Az IoT eszközök térnyerése az adatvédelem tükrében

Napjainkban, a 2017-es év közepére úgy tűnhet, a technológiai vívmányokra is fogékony konzumer felhasználói réteg számára a közeljövő nem tartogat jelentős áttörést magával hozó terméket. Bár már homályosan látszanak a középtávú jövő új, szélesebb tömegeket is elérő útjai, úgy mint a kiterjesztett valóság élményének átélését lehetővé tevő vagy a mesterséges intelligencia kezdetleges szárnypróbálgatásait demonstráló otthoni eszközök, ezen ötletek közös nevezőjét inkább találjuk meg abban az iparági- és felhasználói kívánságban, hogy a jövőben egyre hatékonyabbá váljon az eszköz és használó, illetve az eszköz és eszköz közötti kommunikáció. Az irányítás egyszerűsítésével vagy akár a megreformálásán keresztül a felhasználói-élmény növelésével megvalósuló kommunikáció fedezhető fel az innovatív internet-alapú eszközök, a Dolgok Internete („Internet of Things – IoT”) halmazába tartozó eszközök térnyerésének hátterében is.

A tanulmány absztraktját ide kattintva tudod elolvasni.

Az IoT eszközök esetében olyan egyedi azonosítóval ellátott tárgyak hálózatáról beszélhetünk, amelyek adatátvitelre képesek anélkül, hogy emberek közötti, vagy ember és eszköz közötti közvetlen interakcióra lenne szükség. A tanulmány első része az Internet of Things jelentőségére kíván rávilágítani, többek között egy IoT infrastruktúra felépítésének rövid vázlatán keresztül, majd a rövid elméleti ismertetőt követően bemutatásra kerülnek a technológia adatvédelmi kérdései, együtt tárgyalva a várható kihívásokkal és az az azokra válaszként adható lehetséges megfejtésekkel – rávilágítva az új szabályozási megoldások alkalmazásának fontosságára a hagyományosan bevett jogi formák helyett.

A Dolgok Internetének alkalmazási lehetőségei

Az Internet megjelenését követő első néhány évtizedben a használat elsődleges jellege személyek közötti információcserén alapult, ahol a világhálónak (World Wide Web) nevezett, jellege alapján egy hiperlinkekkel átszőtt dokumentum-hálózatban leggyakrabban szövegalapú csomagokkal történt a kommunikáció, amely lehetőség mellé nőtt hozzá a tágabb értelemben vett adat megosztásának opciója. Az évek során a felhasználók közötti adat mértékének emelkedésével, az igények kiszolgálása okán azzal arányosan fejlődő aktív és passzív hálózati eszközök, illetve infrastruktúra már lehetővé tette azt, hogy az Internet ne csak embereket, hanem használati tárgyakat, gépeket, vagy bármilyen más dolgot kössön össze. Azonban az, hogy használati tárgyakat csatlakoztassunk az Internetre, az ipari használatot figyelembe véve nem tekinthető teljesen új jelenségnek, tekintettel arra, hogy a negyedik ipari forradalomnak, vagy Ipar 4.0-nak nevezett technológiai mérföldkő is többek között ezen megoldáson alapul.

Az IoT szélesebb értelemben vett, enyhén idealisztikus definíciója alapján olyan, egy fizikai dolognak vagy a környezetünk egyes elemeinek az internet-alapú alkalmazásáról beszélhetünk amelyek a hálózatba történő csatlakozás során zökkenőmentes integráció jellemzi. A definíció megalkotásakor azonban, a Dolgok Internetének egyes alkotó elemeinek taxatív felsorolása helyett célravezetőbb ha egy rugalmas kifejezésként gondolunk rá, amely „esernyő” jellege magában rejti olyan fejlesztések összességét mint az összedolgozó szenzor-hálózatok vagy a M2M azaz gépek között (machine-to-machine) kommunikáció. Az IoT tehát azokból a szabványokból, és kapcsolódó technológiából áll, amely lehetővé teszi ezen fogalom alá tartozó eszközöknek az elektronikus kommunikációs csatornán, – akár legyen az vezetékes vagy vezeték nélkül- keresztül történő információcserét, azaz hogy adatfelvétel, majd átvitel történjen a fizikai dolognak a körülötte lévő környezetből vagy a dolgot ért külső, legtöbbször fizikai jellegű behatásokból. Ezáltal megfigyelhetővé és tanulhatóvá válnak az eszköz közvetlen környezetében végbemenő változások, amely információgyűjtés hatékonysága tovább nő akkor, ha több ilyen szenzorral ellátott dolgot azon kívül, hogy egy központi rendszerben kapcsolunk egymással is kommunikációra bírunk.

