Privasi sebenar vs zahir: soalan yang wajar ditanya kepada diri sendiri

Perbezaan antara privasi seni bina dan privasi deklaratif

Sepanjang tujuh artikel terdahulu kitaran ini, kami telah menyusuri pelbagai lapisan bagi perkara yang sama. Undang-undang pemindahan antarabangsa dengan Schrems II. Idea matematik tentang hash kriptografi yang memeterai setiap Cuaderno. Pilihan seni bina kill switch dan penangkapan institusi yang hampir selalu menyertainya. Mekanisme penyulitan hujung-ke-hujung dan soalan operasi tentang di mana kunci berada. Penjajaran insentif mengikut model perniagaan. Identiti kriptografi yang berdaulat sendiri. Self-hosting sebagai strategi yang berkadar. Setiap artikel menangani satu sudut. Yang ini, yang terakhir dalam kitaran, menyatukan kesemuanya dalam satu soal selidik.

Pembezaan yang wajar diingati adalah mudah: ada perkhidmatan yang privasinya bersifat seni bina dan ada perkhidmatan yang privasinya bersifat deklaratif. Yang pertama tertanam dalam reka bentuk teknikal: pelanggaran tertentu terhadap komitmen privasi adalah sukar atau mustahil secara teknikal kerana seni bina tidak membenarkannya. Yang kedua diletakkan dalam teks notis undang-undang: pelanggaran tertentu akan boleh dikenakan sekatan secara kontraktual jika ia berlaku, tetapi secara teknikal tiada apa yang menghalangnya. Kedua-dua model boleh mematuhi GDPR; tetapi yang satu melindungi melalui pembinaan dan yang lain melindungi melalui janji, dan perbezaannya secara operasi adalah amat besar.

Soalan-soalan yang berikut direka untuk membezakan satu kes daripada yang lain. Ini bukan soalan teknikal lanjutan. Ini ialah soalan yang boleh dijawab oleh mana-mana penyedia yang jujur dalam dokumentasi awamnya. Kualiti dan ketepatan jawapan mengatakan sebanyak yang dikatakan oleh jawapan itu sendiri tentang produk. Soalan dikumpulkan dalam enam lapisan; wajar kesemuanya ditanya sebelum menggunakan perkhidmatan untuk data sensitif, bukan hanya yang dikenal pasti oleh naluri pertama.

Lapisan 1: seni bina

Sebelum meneruskan, mari kita tetapkan satu istilah. Dengan operator kami maksudkan syarikat yang menyediakan perkhidmatan: entiti yang mengawal pelayan dan perisian, bukan seseorang tertentu. Setelah itu dijelaskan, soalan seni bina yang asas ialah: apakah yang dilakukan operator terhadap kandungan antara penghantar dan penerima? Terdapat tiga kemungkinan jawapan dan berbaloi untuk tahu membezakannya, kerana ketiga-tiganya kadangkala diiklankan dengan perbendaharaan kata yang serupa.

• Yang pertama: kandungan melalui pelayan operator dalam bentuk terbuka, di mana operator boleh membacanya walaupun dia berjanji tidak akan berbuat demikian.
• Yang kedua: kandungan melalui pelayan operator dalam keadaan disulitkan, di mana operator tidak boleh membacanya jika kunci berada secara eksklusif dalam peranti pengguna.
• Yang ketiga: kandungan tidak melalui mana-mana pelayan operator, kerana tiada pelayan operator dalam aliran khusus tersebut.

Perbezaan antara ketiga-tiga ini bukan perbezaan darjah: ia perbezaan jenis.

Soalan pelengkapnya — yang sudah dirumuskan dalam Cuaderno tentang penyulitan — ialah: siapa yang memegang kunci kriptografi yang membolehkan kandungan dibaca? Jika pengguna yang memegangnya dan hanya pengguna, penyulitan itu sebenar. Jika operator turut memegangnya dalam apa jua bentuk — bahkan dengan nama „pemulihan akaun“ atau „penyegerakan antara peranti“ — penyulitan itu bersifat nominal. Soalan ini tidak menerima jawapan pertengahan yang jujur.

