Dane osobowe na zrzutach ekranu w wewnętrznych bazach wiedzy
Wewnętrzne bazy wiedzy — Confluence, Notion, SharePoint, GitBook — przechowują specyficzny typ problemu z danymi osobowymi, który standardowe narzędzia compliance pomijają: dane osobowe klientów osadzone na zrzutach ekranu używanych w dokumentacji procesowej.
Ten schemat powtarza się w tysiącach zespołów wsparcia i operacyjnych.
Agent wsparcia natrafia na niestandardową konfigurację konta. Robi zrzut ekranu strony konta klienta, by udokumentować problem. Zrzut pokazuje imię i nazwisko klienta w nagłówku interfejsu, adres e-mail w ustawieniach konta oraz szczegóły planu.
Artykuł trafia do wewnętrznej bazy wiedzy. Może go teraz przeglądać 150 agentów wsparcia. Może go też zobaczyć dwunastu wykonawców z zewnętrznego helpdesku. Artykuł jest przydatny. Pokazuje, jak obsługiwać ten szczególny przypadek brzegowy. Każdy agent, który w przyszłości napotka taką konfigurację, go przeczyta.
Trzy lata później baza wiedzy zawiera 847 takich artykułów. Każdy z nich zawiera zrzuty ekranu kont klientów. Klienci widoczni na zrzutach nie wyrazili zgody na to wtórne wykorzystanie swoich danych. Większość nie wie, że ich dane są tam przechowywane.
To nie jest mały problem. Rośnie wraz z każdym nowym artykułem.
Narażenie na sankcje RODO: dlaczego to ma znaczenie
Analiza RODO dotycząca zrzutów ekranu w bazach wiedzy jest bezpośrednia.
Minimalizacja danych (art. 5 ust. 1 lit. c)): Dane osobowe muszą być „stosowne, istotne oraz ograniczone do tego, co niezbędne”. Artykuł w bazie wiedzy dotyczący konfiguracji konta nie potrzebuje prawdziwego imienia i nazwiska ani adresu e-mail klienta. Zamazany zrzut ekranu spełnia ten cel równie dobrze. Umieszczenie aktywnych danych klienta nie jest konieczne.
Ograniczenie celu (art. 5 ust. 1 lit. b)): Danych zebranych w jednym celu — obsługa klienta — nie można ponownie wykorzystywać w innym celu — wewnętrzna dokumentacja procesowa — bez podstawy prawnej. Dane kont zostały zebrane na potrzeby świadczenia usług, a nie dokumentacji wewnętrznej. Są to dwa odrębne cele przetwarzania. Korzystanie z tych samych danych w obu przypadkach wymaga ważnej podstawy prawnej, której większość zespołów nie ustaliła.
Kontrola dostępu (art. 5 ust. 1 lit. f) i art. 32): Odpowiednie środki techniczne muszą chronić dane osobowe. Zrzuty ekranu kont klientów w narzędziu otwartym dla wszystkich 150 agentów i wykonawców — w tym tych, którzy nie mają dostępu do bazowego systemu kont — tworzą zbyt szeroki dostęp.
Prawo do usunięcia (art. 17): Osoba, której dane dotyczą, wnioskująca o usunięcie danych, ma prawo do ich usunięcia „bez zbędnej zwłoki”. Jeśli jej dane pojawiają się w 23 artykułach bazy wiedzy jako osadzone zrzuty ekranu, realizacja wniosku wymaga znalezienia i aktualizacji wszystkich 23 artykułów. Bez systemu jest to trudne. Nasz przewodnik po prawie do usunięcia danych RODO szczegółowo opisuje kroki.
Żadne z powyższych nie jest wykładnią przypadkową. To bezpośrednie zastosowanie treści rozporządzenia do powszechnej praktyki.
Obejście kontroli dostępu
Najpoważniejszym problemem compliance związanym ze zrzutami ekranu w Confluence jest obejście kontroli dostępu, które tworzą.
Zespoły wsparcia stosują kontrolę dostępu opartą na rolach (RBAC), by ograniczyć, kto ma dostęp do systemów kont klientów. Agenci pierwszego poziomu widzą podstawowe dane konta. Agenci drugiego poziomu widzą dane rozliczeniowe i techniczne. Menedżerowie widzą pełny profil konta.
Gdy agent drugiego poziomu tworzy artykuł w bazie wiedzy zawierający zrzut ekranu pełnego konta klienta, ten zrzut staje się widoczny dla każdego użytkownika narzędzia. Agenci pierwszego poziomu, którzy nie powinni widzieć danych rozliczeniowych, mogą je teraz przeglądać. Wykonawcy bez dostępu do systemu mogą je przeglądać. Nowi pracownicy na etapie wdrożenia mogą je przeglądać.