Leggyakrabban az IoT esetében egy absztrakt, általános technikai innovációra gondolunk, amelynek egy építő elemei azonban már nem nevezhetők önmagukban újdonságnak. Ilyen elemek például az (érzékelő) szenzorok vagy az egyszerűbb, az eszköz egyes részeinek mozgatására szolgáló hajtóművek. A szenzor célja, hogy felismerje a környezetben bekövetkezett, előre meghatározott jellegű változást és átalakítsa ez az eseményt a felügyelő szerv vagy egy másik eszköz számára feldolgozható információként. Ilyen esemény lehet például, ha egy mozgásérzékelő szenzorral ellátott eszköz egy, a hatótávon belülre érkezett személy mozgását detektálja vagy ha egy fényre specializált érzékelő a fényáramban változást észlel. A hajtómű feladata, hogy az eseményre reagálva a szintén előre meghatározott művelet irányítását végre hajtsa, így mozgást érzékelve például felkapcsolja a helység világítását, vagy a fényérzékelővel ellátott eszköz esetében a lakóház nyílászáróinak árnyékolástechnikájának beállításait módosítja a felkelő nap első sugaraira. Természetesen egy IoT eszköz, hogy a Dolgok Internetének körébe tartozzon az Internet részévé kell válnia, így a szenzorokon és az olykor megjelenő mechanikai elemeken túl legtöbbször legalább egy, az egyszerűbb számítási műveleteket ellátó processzorral, egy hálózati modullal is ellátott és olykor, például az eszközhasználat és a felhasználói viselkedésminták rögzítésének céljából memóriaegységgel rendelkezik.

A környezetet érzékelő és azokról adatokat megosztó IoT eszközök felhasználási lehetőségei, kiváltképp azok kombinálása esetén végtelen számú új megoldást kaphatunk. Ha csak a személyes használatú hordható divatcikkeként használt tárgyak – úgy mint okosórák vagy fitneszkarkötők – mellett az „okos” jelzővel ellátott mindennapi használati tárgyak körén is túl tekintünk akkor alkalmazási lehetőségeket találunk az egészségügytől kezdve, a környezetvédelmen át, a biztonságtechnikában, logisztikában, gyakorlatban csaknem minden személyes vagy ipari felhasználási területen. Az így kapott adatok, a korábban már említett felhasználói élmény fokozásán túl az eszköz környezetének változásában rejlő minták elemzésével előre-jelzésre, vagy egy meghatározott esemény bekövetkeztekor történő gyors reagálásra is alkalmasak, amelyek például pontosan az egészségügy vagy a környezetvédelem esetében előforduló kockázatokat tekintve jelentős szempontnak számítanak.

Az IoT eszközök alkalmazásának ezen kiemelt területeken történő alkalmazásához szükséges néhány olyan tulajdonsága ezen rendszereknek melyek fontosságát tovább hangsúlyozzák.

Egyik oldalról ilyen az infrastruktúra flexibilis és dinamikus mivolta. Az IoT esetében a már tárgyalt komponensek, úgy mint a szenzorok vagy a hajtóművek szabadon variálhatók és az adott körülmények által támasztott kívánságok szerint testreszabhatók. Hovatovább, minden egyes elem univerzális, így amely összetevő egy IoT alkalmazási területen már bevált, egy attól teljesen független és eltérő iparágban vagy működési környezetben is használhatóvá tehető, közvetlenül vagy minimális hozzáadott fejlesztési költséggel és idővel. Ugyanazon ipari IoT technológia, amely a beszállítók raktározását és egy termék gyártásának kettősét valós-időben figyeli és optimalizálja a szállítandó alkatrészek mennyiséget az adott előállítási fázishoz vagy változó igényekhez, átültethető egy városirányítási környezetbe, amely példának okán a tömegközeledési hálózat terheltségétől függően osztja be a rendelkezésre álló emberi és tárgyi erőforrásokat.

