Menu

[jamto02]

Już dawno miałem o to zapytać. Może macie znajomych pracujących w salonach. Co widzą w systemie pracownicy? Pytam bo notorycznie słyszę "Ma Pan u nas kilka nr może jakiś abonament zaproponuję" itp.itd. Już mnie to mierzi. Razu pewnego gdy przenosiłem 4 nr zrobiłem 2x po 2 w tym samym dniu. Czyli w jednym salonie 2 nr i chwile potem 2 nr w drugim salonie. Czy w tym drugim już widzieli że przeniosłem nr czy dopiero zobaczą gdy fizycznie nr się przeniosą. Albo czy w Play widzą też że mam nr w Fakt? A widzą nr byłe które zostały przeniesione do innej sieci? Może przez tą wiedzę uda mi się uniknąć głupich dyskusji albo głupich spojrzeń przy przenoszeniu kolejnego nr.

[macc]

rób swoje bo za dużo myślisz. konsultant ładne dziewczyny ogląda na monitorze rozmawiając z Tobą a ty myślisz.

Ostatnio mądrali na infolinii nju też powiedziałem bo widział za dużo by zajął się swoją pracą bo rozmowy są nagrywane i wróci do PUP jak będzie gadał za dużo.

[Remington]

Wiedzy nie mam, a jedynie własne doświadczenie. Widzą jakie masz numery na koncie abonenckim (trochę utrudnia więc to gdy ma się kilka kont) to minimum. Nie ma jednak przeszkód by widzieli wszystkie numery powiązane z danym PESELem.

Tytuł tego wątku skłonił mnie jednak do zastanowienia co operatorzy wiedzą od strony technicznej. A wiedzą dużo poza danymi osobowymi czy tym z kim rozmawiamy lub smsujemy (co można też połączyć z osobami lub usługodawcami), np. jakie odwiedzamy strony internetowe, z jakich aplikacji korzystamy, z kim się przemieszczamy lub bywamy w tym samym miejscu i czasie, czyje karty SIM były w naszym telefonie lub kto używa aparatu, w którym kiedyś znajdowała się nasza karta. Zapewne dużo więcej co nie przyszło mi do głowy.

[KR2615]

@Remington wszytsko zalezy czy wyrazisz zgodę na telemetrię.

Natomiast od strony technicznej jeśli chodzi o ruch WWW (zarówno z przeglądarki jak i aplikacji) widzą wszystko co przesyłasz za pomocą http (czysty tekst) i nieco mniej w przypadku https (urle co prawda są maskowane ale analizując nagłówki można wyczytać hosta czyli np. widzą facebook.com zamiast https://www.facebook.com/telepolispl - pisali o tym niedawno na sekuraku). Co innego jeśli korzystasz z VPN - wtedy nawet ruch http jest nie do podejrzenia. Pozostaje jedynie analiza IP z którym łączy się urządzenie, jednak w przypadku dobrze skonstruowanych VPNów jest to zwykle jeden adres bramki, np. 80.50.50.50 a klienci "wychodzą na świat" różnymi IP, nawet z innych krajów przydzielanymi dynamicznie lub statycznie. Wszystko zależy od pakieru i usługodawcy u jakiego masz VPNa.

[Remington]

Zgoda, czy jej brak to bez znaczenia, niekoniecznie ją respektują, techniczną możliwość analizowania wszystkich tych danych mają. Oczywiście w obrębie jednego operatora MNO.

Co do VPN to oczywiście masz rację, to jednak zabawka dla nielicznych. Szarego statystycznego użytkownika mogą śledzić do woli, bo on korzysta z MNO, a o VPN nigdy nie słyszał.

[ursa20]

Rozróżnijmy jeszcze operator (człowiek na infolinii) czy Operator (działy odpowiedzialne za technikę i np. bezpieczeństwo).

Operator infolinii nie ma wglądu w treść SMS-ów, adresy przeglądanych stron, czy historii użytych SIM w telefonie.
Operator w rozumieniu firmy, oczywiście takie dane posiada i może je udostępnić na stosowny wniosek upoważnionym podmiotom.
Udostępnianie jest obwarowane przepisami prawa i realizowane przez osoby, które naprawdę wiedzą co robią.

[Remington]

Ten pierwszy częściej jest chyba nazywany konsultantem. Niestety, nie spotkałem się z przepisami, które ograniczałyby dostępność poszczególnych informacji wewnątrz firmy, ponieważ jest ona traktowana jako całość. Jest więc możliwe (choć IMO mało prawdopodobne, bo wiąże się z kosztami bez zysków), że owe "tajemne" dane jakiś operator udostępni np. konsultantom call center.

