🤔 Какие категории данных защищает Apple (protected resources)?

Apple дополнительно защищает следующие категории данных:
▪ Доступ к сети Bluetooth.
▪ Календарь (просмотр и изменение данных в календаре, создание мероприятий, доступ и создание напоминаний).
▪ Доступ к камере, микрофону и фото (в том числе добавление фотографий).
▪ Контакты (просмотр, создание и изменение контактов).
▪ Доступ к FaceID.
▪ Доступ к файлам, загрузкам, папкам.
▪ Доступ к Game Center.
▪ Данные о здоровье (чтение и сохранение clinical records).
▪ Home (получение разрешения на доступ к дополнительным девайсам и домашней сети).
▪ Местоположение (точное/приблизительное местоположение устройства в фоновом/активном режиме).
▪ Доступ к библиотеке Apple Music.
▪ Доступ к медиатеке пользователя.
▪ Данные о движении устройства (в том числе и данные об обнаружении падения устройства).
▪ Networking (подключение к локальной сети, взаимодействие с другими устройствами).
▪ Доступ к NFC.
▪ Разрешение на использование данных для отслеживания пользователя или устройства.
▪ Настройки безопасности (возможность отправки событий Apple, управление конфигурацией системы, использование шифрования).
▪ Доступ Siri и Maps к приложению, а также отправление данных Siri.
▪ Распознавание речи с помощью серверов Apple.
▪ Apple Wallet.
▪ Wi-Fi connection.
▪ Доступ к iCloud.

По инструкции для разработчиков к каждой из указанных выше категорий доступ должен запрашиваться отдельно. Также при запросе должно быть указано, с какой целью эти данные будут использоваться.

👉🏻 Завтра мы с вами рассмотрим разрешение на трекинг, инструменты для контроля приватности в iOS и авторизацию через Apple.

Добрый день, коллеги! Как и обещали, продолжаем говорить про разрешения на доступы для приложений устройств Apple 🍏

И начнем мы с разрешения на трекинг.

В iOS 14.5 и выше приложения должны получать разрешение пользователя через фреймворк AppTrackingTransparency для отслеживания или доступа к рекламному идентификатору устройства. Это важный шаг для защиты приватности, особенно в контексте таргетированной рекламы.

Под отслеживанием понимается связывание данных пользователя или устройства, собранных в одном приложении, с данными пользователя или устройства, которые собраны в других приложениях или сайтах. Этот трекинг используется для таргетинговой рекламы и измерения ее эффективности. Примеры трекинга также включают передачу данных сторонним получателям (например, сторонней рекламной сети или брокерам данных для ретаргетинга или поиска похожей аудитории) и размещение в приложении стороннего SDK, который объединяет данные о пользователях из одного приложения с данными о пользователях из приложений других разработчиков (скриншот прикреплен ниже 👇🏻).

🔹 Инструменты для контроля приватности в iOS.

При отказе предоставить доступ к данным система запоминает выбор пользователя и не спрашивает его снова. Для того чтобы изменить выбор, вы должны самостоятельно сделать это в настройках устройства. Пользователи могут в любой момент просматривать и изменять настройки доступа приложений в разделе "Настройки" (скриншоты прикреплены ниже 👇🏻).

🔹 Авторизация через Apple.

При регистрации аккаунта через Apple разработчику приложения будет автоматически доступно имя, которое указано в Apple ID. Будет ли доступен email - решает пользователь. Есть функция share my email, а также hide my email, которая выбрана по умолчанию (скриншот прикреплен ниже 👇🏻)

В общем и целом, устройства Apple предоставляют пользователям высокий уровень контроля и безопасности в отношении их персональных данных. Однако важно помнить, что ваше активное участие в контроле доступа и регулярное обновление настроек — залог максимальной безопасности и приватности. Всегда стоит быть в курсе того, какие данные запрашивают приложения, а также принимать информированные решения о предоставлении доступа.