Másrészről fontos szempont a rendszerek skálázhatósága az adatmennyiség függvényében. A legtöbb IoT alkalmazási terület esetében közös nevező a hálózati kapcsolatok skálázhatóságának funkciója. Skálázhatóság alatt azt értjük, amikor egy informatikai rendszer vagy hálózat áteresztőképességét növeljük az éppen aktuálisan növekvő terheltséghez mérve, így a terheltség növekedésével (pl.: kiugró mennyiségű látogató vagy adat) növeljük a rendszer teljesítményét is, ezt azonban újabb komponensek, kliensek hozzáadásával, nem pedig a „központi” erőforrás teljes cseréjével. A felhasználói és üzemeltetői oldalról kétségtelen hasznos és hatékony megoldás az adatok szabályozásának oldaláról már más képet fest. A napjainkban is nehezen felügyelhető internetes tartalommegosztás problémája az IoT eszközök által termelt, sokszor rendkívül érzékeny adatok esetében hatványozottan fog megjelenni.

Harmadrészről felmerül a precíz és gyors erőforrás-felosztás lehetősége. Az IoT alkalmazása, a valós-időben összekötött szenzorokkal ellátott eszközök ötlete önmagában nem hoz mindig magával teljesen új megoldásokat, de a meglévő megoldásokat szinte minden esetben gyorsabban és pontosabban teszi megvalósíthatóvá. A városirányítási alkalmazás terepe ilyen, ahol az erőforrások nemcsak végesek, de sokszor azok hiánya vagy a reallokáció nem megfelelő hatékonysága a polgárok helyzetének veszélyeztetésével is járhat – így például a betegellátás vagy a rendfenntartás. A rendfenntartó szervezeteknél egy összehangolt IoT rendszer esetére gondolva, ahol a szenzorok által termelt adatot (big data) elemezve a büntetendő magatartáshoz kapcsolódó minták után kutatást követően, ezek alapján a változásokat követve egy nagyobb földrajzi egységen belül, lehetővé válna az emberi erőforrások flexibilis és folyamatos áthelyezése a bűncselekményre adható valós-idejű reakció nagyobb valószínűségével a mostani, a változó körülményekhez lassabban alkalmazkodó megoldások helyett.

Végül az adatmegosztás lehetősége. Mivel járhat, ha a rendszer alapjául szolgáló adatmegosztás és a hatékonyság maximalizálása érdekében a különböző körülöttünk lévő IoT rendszerek a mi biztonságunk érdekében hajtanak végre olyan adatcserét amely nem tartozik elsődleges funkciójukhoz? Könnyen megvalósítható példaként szolgálhat, ha az elektromos hálózatot felügyelő rendszerünk, vagy akár egy okostelefonról irányítható kávéfőző derít fel egy potenciális veszélyforrást. Küldjön-e egy, lehetséges veszélyt jelző üzenetet az elektromos rendszerünk egy idős személy hozzátartozójának, ha hirtelen drasztikusan megváltozik a korábbi áramhasználat jellege – az idős személy minden nap korán reggel kel és a megszokott elektromos háztartási gépeket használja egy reggel azonban ez a rutin valamilyen okból kimarad? Az adatok gyűjtésének és megosztása végtelenszámú hasonlóan praktikus és biztonságos megoldás kitalálásához vezethet, azonban ez rejti magában a legnagyobb veszélyeket is.

A veszélyt jelző üzenet elküldéséhez ugyanis megelőzi egy hosszú időn át történő adatgyűjtés, amely következtében a felhasználó teljes viselkedési mintája tárolva és elemezve van, annak egyes elemei pedig adott esetben egy teljesen más termékkel és annak gyártójával kerülnek megosztásra. A hasonló helyzetekben keletkezett, jó esetben anonimizált adatok esetében azonban egyáltalán nem világos kié is valójában az adat, kiváltképp ha több IoT eszköz között történik az adatok megosztása, amely eszközök mind különböző gyártók különböző technikai megoldásait alkalmazzák legyen szó akkor az adatok tárolásáról akár a termék belső rendszerének biztonságról.

