Děti mají práva — i ta digitální
Obecné nařízení o ochraně osobních údajů (GDPR) poskytuje osobním údajům dětí zvláštní ochranu. Článek 8 a bod odůvodnění 38 jednoduše říkají, že děti dokážou hůře posoudit rizika a následky. Pro rodiče to znamená, že aplikace v dětském pokoji si zaslouží větší pozornost než třeba aplikace s počasím.
V praxi se soukromí v aplikacích chůviček často řeší jen drobným písmem. Někdy dokonce působí jako součást obchodního modelu.
Jaká data běžné aplikace chůviček shromažďují
Pohled na zásady ochrany soukromí Baby Monitor Timmy a zásady dalších aplikací chůviček rychle ukáže, jaké údaje se běžně objevují:
- Údaje o poloze: GPS poloha zařízení. U dětské chůvičky se to těžko dá obhájit.
- Zvukové a videozáznamy: Některé aplikace ukládají záznamy na vlastní servery, někdy bez jasně stanovené doby smazání.
- Informace o zařízení: Model, operační systém, jedinečná ID zařízení. Z toho může rychle vzniknout profil.
- Chování při používání: Kdy aplikaci otevřete, jak dlouho posloucháte a které funkce používáte.
- Reklamní ID: Některé aplikace obsahují reklamní sítě a sdílejí data se třetími stranami.
Všechna tato data pocházejí z nejcitlivějšího místa: z ložnice vašeho dítěte. V mnoha případech končí na serverech, které nemáte pod kontrolou.
Jak to Timmy dělá jinak
Baby Monitor Timmy byl od začátku navržen s důrazem na minimalizaci dat. Z pohledu GDPR to znamená shromažďovat jen data potřebná pro konkrétní účel. Ne všechno, co je technicky možné.
V praxi to znamená:
- Anonymní ověřování: Timmy používá Firebase Anonymous Auth. Nevytváří se žádný účet, nevyžaduje se e-mailová adresa ani se neukládá heslo. Zařízení dostane dočasné anonymní ID. Pro navázání spojení není potřeba nic víc.
- Žádné ukládání zvuku ani videa: Zvuk a video se přenášejí přímo mezi zařízeními (peer-to-peer přes WebRTC). Žádný server přenos neodposlouchává ani neukládá záznamy. Po ukončení spojení žádný záznam nezůstane.
- Žádné sledování ani analytika: Timmy neobsahuje analytické nástroje. Žádný Google Analytics, Firebase Analytics ani reklamní SDK. Nevím, kdy aplikaci používáte, a ani to vědět nechci.
- Žádná poloha ani kontakty: Timmy žádá jen o oprávnění, která jsou technicky nezbytná: mikrofon a volitelně fotoaparát. Nic dalšího.
Firebase: Jen to nejnutnější
Timmy používá Firebase k signalizaci, tedy ke koordinaci navázání spojení mezi dětským a rodičovským zařízením. Firestore přijímá technická data, jako jsou nabídky SDP (Session Description Protocol) a kandidáti ICE pro WebRTC. Neobsahují žádné osobní údaje a po krátké době přestanou platit.
Zvukové streamy, video data ani profily používání do Firebase nepatří. Skutečná komunikace probíhá přímo mezi zařízeními a je šifrovaná pomocí WebRTC.
Minimalizace dat v praxi
Minimalizace dat není něco, co na konci jen odškrtnete jako políčko. Je součástí architektury. Pro Timmy to znamená:
Co neshromažďujeme, nemůžeme ztratit. Do toho, co neukládáme, se nikdo nemůže nabourat. Co nevíme, nelze zneužít.
U každé funkce si kladu stejnou otázku: může fungovat bez shromažďování dalších dat? U Timmy byla zatím odpověď ano.
Závěr: Soukromí je projev respektu
Soukromí v dětském pokoji je víc než jen zákonná povinnost. Je to respekt k vašemu dítěti. Vaše miminko nemůže rozhodovat o tom, jaká data o něm vznikají. Tato odpovědnost je na vás i na aplikacích, které do svého domova pustíte.
Baby Monitor Timmy bere tuto odpovědnost vážně. Nestačí mi hezké sliby; architektura by měla už od začátku zabránit shromažďování dat, která nejsou pro fungování chůvičky potřeba.