Lapisan 2: model perniagaan

Soalan tentang model perniagaan adalah sama penting dengan soalan seni bina, dan atas sebab substantif yang sama: insentif menghasilkan, dari semasa ke semasa, produk yang berbeza secara sistematik walaupun dengan tujuan yang dinyatakan sama. Bagaimanakah operator memperoleh wang hari ini? Satu sumber, dua, campuran? Jika pembiayaan termasuk pengiklanan atau pengewangan data, data apa yang diwangkan dan atas dasar undang-undang GDPR yang mana ia dilakukan? Adakah tujuan yang dinyatakan dalam notis undang-undang merangkumi data pihak ketiga yang ingin diamanahkan oleh profesional kepada perkhidmatan itu?

Dan soalan peringkat kedua, yang tidak selalu dirumuskan: apakah keadaan kewangan operator dalam jangka tiga atau lima tahun? Sebuah syarikat dalam fasa modal teroka beroperasi di bawah tekanan yang berbeza daripada syarikat dengan keuntungan yang stabil. Perubahan model pembiayaan, berulang kali, ialah saat apabila kontrak tersirat dengan pengguna ditulis semula tanpa rundingan.

Lapisan 3: bidang kuasa

Bagi profesional Eropah, soalan tentang bidang kuasa bukanlah retorik. Di bidang kuasa manakah operator diperbadankan? Di negara manakah pelayan yang memproses data berada secara fizikal? Adakah jawapan bagi dua soalan terdahulu itu sama atau berbeza, dan jika berbeza, undang-undang yang manakah terpakai? Sebuah wilayah Eropah yang dikendalikan oleh syarikat Amerika Syarikat, bagi maksud Schrems II, bukanlah jawapan Eropah: syarikat itu tertakluk pada FISA 702 tanpa mengira di mana pelayan berada.

Soalan pelengkap yang operasi ialah: jika esok tiba satu perintah perisikan yang sah di bidang kuasa operator yang meminta penyerahan data saya atau data pelanggan saya, apa yang akan berlaku? Jika jawapan jujurnya bermula dengan „syarikat akan wajib menyerahkannya“, perkhidmatan itu tidak melindungi daripada perintah tersebut seberapa kuat pun pengiklanan mencadangkan sebaliknya. Jika jawapan jujurnya bermula dengan „syarikat tidak akan dapat menyerahkannya kerana ia tidak memilikinya dalam bentuk terbuka“, perkhidmatan itu memang melindungi; dan perbezaannya hampir sepenuhnya bergantung pada dua lapisan pertama, bukan pada kualiti dasar privasi.

Lapisan 4: operator dan kill switch

Apakah keupayaan teknikal yang dikekalkan operator untuk menggantung, menyekat, memadamkan, atau merosotkan perkhidmatan dari jauh? Soalan ini bukan paranoia: ia operasi. Platform digital telah berulang kali menggunakan keupayaan itu dalam beberapa tahun kebelakangan ini — kadang-kadang atas inisiatif sendiri, kadang-kadang atas perintah Kerajaan, kadang-kadang selepas perubahan pemilikan atau dasar. Jika keupayaan itu wujud, wajar diketahui di bawah andaian mana yang dinyatakan secara kontraktual ia digunakan, dan menyimpan ruang untuk andaian yang tidak dinyatakan yang ditunjukkan oleh amalan beberapa tahun kebelakangan ini sama relevannya: perintah mahkamah yang tidak dijangka, sekatan antarabangsa, perubahan tadbir urus korporat, pemerolehan oleh entiti dengan dasar yang lain.

Soalan adik-beradiknya ialah tentang pelan kesinambungan: jika operator menggunakan keupayaan itu terhadap profesional — atas apa jua sebab, adil atau tidak — berapa lama masa aktiviti yang masih tersedia, prosedur eksport data apa yang ada, dan kepada penyedia alternatif mana migrasi boleh dilakukan? Jika jawapannya bermula dengan „ia tidak sepatutnya berlaku“, itu bukan jawapan operasi; itu satu janji.