Az adatvédelmi és jogi kockázatok

A szemléltetett alkalmazási lehetőségeken keresztül jól látható milyen etikai, jogi és szociális kockázatokkal kell szembe néznünk az egyre jobban terjedő IoT szolgáltatásokkal kapcsolatban. Korábban a nem szó szoros értelmében vett személyes adataink védelmét, azaz tartózkodási helyünket, aktuális fizikai vagy mentális egészségi állapotunkat vagy akár jövőbeli utazási terveink védelmére külön figyelmet fordítani szükségtelen volt. Ezek még a nem túl távoli múltban a technológia fejletlensége okán vagy nem voltak tárolhatók digitálisan (helymeghatározási adatok) vagy az érintettek konkrétan meghatározhatták az adatkezelő személyt vagy szervezetet (egészségügyi adatok).

Az IoT szolgáltatások során gyűjtött adatok tulajdonosa legtöbbször a rendszert üzemeltető entitás, amely egy kis zárt és személyes használatú otthoni infrastruktúra esetében (mely áll például egy okosórából, néhány otthonmanagement kiegészítőből és egy távfelügyeleti modulból) egyértelműen maga a felhasználó, azonban ha érintettként, már egy publikus IoT szolgáltatás esetében szeretnék meghatározni az adataink tulajdonosát már nem olyan egyértelmű a helyzetünk. Fontos kitérnünk arra is, mennyivel nagyobb kockázatot vállalunk akkor ha az IoT eszközön áthaladó adataink tulajdonosai bár mi vagyunk, vagy az adatkezelő más úton pontosan meghatározható, de maga az eszköz rendszerének szándékos vagy gondatlan „hibáiból” adódóan adataink illetéktelen harmadik felek számára is elérhetőek, ez esetben legyen szó magáról a gyártóról aki a saját szerverén titkosítatlanul és beazonosítható módon tárolja valamely érzékeny adatunkat, vagy olyan támadóról aki az eszköz gyenge szoftveres védelmét megkerülve jut hozzá például lakásunk belső kameráinak képéhez.

Az otthoni felhasználás kockázatai azonban összehasonlíthatatlanok egy egészségügyi megfigyelő vagy előre-jelző berendezés esetén ilyen helyzetben felmerülő következményektől. Egy, például egészségügyi környezetben alkalmazott sok szereplős nyitott rendszerben a tulajdonos kiléte vitatható. Hasonlóan vitatható eset áll fenn egy közösségi oldalra feltöltött adat esetében, amelynél felhasználónak nincs lehetősége az adatainak közvetlen mozgatására egy másik hasonló szolgáltató felé, tekintve a feltöltött adat tulajdonosa a közösségi oldal. Egy egészségügyi adatokkal operáló közegben azonban az érintett beteg, a kórház – mint a központi rendszert működtető szereplő, illetve magukat az eszközöket üzemeltető szervezeteknek is lehetnek bizonyos szintű igényei egyes érzékeny adatokhoz. Ahogy az IoT hálózatok növekedésével egyre több hasonló összetett rendszer keletkezik, iparágakon át különböző hátterű partnerekkel, ezen kapcsolódási pontok megtalálása egyre nehezebbé, végül pedig akár lehetetlenné válhat.

Egy ilyen gyorsan fejlődő és változó, a jog oldalára nehezen lefordítható, összetett technológia esetében el kell döntenünk mely szabályozási megoldással védhetjük meg egyszerre az innováció és a piac szabadságát és a fogyasztók jogait? Az IoT eszközök esetében az adatvédelem és biztonság kérdésén túl számos további aggodalomra okot adó szempontot felfedezhetünk. A szociális és kulturális hatásokon túl ugyanúgy beszélhetünk gazdasági aggályokról – mint például az automatizált rendszerek miatt csökkenő emberi munkaerő szükségességét bizonyos szektorokban. Ezek a kérdések vezetnek vissza a modern információs társadalom gyakran felmerülő vitájához. A két végletet meghatározva a szabályozási rendszer megállapításánál dönthetünk a szabad fejlődés elve, szó szerinti fordításban engedély nélküli innováció szabálya („permissionless innovation”) vagy az elővigyázatosság elve („precautionary principle”) mellett.

