search

emergenzeHack / ukrainehelp.emergenzehack.info

Collect, verify and disseminate useful information for the emergency caused by the Ukraine war in 2022
https://ukrainehelp.emergenzehack.info/
MIT License
14 stars 7 forks source link

Dati sensibili su repo Info.segnalazioni #130

Closed girolamodaschio closed 2 years ago

girolamodaschio commented 2 years ago

Priorità: media

Richiesta

Buongiorno a tutti, un giro sul sito per capirne il funzionamento e segnalo quello che potrebbe essere un bug. Infatti, segnalazioni come queste https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/580, pur non venendo pubblicate, in chiaro, contengono nella repo pubblica quelli che sembrano essere dati sensibili.

Non so se sia un vero bug, ma a me fa suonare qualche campanello di allarme.

È già stata affrontata la questione? Può aver senso passare questo genere di richieste ad un sistema di ticketing diverso? O anche solo, forzare il fatto che vengano mandate via mail?

Come si riproduce il bug

Al link di qui sopra.

Risolto?

cristigalas commented 2 years ago

@girolamodaschio ma la nostra policy sulla privacy credo risolva questa questione. O sbaglio @iltempe?

luciroma commented 2 years ago

@Patriziacar

girolamodaschio commented 2 years ago

Non sono un giurista ma, stando all'ultimo punto, noi non garantiamo né dall'uso improprio, né facciamo pseudonimizzazione.

Qui le parti del testo:

La sicurezza dei Vostri dati personali ACTIONAID adotta idonee e preventive misure di sicurezza atte a salvaguardare la riservatezza, l’integrità, la completezza, la disponibilità dei Vostri dati personali. Così come stabilito dai disposti normativi che disciplinano la sicurezza dei dati personali, sono messi a punto accorgimenti tecnici, logistici e organizzativi che hanno per obiettivo la prevenzione di danni, perdite anche accidentali, alterazioni, utilizzo improprio e non autorizzato dei dati che Vi riguardano. In particolare, ACTIONAID ha messo in atto misure tecniche e organizzative miranti a garantire un livello di sicurezza adeguato al rischio che potrebbe inficiare i diritti e le libertà delle persone, ivi compresa la riservatezza e la confidenzialità delle informazioni che le riguardano. ACTIONAID adotta criteri di sicurezza che comprendono, tra gli altri:

la «pseudonimizzazione» (art. 4, comma 5, GDPR: «il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile») e/o la cifratura dei dati; sistemi che permanentemente salvaguardano la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; sistemi atti a ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; procedure per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. Analoghe misure preventive di sicurezza sono adottate dai soggetti terzi (responsabili del trattamento) cui abbiamo affidato operazioni di trattamento dei Vostri dati per nostro conto. D’altro canto, ACTIONAID non si ritiene responsabile circa le informazioni non veritiere inviate direttamente dall’utente (esempio: correttezza di dati anagrafici), così come delle informazioni che lo riguardano e che sono state fornite da un soggetto terzo, anche fraudolentemente.

girolamodaschio commented 2 years ago

Cioè, la privacy policy ci permette di trattarli, Ma indica un modo di trattamento che, per il fatto che sono richieste d'aiuto, non credo rispettiamo.

cristigalas commented 2 years ago

@girolamodaschio Non sono un'esperta quindi non ti so rispondere nel merito. Con le altre piattaforme non abbiamo mai avuto problemi. Se dopo un po' di tempo qualcuno ci ha chiesto di togliere il suo telefono o email da una segnalazione o richiesta di aiuto lo abbiamo fatto e basta. Comunque chiediamo ai legali di AA che hanno redatto policy @luciroma @patriziacar?

girolamodaschio commented 2 years ago

Ottimo, grazie :)

Patriziacar commented 2 years ago

Ciao, grazie Girolamo per l'attenzione. Chiedo al nostro ufficio legale e vi faccio sapere appena mi rispondono. Confermo comunque che finora non abbiamo avuto problemi. In ogni caso con richieste come questa continuiamo a rispondere via mail. Grazie!!!

