Îți dai datele pentru reduceri, dar ce primești în schimb? Avertisment despre informațiile personale oferite online

Într-un interviu acordat Mediafax, Raluca Petrule, Sr Director Legal, AI & Digital Compliance la Foundever Romania, una dintre cele mai mari companii la nivel mondial care oferă servicii de asistență pentru clienți în numele altor companii, explică la ce semnale ar trebui să fim atenți înainte de a furniza date personale, de ce solicitarea CNP-ului pentru obținerea unor reduceri poate ridica semne de întrebare și ce riscuri implică transmiterea datelor bancare sau a copiilor actelor de identitate.

Cum ne dăm seama dacă o companie căreia îi oferim datele noastre chiar le protejează? 

Este dificil de evaluat pentru că, din păcate, nu toate companiile care colectează sau prelucrează date personale, inclusiv în baza unor obligații legale, au implementate suficiente măsuri pentru protejarea infrastructurii în care stochează datele. În același timp, evoluția tehnologiei face tot mai dificilă identificarea potențialelor riscuri fără o analiză detaliată și cunoștințe în domenii precum protecția datelor, securitatea informației, IT sau juridic.

De exemplu, nu este întotdeauna ușor să ne dăm seama dacă un site pe care îl accesăm este autentic.

Totuși, există câteva indicii la care putem fi atenți

De regulă, companiile care au programe și soluții solide de protecție a datelor și securitate cibernetică pun la dispoziția publicului informații clare și ușor accesibile despre politicile lor de protecție a datelor și de securitate internă.

Aceste documente ar trebui să fie ușor de înțeles și să includă datele de contact ale companiei, precum și ale persoanelor responsabile cu protecția datelor.

Un alt aspect important este transparența în colectarea datelor: ar trebui să fie clar de ce sunt solicitate anumite informații și să nu ni se ceară mai multe date decât cele strict necesare pentru produsul sau serviciul achiziționat.

În cazul accesării unui site, putem verifica și câteva elemente concrete, în funcție de nivelul nostru de cunoștințe tehnice.

Un prim indiciu este modul în care sunt gestionate cookie-urile: dacă putem alege să acceptăm sau să refuzăm cookie-urile opționale ori dacă acestea sunt plasate fără acordul nostru.

De asemenea, putem verifica dacă site-ul folosește o conexiune securizată, de exemplu HTTPS, lucru vizibil în bara de adrese a browserului.

Contează și modul în care este construit site-ul: o structură clară, fără erori de conectare, reclame excesive sau greșeli gramaticale.

Cum putem verifica modul în care compania ne gestionează datele

Chiar și după ce am furnizat datele personale, putem verifica modul în care o companie gestionează protecția acestora.

De exemplu, putem trimite o cerere pentru exercitarea drepturilor prevăzute de Regulamentul general privind protecția datelor (GDPR), cum ar fi o cerere de acces la datele personale sau de ștergere a acestora.

În cazul cererilor de ștergere, trebuie să ținem cont că acest drept nu se aplică întotdeauna tuturor datelor, în funcție de temeiul legal al prelucrării.

Un indicator important al seriozității unei companii în ceea ce privește protecția datelor este modul în care răspunde la astfel de solicitări, atât din perspectiva promptitudinii, cât și a corectitudinii răspunsului.

Ce date oferim mult prea ușor atunci când ne facem un cont, instalăm o aplicație sau cumpărăm ceva online?

Înainte de a vorbi despre datele pe care le oferim direct, aș menționa un aspect pe care îl ignorăm adesea atunci când accesăm un site pentru prima dată: cookie-urile.

Cookie-urile sunt fișiere text de mici dimensiuni, deseori codificate, pe care site-urile le plasează în browserul nostru pentru a recunoaște dispozitivul de pe care le accesăm.

Acestea pot fi folosite pentru afișarea conținutului, facilitarea accesului ulterior, colectarea unor informații tehnice sau afișarea de conținut relevant.

NImeni nu verifică cookie-urile, dar e important

Cu toate acestea, majoritatea utilizatorilor nu verifică ce tipuri de cookie-uri acceptă. În mod ideal, doar cookie-urile strict necesare pentru funcționarea site-ului ar trebui să fie activate fără posibilitatea de a le dezactiva.

Celelalte ar trebui să fie dezactivate în mod implicit și activate doar cu acordul utilizatorului.