Az elővigyázatosság elve alapján az innovatív találmány vagy termék közzététele korlátozott vagy tiltott ameddig a fejlesztők egy előre meghatározott követelmény alapján nem bizonyítják, hogy az új ötletük piacra dobása nem jelent veszélyforrást egyes egyénekre, csoportokra, kulturális normákra, vagy a jogszabályokra, esetleges jellegzetes társadalmi szokásokra. A másik iskola, szabad innováció elve alapján bármely új ötlet, termék vagy üzleti modell bevezetéséről legyen is szó, ameddig nem merül fel vele szemben valamilyen kizáró ok, a fejlődést hagynunk kell, hogy a maga útját járja. A szabad innováció véleményével egyezés azonban nem egy abszolutista álláspont amely teljesen tagadja az állam szerepét a szabályozás ezen szintjén, inkább arra próbál rávilágítani, hogy bár a biztonság és a megelőzés fontos, a technológiáról szóló bármilyen vita alapvetése az innováció korlátozásának elkerülésére való törekvés kell legyen. A megfelelő szabályozási és jogi környezet meghatározásához egyik elvet sem alkalmazhatjuk kizárólagosan, a fejlődésközpontú, de egyben a biztonságra törekvő jogi háttér a két gondolatmenetet alkotó egyes elemek helyes kiválasztásával elérhető.

Értesítés és hozzájárulás

Az IoT eszközök, kiváltképp a hordható típusok (okosórák-, szemüvegek, de akár az okostelefonok is) természetükből adódóan folyamatosan bekapcsolt állapotban vannak, állandóan érzékelnek, adatot gyűjtenek és küldenek, kommunikálnak. Az így keletkezett óriási mennyiségű információ esetében azonban, a korábban már tárgyalt adatvédelmi és biztonsági problémákon túl felmerülnek az elégtelen felhasználói tájékoztatásból eredő aggályok is.

A gyakorlatban ezen rendkívül érzékeny személyes adat esetében teljes mértékben hiányzik a felhasználó értesítése és tájékoztatása arról ki lesz az adatainak kezelője, mi lesz az adatkezelés célja, meddig tart maga a tárolás és esetleg harmadik félnek kerül-e átadásra bármilyen információ a termék használatával összefüggésben.

Ha pedig az értesítés és a tájékoztatás hiányzik vagy nem megfelelő, azaz nem könnyen elérhető formában, hanem csak adott esetben a termék idegen nyelvű weboldalának egyik elrejtett szegletében tették közre, akkor az adatkezeléshez szükséges beleegyezést sem a megfelelő információk birtokában adja meg a felhasználó. A beleegyezés megadása pedig az adatkezelés abszolút alapja. Az Európai Parlament és a Tanács (EU) 2016/679 rendelete, vagyis a General Data Protection Regulation (továbbiakban: GDPR) rögzíti, hogy adatkezelésre csak akkor kerülhet sor „ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez.” Internetes honlap megtekintése esetén az érintett hozzájárulásának minősül egy erre utaló négyzet bejelölése vagy egyes szolgáltatások esetében technikai beállítások végrehajtása, és szintén alkalmas a beleegyezés kifejtésére bármely olyan cselekedet vagy egyéb nyilatkozat, amely az adott összefüggésben az érintett hozzájárulását kifejezi.

Beleegyezést adni tehát könnyű, egy IoT eszköz esetében azonban kiemelten fontosnak kellene hogy legyen a hozzájárulást megelőző megfelelő tájékoztatás is, ami a gyakorlatban nem csak egy felugró ablakban található négyzet gyors elfogadásából állna, hanem a hagyományos, a felhasználók jelentős része által egyszerűen ignorált adatkezelési dokumentumok mellett könnyen értelmezhető, kreatív tájékoztatási megoldások együtteséből. A GDPR tartalmaz kikötést arra vonatkozóan, hogy abban az esetben, ha az érintett hozzájárulását egy elektronikus felkérést követően tette meg, e felkérési formának egyértelmű és tömör formában kell megjelennie, valamint nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét amely vonatkozásában a felhasználó beleegyezését adja.

