Mój pies kontra elitarni prawnicy ds. RODO: Naruszenie bezpieczeństwa danych Valve, o którym nikt nie mówi

Przeanalizujmy absurdalne, lecz niezwykle praktyczne pytanie z zakresu ochrony danych korporacyjnych: Czy globalny gigant technologiczny, taki jak Valve Corporation, powinien zatrudniać elitarnych prawników specjalizujących się w agresywnym postępowaniu procesowym — takich jak ci z międzynarodowej kancelarii Taylor Wessing — do obsługi standardowych wniosków o dostęp do danych w ramach RODO?

Odpowiedź zależy całkowicie od Twojej sytuacji:

• Jeśli Twoja firma jest całkowicie niewinna i zgodna z przepisami: zdecydowanie nie.
• Jeśli Twoja firma posiada ogromne wewnętrzne zasoby danych do ukrycia: Och, tak. Zatrudnij ich natychmiast.

Dlaczego? Ponieważ ci elitarni prawnicy korporacyjni działają jako nieświadomi agenci podwójni. Chętnie pomogą Twojemu przeciwnikowi odkryć wszystko, co desperacko próbujesz ukryć przed regulatorami. Jedynym wymogiem technicznym jest to, aby Twój przeciwnik wiedział, jak otworzyć słabo zredagowany plik PDF.

Właśnie dlatego, w walce o tytuł ostatecznego Inspektora Ochrony Danych (IOD), mój pies bije na głowę drogiego prawnika korporacyjnego. Pies może ugryźć kabel ethernetowy, ale nigdy nie podsunie na srebrnej tacy Twoich najbardziej poufnych sekretów korporacyjnych, powodując naruszenie ochrony danych zgodnie z RODO.

Zbrojenie biurokracji

Główna strategia tych czołowych kancelarii prawnych polega na kreowaniu wizerunku posiadania tajemnej wiedzy, otwartym zastraszaniu przeciwnika od samego początku oraz sztucznym zwlekaniu z postępowaniem prawnym. Czy prawo UE wymaga udzielenia odpowiedzi w ramach RODO w ciągu 30 dni? Dostarczą ją w 35. dniu, zadadzą pozbawiony sensu pytanie doprecyzowujące i zrestartują odliczanie czasu. Celem nie jest zgodność z przepisami; celem jest wyczerpanie osoby kwestionującej działania korporacji.

Dysponujemy dokładną oś czasu tej biurokratycznej gry w ping-ponga. 15 sierpnia jeden z prawników Taylor Wessing (dr Tobias Schelinski) wysłał formalny list, podejmując wszelkie możliwe działania w celu opóźnienia realizacji wniosku o dostęp do danych na mocy RODO. Żądał dodatkowego potwierdzenia tożsamości, argumentując, że jednorazowy adres e-mail użytkownika (alias, który wprost tłumaczy się jako „NieWażny”) nie zawierał wprost jego prawdziwego imienia i nazwiska. Wykorzystał to sztucznie wywołane opóźnienie, aby natychmiast i trwale zablokować wskazane konto Steam.

Przeciągali to proste żądanie danych przez miesiące. W końcu 1 października inny prawnik (dr Patrick Zurheide) przejął sprawę i dostarczył żądane dane.

(I tak, Taylor Wessing, wiemy, jak bardzo zachwycony musi Pan być tym artykułem. Przepraszamy, że ujawniliśmy Państwa elitarną strategię korporacyjną konkurencji. Czekajcie, czy w ogóle macie konkurencję na tym poziomie cyfrowej niekompetencji? Właściwie, niech to będzie, nie odpowiadajcie na to. Nie mamy 30 dni, by czekać na odpowiedź od strony, która jest nam całkowicie obojętna.)

Choć wykorzystywanie opóźnień jest standardową taktyką prawną, to, co nastąpiło później, stanowiło katastrofalną awarię operacyjną. Podczas gdy te „psy stróżujące” zajęte były szczekaniem na ogrodzenie, pozostawiły tylne drzwi szeroko otwarte.

Krótki kurs informatyki dla prawników IT (moduł 101)

Zanim przeanalizujemy wycieknięte dane, musimy omówić, w jaki sposób do tego doszło.

Przyjrzyj się programowi nauczania każdego renomowanego programu studiów magisterskich (LL.M.) z zakresu prawa informatycznego; znajdziesz w nim rozległe moduły poświęcone międzynarodowej ochronie danych, ramom cyberbezpieczeństwa oraz prawnej interpretacji artykułu 32 RODO („Bezpieczeństwo przetwarzania”). Profesorowie spędzają miesiące, wtłaczając w studentów teoretyczną konieczność zabezpieczania danych osobowych.

