Ako at ang Aking Aso laban sa mga Elite na Abogado sa GDPR: Ang Data Breach ng Valve na Walang Sinasabi

Tingnan natin ang isang absurdong ngunit napakapragmatikong tanong sa larangan ng privacy ng datos ng korporasyon: Dapat bang pumili ng mga elite na "attack-dog" na abogado — gaya ng mga nasa internasyonal na law firm na Taylor Wessing — ang isang global na tech giant tulad ng Valve Corporation upang ma-handle ang mga standard na GDPR data requests?

Depende ito sa buong-buo sa iyong sitwasyon:

• Kung ang iyong kumpanya ay ganap na walang kasalanan at sumusunod sa mga patakaran: Hindi sa ganap.
• Kung may malaking yaman ng panloob na datos ang iyong kumpanya na kailangang itago: Oo, siguro. I-hire sila agad.

Bakit? Dahil ang mga elite na abogado ng mga korporasyon ay gumagana bilang mga hindi paalamang doblente. Bukas silang tutulungan ang iyong kalaban na makagawa ng bawat detalye na pinaghihikahikab mong itago mula sa mga regulator. Ang tanging teknikal na kinakailangan ay ang kakayahan ng iyong kalaban na buksan ang isang PDF na hindi maayos na narehakt.

Ito ang eksaktong dahilan kung bakit, sa laban para sa pinakamagandang Data Protection Officer (DPO), ang aking aso ay talagang nananalo laban sa isang mahal na corporate lawyer. Maaaring kumunot ang isang aso sa isang ethernet cable, ngunit hindi niya kailanman ibibigay ang pinakamahalagang corporate secrets mo at magdudulot ng GDPR data breach na parang nakalagay sa isang pilak na plato.

Ang Pagpapalaya ng Burokrasya Bilang Sandata

Ang sentral na estratehiya ng mga ito na mga top-tier na legal firm ay ipakita ang aura ng nakatagong kaalaman, magbigay ng direktang banta sa kalaban mula pa sa simula, at sadyang paghinto ng proseso sa legal. Nangangailangan ba ang batas ng EU ng tugon sa GDPR sa loob ng 30 araw? Ipadala nila ito sa ika-35 araw, magtanong ng walang-kahulugang tanong para linawin, at i-restart ang orasan. Ang layunin ay hindi ang pag-comply; ang layunin ay pagpataas ng lakas ng taong naglalaban sa korporasyon.

Mayroon kaming eksaktong timeline ng burokratikong ping-pong na ito. Noong Agosto 15, isang abogado ng Taylor Wessing (Dr. Tobias Schelinski) ang nagpadala ng pormal na liham na gumawa ng lahat ng posibleng paraan upang mapahabain ang GDPR request. Hiniling niya ang karagdagang patunay ng pagkakakilanlan, na nagpapahiwatig na ang burner email address ng user (isang alias na literal na nangangahulugang "NotImportant") ay hindi eksplisitong naglalaman ng totoong pangalan nito. Ginamit niya ang artipisyal na pagkaantala na ito upang agad at permanenteng i-ban ang Steam account na tinutukoy.

Ipinahaba nila ng ilang buwan ang simpleng kahilingan sa datos na ito. Sa huli, noong Oktubre 1, isang ibang abogado (Dr. Patrick Zurheide) ang sumakop at nagbigay ng hiniling na datos.

(At oo, Taylor Wessing, alam namin gaano ka naman masaya sa artikulong ito. Napakatawa namin na ipinaliwanag namin ang inyong elite corporate strategy sa inyong mga kalabang. Hintayin, may mga kalabang ba kayo sa antas ng digital incompetence na ito? Sa totoo lang, huwag na nating sagutin iyon. Walang 30 araw kaming maghihintay ng sagot mula sa isang partip na walang kahit anong pag-aalala kami.)