A nagyobb gyártók esetében, leginkább a hordható eszközök piacán jellemző megoldás, hogy például a sportolási tevékenységünket és mozgási adatainkat tároló és elemző sportkarkötőnk működtetéséhez szükséges mobiltelefonos applikáció képernyőjét használja a gyártó arra, hogy a felhasználó tájékoztatását és hozzájárulásának beszerzését megtegye. A jelenlegi adatvédelmi gyakorlatot folytatva azonban egyre gyakrabban okozhatja a felhasználók adatkezelési felvilágosításnak elmaradását a termékekre jellemző egyre csökkenő méret is, amelynek következtében egyszerűen túl kicsivé válnak ahhoz, hogy kijelzővel rendelkezzenek. Látható tehát, hogy az IoT eszközök jellege és a technikai fejlődés sebességének következményeként a hagyományos jogi keretek, mint az adatkezelő és az adatkezelés céljának pontos meghatározása vagy a konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulás, nem tudják követni az internet alapú szenzorral ellátott tárgyak által gerjesztett innovációs hullámot.

Az Európai Parlament és a Tanács 95/46/EK irányelv alapján felállított WP29 munkacsoport a 05/2014 számú véleményében fejezte ki aggályait az IoT rendszerek elterjedésével kapcsolatban, mely oka többek az, hogy az IoT eszközök esetében az adatelosztás jellegéből adódóan a felhasználó könnyen kerülhet abba a helyzetbe, hogy elveszti a kontrollt az adatai terjedése felett. A korábban már e tanulmányban is felsorolt biztonsági szempontokon túl azonban megállapításra került, hogy az IoT eszközök által termelt adatok jelenlegi környezetben önmagukban sem elég áttekinthetők a felhasználó vagy az érintettek számára, létrehozva ezzel egy állapotot melyet „információs aszimmetriának” nevezünk, amiben a felhasználónak nincs tudomása arról mely adatai kerültek elosztásra harmadik féllel.

Kitér a vélemény továbbá arra a feltételezésre miszerint az IoT felépítéséből adódóan jelenleg nem állnak rendelkezésre megfelelő biztosítékok arra vonatkozóan, hogy az adatkezelés céljának felhasználóval történő tájékoztatásakor eredetileg közölt indok megegyezik azzal az indokkal, mint amelyre az érzékeny személyes adatok gyűjtése valójában megtörtént. E kijelentés részben összefügg az értesítés és hozzájárulás általános problémakörével, amely klasszikus formája mára ezen rendszerek esetében elavultnak tekinthető, és amely megoldásokkal szemben a WP29 megfontolandónak tartja új eljárások bevezetését. Ha a gyártóknak sikerül a tájékoztatók és adatkezelési nyilatkozatok megtartása mellett azok „jogi szöveg” hatású jellegét csökkenteni, a felhasználók felvilágosítása hatékonyabbá válna, egyes eljárások szabványosításával és egységesítésével pedig csökkenthetők a kockázatok, anélkül hogy mindezzel az innováció útjába állnánk.

Új megoldások

A WP29 véleményében foglalt egyik ilyen új megoldás a „privacy by design”, amely kifejezés a beépített adatvédelem ötletét foglalja magában. E szerint a gyártóknak és fejlesztőknek minden terméknél, már a tervezéskor, a rendszerek megépítése előtt előtérbe kell helyezni az adatvédelmet és a felhasználók adatokhoz való olyan jogát, mint a hozzájárulás adása; egy ilyen keretrendszer pedig a jövő termékeinek fejlesztésekor iránytűként szolgálhat az adatvédelmi hatások vonatkozásában. Ezen felül a gyártók használhatják a termékek csomagolását is az adatvédelmi kockázatokkal feltüntetésére: egyértelmű, akár képek vagy ikonok formájában közölt figyelmeztetésekkel felhívható a figyelem a tudatos használat fontosságára, melyek idővel szabványosíthatók lennének, így legalább egy felületes előzetes tájékoztatást kapna a fogyasztó vásárlás előtt például arról, milyen szenzorokkal – milyen adatokat gyűjt, és meddig tárol a vásárlandó termék, ezzel újabb védelmi vonalat emelve a felhasználók elé.

