Kauza Libimseti.cz ukázala, že nejen král je nahý

Těžko říci, co si vlastně myslely ty tisíce uživatelů www.libimseti.cz, které důvěřivě tomuto serveru svěřily vlastní „choulostivé“ fotografie. Sice je asi zpravidla označili jako neveřejné, ale nic nakonec nebránilo tomu, aby se ocitly na Internetu a odkazy na ně se staly vyhledávaným obsahem na diskusních fórech. Počíst si o tom lze zde na Lupě, na Živě či na iDNES, ale nic moc se z toho vlastně nedozvíte (dokonce se přidal i Blesk, v poněkud rozmáchlejším stylu). 

Snad jedině to, že někdo vytáhl pár desítek tisíc fotek od pár tisíc uživatelů, zabalil je do přehledných  balíčků, doplnil soupisem umožňujícím najít kýženou přezdívku a pak to předhodil veřejně na Internet. Slovo „pak“ je svým způsobem významné, udělal to totiž až déle poté, co ty fotky z Libimseti.cz povytahoval ven. A také to pravděpodobně provedl nějakou tou metodou „pokus-omyl“.  Všechno to říká několik věcí.

O uživatelích, že nemají základní pud sebezáchovy. O Libimseti.cz, že nemají základní mechanismy, které by jim umožňovaly vytvářet bezpečnou aplikaci a případně ještě sledovat, jestli se jim někde netoulá nezvaný host. A také to nabízí řadu poučení. Zejména jedno o alibismu, právní ignoranci a nedostatku originality.

Za nic nemůžeme, a pokud ano, tak odpovědnost nesmíte žádat

Na Internetu, nejenom tom českém, si budete muset zvyknout, že provozní a užívací podmínky různých služeb jednoznačně ukazují, že provozovatel se zříká všech zodpovědností. V ideálním případě ovšem ty vaše ponechává, případně vám ještě přidá něco navíc. A protože jde o Internet, jaksi automaticky se předpokládá, že souhlasíte i s tím, co jste nikdy neviděli. Včetně „lahůdek“ jako Přistoupením k Podmínkám uživatel přistupuje k těmto Podmínkám a akceptuje veškerá jejich ustanovení. 

Jak uvidíte později, uživatelské a provozní podmínky se navíc mezi servery volně kopírují, takže jako uživatel například plně zodpovídáte za škodu při použití „cizí“ e-mailové adresy, a to jak vůči onomu někomu, tak vůči provozovateli serveru. Samotný provozovatel samozřejmě nezodpovídá vůbec za nic. Tedy alespoň podle toho, co protlačil, pardon, zkopíroval do podmínek. A chvílemi budete přemýšlet, jestli vůbec věděl, co od někoho opsal.

Stejně tak platí, že „uživatel nesmí upravovat, kopírovat, distribuovat, předávat, zobrazovat, provádět, reprodukovat, publikovat, licencovat, převádět nebo prodávat jakékoli informace, software, produkty nebo služby získané ze služeb Serveru ani z nich vytvářet odvozená díla.“ a zároveň se provozovatel serveru smluvně pasoval do role vlastníka všeho, co uživatel má, i kdyby to bylo autorské dílo. Ale o tom už byla řeč v úplně jiném článku zde na Lupě.

Bohužel, příslušné podmínky zpravidla nejspíš právník nikdy neviděl. A jejich vznik bude pravděpodobně hlavně dílem volného převyprávění z podobných anglických podmínek. Následovalo zřejmě dolepení některých věcí, o kterých si naivní tvůrce myslel, že dávají smysl. Viz například následující text, který jasně ukazuje, že jeho autor netuší nic o tom, že příslušný zákon se týká „nevyžádaných obchodních sdělení“. Čistě teoreticky jsou pak podobná ustanovení v podmínkách dobrá pouze k smíchu.

Takto zaslaný e-mail splňuje veškeré podmínky Zákona o regulaci reklamy č. 138/2002 Sb. a Zákona o některých službách informační společnosti č. 480/2004 Sb, a nelze jej považovat za nevyžádanou reklamu – spam.

Přesto, nebo možná právě proto, mají podobné podmínky ještě jednu zázračnou klauzuli, která jasně říká, jak vážně to s odpovědnosti provozovatel myslí.

Správce nenese žádnou odpovědnost za škody, které by uživateli nebo třetím osobám přímo, nepřímo či náhodně vznikly v důsledku nebo v souvislosti s využíváním služeb Serveru. Neodpovídá za škody, které by uživatelům nebo třetím osobám vznikly v důsledku nemožnosti využívání služeb Serveru nebo v přímé či nepřímé souvislosti s touto skutečností.