Bagama't ang paggamit ng mga pagkaantala bilang sandata ay isang karaniwang legal na taktika, ang nangyari sa susunod ay isang kalamidad na operasyonal na pagkakamali. Habang ang mga itong "guard dogs" ay abala sa pag-ungol sa bakod, niligawan nila ang likurang pinto na bukas nang bukas.

Maikling IT Crash Course para sa mga IT Lawyer (Module 101)

Bago titingnan natin ang nabasag na datos, kailangan nating pag-usapan kung paano ito nangyari.

Kung titingnan mo ang syllabus ng anumang seryosong programa sa Master of Laws (LL.M.) sa IT Law, makikita mo ang malawak na mga modulo tungkol sa Internasyonal na Proteksyon ng Datos, Cybersecurity Frameworks, at legal na interpretasyon ng GDPR Article 32 ("Seguridad ng pagproseso"). Nagugugol ng mga propesor ng ilang buwan upang maipaliwanag nang malalim sa mga estudyante ang teoretikal na kailangan ng pagpapanatili ng kaligtasan ng personal na datos.

Gayunpaman, tinatanggap ng mga unibersidad na alam na ng isang graduate student kung paano gumagana ang isang computer. Hindi nila itinuturo ang "Paano i-save ang isang file" o "Paano gamitin ang Adobe Acrobat." At dito mismo na bumagsak ang elite corporate legal system.

Narito ang teknikal na katotohanang naligtaan ng mga eksperto:

Ang Portable Document Format (PDF) ay hindi isang flat na larawan. Ito ay isang layered na digital na container. Kapag gumagamit ka ng isang basic na PDF editor upang gumuhit ng isang itim na vector na rektanggulo sa itaas ng isang linya ng teksto, hindi mo pinapalimutan ang teksto. Ipinapahayag mo lamang ang isang digital na post-it note sa itaas nito.

Ang sinumang taong buksan ang dokumentong iyon gamit ang mga programa tulad ng LibreOffice Draw, Adobe Illustrator, o kahit isang basic na text-scraping script, ay maaaring simpleng pumili ng text layer na nasa ilalim ng itim na kahon, kopyahin ito, at i-paste sa Notepad.

Ang tamang redaction ay nangangailangan ng "sanitization" — isang proseso na permanenteng tinatanggal ang mga text object at metadata mula sa code ng dokumento. Ang pagguhit ng itim na hugis ay hindi cybersecurity; ito ay digital na sining at paggawa.

Ang Nalabas na Datos: Kapag ang Kakulangan sa Kakayahan ay Nagiging Mapanganib

Bilang tugon sa isang karaniwang hiling sa ilalim ng Artikulo 15 ng GDPR, ipinadala ng legal na kinatawan ng Valve isang malaking dokumentong may 830 na pahinang puno ng mga digital na "arts and crafts" na ito. Maingat nilang inilagay ang mga itim na vector shapes sa ibabaw ng libu-libong linya ng data — na ipinapakita lamang ang impormasyong komportable sa kanilang naratibo (partikular, ang mga user report na isinampa laban sa tagapag-hingi).

Sa unang tingin, ang malalim na pagdedediko sa pagguhit ng mga black box sa 830 na pahina ay halos nakaka-impress. Ngunit kapag tinanggal mo lamang ang mga vector at tiningnan ang aktwal na data na nalatag, agad na nawawala ang kakaiba.

Ang Tapat na Nilagda ng mga Elite na Abogado:

• Mga De-anonymized na Login ng User: Dahil madalas na malalim na personal ang Steam login at konektado sa ibang mga online na identidad, agad at buong-buo na na-identify ang higit sa 60% ng mga user na nasa dokumentong iyon.
• Mga Hindi Naka-encrypt, Raw na Chat Logs at Absurdong Ulat: Hindi lamang itong mga karaniwang server logs. Inilabas ng dokumento ang isang malaking yaman ng mga talagang walang-katutubong, absurdong ulat ng mga user. Tinutukoy namin ang mga raw, hindi pa-nagmumukad na mensahe na puno ng matinding pananakit, purong galit, at walang-hanggang pag-iihiwa. Kasama rito ang literal na mga pagmamano ng kamatayan, mga pang-aapi batay sa nasyonalismo, at matinding geopolitical na galit mula sa mga Russian na user na nakadirekta sa isang Ukrainian na user. Sa halip na maayos na protektahan ang napakamahalagang at toxic na data na ito, ang mga elite na abogado ay sa halip ay nagpakete ng isang raw na database ng hate speech at inilipat ito, buong-buo at walang proteksyon.
• Pagpapahamak sa mga Minors: Ang Ukrainian na user na ang mga karapatan sa privacy ay subukang pigilan ng Valve ay hindi isang random na teenager. Siya ay isang indibidwal na may seryosong kakayahan sa teknikal na aspeto. Sa pamamagitan ng pagkabigo na gawin ang basic na PDF redaction, ibinigay ng mga abogado ang isang buong de-anonymized na database ng mga taong nag-report sa kanya. Ito ay naglagay sa mga Steam user na iyan — marami sa kanila ay mga minor — sa direktang pisikal at digital na panganib.

Hindi ko kailanman gagawin ng aking aso ang ganito. Kainin lamang niya ang mga dokumento. Walang paglabag ng datos.

Ang Hukay ng Pagpapakumbaba: Pahina 8

Kung sa tingin mo ay nakakatawa ang teknikal na pagkabigo, ang opisyal na cover letter na kasama sa leak na ito ay nagpapataas ng sitwasyon sa antas ng pinakamataas na komedya.

Sa pahina 8 ng opisyal na legal na tugon, pormal na binigatan ni Dr. Zurheide ang access ng user sa ilang detalye ng account. Ang kanyang legal na justipikasyon para sa pag-withhold ng impormasyon? Tinutukoy namin nang direkta mula sa dokumentong Aleman:

Hindi posibleng magbigay ng mas detalyadong impormasyon dahil sa proteksyon ng personal na datos ng ibang mga gumagamit ng Steam platform...
Hindi posibleng magbigay ng mas detalyadong sagot dahil sa proteksyon ng personal na datos ng ibang mga user ng Steam…

Pakinggan mo muna ito. Ang mataas na sahod na Salary Partner sa Taylor Wessing ay malinaw na tumanggi na magbigay ng ilang detalye upang protektahan ang privacy ng ibang mga user ng Steam... sa eksaktong email package na kung saan niya idinagdag ang isang 830-pahinang PDF na buong-buo ay naglabas ng mga de-anonymized na pagkakakilanlan, chat logs, at raw hate speech ng mga eksaktong user na iyon.

Nagproud siya sa pamamagitan ng nakasulat na pahayag na pinoprotektahan niya ang mismong datos na aktibong binubuhos niya.

Natapos ng liham ang isang klasikong korporatibong taktika ng pagpapatakot: binabanta ang user ng kriminal na pagpapatupad alinsunod sa German Criminal Code (StGB), habang sabay-sabay na inihahagupit ang natitirang GDPR data na legal na tinuturuan ang user hangga't hindi niya "inala" ang mga partikular na ugali ng account sa mga abogado. Ito ay isang masterclass sa isang armadong, ngunit ganap na kakulangan sa kakayahan na burokrasya.

5-Bintang na Pagsusuri para sa "Elite" na Eksperto sa Batas ng IT

Upang maunawaan ang bigat ng pagkabigo na ito, kailangan mong tingnan kung sino ang nag-aalaga ng datos na ito. Hindi tayo nagsasalita tungkol sa isang intern.

Ayon sa mga pampublikong propesyonal na profile, ang indibidwal na may responsibilidad sa sagot na ito ay isang bagong na-promote na Salary Partner sa Taylor Wessing. Siya ay isang propesyonal na may Master of Laws sa International Commercial Law mula sa University of Aberdeen at — sa ironikong ironiya — literal na nagtapos ng mga pag-aaral sa PhD sa IT Law.