Lapisan 5: identiti dan akses

Siapa yang mengawal kelayakan akses kepada perkhidmatan? Jika operator boleh menetapkan semula akses pengguna tanpa penyertaan pengguna — prosedur yang biasanya dipanggil „pemulihan akaun“ — operator secara teknikal ialah penjaga akaun dan boleh juga menyerahkannya kepada sesiapa yang memintanya melalui prosedur yang sesuai. Jika operator tidak boleh menetapkan semula akses kerana identiti secara kriptografi berada dalam peranti pengguna, operator juga tidak boleh menyerahkannya, walaupun di bawah perintah. Kedua-dua kaedah adalah sah bergantung pada konteks; tetapi, sekali lagi, ia berbeza, dan wajar diketahui yang mana satu sedang digunakan.

Apa yang berlaku kepada data profesional jika profesional kehilangan akses? Adakah terdapat mekanisme pemulihan — akaun, fail, sesi — yang bergantung pada operator? Adakah mekanisme itu serasi dengan deontologi profesional sektor tersebut jika operator dipaksa untuk menggunakannya?

Lapisan 6: masa depan

Lapisan terakhir ini sering diabaikan kerana ia menuntut unjuran. Apa yang akan berlaku jika perkhidmatan diperoleh oleh syarikat lain? Hampir semua pemerolehan membawa bersama semakan terma perkhidmatan dalam bulan-bulan berikutnya. Apa yang akan berlaku jika tuntutan kawal selia berubah? Undang-undang Eropah telah meningkatkan kewajipan penyingkiran dan penyekatan sejak 2022, bukan menguranginya. Apa yang akan berlaku jika operator lenyap? Sebahagian besar perkhidmatan awan tidak mempunyai pelan keluar yang terdokumentasi bagi senario penutupan operator; profesional menemui masalah itu apabila sudah tiada masa lagi untuk menyediakannya.

Ada satu rumusan yang wajar diingati untuk lapisan ini: seni bina yang kurang bergantung pada operator lebih berdaya tahan terhadap perubahan operator. Self-hosting dalam apa jua bentuknya, identiti kriptografi yang berdaulat sendiri, komunikasi tanpa pelayan di tengah, kesemuanya mengurangkan permukaan risiko masa depan melalui prosedur mengurangkan permukaan kebergantungan semasa. Ia tidak menghapuskannya; ia menguranginya.

Perbezaan antara struktur dan janji

Jika kami terpaksa menyuling kitaran ini kepada satu ayat, ia adalah ini: jawapan berstruktur tetap kekal walaupun operator, pentadbiran, atau perundangan berubah; jawapan berasaskan janji kekal selagi pihak yang berjanji mampu dan mahu mengekalkannya. Kedua-duanya boleh betul pada saat ia diterima. Hanya satu daripada keduanya yang bertahan tanpa mengira peredaran masa dan perubahan keadaan.

Ini tidak bermakna setiap profesional mesti menuntut jawapan berstruktur daripada semua perkhidmatan yang digunakannya. Kekadaran tetap sah: satu hamparan untuk perakaunan dalaman tidak memerlukan jawapan yang sama seperti rekod klinikal seorang pesakit. Maksudnya ialah, profesionalisme bererti mengetahui jenis jawapan apa yang telah diterima dalam setiap kes, dan telah memutuskan secara sedar bahawa jenis jawapan itu berkadar dengan data yang konkrit.