Podobnost čistě náhodná a ještě navíc plané sliby

Nedělejme si iluze, provozní podmínky zjevně opisují servery jeden od druhého. A ještě v nich navíc uvádějí věci, které není vůbec možné reálně splnit. Zejména viz poslední věta následujícího příkladu.

Nejinak je tomu i v případě dalšího bodu podmínek, který má hodně společného s tím, co se vlastně stalo na Libimseti.cz. Zde si ale všimněte „drobného“ rozdílu, kdy se verze Libimseti.cz stala verzí umožňující zcela volný výklad. A příliš bych nepochyboval o tom, že předchozí verze byla na Libimseti.cz zcela shodná s Seznamka.cz.

Kopírovat víc ze shodných podmínek obou serverů už asi nemá smysl, vlastně až na poslední bod. Ten totiž zní Tyto Podmínky nabývají platnosti a účinnosti jejich zveřejněním.. A pochopitelně ani na jednom serveru se nedozvíte, kdy vlastně byly zveřejněny. Jestli chcete, můžete to nazvat záměrně netransparentním chování, neetickým přístupem, případně rovnou snahou o to, aby mohlo s podmínkami být kdykoliv a jakkoliv manipulováno.

Mezi plané sliby ale nejspíš patří i následující perla. Slibuje sice vzdušné zámky, ale v případě potřeba se dá vymluvit na slovo „zavedení“, tedy na stav, který už dávno pominul.

Správce prohlašuje, že zavedení služeb Serveru věnuje a bude věnovat s vynaložením maximálního úsilí a s odbornou péčí, tak aby minimalizoval veškerá případná rizika, která by při řádném využívání služby Serveru mohla vzniknout uživatelům či třetím osobám.

Co na to všechno vlastně říká právo?

Mýty a pověry ohledně práva nejsou ale jenom na straně provozovatelů podobných serverů, zpravidla ovládají i samotné uživatele. Ti jsou navíc zticha a v klidu do okamžiku, než začnou mít pocit, že došlo k ohrožení jejich soukromí. A pak se pokoušejí uplatňovat leccos. Je pak dobré například vědět, jaké podmínky musí splňovat provozovatel webu, na kterém si uživatelé vyplňují a volitelně zpřístupňují osobní a citlivé údaje:

„Pokud se tak děje za účelem podnikání, může být provozovatelem takového webu každý subjekt, který získá živnostenské oprávnění. Nejedná se tedy o žádný povolovací systém apod. Při zpracování osobních údajů by měl takový provozovatel postupovat mimo jiné v souladu se zákonem o ochraně osobních údajů (zákon č. 101/2000 Sb., ve znění pozdějších předpisů). Povinností stanovených pro správce osobních údajů tímto zákonem je poměrně široké spektrum. Obecně se jedná o povinnosti vůči subjektům údajů (uživatelům), o povinnosti vůči Úřadu pro ochranu osobních údajů a také o povinnosti technicko-organizačního charakteru v rámci podniku správce osobních údajů. Způsob získávání osobních údajů není ve vztahu k existenci těchto povinností zcela rozhodující,“ uvádí advokát Josef Aujezdský z advokátní kanceláře Mašek, Kočí, Aujezdský. A pokud máte trochu pocit, že jste se vlastně nedozvěděli nic? Tak je to správně, takhle to prostě funguje.

Jedním z dalších oblíbených „omylů“ je i vše co se týká povinnosti registrovat se pro zpracování osobních údajů, případně vůbec toho, co osobní udaje jsou. Hlavně proto, že skutečnou ochranu mají v podstatě pouze citlivé údaje a jak už několikrát ÚOOÚ zdůrazňoval, ochrana se bude týkat jen takových údajů, které jednoznačně identifikují určitou osobu. Ale nejprve co na to právo:

„Co přesně se rozumí citlivým údajem, vymezuje ustanovení § 4 písm. b) zákona o ochraně osobních údajů. Citlivým údajem je „osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů…“ Citlivými údaje podle zákona o ochraně osobních údajů jsou tedy pouze výše uvedené údaje a nikoliv již informace či fotografie, které považuje uživatel ze svého pohledu za „citlivé“. Registraci pro zpracování osobních údajů a pro zpracování citlivých údajů lze provést najednou,“ říká, opět advokát Josef Aujezdský.

A zde je asi důležité se zastavit hlavně u „které považuje uživatel ze svého pohledu za citlivé.“

„V této souvislosti lze upozornit na skutečnost, že je sporné, zdali lze dobrovolně zveřejněnou fotografii vůbec považovat za osobní údaj ve smyslu zákona o ochraně osobních údajů. Dle našeho názoru by to s ohledem na vymezení pojmu osobní údaj v ustanovení § 4 písm. a) zákona o ochraně osobních údajů nemělo být vyloučeno, nicméně dle získaných informací zaujal Úřad pro ochranu osobních k této otázce odlišný výklad,“ dodává Josef Aujezdský

Zažalovat?

