informacje RODO dla użytkowników sieci Wi-Fi eduroam

Przetwarzanie danych osobowych użytkowników w związku z korzystaniem z sieci eduroam za pomocą konta użytkownika prowadzonego przez Politechnikę Świętokrzyską w Kielcach

Na podstawie opracowania dr Tomasza Wolniewicza, UCI UMK Toruń

Terminologia

  1. PŚk – Politechnika Świętokrzyska w Kielcach
  2. Użytkownik – osoba fizyczna uprawniona do korzystania z eduroam.
  3. Instytucja macierzysta – instytucja odpowiedzialna za wydanie poświadczenia o uprawnieniu użytkownika do korzystania z eduroam – Politechnika Świętokrzyska w Kielcach .
  4. Instytucja udostępniająca sieć – instytucja udostępniająca własną sieć użytkownikom eduroam.
  5. Instytucja pośrednicząca – instytucja utrzymująca serwer pośredniczący eduroam, są to instytucje utrzymujące światowe, krajowe lub regionalne węzły eduroam we wszystkich państwach włączonych w strukturę eduroam.

Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem eduroam na terenie Politechniki Świętokrzyskiej oraz danych przetwarzanych w procesie uwierzytelnienia użytkowników korzystających z eduroam poza terenem PŚK jest Politechnika Świętokrzyska z siedzibą w Kielcach Al. Tysiąclecia Państwa Polskiego 7. Jeżeli użytkownik korzysta z eduroam poza PŚK, to administratorem danych osobowych jest Instytucja udostępniająca sieć. Dodatkowo, administratorem danych mogą być także Instytucje pośredniczące w procesie uwierzytelnienia Użytkownika.

Legalność i cel przetwarzania danych

Dane są przetwarzane w celu zagwarantowania prawnie uzasadnionego interesu wynikającego z udostępnienia użytkownikom łączności internetowej. Celem usługi eduroam jest umożliwienie upoważnionym użytkownikom korzystania z Internetu w prosty i bezpieczny sposób na terenie wszystkich współpracujących instytucji na świecie. W procesie logowania do sieci niezbędne jest przetwarzanie danych osobowych w następujących celach:

  1. potwierdzenie uprawnienia użytkownika do korzystania z eduroam;
  2. zapewnienie technicznych możliwości korzystania z szyfrowanej transmisji bezprzewodowej;
  3. zapewnienie potencjalnej możliwości powiązania użytkownika z przydzielonym numerem IP w przypadku naruszenia przez niego prawa i wpłynięcia stosowanego wniosku o udostępnienie danych;
  4. zapewnienia wsparcia technicznego użytkownikowi;
  5. zapewnienia możliwości kontaktu z użytkownikiem w przypadku konieczności zwrócenia uwagi na niewłaściwość działań;
  6. zapewnienie możliwości awaryjnego zablokowania dostępu do sieci w przypadku, gdyby działania użytkownika były niezgodne z lokalnym regulaminem sieci;
  7. zapewnienie możliwości tworzenia i raportowania statystyk korzystania z sieci eduroam na potrzeby podmiotów współfinansujących.

Dokumenty stanowiące podstawę przetwarzania danych w eduroam

  1. Regulamin usługi eduroam w Polsce [eduroam-pl]
  2. Zasady działania europejskiej konfederacji eduroam [eduroam-org]
  3. Zasady współpracy regionalnych konfederacji eduroam [eduroam-complience]
  4. Deklaracja przystąpienia Polski do europejskiej konfederacji eduroam [deklaracja-pl]
  5. Deklaracje polskich instytucji korzystających z eduroam [deklaracja]
  6. Regulaminy zagranicznych federacji eduroam

Obsługiwane domeny

Politechnika Świętokrzyska jest jednostką macierzystą dla użytkowników korzystających z domen tu.kielce.pl student.tu.kielce.pl i man.kielce.pl dla użytkowników z pozostałych domen pełni role instytucji pośredniczącej oraz udostępniającej sieć.

Informacje umożliwiające powiązanie dostępu sieciowego z osoba fizyczną są posiadane jedynie przez instytucje macierzystą w której domenie jest zarejestrowany. Instytucja udostępniająca sieć nie będąca instytycją macierzystą użytkownika nie posiada informacji, która pozwoliłaby jej na powiązanie dostępu sieciowego z konkretną osobą fizyczną. Takie powiązanie jest możliwe wyłącznie poprzez analizę połączonych danych posiadanych przez zarówno przez instytucję udostępniającą sieć, jak i instytucję macierzystą. Zgodnie z prawem ochrony danych osobowych oraz regulaminem eduroam, instytucja udostępniająca sieć nie jest uprawniona do otrzymania z instytucji macierzystej użytkownika danych, które pozwoliłyby jej na zidentyfikowanie osoby fizycznej, taki proces może być realizowany wyłączenie poprzez organy uprawnione przez prawo.