Când vine vorba despre crearea unui cont, de multe ori nu ne întrebăm de ce ne sunt solicitate anumite informații. De exemplu, este rezonabil ca o platformă să ne ceară numele, prenumele, adresa de e-mail, un număr de telefon sau, în anumite situații, data nașterii, în funcție de specificul serviciului.

Însă, atunci când ni se solicită informații suplimentare, ar trebui să ne întrebăm care este scopul colectării lor.

Un exemplu concret este cel al unui retailer din domeniul modei care solicită CNP-ul pentru crearea unui cont pe platforma sau în aplicația sa, în schimbul unor reduceri la produsele comercializate.

CNP-ul este o informație personală care necesită măsuri suplimentare de protecție, iar prelucrarea sa este supusă unor condiții specifice.

În acest context, consider că solicitarea este excesivă, mai ales că numeroase alte platforme similare nu cer această informație.

În general, atunci când o companie ne solicită mai multe date personale decât ne-am aștepta în mod rezonabil, în schimbul unor beneficii precum oferte atractive, reduceri semnificative sau acces la servicii suplimentare, ar trebui să analizăm cu atenție de ce sunt necesare acele informații și dacă beneficiile oferite justifică furnizarea lor.

Ne putem întreba, desigur, ce s-ar putea întâmpla dacă oferim aceste date.

Consecințele nu sunt întotdeauna evidente sau suficient de deranjante pentru majoritatea oamenilor, dar pot include practici de marketing abuzive sau intruzive, partajarea datelor cu alte companii din același grup comercial sau chiar vânzarea acestora.

Astfel, putem ajunge să primim apeluri și oferte nesolicitate de la companii cu care nu am avut niciodată contact.

Despre plățile online

Un alt aspect important îl reprezintă plățile online.

Este foarte comod să plătim direct atunci când plasăm o comandă, mai ales într-o perioadă în care folosim tot mai puțin numerarul.

Totuși, furnizarea datelor cardului către companii despre ale căror practici de securitate și protecție a datelor nu avem suficiente informații poate duce la incidente precum fraudele online sau furtul banilor din conturi.

Pentru a reduce aceste riscuri, putem opta pentru plata la livrare, acolo unde este posibil, chiar dacă această variantă poate fi mai puțin comodă.

Nu în ultimul rând, trebuie să acordăm o atenție deosebită situațiilor în care ni se solicită copii ale actelor de identitate.

Este important să înțelegem de ce sunt necesare, cui le furnizăm și cât timp vor fi păstrate. Divulgarea intenționată sau accidentală a acestor documente poate avea consecințe grave, inclusiv furtul sau uzurparea identității.

Ce se poate întâmpla cu datele noastre după ce ajung la o companie? O breșă de securitate este singurul risc sau datele pot fi folosite și în alte scopuri?

Datele noastre personale pot fi folosite și în alte scopuri decât cele la care ne gândim inițial atunci când le furnizăm unei companii.

Acest lucru nu înseamnă că toate companiile procedează astfel, însă este important să cunoaștem riscurile care pot apărea.

Printre cele mai grave se numără vânzarea neautorizată a datelor sau publicarea lor pe dark web.

Există însă și alte situații care pot prezenta riscuri, precum partajarea datelor cu alte companii, fără un scop clar definit, transferul acestora în alte țări fără respectarea cerințelor legale sau fără măsuri adecvate de protecție, dar și utilizarea lor în scopuri suplimentare, care nu au fost comunicate la momentul colectării, cum ar fi marketingul.

Un alt risc este păstrarea datelor pentru perioade nedeterminate, fără termene clare de stocare.

Cu cât datele sunt păstrate mai mult timp, cu atât crește riscul ca acestea să fie expuse unor incidente sau breșe de securitate.

Pot conversațiile noastre cu chatboți sau alte instrumente AI să ajungă să fie folosite pentru antrenarea unor modele? Cum ar trebui să fim informați despre asta?

Da, în anumite situații, conversațiile sau datele introduse în instrumente bazate pe inteligență artificială pot fi folosite pentru dezvoltarea sau antrenarea modelelor. Acest lucru depinde însă de furnizor, de produsul utilizat, de tipul contului și de setările disponibile.