girolamodaschio commented 2 years ago

Ci sono novità?

luciroma commented 2 years ago

Ciao, @Patriziacar ha in programma un incontro con l'ufficio legale per approfondire la questione, credo domani.

girolamodaschio commented 2 years ago

Ottimo, grazie. Aggiungo qui elenco di segnalazioni che potrebbero essere interessate da questa issue:

https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/474 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/475 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/527 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/580 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/585 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/650 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/651 https://github.com/emergenzeHack/ukrainehelp.emergenzehack.info_segnalazioni/issues/639

La domanda che farei alla parte legale è: Può essere un problema il fatto che sia così facile, da parte di tutto l'internet accedere a contatti e mail di persone che hanno bisogno di aiuto immediato? Non so se sia in essere, ma un bot che cerchi numeri di telefono e mail collegate a richieste d'aiuto sulla rete non mi sembra troppo difficile da fare. Anche solo per evitare aggressioni ed intimidazioni, qui a Vicenza ogni tanto compaiono delle Z sotto casa di Ucraini. Non lo so.

Patriziacar commented 2 years ago

Ciao, ho parlato con il nostro ufficio legale e riporto qui quello che ci siamo detti e che abbiamo discusso anche ieri in riunione. Il principale problema risiede nel fatto che alcune richieste di aiuto riportano dati personali particolari (quei dati che permettono di identificare e "ritrovare" la persona) e dati sensibili (ad esempio le condizioni di salute) e che questi dati sono visibili su GitHub non solo a chi lavora le segnalazioni previo accesso ma a tutte le persone che accedono al link. Quindi la prima cosa da fare sarebbe restringere il numero delle persone che possono vedere tutte le segnalazioni, ad esempio limitando questa possibilità al gruppo Editor, che dovrebbe in qualche modo poi poter mettere una etichetta "dati particolari e sensibili", chiudendo alla possibilità che quelle informazioni siano viste da altri e "liberando" le altre segnalazioni che non contengono dati di questo tipo. Su questo lasciamo il tempo agli sviluppatori di pensare a come si potrebbe fare. Il gruppo ristretto che avrà accesso ai dati particolari e sensibili firmerà un modello di nomina che autorizza ciascuno a trattare questi dati e che prepariamo noi. Una cosa, che ho dimenticato di dire in riunione è che dobbiamo accertarci anche che l'accesso a questi dati sia protetto, dunque chi potrà lavorarli abbia adeguate protezioni per impedire accessi indesiderati. Su questo noi siamo coperti perché le nostre macchine hanno fin troppe protezioni, valutiamo insieme per gli altri. Altre cose che dovremo fare, per le sole richieste di aiuto (che quindi potrebbero avere questi dati) sono:

Mi sembra sia tutto. Aspettiamo di capire come tecnicamente (@mfortini @iltempe @avivace @girolamodaschio pendiamo dalle vostre labbra!) possiamo fare e poi partiamo con gli aggiustamenti.

Taggo anche @cristigalas che non è riuscita a partecipare ieri e @favoeva che non ha sentito questa parte di discussione.

Grazie e tutt* e grazie a @girolamodaschio per la segnalazione.

mfortini commented 2 years ago

Tecnicamente, se non sono smentito da qualcuno, la soluzione è mettere il repository delle segnalazioni privato. In questo senso:

avivace commented 2 years ago

Tecnicamente, se non sono smentito da qualcuno, la soluzione è mettere il repository delle segnalazioni privato. In questo senso:

* non avremo più un repo segnalazioni pubblico in lettura per tutti

* le issue visibili saranno soltanto quelle sul sito, sia in modalità human readable, sia come file json (quello già ora è così)

Si, seguirei anche io questa via

girolamodaschio commented 2 years ago

Ottimo, direi che ci siamo!

cristigalas commented 2 years ago

Scusate @mfortini @vivace che cosa significherebbe repository delle segnalazioni privato? Che sul sito il link in fondo ad ogni segnalazione non sarebbe più accessibile a tutti? Fatemi capire meglio (fuori dai tecnicismi), grazie! Perché in tal caso metterei in modalità privato solo le richieste di aiuto che non hanno label ‘accettato’ (che poi sono la stragrande maggioranza perché le gestiamo internamente).