Zakres przetwarzania danych osobowych

  1. Kategoria osób, których dane dotyczą – Użytkownik.
  2. Kategorie danych:
    1. Imię nazwisko, CN certyfikatu przypisany danej osobie, adres email;
    2. adres interfejsu sieciowego (MAC) – ta wartość jest udostępniana przez urządzenie użytkownika;
    3. identyfikator użytkownika pozwalający na jednoznaczne powiązanie go z osobą fizyczną;
    4. identyfikator połączenia, a w przypadku korzystania z certyfikatów indywidualnych, również cały certyfikat – zazwyczaj dana anonimowa lub spseudonimizowana – wartość tego identyfikatora jest udostępniania przez urządzenie użytkownika;
    5. identyfikator spseudonimizowany CUI – ta wartość jest generowana przez PŚK o ile instytucja udostępniająca sieć ustawi odpowiedni znacznik.
    6. czas nawiązania połączenia;
    7. przydzielony adres internetowy – wyłącznie w przypadkach, kiedy użytkownik korzysta z sieci na terenie PŚK;
    8. identyfikator instytucji udostępniającej sieć, o ile instytucja udostępniająca sieć go przekazuje;
    9. lokalizacja użytkownika na terenie sieci (identyfikator punktu bezprzewodowego obsługującego użytkownika) – wyłącznie w przypadkach, kiedy użytkownik korzysta z sieci na terenie PŚK.

Okres retencji danych

Dane są przechowywane przez okres 12 miesięcy. Po tym okresie dokonywana jest redukcja i anonimizacja danych. Dana zanonimizowane mogą być przetwarzane i przechowywane bez ograniczeń.

Odbiorcy danych

Jeżeli użytkownik korzysta z konta prowadzanego przez PŚK oraz:

  1. korzysta z eduroam na terenie PŚK, to jego dane są przetwarzane wyłącznie przez PŚK zaś odbiorcami jego danych są Administratorzy infrastruktury sieciowej i usługowej wymaganej do świadczenia usługi eduroam na terenie PŚK;
  2. korzysta z eduroam poza PŚK, to jego dane są przetwarzane przez PŚK w zakresie opisanym w niniejszym dokumencie, a dodatkowo przez instytucję, na terenie której korzysta z eduroam oraz przez instytucje pośredniczące w procesie uwierzytelnienia użytkownika. Odbiorcami jego danych są Administratorzy infrastruktury sieciowej i usługowej wymaganej do świadczenia usługi eduroam na PŚK, Administratorzy infrastruktury sieciowej i usługowej wymaganej do świadczenia usługi eduroam w instytucji udostępniająca sieć, na terenie której Użytkownik korzysta z eduroam oraz Administratorzy infrastruktury sieciowej i usługowej wymaganej do świadczenia usługi eduroam w instytucjach pośredniczących w procesie uwierzytelnienia Użytkownika.

Udostępnianie danych na zewnątrz

W procesie uwierzytelnienia następuje wymiana komunikatów pomiędzy instytucją udostępniającą sieć, a instytucją macierzystą użytkownika. Transmisja danych następuje poprzez serwery pośredniczące właściwe dla lokalizacji użytkownika oraz jego instytucji macierzystej. Dobór tych serwerów w większości jest poza kontrolą PŚK. Jeżeli instytucja udostępniająca sieć, na terenie której jest użytkownik, znajduje się poza terenem Europejskiego Obszaru Gospodarczego, to dane użytkownika są przekazywane do tej instytucji, a zatem poza obszar Europejskiego Obszaru Gospodarczego. Udostępniane są:

  1. fakt uprawnienia danego użytkownika do korzystania z eduroam;
  2. identyfikator spseudonimizowany CUI – ta wartość jest generowana przez PŚK o ile instytucja udostępniająca sieć ustawi odpowiedni znacznik.

Opis technicznych i organizacyjnych środków bezpieczeństwa

Dostęp do serwerów oraz infrastruktury sieciowej wymaganej do świadczenia usługi eduroam przetwarzających dane eduroam na terenie PŚK jest chroniony w następujący sposób:

  1. Systemy znajdują się w wydzielonej sieci chronionej przez firewall;
  2. Dostęp jest ograniczony tylko dla uprawnionych osób (administratorów);
  3. Dostęp jest możliwy tylko z uprawnionych zasobów sieciowych;

Komunikacja pomiędzy urządzeniem użytkownika a serwerem uwierzytelniającym jest szyfrowana TLS.

Wszystkie Instytucje udostępniające, które mają swoją siedzibę na terenie Europejskiego Obszaru Gospodarczego zobowiązane są do wdrożenia polityki ochrony danych osobowych zgodnie z RODO.

Wszystkie Instytucje udostępniające, które mają swoją siedzibę na poza terenem Europejskiego Obszaru Gospodarczego zobowiązane są do przestrzegania Zasad działania europejskiej konfederacji eduroam

[eduroam-org]

.

Informacje szegółowe

Informacje na temat eduroam, w szczególności regulamin, opisy działania systemu itp. są dostępne na stronach https://eduroam.pl, https://eduroam.org

Źródła