И деца имају права — и дигитална
Општа уредба о заштити података (GDPR) посебно штити личне податке деце. Члан 8 и уводна одредба 38 једноставно кажу да деца теже процењују ризике и последице. За родитеље то значи да апликацију у дечјој соби треба пажљивије проверити него виџет за временску прогнозу.
У стварности се приватност у апликацијама за беби-монитор често своди на ситна слова. Понекад делује чак и као део пословног модела.
Шта типичне апликације за беби-монитор прикупљају
Поглед на политику приватности апликације Baby Monitor Timmy и политике других апликација за беби-монитор брзо показује који се подаци најчешће појављују:
- Подаци о локацији: GPS положај уређаја. То је тешко оправдати код беби-монитора.
- Аудио и видео снимци: Неке апликације чувају снимке на сопственим серверима, понекад без јасно одређеног рока брисања.
- Подаци о уређају: Модел, оперативни систем, јединствени ID-ови уређаја. Од тога се брзо може направити профил.
- Начин коришћења: Када отварате апликацију, колико дуго слушате, које функције користите.
- ID-ови за оглашавање: Неке апликације укључују огласне мреже и деле податке са трећим странама.
Сви ти подаци потичу из најосетљивијег места које постоји: спаваће собе вашег детета. У многим случајевима завршавају на серверима над којима немате контролу.
Како Timmy ради другачије
Baby Monitor Timmy је од почетка направљен око принципа минимизације података. Према GDPR-у, то значи прикупљати само податке потребне за конкретну сврху. Не све што је технички могуће.
У пракси то значи:
- Анонимна аутентификација: Timmy користи Firebase Anonymous Auth. Не прави се налог, не тражи се адреса е-поште и не чува се лозинка. Уређај добија привремени, анонимни ID. За успостављање везе није потребно ништа више.
- Без чувања аудио и видео записа: Аудио и видео се преносе директно између уређаја (peer-to-peer преко WebRTC-а). Ниједан сервер не прислушкује и ниједан не чува снимке. Када се веза прекине, снимка нема.
- Без праћења, без аналитике: Timmy не садржи алате за аналитику. Нема Google Analytics-а, Firebase Analytics-а ни SDK-ова за оглашавање. Не знам када користите апликацију и не желим да знам.
- Без локације, без контаката: Timmy тражи само дозволе које су технички неопходне: микрофон и, по жељи, камеру. Ништа друго.
Firebase: само оно неопходно
Timmy користи Firebase за сигнализацију, односно координацију успостављања везе између уређаја код бебе и уређаја код родитеља. Firestore прима техничке податке као што су SDP понуде (Session Description Protocol) и ICE кандидати за WebRTC. Они не садрже личне податке и после кратког времена више не важе.
Аудио токови, видео подаци и профили коришћења не припадају Firebase-у. Стварна комуникација одвија се директно између уређаја и WebRTC је шифрује.
Минимизација података у пракси
Минимизација података није нешто што се на крају дода као ставка на контролној листи. Она је део архитектуре. За Timmy то значи:
Оно што не прикупљамо не можемо ни да изгубимо. Оно што не чувамо не може бити хаковано. Оно што не знамо не може бити злоупотребљено.
За сваку функцију постављам исто питање: може ли да ради без прикупљања додатних података? До сада је одговор за Timmy био да.
Закључак: приватност је поштовање
Приватност у дечјој соби је више од законске обавезе. Она показује поштовање према вашем детету. Ваша беба не може да одлучи који се подаци о њој стварају. Та одговорност је на вама и на апликацијама којима дозвољавате приступ.
Baby Monitor Timmy ту одговорност схвата озбиљно. Лепа обећања ми нису довољна; архитектура би пре свега требало да избегне прикупљање података који нису потребни за рад беби-монитора.