Все, что мы с вами рассмотрели в течение этой недели в отношении разрешений на доступы для приложений, — лишь вершина айсберга. А для того, чтобы еще больше узнать, как обеспечить приватность при использовании технологий, мы приглашаем вас на курс GDPR Data Privacy Technologist, который стартует уже в понедельник, 29 января 🔥

👉🏻 Не упустите возможность научиться грамотно обеспечивать защиту персональных данных в IT. Если у вас возникнут вопросы, пожалуйста, напишите нашему менеджеру Антону 📩

Дипфейки: Когда реальность становится иллюзией ⚠

Дипфейк (deepfake, от англ. deep learning, «глубокое обучение» и fake, «подделка») — технология создания ненастоящих изображений, видео и аудиозаписей с помощью искусственного интеллекта.

Давайте разберемся, как дипфейки работают и какие угрозы они представляют 👇🏻

🧐 Как это работает?

Для создания дипфейков используются алгоритмы машинного обучения: генеративно-состязательные сети (GAN, generative adversarial network).

Коротко говоря, GAN состоит из двух нейронных сетей. Одна — генеративная — создает изображения. Другая — состязательная — тут же «соревнуется» с ней и старается отличить правильные изображения, которые похожи на человека, от неправильных.

Генеративная часть алгоритма должна сделать так, чтобы состязательная не отличила дипфейк от оригинала. На основе полученных данных создается новое видео или аудио, где персонаж с лицом реального человека говорит и действует так, как нужно автору 😲

🧐 Какие бывают дипфейки?

🔎 Подмена лица (face swap) — лицо одного человека «накладывается» на лицо другого. Пример такого дипфейка — замена лиц актеров сериала «Друзья» на лицо известного участника интеллектуальных игр Александра Друзя.

🔎 Поддельная речь (synthetic speech) — синтез речи на основе голоса реального человека. Как правило, для создания используется две технологии — синтеза речи из текста (Text-to-Speech, TTS) и клонирования голоса реального человека (voice cloning). Этот вид дипфейков часто используется в мошенничестве. Яркий пример — история сотрудника одной британской энергетической компании. Ему позвонили мошенники и голосом его руководителя (созданного через AI) потребовали перевести несколько сотен тысяч долларов, что он и сделал.

🔎 Полностью сгенерированное видео — видеоролик с подменным лицом и синтезированной речью. Пример — речь бывшего президента США Барака Обамы об опасностях дипфейков на Buzzfeed.

🧐 Как отличить дипфейк от настоящего видео?

Дипфейки пока неидеальны (как вы думаете, какое здесь ключевое слово?). Иногда, даже невооруженным взглядом, заметны небольшие задержки и «зависания» изображения. Также может быть несоответствие интонации и эмоций (например, человек с каменным лицом горит очень эмоциональную по содержанию речь), или персонажи-дипфейки странно моргают или вообще не моргают. Однако по мере развития технологии искусственного интеллекта отличить реальность от иллюзии станет практически невозможно.

🧐 Какую угрозу несут с точки зрения приватности?

Хотя дипфейки дают бесчисленные возможности и преимущества, особенно в индустрии кино, их использование в корыстных целях может стать причиной целого ряда проблем: от нанесения вреда репутации до серьезных кибератак.

Перечислим некоторые из них:
🔎 Получение доступа к конфиденциальной информации. Например, к коммерческой тайне или банковским счетам.

🔎 Обман людей с целью получения доступа к их персональным данным или денежным средствам. Например, использовать голос члена семьи, друга, коллеги или руководителя и попросить перечислить определенную сумму денег.

🔎 Серьезный ущерб репутации как бизнеса, так и частного лица посредством распространения фальшивых фото или видео. Особенно опасно, если дипфейки используются для создания порнографических или компрометирующих материалов.

🔎 Создание и распространение фейковых новостей и манипуляция общественным мнением. Видео, где Барак Обама говорит об опасностях дипфейков, вполне безобидно. А представьте, если бы там звучали оскорбления в адрес крупных мировых политических деятелей…

🔎 Социальная инженерия и фишинг. Случай, когда злоумышленники создают поддельные видео или аудиозаписи, имитирующие известных личностей или авторитетных фигур, чтобы убедить людей совершить определенные действия или раскрыть персональные данные.