[ursa20]

W wielu firmach funkcjonują "chińskie mury", które dość skutecznie profilują dostęp do grup informacji dla pracowników różnych działów.
Danych transmisyjnych (np. adresów przeglądanych stron, czy treści SMS-ów) żaden operator nie udostępni konsultantom infolinii, bo takie dane chronione są jako tajemnica korespondencji i udostępniane są tylko w przypadkach opisanych w prawie.
Co do traktowania firmy jako całość - jeszcze przed zmianami w prawie telekomunikacyjnym i ustawie o ochronie informacji niejawnych, było rozporządzenie ministra właściwego dla telekomunikacji, które określało, że dane transmisyjne udostępnia się na podstawie określonych przepisów i wniosków i przekazuje jako "tajemnicę państwową", a to bardzo skutecznie ograniczało krąg osób mających dostęp do "pełnych" danych i możliwość ich udostępnienia na zewnątrz.

Po zmianie przepisów jest bardzo podobnie, ale szczegóły to już nie temat na public.

[Remington]

Cały czas mówisz tylko o przekazywaniu tych danych poza firmę (np. organom zewnętrznym). Ja jednak nie trafiłem na żaden przepis, który ograniczałby obrót nimi wewnątrz firmy (tj. operatora). Zatem praktyka ograniczonego dostępu do tych informacji, o której piszesz, zdaje się wynikać z wewnętrznych regulacji operatorów.

[ursa20]

Jak już napisałem wcześniej adresy odwiedzanych stron, treści SMS-ów, itp. są chronione tajemnicą korespondencji.
Naruszeniem tajemnicy korespondencji będzie nie tylko zapoznanie się z treścią wiadomości skierowanej nie do nas,ale też ujawnienie jej treści osobie trzeciej.
To wystarczy żeby konsultanci infolinii nigdy nie mieli dostępu do takich danych, bo operator ma obowiązek tajemnicę chronić, a nie ją ujawniać. Najnormalniej w świecie konsultant nie ma prawa mieć dostępu do takich danych. Gwarantuje to Konstytucja RP, Prawo Telekomunikacyjne i jeszcze parę innych ustaw. I dotyczy to wprost dostępu do danych również wewnątrz firmy.

Dodatkowo "Chińskie mury" w firmie ograniczają dostęp do różnych kategorii informacji dla pracowników różnych działów.

Konsultant będzie miał dostęp do danych rejestracyjnych (w tym PESEL, skan umowy,...), adresowych (jeśli są w systemie), garści danych technicznych (numer karty, PUK) i danych rozliczeniowych (opłaty, doładowania). I do niczego więcej. Oczywiście po PESEL-u sprawdzi ile numerów jest zarejestrowanych i to raczej nic dziwnego. Ale dane transmisyjne są szczególnie chronione i dodatkowo z mocy prawa są anonimizowane po 12 miesiącach.

Pisząc o przekazywaniu poza firmę, chciałem uzmysłowić czytającym jakie obwarowania są stosowane w takim przypadku również wewnątrz firmy.
Naprawdę tylko garstka pracowników ma wystarczające uprawnienia w systemach operatora, które dają dostęp do takich informacji i są to osoby które zdają sobie sprawę z odpowiedzialności jaka na nich spoczywa i jaką osobiście ponoszą.

[forum_tg]

Jak już napisałem wcześniej adresy odwiedzanych stron, treści SMS-ów, itp. są chronione tajemnicą korespondencji.
(...)
Dodatkowo "Chińskie mury" w firmie ograniczają dostęp do różnych kategorii informacji dla pracowników różnych działów.

Co widzi Operator, a co może analizować i przetwarzać to różne rzeczy. Musi zachować ze prywatność abonentów, więc nie ma prawa na analizę odwiedzanych stron, czy też weryfikacji treści sms'ów / emaili. Dopiero wniosek prokuratury pozwala mu na przekazanie tych poufnych danych. Treści wiadomości sms podobno przetrzymują do 30 dni w celach bezpieczeństwa, jak jest faktycznie...??
Ponadto prawo o korespondencji stawia przed Opami kolejne wymogi o których już wspomniano we wcześniejszych postach.

[ursa20]

@forum_tg - Masz 100% racji.
Operator widzi praktycznie wszystko co "idzie" przez jego sieć i przetwarza te informacje (przechowywanie i wykorzystanie do funkcjonowania sieci to też przetwarzanie). Dane lokalizacyjne, transmisyjne, treści korespondencji (SMS,MMS), itp. są dla Operatora dostępne.
Analiza tych danych i ich ewentualne udostępnianie to zupełnie inna bajka.