Jednakże uczelnie zakładają, że student już wie, jak działa komputer. Nie uczą „jak zapisać plik” ani „jak korzystać z Adobe Acrobat”. I właśnie tutaj załamał się elitarny system prawny korporacji.

Oto techniczna rzeczywistość, która umknęła ekspertom:

Format przenośnego dokumentu (PDF) nie jest płaskim zdjęciem. To wielowarstwowy kontener cyfrowy. Gdy używasz podstawowego edytora PDF, aby narysować czarny prostokąt wektorowy nad linią tekstu, nie usuwasz tego tekstu. Po prostu nakładasz na niego cyfrową notatkę samoprzylepną.

Każda osoba, która otworzy ten dokument w programie takim jak LibreOffice Draw, Adobe Illustrator, a nawet w podstawowym skrypcie do wyłapywania tekstu, może po prostu zaznaczyć warstwę tekstu znajdującą się pod czarnym prostokątem, skopiować ją i wkleić do Notatnika.

Właściwe redagowanie wymaga „sanitizacji” — procesu trwałego usuwania obiektów tekstowych i metadanych z kodu dokumentu. Rysowanie czarnych kształtów nie jest cyberbezpieczeństwem; to cyfrowe rękodzieło.

Wycieknięte dane: Kiedy niekompetencja staje się niebezpieczna

W odpowiedzi na standardowe żądanie na podstawie art. 15 RODO, reprezentacja prawna Valve dostarczyła obszerny dokument liczący 830 stron, wypełniony tymi cyfrowymi „rękodziełami”. Starannie nałożyła czarne kształty wektorowe na tysiące wierszy danych, pozostawiając widoczne wyłącznie informacje wygodne dla ich narracji (a konkretnie: zgłoszenia użytkowników złożone przeciwko wnioskodawcy).

Na pierwszy rzut oka sama determinacja w rysowaniu czarnych prostokątów na 830 stronach jest niemal imponująca. Jednak gdy pominięte zostaną wektory i spojrzy się na faktycznie wyciekłe dane, humor natychmiast znika.

Czego faktycznie ujawnili elitarni prawnicy:

• Zdeanonimizowane logowania użytkowników: Ponieważ logowanie do Steam ma często charakter ściśle osobisty i jest powiązane z innymi tożsamościami w internecie, ponad 60% użytkowników wymienionych w tym dokumencie zostało natychmiast i w pełni zidentyfikowanych.
• Nieszyfrowane, surowe dzienniki czatu i absurdalne raporty: To nie były zwykłe logi serwerowe. Dokument ujawnił skarbiec całkowicie szalonych, absurdalnych zgłoszeń użytkowników. Mowa o surowych, nieocenzurowanych wiadomościach obfitujących w skrajne wulgaryzmy, czystą zazdrość i niekontrolowaną nienawiść. Zawierał dosłowne życzenia śmierci, rasistowskie obelgi o charakterze nacjonalistycznym oraz silne geopolityczne inwektywy ze strony rosyjskich użytkowników skierowane do ukraińskiego użytkownika. Zamiast odpowiednio zabezpieczyć te wysoce wrażliwe i toksyczne dane, elitarni prawnicy w zasadzie spakowali surową bazę danych pełną mowy nienawiści i przekazali ją, pozostawiając ją całkowicie odsłoniętą.
• Narażanie nieletnich na ryzyko: Ukraiński użytkownik, którego prawa do prywatności Valve próbowało ograniczyć, nie był przypadkowym nastolatkiem. Jest to osoba dysponująca poważnymi kompetencjami technicznymi. Zaniechanie wykonania podstawowej redakcji dokumentu PDF przez prawników przekazało mu w pełni deanonimizowaną bazę danych osób, które zgłosiły go do systemu. W ten sposób użytkownicy Steam – wielu z nich to nieletni – zostali wystawieni na bezpośrednie zagrożenie fizyczne i cyfrowe.

Mój pies nigdy by tego nie zrobił. Mój pies po prostu zjadłby dokumentację. Zero wycieku danych.

Mistrzostwo hipokryzji: strona 8

Jeśli uważasz, że awaria techniczna jest śmieszna, to oficjalny list towarzyszący temu wyciekowi podnosi sytuację do rangi absolutnej komedii.