Zrzut ekranu omija kontrolki RBAC systemu kont klientów. Dane osobowe, które RBAC miał chronić, są teraz dostępne dla każdego, kto ma dostęp do bazy wiedzy.
To nie jest ryzyko teoretyczne. Jest to normalny wynik przepływu pracy dokumentacyjnej. Zrzut ekranu znajduje się tam bez daty wygaśnięcia, bez dziennika dostępu i bez ścieżki audytu.
Praktyczne kroki naprawcze
Dla zespołów, które odkryją ten problem podczas audytu RODO:
Działania naprawcze wsteczne:
- Zidentyfikuj wszystkie strony bazy wiedzy z załączonymi obrazami
- Uruchom wykrywanie danych osobowych w obrazach dla każdego załącznika
- Przejrzyj oznaczone obrazy: trafienia o wysokim poziomie ufności trafiają do kolejki przeglądowej
- Dla każdego oznaczonego obrazu: zastąp go oczyszczoną wersją lub ogranicz dostęp do strony
- Zaloguj działania naprawcze w dokumentacji RODO
Skala działań naprawczych wstecznych zależy od wielkości bazy wiedzy. W przypadku trzyletniej bazy wiedzy 50-osobowego zespołu wsparcia liczba obrazów może sięgać tysięcy. Wsadowe przetwarzanie obrazów czyni to wykonalnym. Ręczna weryfikacja oznaczonych obrazów jest kluczowym wąskim gardłem.
Kontrole prospektywne:
- Szkol wszystkich pracowników wsparcia w zakresie oczyszczania zrzutów ekranu przed publikacją w bazie wiedzy
- Zapewnij narzędzia: narzędzia do adnotacji zrzutów ekranu rozmywające imiona i nazwiska klientów przed wklejeniem
- Dodaj krok weryfikacyjny: wyznaczony recenzent sprawdza artykuły przed publikacją, szukając konkretnie danych osobowych klientów w obrazach
- Uruchamiaj kwartalne wsadowe skanowanie obrazów wszystkich załączników w Confluence
Minimalna kontrola wykonalna: Lista kontrolna przy publikacji: „Przed opublikowaniem usuń lub zamaż wszystkie imiona i nazwiska klientów, adresy e-mail i identyfikatory kont ze zrzutów ekranu.” Niskotechnologiczne, nieautomatyczne, ale tworzy udokumentowaną kontrolę. Dla małych zespołów to punkt wyjścia.
Zapoznaj się z naszym przeglądem zgodności z RODO dotyczącym szerszych ram prawnych oraz z artykułem dlaczego polityka bez kontroli technicznych zawodzi, by zrozumieć, dlaczego podejście oparte wyłącznie na listach kontrolnych zawodzi przy dużej skali.
Dlaczego problem narasta z czasem
Bez systematycznych kontroli narażenie bazy wiedzy na dane osobowe kumuluje się.
Wolumen: Każdy nowy artykuł z zrzutem ekranu klienta zwiększa całkowite narażenie. Wraz z rozwojem zespołu wsparcia i rozbudową bazy wiedzy rośnie też skumulowana ilość danych osobowych. Cechy, które czynią te narzędzia użytecznymi — łatwość publikacji, trwałość, szeroki dostęp — sprawiają, że problem z danymi osobowymi staje się poważniejszy.
Zapomniane artykuły: Artykuły o starych przypadkach brzegowych, które już się nie pojawiają, pozostają dostępne. Zawierają dane osobowe klientów, którzy od tego czasu złożyli wnioski o usunięcie danych. Nikt nie sprawdza artykułu ostatnio aktualizowanego w 2022 r.
Rozprzestrzenianie się między zespołami: Bazy wiedzy często przekraczają granice funkcjonalne. Artykuł wsparcia zawierający zrzuty ekranu klientów może być udostępniany zespołowi produktowemu, inżynierskiemu lub zewnętrznym wykonawcom w celu dostarczenia kontekstu do prośby o funkcję lub raportu o błędzie. Każde udostępnienie poszerza grono odbiorców danych osobowych.
Zaległości w usuwaniu danych: Wraz z gromadzeniem się kolejnych rekordów klientów w bazie wiedzy, realizacja wniosków o usunięcie danych staje się coraz bardziej złożona. Bez systemu nie ma wiarygodnego sposobu na potwierdzenie, że znaleziono i usunięto każde wystąpienie danych danej osoby. Zespół nie może złożyć wiarygodnego potwierdzenia usunięcia danych.
Zapobieganie problemom z danymi osobowymi w bazie wiedzy jest łatwiejsze niż ich naprawianie. Kontrole wdrożone teraz pozwolą uniknąć narastającego problemu naprawczego. Każdy artykuł opublikowany bez zamazanego zrzutu ekranu to zadanie naprawcze odłożone na przyszłość.