Może zbyt mocno chciałem zaakcentować fakt, że zarówno konsultant na infolinii, jak i zdecydowana większość pozostałych pracowników Operatora do takich danych nigdy dostępu mieć nie będzie.
I bardzo dobrze

[Remington]

Naruszeniem tajemnicy korespondencji będzie nie tylko zapoznanie się z treścią wiadomości skierowanej nie do nas,ale też ujawnienie jej treści osobie trzeciej.
To wystarczy żeby konsultanci infolinii nigdy nie mieli dostępu do takich danych, bo operator ma obowiązek tajemnicę chronić, a nie ją ujawniać. Najnormalniej w świecie konsultant nie ma prawa mieć dostępu do takich danych. Gwarantuje to Konstytucja RP, Prawo Telekomunikacyjne i jeszcze parę innych ustaw.

Chciałbym żeby było tak jak piszesz, jednak z życia wiem, że tak wcale nie jest. Konsultant jeśli jest pracownikiem, a nawet outsourcer (z czym akurat się nie zgadzam, ale takie są interpretacje potwierdzone przez GIODO) nie są osobami trzecimi, bo to wciąż jest operator, a to on ma zachować tajemnicę, lecz nie ma żadnych ograniczeń wobec jej obiegu wewnątrz. Z mojego zawodowego poletka, choć w innej branży: też są ustawy, o konstytucji nie wspominając, jest tajemnica i kary za jej naruszenie. I wyłącznie od interpretacji danej instytucji zależy kto z pracowników do jakich danych ma dostęp. Podmiot to całość i każdy pracownik może dostać dostęp nawet do najbardziej szczegółowych danych, ograniczeniem są zazwyczaj tylko możliwości techniczne (w tych bardziej się szanujących ograniczany jest dostęp do danych VIP-ów). Były skargi, a nawet sprawy sądowe i żadna nie spowodowała ograniczeń w tym zakresie. I nie mówię o jednej konkretnej instytucji tylko o wielu z jakimi mam styczność zawodowo od kilkunastu lat.

[ursa20]

Wyobraź sobie @Remington, że ja też piszę z doświadczenia i to nie tylko życiowego, ale i zawodowego. Jest tak jak napisałem. (Przynajmniej u jednego z W3 )

" Podmiot to całość i każdy pracownik może dostać dostęp nawet do najbardziej szczegółowych danych, ograniczeniem są zazwyczaj tylko możliwości techniczne (w tych bardziej się szanujących ograniczany jest dostęp do danych VIP-ów)."

To już jest naginanie rzeczywistości.
Traktowanie podmiotu jako całości, skutkowałoby tym, że np. kierowca zaopatrzenia w ZOZ ma dostęp do danych leczących się tam pacjentów.
Nie popadajmy w skrajności. Zasadą jest proporcjonalność dostępu do danych. Pracownik otrzymuje dostęp tylko do tych danych, które są mu niezbędne do realizacji czynności na zajmowanym stanowisku.

Uwierzysz, nie uwierzysz - Twoja Kolego wola.
Ja co mogłem napisałem.

[Remington]

Traktowanie podmiotu jako całości, skutkowałoby tym, że np. kierowca zaopatrzenia w ZOZ ma dostęp do danych leczących się tam pacjentów.

Czy ja mówię, że nie wierzę? Wręcz przeciwnie, chwała firmie, która tak postępuje jak piszesz. Oby było takich jak najwięcej.

Jednak nie udało mi się znaleźć przepisu, który tę proporcjonalność określa. Logika niestety nie jest uregulowana prawnie, więc nie ma obowiązku jej stosowania. Nawet RODO traktuje administratora czyli podmiot jako całość.

O kierowcy ZOZ nie wiem, ale znam przypadki z dwóch większych sieci przychodni gdzie recepcjonistki bez żadnego wykształcenia medycznego, a także równie pozbawiona wiedzy medycznej pani z marketingu odpowiedzialna za rozwój serwisu internetowego miały (może wciąż mają) dostęp do wszystkich danych dotyczących zdrowia pacjentów, tj. listy wizyt, treści wizyt, wyników badań itd. itp. I to nie są te przypadki szerokiego dostępu do danych, o których pisałem wcześniej.

Decyzje osób odpowiedzialnych za procedury czy systemy w różnych instytucjach, kierowane bezmyślnością, głupotą lub zwykłym ograniczeniem kosztów, powodują brak owej proporcjonalności, choć racjonalne myślenie by ją nakazywały .

[Mar9999]

Jest tak jak pisze ursa20. Być może mamy bardzo podobne doświadczenia zawodowe, szczególnie co do "chińskich murów".
Dodam że słyszałem o przypadkach, iż za z pozoru niewinne działania odnośnie zaniechania zachowania bezpieczeństwa danych wyleciało już parę osób i co ciekawe wcale nie udostępniali danych, a naruszyli zasady, które mogły potencjalnie spowodować takie zagrożenie, czyli po odejściu od kompa nie wylogowali się mając otwarty system gdzie jest dostęp do danych i to niekoniecznie osobowych.