 2018 года китайский оператор дата-центров Tianyi (подразделение государственного оператора China Telecom) подписал соглашение на хранение данных китайских пользователей сервиса Apple iCloud. Вся информация, включая ключи шифрования пользователей, теперь хранится на государственных серверах.
Подписание соглашения между Tianyi и Guizhou-Cloud Big Data (GCBD)
Соглашение подписано с компанией Guizhou-Cloud Big Data (GCBD), которую Apple изначально выбрала для хранения данных в Китае. С ней был подписан договор ранее в этом году, а уже GCBD переуступила такое право Tianyi и China Telecom.
Миграция персональных данных пользователей на китайские серверы вызвала опасения у некоторых наблюдателей. Они опасаются, что теперь властям будет легче получить ключи шифрования тех пользователей, против которых работает государственная машина. До миграции все ключи хранились на серверах в США, так что для доступа к персональным данным нужно было пройти через американскую юридическую систему.
Apple всегда хранила у себя ключи шифрования для пользователей iCloud. В этом случае данные на серверах хранятся в зашифрованном виде, но Apple имеет возможность их расшифровать в случае необходимости (например, по просьбе пользователя, если он забыл пароль). Так оно и происходит от случая к случаю. Apple послушно выполняет распоряжения американских судов и запросы ФБР, выдавая персональные данные пользователей. Вы можете вспомнить историю с телефоном iPhone 5c стрелка из Сан-Бернардино, где Тим Кук жёстко воспротивился расшифровке информации со стороны ФБР (им пришлось прибегнуть к помощи сторонних хакеров), но в том случае речь шла о разлочке самого телефона, а не о данных iCloud. С доступом к облачной информации у американских спецслужб никогда не было проблем, а теперь не будет и у китайских.
Когда решение было принято в феврале нынешнего года, Apple объяснила необходимость переноса данных пользователей iCloud тем, что вынуждена подчиняться местному законодательству. Компания подчеркнула, что нормы законодательства распространяются только на резидентов материкового Китая, которые выбрали Китай как свою основную страну проживания при регистрации аккаунта Apple. Требования не распространяются на жителей Гонконга, Макау или Тайваня, а также на всех остальных китайцев, которые предусмотрительно указали в качестве «основной страны» иную локацию.
Не совсем понятно, можно ли «отказаться» от хранения данных в своей стране, если прямо сейчас изменить настройки аккаунта Apple и указать страной проживания другое государство. TechCrunch рекомендует в такой ситуации создать новый аккаунт с указанием другой страны — это самый безопасный вариант для сохранности своих данных.
Аналогичные требования действуют и в России, хотя у местных властей не так много рычагов давления на американские корпорации. Сложно представить, что в России могут запретить продажу телефонов iPhone или заблокируют доступ к Google или Facebook, так что переговоры с американскими компаниями идут вяло. Американские компании понимают, что закон формально надо выполнять, но заставить их никто не может.
Комментарии (19)
TheSskain
18.07.2018 23:26получить ключи шифрования тех пользователей, против которых работает государственная машина
Ну получили, а те данные уже предварительно зашифрованы пользователями. Срезали один слой шифрования, но под ним этих слоёв может быть ещё неограниченное количество.
И смысл?Lofer
18.07.2018 23:49Проблема в том, что такого софта крайне мало, если сказать не единицы.
TheSskain
19.07.2018 00:32Софта навалом, вплоть до наколенного. Но этот последний вариант самый "опасный", ибо состряпаное дилетантами — имеет минимальные шансы на обработку профи, так как сделано " не по правилам" etc
Thero
19.07.2018 04:50большую часть данных которые хранит айклауд нельзя зашифровать дополнительным слоем потому что это информация напрямую из встроенных приложений эпл. файлы в айклауд драйве можно, да
TheSskain
19.07.2018 20:27Прямое копирование — абсолютное зло.
Взял ещё раз эппловский девайс в руки — да, тупое копирование. В сторе нет приложений-шифровальщиков. На айфонах 8-10 вообще нет возможности установить наколенное, моё, приложение. Только из стора, а не из любого источника, ака .apk/.exe etc…
Эппл херовая экосистема. Ещё один минус в их карму..
be52
19.07.2018 06:15Ключи должны генерироваться на конечном устройстве и никуда никогда не передаваться иначе это не ключи а проходной двор.
cuwHuk
19.07.2018 12:38Давайте посмотрим правде в глаза — весть электронный ширпотреб (смартфоны, ноутбуки, ПК) проходной двор. Например, замечательная вещь Intel ME — если я правильно понимаю она может получить доступ к памяти и сетевой карте в обход ОС, антивирусов, сетевых экранов и т.п.
dartraiden
19.07.2018 14:52Есть мнение, что не сможет, если у вас какая-нибудь интегрированная сетевуха Realtek, висящая на линии PCI-E x1 (как практически все интегрированные сетевухи).