Začínáte mít pocit, že je to stále zajímavější? Že například fotografie nahé slečny či paní, kterou někdo vytáhl z „nedobytných, zabezpečených a dobře chráněných“ útrob Libimseti.cz, vlastně vůbec nemusí být otázkou ve věci ochrany osobních údajů? Mohli byste Libimseti.cz dostat na ochraně osobních údajů? A když ne, jak z nich dostat nějakou tu náhradu škody…

„Primárně bude záležet zejména na obsahu smluvního ujednání mezi provozovatelem webu a jednotlivými uživateli, k jakým opatřením se provozovatel zavázal. Pokud se jedná o porušení zákona na ochranu osobních údajů ze strany provozovatele, lze si ze strany uživatelů kromě práva na vysvětlení a odstranění protiprávního stavu dle ustanovení § 21 odst. 1 zákona o ochraně osobních údajů představit také požadavek na náhradu škody. Teoreticky nelze vyloučit ani uplatnění právních prostředků souvisejících s právní úpravou ochrany osobnosti. Nicméně s ohledem na současnou rozhodovací praxi v této oblasti bychom viděli uplatňování práv poškozených touto cestou jako přinejmenším problematické. Odlišnou otázkou je pak udělení případné správní sankce ze strany Úřadu pro ochranu osobních údajů,“ říká advokát Josef Aujezdský.

Shrnuto a podtrženo, na porušování ochrany osobních údajů je asi nedostanete. Při trošce štěstí by snad bylo možné útočit na základě klasické ochrany osobnosti, ale, zcela otevřeně, já být soudcem, tak se na vás podívám z výšky, poklepu na čelo a pak se zeptám, jestli jste to fakt s těmi nahými fotkami na Internetu mysleli vážně. A zda jste byli při vědomí, když jste je tam dávali.

Takže vám možná nakonec zbudou jenom oči pro pláč, nebo případná možnost (když tedy mluvím o těch pár tisících poškozených), to každý jednotlivě předat ÚOOÚ. A aspoň doufat, že to bude nepříjemné pro toho, kdo zanedbal základní pravidla bezpečnosti.

Máslo na hlavě má stejně provozovatel

Máslo na hlavě vždy má a bude mít ten, od koho data unikla. Není ale příliš těžké pochopit, že otázka zabezpečení internetových aplikací je otázkou složitou, ale také tradičně otázkou opomíjenou. Kdykoliv se spouští nový web. můžete si být skoro jisti tím, že se v něm objeví některé humorné bezpečnostní chyby – zejména XSS (Cross Site Scripting) a HTML Injection. Každý několikátý spuštěný nabízí SQL Injection, tedy možnost aktivně zasahovat do dat na serveru. A to komentuji jen a pouze takové ty chronicky viditelné věci – v dalších případech jsou bezpečnostní chyby ještě vážnější a odhalitelné ne pomocí „několika“ kliknutí.

Jinými slovy, pravděpodobnost, že nějaká internetová aplikace (server) je nějakým způsobem děravá, je hodně velká. A je větší tím víc, čím víc daný server vznikal na koleně a za překotného vývoje. A s něčím takovým je potřeba počítat, jak na uživatelské straně, tak na straně provozovatele.

Máslo na hlavě pak má skutečně vždy jen a pouze provozovatel. I kdyby šlo o uživatele, kteří si nastavili „špatná“ hesla, neměl to umožnit. I kdyby šlo o pomstu zhrzeného zaměstnance, protože ani to neměl umožnit. A dokud většinu bezpečnostních návyků bude ignorovat, i takové základní věci jako zásadu  neukládání hesel v čitelné podobě, tak budou existovat nebezpečné weby.

Realisticky, uplně nakonec

Už jsem to vlastně naznačil před chvílí, ale je dobré to zopakovat. Internet je veřejné místo a v současné době neexistuje žádné široce používané (a široce použitelné) zabezpečení čehokoliv, co tam umístíte. V drtivé většině používaný systém jméno a heslo je sám o sobě jenom velmi mírným způsobem zabezpečení, obzvlášť v kombinace s chronickou neochotou uživatelů používat bezpečná (složitá) hesla a vůbec se obtěžovat s nějakými pravidly bezpečnosti. Připočtete-li k tomu ještě phishing, viry, možnost odposlechu, ukládání hesel v počítačích, tak skutečně nemůžete klasickou kombinaci jméno a heslo brát vůbec vážně.