Az adatminimalizálás elvének szélesebb körben való alkalmazása szintén a bevezetendő eljárások körébe tartozik. Az adatminimalizálás azon adatok mennyiségének csökkentését jelenti, amelyek elhagyják az eszközöket annak a folyamat végén amelyben magán az eszközön átalakításra kerül a nyers, gyűjtött adat csoportosított, használható adattá. Amennyiben az eszköz jellegéből adódóan ezt az adatminimalizálási formát nem teszi lehetővé, a limitálásra törekedni kell „az adatgyűjtés lehető legkorábbi pontján”. Összetett javaslatcsomag szól az átláthatóság és a felügyelet növeléséről, hogy a felhasználók fogyasztóként is megfelelően informált, megfontolt döntést hozhassanak. A döntés meghozatala után, az adatgyűjtésre vonatkozó átláthatóság erősítése céljából olyan eszközök létrehozására kell törekednünk, amely lehetővé teszi a felhasználók számára hogy megtekinthessék, módosíthassák vagy törölhessék azon adatokat melyben érintettek, még azelőtt, hogy az adatok mozgatására kerülne sor a gyártó felé, így „helyi” adatok feletti kontroll felé mozdulna el a mérleg nyelve a mostani szinte kizárólag központi feldolgozás helyett.

A munkacsoport véleményében foglalt megoldási javaslatokon túl további opciók is rendelkezésre állnak, olyan szempontok amelyekre a gyártóknak és fejlesztőknek nagyobb hangsúlyt kell fektetniük az IoT eszközök szélesebb körben történő elterjedése esetén. Egy IoT termék belső működésének alapjául a rajta futó szoftver szolgál, mely „irányítja” az előre meghatározott feladatokat, az adatok feldolgozását, továbbítását, stb. Ezen szoftverek mindegyike igényel azonosítást valamilyen formában, ennek köszönhetően kerülhetjük el azt, hogy a saját okostelefonunk segítségével működtetett otthoni világítási rendszerünket ne tudja a szomszédunk önmagában egy hasonló okostelefonnal működtetni. Az ilyes formában zárt rendszerhez illetéktelen hozzáférni az azonosítás miatt csak valamilyen, a szoftverrel kapcsolatos sérülékenység kihasználásával tud. A sérülékenység, azaz a szoftveren lévő foltok javítása csak akkor lehetséges, ha a termék szoftverét fejlesztői oldalról folyamatosan frissítik, ezzel elkerülve azt, hogy az IoT informatikai bűnözők játékszerévé váljon. Jelenleg az IoT eszközök ilyen formájú utó-támogatása, főleg az alacsonyabb ár-kategóriájú termékek piacán rendkívüli hiányban szenved. Szintén fontos, hogy az adatok tárolása, mozgatása és megosztása titkosítva történjen, anélkül, hogy az érintett személy beazonosítható lehessen.

Hosszútávú válasz az adatvédelmi, biztonsági aggályokra a közvélemény tájékoztatása, oktatása az IoT és ehhez hasonló új technológiai megoldások árnyoldalairól ugyanúgy, mint az általuk elérhető lehetőségekről és előnyökről. Hasonló kampányok, mint amelyek a gyermekek felelős internethasználatára és a fejlődésükre negatívan ható weboldalakkal szembeni szűrőprogramok alkalmazására hívta fel a szülők figyelmét 2005-2006 tájékán. A fogyasztók tanítása azon túl, hogy biztonságosabbá teszi számukra ezen eszközök alkalmazását, univerzális tudást adhat, amely segítségével egy idő után képesek lesznek önmaguk felmérni a digitális térben rejlő kockázatokat.

További lehetséges szabályozási lehetőség nevez meg tanulmányában Bambauer, aki a téma súlyának fényében fontolóra veszi az értesítés és hozzájáruláson alapuló szabályozásról való elmozdulást a korlátozáson alapuló rezsim felé. Egyes, főleg olyan hordható IoT eszközök esetében, mint a Google Glass okosszemüveg, a használat során az értesítés és hozzájárulás folyamatát minden, a szemüveggel kapcsolatba kerülő személlyel, – akiről például felvételt készít vagy hangot rögzít – lehetetlen teljesíteni. Emiatt megfontolandó, hogy egyes IoT alkalmazási formákat, mind a kép- és hangfelvételre alkalmas hordható darabok használatát előre meghatározott körülmények között korlátoznánk, így olyan, adatvédelmi szempontból érzékenynek számító helyeken, mint mosdók vagy öltözők, használatuk tiltását foganatosítanánk. Hasonló korlátozás vezethető be akár autóvezetés vagy egyes kiemelt intézményekbe történő belépés esetére.

