Dwanaście krajów wzywa gigantów mediów społecznościowych do zajęcia się nielegalnym kradzieżą danych

Szereg krajów, w tym Australia, Wielka Brytania i Kanada, twierdzi, że platformy mediów społecznościowych i strony internetowe przechowujące dane osobowe mają obowiązek chronić swoich użytkowników przed nielegalnym pozyskiwaniem danych.

We wspólnym oświadczeniu zauważono, że dane osobowe, które są publicznie dostępne, w większości jurysdykcji nadal podlegają przepisom dotyczącym ochrony danych i prywatności.

Grupa 12 krajów wydała wspólne oświadczenie ostrzegające przed wykorzystywaniem technologii zbierania danych do gromadzenia danych osobowych z platform mediów społecznościowych i innych witryn internetowych, które są wymagane przez lokalne przepisy w celu ochrony informacji użytkowników.

Zauważają, że do gromadzenia i przetwarzania ogromnych ilości danych osobowych osób fizycznych z Internetu coraz częściej wykorzystuje się zbieranie danych, co budzi poważne obawy dotyczące prywatności, ponieważ technologie te mogą być wykorzystywane do różnych celów. Jak wynika z oświadczenia, obejmują one monetyzację poprzez odsprzedaż danych stronom internetowym stron trzecich, oszustwa dotyczące tożsamości oraz gromadzenie informacji o zagrożeniach w celu ułatwienia złośliwych cyberataków.

Do 12 krajów zaliczają się Australia, Kanada, Wielka Brytania, Hongkong i Szwajcaria, których agencje ochrony danych zostały przytoczone w oświadczeniu.

Biuro Australijskiego Komisarza ds. Informacji (OAIC) stwierdziło, że w ostatnich latach zaobserwowało zwiększoną liczbę raportów o masowym pobieraniu danych z aplikacji mediów społecznościowych i innych stron internetowych, na których znajdują się publicznie dostępne dane osobowe. Wskazał na sprawę z 2020 r. dotyczącą amerykańskiej platformy rozpoznawania twarzy Clearview AI, która według OAIC i brytyjskiego Biura Komisarza ds. Informacji naruszyła australijskie przepisy dotyczące prywatności.

Zgodnie z obowiązującą w tym kraju ustawą o ochronie prywatności z 1988 r. organizacje muszą podjąć „rozsądne kroki”, aby chronić przechowywane dane osobowe przed niewłaściwym wykorzystaniem, ingerencją, utratą, nieuprawnionym dostępem i modyfikacją. Obejmują one działania podejmowane w wyniku nielegalnego pozyskiwania danych, stwierdziło OAIC, dodając, że dotknięte osoby muszą zostać powiadomione, gdy naruszenie danych obejmujące informacje zebrane za pomocą technologii zbierania danych może spowodować poważną szkodę dla danej osoby.

W oświadczeniu zauważono, że dane osobowe, które są publicznie dostępne, w większości jurysdykcji nadal podlegają przepisom dotyczącym ochrony danych i prywatności.

„Firmy zajmujące się mediami społecznościowymi i operatorzy stron internetowych, na których znajdują się publicznie dostępne dane osobowe, mają obowiązki wynikające z przepisów o ochronie danych i prywatności, aby chronić dane osobowe na swoich platformach przed bezprawnym kradzieżą danych” - stwierdzono. „Incydenty masowego zbierania danych, podczas których gromadzone są dane osobowe, mogą w wielu jurysdykcjach stanowić podlegające zgłoszeniu naruszenia bezpieczeństwa danych”.

12 krajów oświadczyło, że spodziewa się „w nadchodzących tygodniach” zebrać opinie od firm obsługujących platformy mediów społecznościowych na temat tego, w jaki sposób przestrzegają lub planują spełnić „oczekiwania i zasady” określone we wspólnym oświadczeniu.

Oświadczenie obejmowało wspólne globalne praktyki ochrony danych, których celem jest ochrona danych osobowych przed kradzieżą danych i łagodzenie wpływu na prywatność osobistą. Chociaż przedstawiono je w formie zaleceń, 12 krajów podkreśliło, że wiele z tych praktyk to „wyraźne wymogi ustawowe” obowiązujące w określonych jurysdykcjach.

Dodali, że ich wspólne oświadczenie zostało wysłane bezpośrednio do kilku z tych stron internetowych, w tym do YouTube firmy Alphabet, TikTok firmy ByteDance, platform należących do Meta, w tym Facebooka i Threads, Weibo firmy Sina, X (wcześniej zwanego Twitterem) i LinkedIn firmy Microsoft.

Lista środków, których podjęcia przez te witryny oczekuje 12 krajów, obejmuje „ograniczenie liczby odwiedzin na godzinę lub dzień z jednego konta na innych profilach kont oraz wyznaczenie konkretnego zespołu lub ról w organizacji w celu identyfikacji i wdrożenia kontroli w odpowiedzi na czynności związane ze skrobaniem.

Media społecznościowe i strony internetowe, które posiadają dane osobowe, również powinny podjąć kroki w celu wykrycia scraperów poprzez identyfikację wzorców w działaniach botów i podjąć odpowiednie działania prawne, takie jak wysyłanie pism o zaprzestaniu działania i żądanie usunięcia usuniętych danych, gdy nielegalne działania związane z scrapingiem danych są zidentyfikowany.

Miejsca te powinny wdrożyć „wielopoziomowe kontrole techniczne i proceduralne w celu ograniczenia ryzyka” - stwierdziło 12 krajów.

„Biorąc pod uwagę dynamiczny charakter zagrożeń związanych z kradzieżą danych, platformy mediów społecznościowych i inne strony internetowe powinny stale monitorować nowe zagrożenia bezpieczeństwa i zagrożenia ze strony złośliwych lub innych nieupoważnionych podmiotów atakujących ich platformę oraz sprawnie na nie reagować” - dodali. „Środki kontrolne powinny być rutynowo poddawane testom warunków skrajnych i aktualizowane, aby zapewnić ich skuteczność i dotrzymanie kroku zmieniającym się technologiom”.

Strony internetowe powinny także gromadzić i analizować dane dotyczące incydentów związanych ze skrobaniem, aby zidentyfikować obszary wymagające poprawy w podejściu do kontroli bezpieczeństwa - stwierdziły poszczególne kraje.