Na stronie 8 oficjalnej odpowiedzi prawnej dr Zurheide formalnie odmawia użytkownikowi dostępu do określonych danych konta. Jego uzasadnienie prawne wstrzymania udostępnienia tych informacji? Cytujemy bezpośrednio z dokumentu w języku niemieckim:

„Dokładniejsze informacje nie są możliwe ze względu na ochronę danych osobowych innych użytkowników platformy Steam…”
(Przekład na język angielski: „Szczegółowa odpowiedź nie jest możliwa ze względu na ochronę danych osobowych innych użytkowników Steam…”)

Daj sobie chwilę, by to przyswoić. Wysoko opłacany Partner Zarządzający w firmie Taylor Wessing wprost odmówił podania określonych szczegółów w celu ochrony prywatności innych użytkowników Steam… w dokładnie tej samej paczce e-mailowej, do której dołączył 830-stronicowy plik PDF, w którym w całości wyciekły zdeanonimizowane tożsamości, zapisy czatów oraz surowe treści nienawistne tych samych użytkowników.

Z dumą oświadczył na piśmie, że chroni dane, które jednocześnie aktywnie wyciekały.

List kończy się klasycznym korporacyjnym zabiegiem zastraszającym: groźbą ścigania karnego na podstawie niemieckiego Kodeksu Karnego (StGB), przy jednoczesnym trzymaniu na zakładzie pozostałych danych użytkownika, do których ma on gwarantowane prawnie prawo zgodnie z RODO, dopóki użytkownik nie „wyjaśni” prawnikom określonych zachowań na koncie. To mistrzowska lekcja zbrojnej, a jednocześnie całkowicie niekompetentnej biurokracji.

Recenzja 5 gwiazdek dla „elitarnych” kompetencji w zakresie prawa IT

Aby zrozumieć powagę tej awarii, należy przeanalizować, kto przetwarza te dane. Nie chodzi tu o stażystę.

Zgodnie z publicznymi profilami zawodowymi, osoba odpowiedzialna za tę odpowiedź jest niedawno awansowanym Partnerem Wynagradzanym w firmie Taylor Wessing. Jest to specjalista, który może poszczycić się magisterium z zakresu międzynarodowego prawa handlowego na Uniwersytecie w Aberdeen oraz — w ironii ironii — ukończonymi studiami doktoranckimi z zakresu prawa nowych technologii.

Zatrudniając specjalistę z doktoratem z zakresu prawa informatycznego z czołowej międzynarodowej kancelarii, oczekujesz, że będzie on wiedział, jak prawidłowo zdezynfekować dokument cyfrowy przed przekazywaniem wrażliwych danych użytkowników za granicę.

Zamiast tego katastrofalna porażka w zakresie podstawowej cyfrowej kompetencji przypadkowo potwierdziła techniczne realia, które Valve konsekwentnie zaprzecza od lat. Dzięki temu spektakularnemu błędowi prawnemu dysponujemy teraz oficjalnie udokumentowanym dowodem na to, że:

• Masowe łączenie kont: Valve posiada możliwość powiązania kont Steam sięgających roku 2019.
• Głęboka telemetria: Valve utrzymuje wewnętrzny system telemetrii i logowania użytkowników, którego zakres i szczegółowość dorównują tym stosowanym przez agencje wywiadowcze państw.
• Oficjalne potwierdzenie: Ekskluzywny zespół prawniczy w wyjątkowo zbieżny ze swoimi interesami sposób potwierdził to wszystko w oficjalnej, weryfikowalnej korespondencji prawnej.

Skromna prośba do profesorów prawa informatycznego (i konfrontacja z rzeczywistością)

Do szanownych profesorów Uniwersytetu w Aberdeen oraz innych prestiżowych uczelni oferujących stopnie naukowe w zakresie prawa informatycznego: mamy skromną prośbę. Prosimy, błagamy, by Państwo bardziej wymagali od studentów w zakresie faktycznej części „informatycznej” ich studiów.

Wyjaśnij im, jak działają grafiki wektorowe. Wyjaśnij im, że narysowanie prostokąta w Adobe Acrobat nie powoduje magicznego usunięcia leżącego pod spodem kodu tekstu. To absolutne podstawy cyfrowe, które należy opanować, zanim ktokolwiek otrzyma doktorat lub zostanie dopuszczony do wrażliwych danych użytkowników objętych RODO.