🔎 Подрыв доверия к СМИ и информации в целом. Это может привести к серьезным социально-политическим проблемам в обществе.

Создание убедительных дипфейков часто опирается на огромные объемы персональных данных, а их использование может привести к серьезным проблемам и жертвам. Поэтому в мире, где увидеть больше - не значит поверить, необходима разработка мер по снижению уровня доступности подобного рода технологий и увеличению осведомленности общественности о тонкостях контента, который генерирует ИИ, а также угроз, связанных с ним ⚠

Тема интересная, не так ли? Почитать больше о дипфейках можно здесь.

Дорогие коллеги, клиенты и партнеры,

Сердечно поздравляю вас с Днем Защиты Данных! 🎉

С каждым годом обеспечение приватности становится все более важной задачей. Мы гордимся тем, что можем с вами сотрудничать, помогая вам защищать данные, права и интересы людей!

В этот особенный день хочу пожелать вам всегда быть на шаг впереди в вопросах защиты данных, придерживаться лучших практик и успешно справляться с вызовами новых технологий, законов, рисков, перемен.

Спасибо за ваше доверие. Давайте вместе продолжать делать мир вокруг нас более безопасным и защищенным местом для всех!

С наилучшими пожеланиями,

Сергей Воронкевич, CIPP/E, CIPM, CIPT, MBA, FIP. Основатель Data Privacy Office, тренер и ведущий консультант.

Здравствуйте, коллеги! Начинаем день с новостей 📃

🇪🇺 Европейской службе искусственного интеллекта – быть

Европейская комиссия формирует новый орган, который будет играть важную роль в надзоре за развитием искусственного интеллекта (ИИ), а также в содействии сотрудничеству с научным сообществом и обеспечении соблюдения корпуса законов ЕС.

Зачем нужен European Artificial Intelligence Office (EAIO)?

В первую очередь, для «сопровождения» внедрения нового AI Act, а также:
🔹 Оценки возможностей ИИ «общего назначения», особенно для очень крупных моделей с системными рисками.
🔹 Мониторинга за внедрением и применением правил.
🔹 Оценки возникающих рисков, в особенности для ИИ широкого применения.
🔹 Расследования нарушений правил для моделей и систем ИИ.
🔹 Координации глобальных усилий в области ИИ.

Еврокомиссия также объявила о доступе к своим суперкомпьютерам для ИИ-стартапов. Будут созданы так называемые «фабрики ИИ» для облегчения тестирования алгоритмов небольшими компаниями, чтобы поддержать масштабируемость моделей ИИ. Это позволит сократить время тестирования с месяцев или лет до недель. Компьютеры могут использоваться только теми стартапами, у которых нет собственных вычислительных мощностей. На них можно тестировать алгоритмы, которые предназначены для научных, а не коммерческих целей.

🧐 Очередная утечка

23 января 2024 года предположительно произошла утечка данных 15 миллионов аккаунтов пользователей сервиса для управления проектами Trello. Утечка произошла из-за ошибки в открытом API сервисе, которая позволяла злоумышленнику связывать email-адреса с публичными профилями пользователей. Для этого не потребовался даже несанкционированный доступ к базам данных – достаточно было воспользоваться ранее утекшими базами email и сопоставить их с открытыми данными API.

В результате этого злоумышленник, по собственному заявлению, получил доступ к email-адресам, именам, фотографиям, URL-адресам профилей и информации о ролях пользователей.

Trello сообщила, что уже устранила ошибку в API и начала расследование инцидента. Компания также предложила пользователям изменить свои пароли и сбросить двухфакторную аутентификацию. В отношении владельцев утекших данных возрастает риск фишинговых атак и шантажа, следует быть осторожней, открывая письма и ссылки от неизвестных отправителей.