Pak je tu samozřejmě stále riziko toho, že vaše „bezpečně“ uložené informace (texty, fotografie, cokoliv) dostane do rukou někdo „nějak jinak“. Naštvaný a vyhozený správce sítě je například prodá konkurenci. Někdo se dokáže vloupat do zdánlivě dokonale zabezpečené sítě provozovatele. Někdo někde omylem ty data zapomene (třeba v ukradeném notebooku).

Suma sumárum, cokoliv pověsíte na Internet, je tam pověšeno s tím, že to jednoho dne může kdokoliv a kdekoliv vidět, využít a zneužít. A zapomeňte na nějaké ochrany heslem či jinak. Prostě to berte tak, jak to je. A pokud nechcete, aby někdo něco viděl či získal, nepokoušejte osud a nestrkejte to na Internet.

A co se provozních a uživatelských podmínek webových služeb týče? O tom už tu byla dříve řeč. Nezapomínejte si je přečíst. Zapamatujte si, že vás nemohou připravit o vaše práva, těch se nelze zříci jednostranným (a ještě navíc neprokazatelným) prohlášením. Ale pokud se vám podmínky nebudou líbit, nepoužívejte takovou službu. Pokud by si uživatelé, například LimibseTi.cz, opravdu uvědomili, jak s nimi provozovatel zachází, tak by dost možná rázem byl konec celému serveru.

Poznámka redakce: vyjádření Tomáše Kapalína za server Libimseti.cz nám dorazilo až po uzávěrce, proto je autor nestihl zapracovat do textu a připojujeme je alespoň pod článek:

Nejdříve trochu citace z tiskové zprávy, která šla k médiím od naší PR manažerky:

Kdy se to stalo a jak jste se o tom dozvěděli?

Situaci jsme začali řešit ihned ve středu ráno, kdy jsme se o problému dozvědeli. Spolu s programátory jsme analyzovali místo, kudy se útočník ke chráněnému obsahu dostal, a připravili opravu, která tomuto úniku nadále zabrání. Systém jsme aktualizovali ve čtvrtek ráno, a od té doby jsme již nezaznamenali další únik.

Oznámili jste to na policii? Podali jste trestní oznámení na neznámého pachatele?

Právě se dávají dohromady veškeré podklady, které souvisí s touto událostí. Trestní oznámení podáme během příštího týdne.

Jak na tyto zneklidňující informace reagují návštěvníci vašeho webu?

Líbímseti.cz má 1 500 000 uživatelů, kteří nahrají každý den přes 100 000 nových fotografií. Jelikož se jedná o malé procento z celkového počtu uživatelů, neobdrželi jsme do této chvíle žádné negativní uživatelské ohlasy.

Jaká jste udělali opatření, aby se nic podobného už nestalo?

Programátoři analyzovali místo, kudy se útočník ke chráněnému obsahu dostal, a připravili opravu, která tomuto úniku nadále zabrání.

Kdy budete moci říci, že vaše stránky jsou proti »zlodějům« stoprocentně zabezpečené?

V současné době se nemůže podobná situace opakovat. Problém zaheslovaných alb byl vyřešen.

Pokud bych měl přidat i něco z kuchyně, tak z našeho pohledu a z pohledu naši právní kanceláře jsou naše všeobecně podmínky v pořádku. Neříkáme, že dokonale a proto připravujeme novější verzi (zejména proti extrémním rýpalům).

Dle vyjádření našich právníků se při hacku o únik osobních informací nejednalo. K tomuto tvrzení máme i zdokumentované precedenty z jiných kauz.

Co se týká lidí, kteří zmíněnou věc provedli, máme o nich velké množství informací, neboť na Libimseti.cz se ukládají informace o činnosti každého uživatele. Zároveň zmínění uživatelé se svojí činnosti netajili, naopak se celkem chlubili, takže předpokládám, že pro policii nebude problém je dohledat. Myslím, že to byla dětská nerozvážnost, a i když se nám se stížností neozval jediný uživatel, nemohli jsme zmíněné hackování našeho portálu tolerovat.

Z toho důvodu naší právníci připravují trestní oznámení, které bude nejdéle na počátku příštího týdne doručené policii.

Na závěr jen dodám, že fotografie byly ukradeny z 1164 profilů z celkového množství více jak 1 500 000 profilů, které na libimseti.cz jsou. Celkem bylo ukradeno 14 417 privátních fotografií. Jen pro porovnání, za jeden den je na libimseti nahráno až 120 000 fotografií. Celkem tedy na našich serverech hostujeme desítky miliónů fotografií a zmíněné ukradené číslo bylo jen zlomek.

Tomáš Kapalín, Libimseti.cz