De aceea, este recomandat să limităm introducerea datelor sensibile în astfel de instrumente, mai ales atunci când folosim versiuni publice sau gratuite și nu știm exact cum sunt prelucrate datele.

Este important și unde este stabilit furnizorul și în ce jurisdicții sunt prelucrate datele, deoarece nivelul de protecție și drepturile disponibile pot să difere.

Pentru utilizatorii din Uniunea Europeană se aplică cerințele legislației europene privind protecția datelor, însă modul concret în care acestea pot fi exercitate depinde și de serviciul utilizat.

Informațiile despre utilizarea datelor, inclusiv dacă acestea pot fi folosite pentru antrenarea sau îmbunătățirea modelelor AI, ar trebui să se regăsească în termenii de utilizare sau în politicile privind prelucrarea datelor ale aplicației respective.

Ce ar trebui să facă imediat o persoană atunci când află că o firmă sau o instituție la care are cont a fost victima unui atac?

În mod ideal, informația ar trebui să vină direct de la firma sau instituția care a fost victima atacului sau care a confirmat o breșă de date.

Comunicarea ar trebui să spună clar ce date au fost afectate, ce s-a întâmplat cu ele și ce poate face persoana vizată mai departe.

Dacă sunt afectate foarte multe persoane și informarea fiecăreia este dificilă, compania poate publica informații despre incident online.

De obicei, aceste informații sunt mai generale, pentru a nu expune și mai mult vulnerabilitățile companiei.

În astfel de cazuri, ar trebui să existe și o modalitate de contact pentru cei care vor să afle mai multe despre situația lor.

Dacă nu primim o informare directă sau informațiile publice nu sunt suficiente, putem cere clarificări direct companiei.

Este important să aflăm dacă datele noastre au fost afectate, ce date au fost expuse, ce tip de atac a avut loc, când s-a întâmplat și când a fost confirmat.

Putem întreba și dacă breșa a fost remediată sau când estimează compania că va fi remediată, precum și ce măsuri au fost luate pentru a reduce riscul unor incidente similare.

În funcție de tipul de date expuse și de cât timp au fost vulnerabile, putem lua măsuri suplimentare de protecție.

De exemplu, poate fi nevoie să schimbăm un act de identitate sau un card bancar, să informăm alte companii care dețin aceleași date, să cerem ștergerea datelor, să depunem o plângere la instituțiile competente iar dacă există un prejudiciu clar și demonstrabil, să solicităm despăgubiri.

E realist să ni se ceară să citim pagini întregi de termeni și condiții ca să știm ce se întâmplă cu datele noastre?

Dacă ne uităm strict la protecția datelor cu caracter personal, responsabilitatea principală este a companiei care solicită și prelucrează datele.

Compania trebuie să se asigure că cere doar datele de care are nevoie, că le protejează prin măsuri tehnice (de securitate cibernetică) și organizatorice (angajații sunt instruiți cu privire la practicile corecte de prelucrare a datelor), că persoanele sunt informate corect despre modul în care sunt folosite datele și că există reguli corect identificate – scopul, durata și baza legală a prelucrării.

Tot compania trebuie să se asigure că datele sunt șterse atunci când nu mai trebuie păstrate.

În realitate, responsabilitatea este împărțită.

Nu este realist să ne așteptăm ca fiecare utilizator să citească pagini întregi de termeni și condiții și, chiar dacă le-ar citi, nu toată lumea are cunoștințele necesare pentru a evalua cât de bune sunt măsurile de protecție descrise acolo.

Totuși, o minimă informare cu privire la drepturile noastre și o conștientizare a ceea ce furnizăm ajută. Este important să știm ce date oferim, cui le oferim și în ce scop.

O parte importantă a soluției este tot la companii.

Atunci când termenii și politicile de confidențialitate sunt scrise simplu, sunt ușor de găsit și de înțeles, utilizatorii pot lua decizii mai informate.

În același timp, pentru companiile mici poate fi dificil să aibă acces la același nivel de expertiză ca organizațiile mari.

Compromisul este să existe cât mai multă transparență din partea companiilor și un nivel minim de atenție din partea utilizatorilor atunci când aleg unde și cui își oferă datele.

Dacă nu avem încredere într-o companie, putem evita să oferim anumite date, putem căuta o alternativă sau putem verifica mai atent informațiile publicate despre modul în care sunt protejate datele.