mfortini commented 2 years ago

@cristigalas sì, il link in fondo alle segnalazioni sarebbe accessibile soltanto a chi ha i permessi. Purtroppo non è possibile rendere privata solo una parte delle segnalazioni, si rende privato tutto il repository. Si potrebbe avere un repository per le segnalazioni private, ma il trasferimento dall'uno all'altro andrebbe fatto a mano.

cristigalas commented 2 years ago

@mfortini ok, purtroppo avevo capito bene :( Allora non mi pare una buona idea chiudere l’accesso a tutte le segnalazioni, visto che abbiamo sempre detto che chiunque può vedere come gestiamo le segnalazioni su Github proprio cliccando su quel link in fondo alle segnalazioni. Quindi, secondo me, non rimane che trasferire le richieste di aiuto con dati sensibili su repository privata. Domanda: non si può fare in modo che se applico su queste issue una label Privato automaticamente vengono traferite in questa repository privata? O trovare un altro modo che non sia il trasferimento manuale? Comunque se proprio la via automatica non fosse possibile vada per quella manuale tanto le richieste sono davvero poche e arrivano sporadicamente. Però anche per eventuali progetti futuri credo sarebbe importante sviluppare meglio questa parte da un punto di vista tecnico.

cc @luciroma @Patriziacar @avivace @girolamodaschio

Patriziacar commented 2 years ago

Se la scelta manuale non fa apparire nemmeno per un tempo limitato le richieste aiuto con i dati sentibili ok, viceversa temo non vada bene. Se in automatico le segnalazioni vanno su un repository pubblico fino a che qualcuno manualmente non le sposta non siamo compliant con la normativa e, come diceva anche Girolamo qualche messaggio più su, in questa particolare emergenza dobbiamo stare ancora più attenti a non esporre i dati delle persone

cristigalas commented 2 years ago

Ok @Patriziacar. Allora un'altra soluzione potrebbe essere questa: tutte le richieste di aiuto vanno direttamente da form in repository privata e poi noi, se non sono richieste di aiuto di persone o comunque con dati non sensibili, le spostiamo a mano (o con label, se si può) a quella pubblica. È possibile fare così @mfortini? Insomma troverei un modo per non chiudere tutta la repository. Per poche e sporadiche issue sensibili mi pare assurdo arrivare ad una scelta così drastica.

girolamodaschio commented 2 years ago

Una soluzione molto semplice sarebbe, al posto di far passare le segnalazioni della categoria aiuto sulla repository segnalazioni, inviarle direttamente ad una mail del progetto.

Lato frontend non dovrebbe cambiare nulla.

girolamodaschio commented 2 years ago

Domani vi faccio una pull così vedete quello che ho in mente.

Una cosa così, ma senza usare per forza https://formspree.io/

girolamodaschio commented 2 years ago

Non è di sicuro una best practice ma funziona :)

cristigalas commented 2 years ago

Una soluzione molto semplice sarebbe, al posto di far passare le segnalazioni della categoria aiuto sulla repository segnalazioni, inviarle direttamente ad una mail del progetto.

Lato frontend non dovrebbe cambiare nulla.

Ok potrebbe andare bene a patto che per l'utente non cambi nulla rispetto a come è adesso la form. Poi vorrà dire @luciroma @favoeva @Patriziacar che non useremo quella form per segnalare necessità varie, ad esempio da parte di associazioni ed enti. Useremo le alyre e poi su Github mettiamo a mano label Help.

cristigalas commented 2 years ago

Domani vi faccio una pull così vedete quello che ho in mente.

Una cosa così, ma senza usare per forza https://formspree.io/

Ma quindi bisognerebbe cambiare form? Ragioniamoci... Non si può fare in modo che la form che c'è adesso invii i dati al nostro indirizzo mail?

avivace commented 2 years ago

Una soluzione molto semplice sarebbe, al posto di far passare le segnalazioni della categoria aiuto sulla repository segnalazioni, inviarle direttamente ad una mail del progetto.