Kapag pinagkukunan ng serbisyo ang isang espesyalista na may PhD sa Batas sa Teknolohiya ng Impormasyon mula sa isang top-tier na internasyonal na firma, inaasahan na alam nila kung paano angkop na i-sanitize ang isang digital na dokumento bago ipasa ang sensitibong datos ng mga user sa ibang bansa.

Sa halip, ang katasotang pagkabigo sa pangunahing digital literacy na ito ay hindi sinasadyang nagpatunay ng mga teknikal na katotohanang matagumpay na binigatan ng Valve sa loob ng maraming taon. Dahil sa makabuluhang legal na pagkakamali na ito, mayroon na tayong opisyal na naidokumentong patunay na:

• Malawak na Pag-uugnay ng mga Account: May kakayahan ang Valve na i-link ang mga Steam account na nagsimula noong 2019.
• Malalim na Telemetriya: Nagpapanatili ang Valve ng isang internal na sistema ng telemetry at logging para sa mga user nito na katumbas ng mga ahensya ng estado sa pag-intelligence sa aspeto ng kalaliman.
• Pormal na Pagpapatunay: Ang elite na legal team ay bihagang-kumpirmado ang lahat ng ito sa opisyal at beryipikableng legal na korespondensya.

Isang Malupit na Panawagan sa mga Guro ng Batas sa IT (At Isang Pagtapat sa Katotohanan)

Sa mga mahihirap na propesor sa University of Aberdeen at sa ibang mga prestihiyosong institusyon na nag-aalok ng mga degree sa IT Law: may maliliit na hiling kami. Paki-pilitin ninyo ang inyong mga estudyante sa aktwal na bahagi ng "IT" sa kanilang mga degree.

Ituro sa kanila kung paano gumagana ang vector graphics. Ituro sa kanila na ang pagguhit ng kahon sa Adobe Acrobat ay hindi awtomatikong pinapawalang-bisa ang nasa ilalim na code ng teksto. Ito ay mga pangunahing digital na kaalaman na dapat na maunawaan nang lubos bago ibigay sa sinuman ang isang PhD o payagan na lumapit sa sensitibong datos ng mga user na sakop ng GDPR.

Ngunit maging ganap na patas tayo sa mga akademyang institusyon. Ang mga unibersidad ay mga napakamabisang at marangal na entidad. Alam nating sa katotohanan na walang marangal na propesor ang nagtuturo sa isang estudyante kung paano artipisyal na itatago ang isang legal na tinatanggap na sagot sa GDPR upang mapagod ang isang biktima.

Ang partikular na kasanayan na iyon — ang paggamit ng burokrasya bilang sandata at ang mapanuring pagpapalawak ng mga legal na timeline — ay hindi bahagi ng anumang kurikulum sa unibersidad. Ito ay isang purong in-house na corporate initiative. Ito ay uri ng dark art na natututo lamang kapag sumali ka sa isang firm tulad ng Taylor Wessing.

Ito ay nagpapahayag ng isang masamang, hindi sinasabi na katotohanan tungkol sa modernong pipeline ng karera sa legal. Mula sa anyo, ang mga graduate na talagang nauunawaan ang teknolohiya ay nagpupunta sa mga normal at marangal na trabaho sa pagbuo, pagprotekta, at pag-inobate sa tunay na mundo.

At ang iba? Ang mga taong gustong suot lang ang mga mahihirap na suit at maglaro ng mga buzzword? Sila ay pumupunta sa mga firm tulad ng Taylor Wessing upang maging mga mahalagang corporate fixer, na tinatawag upang itago ang mga malinis na lihim ng mga tech giant sa likod ng mga mababang kalidad na digital black box.