A kérdés már csak az, milyen jellegű jogszabályt kell létrehoznunk a célból, hogy rábírjuk a gyártókat, illetve a fejlesztőket az imént tárgyalt, sokszor időigényes és kétség kívül költségnövelő megoldásokra? Önmagában miért várható el, hogy egy vállalat a fogyasztói érdekeket ily’ módon előtérbe helyezve, a legnagyobb kincset jelentő óriási adatmennyiségről és a „Nagy Testvér” szerepköréről lemondva úgy tervezzen eszközöket, hogy azok már tervezés-szinten lehető legkevesebb esélyt adják a visszaélésekre? Természetesen a szigorú jogi szabályozásnak és az állami szervezetek elvárásainak való megfelelés egy opció lehet, azonban ezt a kérdés a gyakorlatban már inkább a másik reakció válaszolja meg.

A válasz pedig, hogy ezen megoldások betartása, a felhasználói adatvédelemre figyelés, az adatminimalizálás és a titkosítás, az érthető tájékoztatás és az érintettek eszközei az online adatok széleskörű kezelésére – egyszerűen jót tesznek majd a bevételnek, jót tesznek az üzletnek. Az eszközök széles körben való elterjedésével, így például az okosváros rendszerek megjelenésével együtt kezdhet majd kialakulni egy természetes társadalomszintű elvárás arra, hogy a cégek megfelelően kommunikálják a vásárlók adatvédelemmel kapcsolatos aggályait. A vállalatoknak egyszerűen saját érdekükké válik, hogy „jó gazda” módjára bánjanak azokkal az adatokkal amelyeket tárolnak vagy megosztás útján hozzájuk kerülnek, ellenkező esetben például a média által felerősített elégedetlen fogyasztói hangok könnyen elérhetik, hogy az adatokat nem átláthatóan kezelő, elavult rendszereket alkalmazó és kétes célra felhasználó IoT szolgáltatásokat az ügyfelek egyszerűen ne veszik igénybe, vagy eszközök esetén nem vásárolják meg azokat.

A széleskörű társadalmi elváráshoz először azonban divattá kell válnia a tudatos adatvédelemnek, azaz  hogy tudni akarjuk milyen adatokat osztunk meg magunkról, milyen szervezetekkel, mennyi időre, és leginkább miért – ehhez pedig például egy okosóra használatához ne legyen szükséges laikusként adatvédelmi nyilatkozatokat és általános szerződési feltételeket idegen nyelvű weboldalakon keresnünk, és az azokban foglaltakat szakértői szemmel értelmezni.

Konklúzió

Az IoT az új technológiai irány az Internet, a szenzorok és gyakorlatilag bármely elektronikus eszköz számára. Egy relatíve új út arra, hogy a korábbi internethasználatot megreformáljuk, és az emberek közötti kommunikáció után a dolgokat csatlakoztassuk egymáshoz. A napjainkban feltörekvő trendek úgy mint a big data analízis vagy az okosváros megoldások mind együtt működtetve alkalmazhatóak igazán, ezek esetében pedig az Internet of Things ötlete jelenti a hatékonyság egy új szintjére történő elérés lehetőségét. Az IoT által újonnan megjelenő adatvédelmi kérdések a jogi vetületen túl szociális és közgazdaságtani szemszögből is új problémákat vethetnek fel. A részletezett lehetséges veszélyekkel szemben amelyet a Dolgok Internetének széles körben való elterjedése hozhat magával, nem szabad elfelejtkezni az általa hozott korlátlan számú alkalmazási lehetőségről, és úgy általában az innovatív megoldások folyamatos támogatásának fontosságáról. A jogi keretek megállapításán túl pedig a megváltozott igényekre reagálva alkalmaznunk kell a felhasználói tájékoztatás új eszközeit, az informatikai biztonság növelését eredményező megoldásokat, az adatvédelmet szem előtt tartó adatkezelési folyamatokat, a használattal járó veszélyekre történő figyelemfelhívás más módjaival egyetemben.

Olajos Marcell

Kíváncsi vagy a többi tanulmányra is? Olvasd el a teljes Tanulmánykötetet!

Az Ebook-ot innen le is tudod tölteni: Jog és Innováció Tanulmánykötet

 

Irodalomjegyzék