Soal selidik, yang tersusun rapi

Dua belas soalan konkrit yang mensintesiskan kitaran ini, disusun supaya jawapan bagi setiap satu memberi maklumat kepada yang seterusnya:

1. Adakah kandungan melalui pelayan operator? Jika melaluinya: dalam bentuk terbuka, disulitkan dengan kunci operator, atau disulitkan dengan kunci eksklusif pengguna?
2. Jika penyulitan hujung-ke-hujung didakwa, di manakah kunci kriptografi berada? Adakah operator mengetahui atau menyimpan mana-mana bahagiannya dalam apa jua bentuk, termasuk „pemulihan“?
3. Metadata apakah yang dijana dan disimpan oleh perkhidmatan ini? Berapa lama? Kepada siapa ia kelihatan?
4. Bagaimanakah operator dibiayai? Jika pembiayaan termasuk pengiklanan atau pengewangan data, adakah tujuan yang dinyatakan merangkumi data pihak ketiga yang diamanahkan oleh profesional?
5. Apakah keadaan kewangan operator dalam jangka tiga atau lima tahun? Adakah terdapat faktor yang menunjukkan perubahan model yang bakal berlaku (tawaran awam permulaan yang tertunda, pusingan pembiayaan yang semakin susut, pemerolehan yang berkemungkinan)?
6. Di bidang kuasa manakah operator diperbadankan? Di negara manakah pelayan berada secara fizikal? Jika berbeza, undang-undang negara manakah yang terpakai untuk pemprosesan?
7. Apa yang akan berlaku jika satu perintah perisikan yang sah di bidang kuasa operator meminta penyerahan data saya? Bolehkah syarikat itu mematuhinya secara teknikal?
8. Apakah keupayaan teknikal yang dikekalkan operator untuk menggantung, menyekat, atau memadamkan perkhidmatan? Di bawah andaian kontraktual apa? Di bawah andaian bukan kontraktual apa yang terdokumentasi secara sejarah?
9. Apakah pelan keluar yang ada jika operator menggunakan keupayaan itu terhadap saya, secara adil atau tidak adil? Adakah terdapat prosedur terdokumentasi untuk mengeksport data kepada penyedia alternatif?
10. Siapa yang mengawal kelayakan akses? Bolehkah operator menetapkannya semula tanpa penyertaan saya? Adakah itu melindungi saya atau mendedahkan saya?
11. Adakah terdapat alternatif Eropah, dihos sendiri, atau tanpa pelayan di tengah untuk fungsi khusus ini? Berapakah kos sebenarnya, berbanding dengan risiko yang dinilai?
12. Jika keputusan hari ini diperiksa dalam masa lima tahun oleh seorang pemeriksa, juruaudit, atau pelanggan yang terjejas oleh suatu pelanggaran, adakah pilihan semasa boleh dipertahankan dengan hujah yang ada hari ini, ataukah ia memerlukan permohonan maaf kerana tidak mengajukan soalan yang munasabah?

Soalan-soalan ini tidak mengharapkan jawapan yang sempurna. Ia mengharapkan jawapan yang jujur, yang operator yang jujur tahu memberikannya dan operator yang kurang jujur mengelak daripada merumuskannya dengan tepat. Perbezaan operasi antara dua kelas operator ini, kami katakan tanpa dramatisasi, biasanya dapat dilihat dengan membaca perlahan-lahan jawapan yang mereka berikan secara sukarela, bahkan sebelum perlu meminta lebih banyak.

---

Dengan artikel ini kami menutup kitaran kedua Cuadernos Lacre. Kami bermula dengan kewajipan editorial yang diwarisi daripada Schrems II dan berakhir dengan satu soal selidik operasi. Sepanjang perjalanan kami telah menyusuri konsep-konsep — hash, penyulitan, identiti — dan analisis terpakai — kill switch, model perniagaan, self-hosting. Niat editorial yang dinyatakan oleh penerbitan ini bukanlah membebani pembaca dengan senarai masalah yang menyeluruh, tetapi memberinya alat supaya dia dapat membezakan, di hadapan sebarang perkhidmatan baharu, jenis jawapan apakah yang sedang diterimanya. Pembezaan itu — antara seni bina dan janji — itulah alatnya. Selebihnya, setiap profesional akan menggunakannya demi data yang dianggapnya, dalam amalannya, layak untuk soalan tersebut.