Pormal na Petisyon sa mga Regulador ng Proteksyon ng Datos ng EU

Sa mga regulator ng GDPR at mga awtoridad sa proteksyon ng datos na kasalukuyang tinatawag upang alagaan ang kalituhan na ito: sa pagtanggap na ang inyong mga opisina ay hindi binubuo ng eksaktong uri ng mga "eksperto," humihingi kami ng pagrespeto na suriin ninyo ang sirkus na gumagana sa ilalim ng pangalan na Taylor Wessing.

Mayroong legal na mekanismo upang ipatupad ang digital na re-certification para sa mga propesyonal na ito? O baka dapat lang nilang sukatin ang temperatura? Tunay na tila sa sandaling nakakuha ng mga abogadong ito ng kanilang prestihiyosong "Dr." na prefix, namamatay sila sa isang malubhang corporate fever na permanenteng pinapawalang-bisa ang basic na computer literacy sa kanilang utak.

Naiintindihan mo ba ang halos hindi mapagbigyang-katumbasan na dami ng mga paglabag sa GDPR na nakapaloob sa iisang interaksyong ito? Pinagtagal nila nang sadya ang sagot na ipinagkakaroon ayon sa batas, pinanghinto ang mga datos sa pamamagitan ng maling paninindigan na "protekta" ang iba, ginamit nila ang burokrasya bilang sandata, at pagkatapos ay aksidenteng nalantad ang mga hilaw, hindi na-anonimong datos ng mga taong iyon mismo.

Sa kabila nito, tingnan natin ang scoreboard. Ang aking aso ay may eksaktong zero na data breach. Tama, hindi niya matagumpay na naproseso ang GDPR request. Ngunit hindi rin niya nagawa ang malaking, cross-border na data leak habang binabayaran ang kliyente ng daan-daang euro bawat oras. Sa modernong corporate ecosystem, ang paggawa ng wala at simpleng hindi pagkakamali ay nagpapagawa sa aking aso ng walang katumbas na Employee of the Month.

Oras na para Baguhin ang Laro sa Steam

Hindi ito tungkol lamang sa pagkakamali ng isang abogado sa isang PDF. Tungkol ito sa sistemang pagpapabaya ng isang plataporma na may halaga ng ilang bilyon na dolyar sa kaligtasan ng mga user.

Ang aming proyekto, ang PhishDestroy, ay ipinanganak dahil sa walang pag-aalaga ng Valve sa walang kontrol na spam, phishing, at mga nakuha na account na kumakain sa kanilang ekosistema. Lumaki kami sa kawalan ng pananagutan ng korporasyon na iyon.

Ngayon, dahil sa pagpili ng Valve sa kanilang legal na kinatawan at sa sumunod na paglabas ng datos, naipakita na ang katotohanan. Panahon na upang sirain ang kanilang patakaran na tumitingin sa ibang direksyon habang pinagpupuri ang mga bata, na iniinisyal ang walang regulasyon na pag-utos ng mga balot, at na pinapaligiran nang permanente ang mga imbentaryo ng mga user upang patunugin ang kanilang sariling kita.

Nakolekta namin ang mga ebidensya, ang kronolohiya ng korporatibong absurdidad, at ang buong teknikal na pagsusuri ng kanilang mga pagkakamali. Isang makapal at seryosong pagbasa ito, dahil ganoon din ang katotohanan kung paano pinangangalangan ng mga global na korporasyon ang iyong data.

Basahin ang buong, malalim na pagsusuri sa mga gawain ng Valve dito:
PhishDestroy: Paano Kumuha ng Kita ang Valve mula sa mga Tinatayang Account

Isang Espesyal na Disclaimer para kay Taylor Wessing at Dr. Zurheide

Alam namin eksaktong ano ang mangyayari susunod. Alam namin na posibleng nagsusulat ka ngayon ng reklamo sa Terms of Service o ng cease-and-desist letter upang tanggalin ang artikulong ito.

Bago nating gawin, ilahad natin ang ilang bagay sa pampublikong talaan.