Ale bądźmy całkowicie uczciwi wobec instytucji akademickich. Uniwersytety są podmiotami o wysokim autorytecie i poważaniu. Wiemy z całą pewnością, że żaden szanowany profesor nie uczy studentów, jak sztucznie opóźniać prawnie wymagane odpowiedzi w ramach RODO, aby wyczerpać ofiarę.

Ta konkretna umiejętność — uzbrojenie biurokracji i celowe przedłużanie terminów procesowych — nie jest częścią żadnego programu studiów. To wyłącznie wewnętrzna inicjatywa korporacyjna. To rodzaj mrocznej sztuki, której można się nauczyć dopiero, dołączając do kancelarii takiej jak Taylor Wessing.

To w istocie ukazuje brutalną, niegłoszoną wprost rzeczywistość współczesnej ścieżki kariery prawniczej. Wygląda na to, że absolwenci, którzy naprawdę rozumieją technologię, znajdują normalne, szanowane zatrudnienie, budując, chroniąc i innowacjonizując w realnym świecie.

A pozostali? Ci, którzy chcą jedynie nosić drogie garnitury i bawić się modnymi hasłami? Trafiają do kancelarii takich jak Taylor Wessing, by pełnić rolę drogich korporacyjnych „sprawców porządku”, których zadaniem jest ukrywanie brudnych sekretów technologicznych gigantów za słabo zaprojektowanymi cyfrowymi czarnymi skrzynkami.

Formalny wniosek do organów ochrony danych UE

Do organów regulacyjnych RODO i organów ochrony danych, którym obecnie powierzono nadzór nad tym bałaganem: zakładając, że Wasze urzędy nie są obsadzone przez ekspertów dokładnie tego samego typu, zwracamy się z uprzejmą prośbą o zbadanie cyrku działającego pod nazwą Taylor Wessing.

Czy istnieje prawny mechanizm wymuszający cyfrową recertyfikację dla tych specjalistów? A może ktoś powinien po prostu sprawdzić im temperaturę? Naprawdę wydaje się, że w momencie, gdy prawnicy otrzymują prestiżowy tytuł „dr”, zapadają na ciężką gorączkę korporacyjną, która trwale wymazuje z ich mózgów podstawową literację komputerową.

Czy zdajesz sobie sprawę z ogromu naruszeń RODO zawartych w tej pojedynczej interakcji? Sztucznie opóźnili prawnie wymagane udzielenie odpowiedzi, wstrzymali udostępnienie danych pod fałszywym pozorem „ochrony” innych, zbrojonili biurokrację, a następnie przypadkowo wyciekli surowe, zdeanonimizowane dane tych samych osób.

Tymczasem spójrzmy na tablicę wyników. Moja suczka wciąż odnotowuje dokładnie zero naruszeń ochrony danych. Prawdą jest, że nie zrealizowała skutecznie wniosku o dostęp do danych zgodnie z RODO. Nie dopuściła jednak do masowego, transgranicznego wycieku danych, jednocześnie naliczając klientowi setki euro za godzinę pracy. W współczesnym ekosystemie korporacyjnym całkowita bezczynność i po prostu niepopadanie w błędy czynią z mojej suczki niekwestionowaną Pracownicą Miesiąca.

Czas zmienić zasady gry na Steam

Chodzi tu nie tylko o błąd prawnika przy pliku PDF. Chodzi o systematyczne lekceważenie bezpieczeństwa użytkowników przez platformę wartą miliardy dolarów.

Nasz projekt PhishDestroy powstał, ponieważ Valve w ogóle nie przejmowało się niekontrolowanym spamem, phishingiem i przejętymi kontami, które pożerały jego ekosystem. Rozwinęliśmy się w tej próżni korporacyjnej odpowiedzialności.

Dzięki bezpośrednio wyborowi Valve w zakresie reprezentacji prawnej oraz temu, co nastąpiło po wycieku danych, zasłona została zdjęta. Nadszedł czas, by obalić ich politykę udawania niewiedzy, podczas gdy dzieci są okradane, ignorowania nieuregulowanych zakładów na skiny oraz trwałego zamrażania inwentarzy użytkowników w celu zwiększenia własnych zysków.

Przygotowaliśmy dowody, chronologię korporacyjnej absurdalności oraz pełną analizę techniczną ich błędów. To gęsta i poważna lektura, ponieważ prawda o tym, w jaki sposób globalne korporacje traktują Twoje dane, zwykle taka właśnie jest.