Sabubu
> Евросоюз, Россия и Китай требуют от коммерческих компаний хранить персональные данные местных пользователей, в том числе их ключи шифрования, на территории страны
Евросоюз не требует. Покажите пункт в GDPR, который это требует делать. Там есть ограничения если европейская компания хочет передать данные за границу (где не действует GDPR и не обеспечивается должный уровень защиты, например в США, где Дикий Запад в плане работы с ПД), но даже в этом случае передача сама по себе не запрещена. А если пользователь сам вводит свои данные в фейсбуке, то фейсбук не обязан их хранить в Европе (но обязан соблюдать GDPR).
Пожалуйста, не вводите людей в заблуждение; не знаю, как дела в Китае, знаю только что такой закон есть в России.
Также, ключи шифрования сами по себе не являются персональными данными. Единственное, что мне известно, что у нас организатор распространения информации обязан по запросу их предоставлять в органы, и в некоторых странах нельзя отказываться выдавать их по решению суда.
alizar Автор
Sabubu
Я не пишу, что можно игнорировать закон; GDPR применяется даже для иностранных компаний. Я пишу, что в ЕС нет требования хранить данные европейцев внутри ЕС. Есть требование «обеспечивать должную защиту прав пользователя» если компания передает данные пользователя другой компании за пределами ЕС. Это описано, например, в ссылке, которую я также указал в комментарии: cas.ltd/gdpr-6-personal-data-transferring-data-outside-europe
alizar Автор
Хорошо, нет требования _обязательного_ хранения внутри ЕС, но есть ограничения на передачу данных за границу. Я изменил формулировку в статье. Вы правы, так точнее, конечно.
alizar Автор
По ключам шифрования. Насколько я понял из слов юриста, их можно отнести к типу данных PII, если они привязаны к профилю и не анонимизированы.
«Есть ещё данные особого типа PII, сокращение для личной идентифицируемой информации (Personally Identifiable Information). Это любая информация, которая помогает идентифицировать человека. Очевидные примеры PII — полные имена и номера социального страхования. Не очень очевидный пример — IP-адрес. Действительно не очевидный — факт наличия редкого заболевания в сочетании с названием маленького городка, места жительства. И ещё много подобных примеров. Самое просто решение — представить все данные о человеке, как будто это PII. Лучше предпринять излишние меры безопасности, чем потом сожалеть. Но если вам кажется, что к некоторым данным можно относиться проще, то тщательно взвесьте, какие из них следует рассматривать как PII, а какие нет.»
Sabubu
Ключ шифрования позволяет идентифицировать человека только внутри компании. Это по сути то же самое что userId. Возможно, он будет считаться ПД если компания будет передавать его на сторону, но пока он внутри компании, это лишь внутренний идентификатор. Если компания удалит данные о человеке и оставить только его ключ, то тогда этот ключ в любой ситуации перестанет быть ПД.
Tangeman
Как мне кажется, как раз внутри компании ключ шифрования как раз и может считаться ПД (поскольку позволяет идентифицировать пользователя), а вот вне её (сам по себе) — это просто «набор бит», как и userid, впрочем.
alizar Автор
>Если компания удалит данные о человеке и оставить только его ключ
Юрист говорит, что правильно анонимизировать данные очень сложно, так что на всякий случай лучше рассматривать подобные вещи как ПД.
hokum13
А в ключе содержится userID или только сам ключ? Если только сам ключ (ну и id в таблице), то по идее ключ может оказаться и не уникальным. Т.е. у меня и у Пупкина может (совершенно случайно) оказаться один ключ шифрования. В таком случае это тоже PII?
PS: почему я считаю что он может быть не уникальным? Потому что не люблю анекдот про «Придумайте другой пароль. Такой пароль уже использует Марья Ивановна.»
Sabubu
Тут вопрос, какая вероятность генерации одинаковых ключей. Если она пренебрежимо мала то их можно считать уникальными, если одинаковые ключи у десятков пользователей — то другое дело. Тут, увы, математической формулы нет, и это будет как-то решаться судьей в конкретной ситуации.