💶 CNIL штрафует Amazon

Amazon France Logistique оштрафована на 32 миллиона евро за нарушение прав сотрудников. CNIL наложил штраф за чрезмерный контроль деятельности и результативности персонала. Компания использовала сканеры и камеры для отслеживания каждого работника и хранила данные в течение 31 дня. Кроме того, CNIL заявил, что компания не информировала сотрудников должным образом и не обеспечила их право на возражение.

Компания не соблюдала принципы минимизации и ограничения хранения данных, поскольку обрабатывала больше данных, чем необходимо для управления персоналом, и хранила их дольше, чем требуется для достижения целей обработки.

Подробнее можно ознакомиться здесь.

Сложно ли сдать экзамен для получения международной сертификации CIPP/E? 📚

На самом деле, не все так страшно, если качественно подготовиться. И с этим мы готовы помочь вам на коучинге по подготовке к сдаче экзамена на международную сертификацию CIPP/E. Вы получите не только теоретические знания, но и практические навыки, которые помогут вам успешно справиться с тестом.

А чтобы вы могли убедиться в этом сами, приглашаем вас на бесплатное вводное занятие, которое состоится уже завтра, 31 января. Вы познакомитесь с тренером коучинга Ксенией Лапутько, CIPP/E, CIPP/US, CIPP/C, CIPP/C, CIPP/A, узнаете, как проходит экзамен, а также получите практические советы по подготовке к нему. Помимо этого, вы сможете задать любые каверзные вопросы.

🔥 И мы подготовили для вас сюрприз!

На вводном занятии мы также обсудим горячую тему: новую модель оплаты от Meta - Pay or Okay. Мы рассмотрим, как работает это нововведение, какие риски оно несет, и какое влияние оно потенциально может оказать на приватность пользователей и соблюдение GDPR.

Присоединяетесь и приглашайте коллег!

🗓️ Дата и время: 31 января (среда), 19:00 (GMT+3)
📍 Место: Telegram-чат
💰 Стоимость: бесплатно

📣 Коллеги, напоминаем, что уже сегодня пройдет бесплатное вводное занятие в преддверии коучинга по подготовке к сдаче экзамена на международную сертификацию CIPP/E.

Это хорошая возможность для того, чтобы:
✔️ Познакомиться с тренером коучинга Ксенией Лапутько, CIPP/E, CIPP/US, CIPP/C, CIPP/C, CIPP/A.
✔️ Узнать о нюансах прохождения экзамена из первых рук. 
✔️ Получить практические советы по подготовке к тесту.

💥 И это еще не все! На вводном занятии вы узнаете больше о нововведении Meta - Pay or Okay. Вместе с Ксенией мы рассмотрим, как работает эта новая модель оплаты и какое влияние она окажет на приватность пользователей и соблюдение GDPR.

👉🏻 Присоединяйтесь к чату и до встречи на занятии! 

Время: 19:00 (GMT+3)
Стоимость: бесплатно
Место: Telegram-чат

🤖 Давайте вернемся к теме искусственного интеллекта (AI) 🤖

Сейчас огромное количество компаний используют модели AI в своих продуктах. Но какой процент из них понятным и простым языком объясняют, что это такое и как это работает? И надо ли это вообще объяснять? Может, меньше знают — крепче спят? Давайте разбираться!

⚖️ Что говорят законы?

Обратимся к нашему любимому GDPR, где говорится, что компаниям необходимо:
◾ Следовать принципу прозрачности.
◾ Предоставлять информацию о логике, значении и предполагаемых последствиях автоматизированного решения.

В то же время EU AI Act (статья 52, черновая версия) объясняет, что компания должна в понятной форме проинформировать пользователей о том, что они используют AI продукт. Вопрос: как это объяснить?

📑 Контекст имеет значение

Начнем с того, что информация, как работает модель и что для этого необходимо, нужна не только пользователям, но и, например, сотрудникам, которым надо будет отбиваться от вопросов субъектов данных. В зависимости от этого меняется форма подачи информации и ее детализация.