Przeczytaj pełne, obszerne śledztwo dotyczące praktyk Valve tutaj:
PhishDestroy: Jak Valve zyskuje na skradzionych kontach

Szczególna klauzula zastrzegawcza dla Taylor Wessing i dr Zurheide

Wiem dokładnie, co stanie się dalej. Wiem, że prawdopodobnie właśnie teraz redagujesz skargę na naruszenie warunków korzystania z serwisu lub wezwanie do zaprzestania działań, aby usunąć ten artykuł.

Zanim to zrobisz, ustalmy kilka kwestii w oficjalnym rejestrze publicznym.

Po pierwsze, PhishDestroy to inicjatywa w 100% non-profit. Nie czerpiemy z niej żadnych zysków. To nie jest tekst zamawiany przez Twoich konkurentów (zakładając, że na tym konkretnym poziomie cyfrowego rzemiosła w ogóle ich posiadasz). Publikujemy ten materiał, ponieważ Twoja katastrofalna wycieku danych stanowi podstawowy dowód w naszej obszernej śledztwie dotyczącym Valve.

Po drugie, chcemy szczerze pochwalić Waszą sztukę. Te 830 stron z ręcznie umieszczonymi czarnymi prostokątami są naprawdę wykwintne. Kwadraty są głębokie, bogate i zaskakująco spójne. To piękny dowód na to, że pieniądze korporacyjne nie mają absolutnie żadnego znaczenia dla korporacji, które je wydają. Biorąc pod uwagę Waszą stawkę godzinową w Taylor Wessing, może to być najdroższy projekt sztuki współczesnej w historii gier.

(Praktyczna rada na Twoją kolejną odpowiedź w ramach RODO: Skoro i tak naliczasz Valve setki godzin za rysowanie czarnych kwadratów na ponad 800 stronach, może spróbuj narysować pod nimi jakieś ładne, małe kółka? Tylko dla odmiany. Nie poprawi to bezpieczeństwa danych, ale będzie zabawnie dla osoby, która wyciąga tekst).

Na koniec traktuj to jako uprzejme ostrzeżenie:

Każda próba zgłoszenia, usunięcia lub podjęcia działań prawnych wobec niniejszej publikacji będzie traktowana jako bezpośredni atak na legalne, niekomercyjne badania w zakresie bezpieczeństwa. Działamy według bardzo prostej zasady panującej w internecie. Możesz spróbować usunąć ten link. Jeśli to jednak zrobisz, postąpimy tak, jak zawsze: za każdy zniszczony przez Ciebie link pojawi się pięć nowych.

Witaj w internecie.

Przypomnienie prawne dla Taylor Wessing: zasada 72 godzin

Zazwyczaj nie udzielimy Państwu innej porady biznesowej niż „zamknijcie działalność”, jednak jako eksperci ds. cyberbezpieczeństwa czujemy się zobowiązani do wskazania prawnych konsekwencji Państwa technicznej porażki.

Twoje praktyki polegające na stosowaniu graficznych nakładek wektorowych zamiast właściwej strukturalnej sterylizacji dokumentów stanowią bezpośrednie naruszenie art. 32 RODO (Bezpieczeństwo przetwarzania).

Zdecydowanie zalecamy audyt każdego wysłanego dotychczas pliku PDF, niezależnie od tego, czy adresatem był przeciwnik, wnioskodawca czy klient. Jeśli nie przeprowadzaliście Państwo weryfikacji tych dokumentów na poziomie podstawowym IT (usuwając metadane i ukryte warstwy), istnieje bardzo wysokie prawdopodobieństwo, że aktywnie odpowiadacie za wiele trwających wycieków danych.

Ponadto, pragniemy przypomnieć Państwa cenionym doktorantom prawa informatycznego o art. 33 RODO: w momencie, gdy administrator danych staje się świadomy naruszenia ochrony danych osobowych, jest on prawnie zobowiązany do powiadomienia właściwego organu nadzorczego w terminie 72 godzin.

Biorąc pod uwagę transgraniczny charakter tych wycieków oraz ogromną ilość niezwykle wrażliwych, zdeanonimizowanych danych, które są przez Państwa nieprawidłowo przetwarzane, próba zatuszowania sprawy spowoduje jedynie nałożenie maksymalnych kar regulacyjnych. Został Pan/Pani poinformowany/a o naruszeniu. Czas ucieka.

Jeszcze raz, przeczytaj pełne śledztwo tutaj:
PhishDestroy: Jak Valve zyskuje na skradzionych kontach