Dzieci też mają prawa — cyfrowe
Ogólne rozporządzenie o ochronie danych (RODO) zapewnia szczególną ochronę danym osobowym dzieci. Artykuł 8 i motyw 38 mówią wprost, że dzieci gorzej oceniają ryzyko i jego konsekwencje. Dla rodziców oznacza to, że aplikację w pokoju dziecka warto sprawdzać dokładniej niż widżet pogodowy.
W praktyce prywatność w aplikacjach niani elektronicznej często jest opisana drobnym drukiem. Czasem można nawet odnieść wrażenie, że stanowi część modelu biznesowego.
Jakie dane zbierają typowe aplikacje niani elektronicznej
Wystarczy zajrzeć do polityki prywatności Baby Monitor Timmy oraz polityk innych aplikacji niani elektronicznej, aby zobaczyć, jakie dane pojawiają się najczęściej:
- Dane o lokalizacji: Pozycja GPS urządzenia. Trudno uzasadnić jej potrzebę w niani elektronicznej.
- Nagrania audio i wideo: Niektóre aplikacje przechowują nagrania na własnych serwerach, czasem bez jasnego okresu ich usuwania.
- Informacje o urządzeniu: Model, system operacyjny, unikalne identyfikatory urządzenia. Z tego szybko może powstać profil użytkownika.
- Sposób korzystania z aplikacji: Kiedy otwierasz aplikację, jak długo słuchasz, z których funkcji korzystasz.
- Identyfikatory reklamowe: Niektóre aplikacje zawierają sieci reklamowe i udostępniają dane podmiotom trzecim.
Wszystkie te dane pochodzą z najbardziej wrażliwego miejsca: sypialni Twojego dziecka. W wielu przypadkach trafiają na serwery, nad którymi nie masz kontroli.
Jak Timmy robi to inaczej
Baby Monitor Timmy od początku powstawał z myślą o minimalizacji danych. W rozumieniu RODO oznacza to zbieranie wyłącznie danych potrzebnych do konkretnego celu. Nie wszystkiego, co jest technicznie możliwe.
W praktyce oznacza to:
- Anonimowe uwierzytelnianie: Timmy korzysta z Firebase Anonymous Auth. Nie tworzy się konto, nie prosimy o adres e-mail ani nie zapisujemy hasła. Urządzenie otrzymuje tymczasowy, anonimowy identyfikator. Do zestawienia połączenia nic więcej nie jest potrzebne.
- Bez przechowywania audio ani wideo: Dźwięk i obraz są przesyłane bezpośrednio między urządzeniami (peer-to-peer przez WebRTC). Żaden serwer nie nasłuchuje ani nie przechowuje nagrań. Po zakończeniu połączenia nie zostaje żadne nagranie.
- Bez śledzenia i analityki: Timmy nie zawiera narzędzi analitycznych. Nie ma Google Analytics, Firebase Analytics ani reklamowych SDK. Nie wiem, kiedy korzystasz z aplikacji, i nie chcę tego wiedzieć.
- Bez lokalizacji i kontaktów: Timmy prosi tylko o uprawnienia niezbędne technicznie: mikrofon i opcjonalnie aparat. Nic więcej.
Firebase: tylko to, co niezbędne
Timmy używa Firebase do sygnalizacji, czyli koordynowania zestawiania połączenia między urządzeniem dziecka a urządzeniem rodzica. Firestore otrzymuje dane techniczne, takie jak oferty SDP (Session Description Protocol) i kandydaci ICE dla WebRTC. Nie zawierają one danych osobowych i po krótkim czasie tracą ważność.
Strumienie audio, dane wideo i profile użytkowania nie trafiają do Firebase. Właściwa komunikacja odbywa się bezpośrednio między urządzeniami i jest szyfrowana przez WebRTC.
Minimalizacja danych w praktyce
Minimalizacja danych to nie pole wyboru dodawane na końcu. Jest częścią architektury. W przypadku Timmy oznacza to:
Czego nie zbieramy, tego nie możemy stracić. Czego nie przechowujemy, tego nie da się zhakować. Czego nie wiemy, tego nie da się wykorzystać niewłaściwie.
Przy każdej funkcji zadaję sobie to samo pytanie: czy może działać bez zbierania większej ilości danych? Dotychczas w Timmy odpowiedź brzmi: tak.
Wniosek: prywatność to szacunek
Prywatność w pokoju dziecka to coś więcej niż obowiązek prawny. To szacunek dla Twojego dziecka. Twoje dziecko nie może zdecydować, jakie dane będą o nim tworzone. Ta odpowiedzialność spoczywa na Tobie i na aplikacjach, którym pozwalasz wejść do Waszego domu.
Baby Monitor Timmy traktuje tę odpowiedzialność poważnie. Dla mnie ładne obietnice nie wystarczą; architektura powinna od początku unikać zbierania danych, które nie są potrzebne do działania niani elektronicznej.