Lato frontend non dovrebbe cambiare nulla.

Questa opzione è esclusa perchè l'intero processo parte da una discussione condivisa (e condivisibile) sull'issue tracker di github

avivace commented 2 years ago

Ok @Patriziacar. Allora un'altra soluzione potrebbe essere questa: tutte le richieste di aiuto vanno direttamente da form in repository privata e poi noi, se non sono richieste di aiuto di persone o comunque con dati non sensibili, le spostiamo a mano (o con label, se si può) a quella pubblica. È possibile fare così @mfortini? Insomma troverei un modo per non chiudere tutta la repository. Per poche e sporadiche issue sensibili mi pare assurdo arrivare ad una scelta così drastica.

@cristigalas cosa ne pensi di fare al contrario? Le segnalazioni di un certo form (Richiesta Aiuto, per esempio), di default vanno in un repository privato, ma se si applica una label si può spostare nel pubblico

luciroma commented 2 years ago

sì @avivace va bene questa soluzione; questo repository dovrebbe essere gestito dalle editor, in modo che possano, come dici tu, mettere la label "pubblico" perché la segnalazione che non ha dati sensibili possa sportarsi automaticamente nel repository pubblico. Chi ci pensa a creare questo repository privato e il relativo automatismo?

Altre due cosa da sviluppare sono, sempre per le sole richieste di aiuto (che quindi potrebbero avere dati sensibili) sono:

  1. inserire il link all'informativa dove chiediamo di spuntare "Confermo di aver letto e accetto l'informativa sulla privacy per il trattamento dei dati personali". Le nostre colleghe prepareranno una informativa apposita estraendo da quella che abbiamo sul sito
  2. aggiungere un'altra spunta per autorizzare al trattamento di dati personali e sensibili laddove la persona scegliesse di condividerli

Entrambe devono essere obbligatori

cristigalas commented 2 years ago

@avivace sì certo, va benissimo ciò che proponi anzi meglio!

Per la questione privacy @luciroma invece di inserire nuovi disclaimer nella form Help, perché non integriamo la policy pubblicata sul sito con un paragrafo dedicato appunto a questa questione e lasciamo la richiesta di consenso dell'informativa privacy che è già in calce alla form inserendo solo il link all'informativa. Link che comunque inserirei in calce a tutte le form.

Patriziacar commented 2 years ago

@cristigalas si tratta di due disclaimer diversi: il primo riguarda la conferma di aver letto informativa privacy e va usato per tutte le segnalazioni, il secondo invece va messo solo sul form richieste di aiuto perché riguarda non solo la presa visione ma l'esplicito consenso al trattamento di dati particolari e sensibili qualora la persona li rilasci, cosa che per questo tipo di dati è necessaria.

cristigalas commented 2 years ago

Ok @Patriziacar non avevo capito. Grazie!

Quindi @mfortini @avivace possiamo procedere. Attendiamo vostre.

mfortini commented 2 years ago

Per ora, modificato il repository segnalazioni in privato, in attesa di avere un attimo per completare lo sviluppo con il doppio repository pubblico/privato

Patriziacar commented 2 years ago

Ciao, come va? Ci sono novità con le modifiche, @mfortini @avivace @girolamodaschio? Grazie sempre!

Patriziacar commented 2 years ago

Ciao a tutt, qui trovate l'informativa, per ora in italiano, che va linkata nel form di segnalazione dove c'è la spunta su Confermo di aver letto e accetto l'informativa sulla privacy per il trattamento dei dati personali : https://docs.google.com/document/d/1GT-wBGKZwdsoaAFSjLjL9gh2xyvOeEQa/edit?usp=sharing&ouid=113925306750598649235&rtpof=true&sd=true

Al form va anche aggiunta la seconda spunta che dice "Autorizzo al trattamento dei dati personali e sensibili ove decidessi di pubblicarli"

@mfortini @girolamodaschio @avivace

girolamodaschio commented 2 years ago

Con #139 chiuderei la issue.