Una, ang PhishDestroy ay isang 100% non-profit na inisyatiba. Hindi namin kinukuha ang kahit isang sentimo mula dito. Hindi ito isang hit piece na inutos ng iyong mga kalabang (sa pagtanggap na mayroon kang mga kalabang sa partikular na antas ng digital na sining at kasanayan). Inilalathala namin ito dahil ang iyong kalamidad na paglabas ng impormasyon ang nagsisilbing pundasyonal na ebidensya para sa aming malawak na paglalarawan sa Valve.

Pangalawa, nais naming talagang bigyan ng pagpaparangal ang inyong sining. Ang 830 pahinang may mga itim na parihaba na manual na inilagay ay tunay na maganda. Malalim, mayaman, at napakakonsistente ang mga kuwadrado. Ito ay isang magandang patunay na ang korporatibong pera ay walang kahit anong halaga sa mga korporasyon na gumagamit nito. Iyon na ang oras na itinatag ng Taylor Wessing, maaaring ito ang pinakamahalang proyekto ng modernong sining sa kasaysayan ng mga laro.

(Pro tip para sa susunod mong GDPR response: Dahil ikaw ay nagbabayad na sa Valve ng daan-daang oras upang gumuhit ng mga itim na parihaba sa 800+ pahina, subukan mong gumuhit ng ilang magagandang maliit na bilog sa ilalim ng mga ito? Para lang mag-iba. Hindi ito magiging mas ligtas ang data, ngunit masaya ito para sa taong nag-e-extract ng teksto).

Sa huli, ituring mo ito bilang isang magalang na babala:

Ang anumang pagtatangkang mag-ulat, tanggalin, o magbigay ng legal na banta sa publikasyong ito ay ituturing na direktang atake sa lehitimong, hindi pang-kabuhayang pananaliksik sa kaligtasan. Sumusunod kami sa isang napakababaw na alituntunin ng internet. Malaya kang subukang tanggalin ang link na ito. Ngunit kung gagawin mo ito, gagawin namin ang laging ginagawa namin: para sa bawat isang link na ibubulag mo, limang bagong link ang lalabas.

Maligaya sa internet.

Isang Paalala sa Legal para kay Taylor Wessing: Ang 72-Hour Rule

Hindi namin karaniwang ibibigay ang payo sa negosyo maliban na lang sa "isara ang pinto," ngunit bilang mga eksperto sa cybersecurity, nararamdaman naming may obligasyon na ipakita ang legal na katotohanan ng inyong teknikal na pagkabigo.

Ang iyong gawi ng paggamit ng graphic vector overlays sa halip na angkop na structural document sanitization ay direktang paglabag sa GDPR Article 32 (Kaligtasan ng pagproseso).

Pinapayagan namin nang malakas na suriin ninyo ang bawat PDF na ipinadala ninyo sa anumang kalaban, aplikante, o kliyente. Kung hindi ninyo pinagsusuri ang mga dokumentong ito sa pundasyonal na antas ng IT (pagtanggal ng metadata at mga nakatagong layer), napakataas ang posibilidad na aktibong may responsibilidad kayo sa maraming patuloy na paglabas ng datos.

Bukod dito, paalalahanan natin ang inyong mga mahihirap na PhD sa IT Law tungkol sa GDPR Article 33: Kapag nalaman ng data controller ang paglabag sa personal na data, sila ay pinapalagay ng batas na ipaalam sa tamang awtoridad ng pagbabantay sa loob ng 72 oras.

Dahil sa transboundary na kalikasan ng mga leak na ito at sa malaking dami ng napakamahalagang, de-anonymized na datos na hindi mo tamang pinangangasiwaan, ang anumang pagtatangkang itago ang insidente ay magreresulta lamang sa pinakamataas na mga parusa mula sa mga regulatory body. Ngayon, alam mo na ang breach. Tumititik ang oras.

Muling basahin ang buong imbestigasyon dito:
PhishDestroy: Paano Kumuha ng Kita ang Valve mula sa mga Tinatayang Account