◾ Аудитория (кому адресовано объяснение).
Это могут быть работники компании, которые должны понимать, как работает система, для того чтобы объяснять это субъектам данных; аудиторы, которые проверяют систему; пользователи продукта, чьи данные используются; клиенты, в отношении которых было принято решение с помощью автоматизированных средств и так далее.

◾ Детализация (насколько подробно надо описывать работу модели).
В зависимости от аудитории мы принимаем решение, насколько детально надо все объяснить. Например, для сотрудников, которые работают с системой, мы подробно расписываем, кто несет ответственность на каждом этапе (от разработки модели AI до ее внедрения). Однако для пользователей будет достаточно информации о контактном лице, к которому можно обращаться по вопросам AI.

◾ Стиль, язык и способ предоставления информации.
В любом случае информация должна быть простой и понятной для любого человека. Однако, если речь идет об информировании сотрудников, информация может быть предоставлена в виде внутренней политики или инструкции. Если же мы говорим про информирование пользователей, можно использовать инструменты визуализации, игровую форму донесения информации и так далее. Также стоит учитывать особенность аудитории (уязвимые группы, дети и другие).

To be continued 👉🏻

Коллеги, продолжаем говорить про искусственный интеллект 🤖

Сегодня мы разберем типы объяснений автоматизированного принятия решений.

ICO предлагает 6 типов объяснений, которые помогут лучше понять, как и почему было принято то или иное решение в отношении пользователя. Мы кратко расскажем о каждом из них.

1⃣ Rational explanation — «Как и Зачем?»
Как система работала, чтобы прийти к такому результату решения.

2⃣ Responsibility explanation — «Кто?»
Кто участвует в разработке, управлении и внедрении системы AI, а также к кому обращаться по вопросам реализации прав и предоставления информации.

3⃣ Data explanation — «Что?»
Какие данные использовались и каким образом. Здесь также можно упомянуть, какие другие источники использовались для принятия решения.

4⃣ Fairness explanation
Шаги, предпринятые при разработке и внедрении системы AI для гарантии того, что принятые решения и/или результаты в целом являются непредвзятыми и справедливыми.

5⃣ Safety and performance explanation
Шаги, предпринятые при проектировании и внедрении системы AI для максимизации точности, надежности, безопасности и устойчивости ее решений и поведения (технические и организационные меры).

6⃣ Impact explanation
Шаги, предпринятые для учета влияния, которое может оказать на человека. Это помогает людям понять социальные последствия, которые могут возникнуть при использовании вашей системы.

На наш взгляд, эти объяснения способствуют повышению прозрачности и доверия!

Коучинг - это не только про 5 букв CIPP/E, это про огромный пласт структурированных знаний и практики. Ведь без глубокого понимания и опыта в сфере приватности, сама по себе сертификация сильно ничего не значит.

Вчера состоялось вводное занятие в преддверии коучинга по подготовке к сдаче экзамена на международную сертификацию CIPP/E, который стартует уже на следующей неделе, 8 февраля.

Вместе с тренером Ксенией Лапутько, CIPP/E, CIPP/US, CIPP/C, CIPP/C, CIPP/A, мы разобрали:

📌 Как будет проходить подготовка к коучингу.
📌 Почему невозможно выучить и пролистать весь материал в ночь перед экзаменом.
📌 Почему тест - это не только про знания, но и про практику и насмотренность.

☝🏻 А также мы затронули горячую тему - новую модель оплаты от Meta: Pay or Okay. Она предлагает пользователям выбор: либо согласиться на персонализированную рекламу и отслеживание данных, либо оформить годовую подписку для отказа от рекламы. Обсудили, почему это нарушает главные принципы GDPR и фундаментальное право на согласие обработки персональных данных. Почитать больше про нововведение можно здесь и здесь.

🤫 Спойлер: одним из заданий во время коучинга будет разобраться и продумать, смогут ли юристы Meta обосновать свое решение в отношении новой модели оплаты.

👉🏻 Узнать больше деталей и зарегистрироваться на коучинг можно здесь.