A Kriptokulcsos szerverek sértik a GDPR-t, vagy megfelelnek az adatvédelmi szabályozásnak?
A GDPR alaposan felkavarta az amúgy sem túl nyugodt kiberbiztonság vizeit. Habár közel egy évvel az élesedése után már elmondhatjuk, hogy a legtöbb IT területen kezd kialakulni a gyakorlat, a törvény „korszerűségére” jellemző, hogy az egyik legfontosabb fejlesztési területet, a kriptokulcsos rendszereket nem tudta érdemben lefedni.
Jelenleg két pártra szakadtak a GDPR szakértők és nem igazán látszik feloldódni a dilemma
Vannak egyfelől, akik szerint igenis sértik az adatvédelmi szabályozást a kriptokulcsos titkosítást alkalmazó szerverek. Michael Drahony szerint a PGP e-mail titkosítás nem megfelelő a GDPR irányelvek számára és erre el is indított egy Git projektet, amiben felhívja a figyelmet a főbb problémákra.
Szerinte a legnagyobb probléma az, hogy nem lehet a kulcs-szerverekről eltávolítani az adatokat, ami teljesen elfogadhatatlan a GDPR alapján, csakhogy… Csakhogy ezek az adatok titkosítottak és kizárólag a kulcs birtokában oldhatók fel.
Azonban, ha az adatok a létrehozásuktól kezdve „örökre” ottmaradnak valahol és nincs út arra, hogy ezeket a felhasználó önkényesen megsemmisítse, akkor az valóban nem a GDPR-nek megfelelő adattárolási irányelv.
Az éles teszt kimutatta, hogy az aggályoskodóknak igazuk van
Ez természetesen a fejlesztők között elég nagy vitát generált az elmúlt időszakban. A tesztelés során elhelyeztek egy publikus kulcsot az egyik szerveren, hogy megtudják, valóban törölhetetlen-e, és úgy tűnik, hogy Michael Drahony-nak igaz volt.
A kulcsok használata mégis megfelelhet a GDPR-nak
Nyilván, a publikus kulcsoknak az a célja, hogy publikusak legyenek és ez még önmagában nem kéne, hogy problémát okozzon, de Alan Woodward szerint, aki az angliai Surrey egyetem kriptografikai professzora, már önmagában abban van egyfajta beleegyezés a személyes adatok nyilvánossá tételéhez, ha valaki csak a kulcsát osztja meg valakivel vagy valakikkel.
Tehát a PGP már önmagában véve egy személyes adat, még akkor is, ha nem tudjuk, hogy melyik személyhez tartozik – csak az e-mail címet ismerhetjük, amihez a kulcsot társították. Viszont mind a kulcs, mind az e-mail cím egyedileg kapcsolódik egy felhasználóhoz és így az személyes adatnak minősül. Persze, ha az UID megegyezik a felhasználó nevével, akkor a név, e-mail és a kulcs hozzáférhető.
De pont a fenti indokból kifolyólag sokan ezt nem is tartják problémának. Hiszen kulcsos azonosítás mindezen tulajdonságai a titkosítás módszerének elvéből származnak. Ráadásul a GDPR értelmében, ha az adatgazda úgy dönt, megosztja a személyes adatait, akkor az az ő döntése, és ezért nem szankcionálható a szolgáltató!
Ha a GDPR lényege az adatok védelme, akkor a maximális védelem lehet-e ellentétes a GDPR-ral?
A vita gyökere valójában a cikk kezdetén említett tényből fakad, hogy amennyiben valakinek a publikus kulcsa nem önszántából kerül ki egy szerverre, akkor azt a kulcsot a tulajdonosának jogában állna bármikor és azonnal eltávolíttatni – ámde erre nincs mód jelenleg!
Ez a vita még messze van a megoldástól. A lényeg, hogy maga a kulcsos azonosítás feltörhetetlensége egyelőre nincs veszélyben – vagyis nem jobban, mint eddig bármikor –, viszont a kérdés az, hogy maga a kulcs, legyen az PGP vagy akár SSH, amely a felhasználót védi, önmagába véve személyes adatnak számít-e.
A dilemma tehát továbbra is megmarad: ha a GDPR lényege az adatok védelme, akkor a maximális védelmet biztosító kriptokulcs lehet-e ellentétes a GDPR-ral? A fogós kérdés megválaszolására nem holnap kerül sor, érdemes tehát addig is az ügyféladatokat olyan szolgáltatónál tárolni például webhoszting során, mint amilyen a Servergarden, amely tökéletesen megfelel a GDPR-nak!
