Podmienenie statnych sluzieb akceptaciou podmienok 3. stran (napr. Google reCAPTCHA)

1

Zdravim damy a pani,

chcel by som tu otvorit diskusiu na temu, ci je v poriadku ak stat podmienuje svoje sluzby akceptaciou podmienok 3. stran a ake mame moznosti tieto podmienky odmietnut. Pre zjednodusenie, mozme tuto problematiku demonstrovat na integrovani sluzby Google reCAPTCHA (korona formulare) a Google reCAPTCHA Enterprise (scitanie) - teda sluzby ku ktorym sa vacsina z nas dobrovolne-nasilu dostala. Kedze spolocnost Google (resp. jej Irska pobocka - Google Ireland Limited, spadajuca pod Irsku jurisdikciu) nie je nikde spomenuta ako sprostredkovatel prevadzkovatela (a pokial je mi zname, takuto moznost Google ani neponuka), je teda samostatnym prevadzkovatelom. Ak sa ja ohradim, ze nesuhlasim s danymi podmienkami sluzby, ktore si dana spolocnost chce uplatnit voci mne, tak zrazu narazim na problem, ze nikto pri navrhu danej statnej sluzby s takouto variantou ani len neratal. O to horsie, ak stat neposkytuje ziadny alternativny sposob, ako potrebnu akciu zo strany obcana vykonat.

Ked sa pozrieme na podmienky implementacie sluzby Google reCAPTCHA Enterprise (nie-Enterprise podmienky som volne dostupne nenasiel, ale predpokladam ze predmetna cast bude obdobna, popr. ma opravte), tak priamo v nich sa pise (k aktualnemu datumu bod 23c): “Customer agrees to explicitly inform applicable Customers End Users that Customer has implemented reCAPTCHA Enterprise on its properties and that Customer End Users’ use of reCAPTCHA Enterprise is subject to the Privacy Policy and Terms of Use.”, kde je explicitne uvedene, ze koncovy uzivatel podlieha tymto podmienkam.

Samostatnym problemom je technicka realizacia, kde je dana sluzba integrovana priamo na stranke, kde obcan vyplna citlive/osobne udaje. Z povahy zvolenej implementacie, moze spolocnost Google pristupovat ku vsetkym datam, ktore su na stranke pritomne. Je v celku smutne, ze prevadzkovatel nepodnikol ani len zakladne kroky k ochrane udajov obcanov napr. umiestnenim tejto sluzby na samostatnu podstranku (resp. dalsi krok vo formulari) bez citlivych/osobnych udajov obcana alebo nevymyslel iny postup, ktory by bol zo strany obcana prijatelnejsi (na ukazku postup, ktory zvolil protonmail). Samozrejme, idealna situacia je nepouzit ziadne sluzby 3. stran, ktore si voci uzivatelovi chcu uplatnit svoje vlastne podmienky.

Dalsi problem, ktory z vyuzitia danej sluzby vyplyva, je jej nedostupnost a tym aj nefunkcnost nasich statnych sluzieb za velkym cinskym firewallom. Ako ma obcan vyplnit e-hranicu? A ako sa mal scitat?

Ako programator chapem, ze vyuzitie danej sluzby moze byt zaskatulkovane pod opravneny zaujem prevadzkovatela chranit si svoje webove sidlo, ale na strane druhej, nikto ma nemoze nutit suhlasit s niecim, s cim nesuhlasim…

Samozrejme, ozval som sa s danym problemom prevadzkovatelom predmetnych webovych sidiel, ale komunikacia s nimi nikam nevedie. Co sa tyka scitania, musel som vyuzit postup urceny pre dochodcov - asistovane scitanie na kontaktnom mieste za pomoci stacionarneho asistenta, kde ale zariadenie urcene na tento ukon nefungovalo a pani ma scitala na svojom pracovnom pc - cez prehliadac Google Chrome… Cize z blata do kaluze, kedze jeho pouzivanie je podmienene tymi istymi podmienkami, s ktorymi mam problem v prvom rade. A co sa tyka formularov ohladne korony, tam som sa zatial k rieseniu nedopracoval.

Takze otazka znie, co s tym vieme spravit?

6 Likes
2

Pri ReCAPTCHA je navyse problem s pristupnostou. Sice umoznuje pustit audio ako alternativu, ale to je po anglicky, ak sa nemylim.

3

OK komunikacia statu s obcanmi by mala byt iba v rezii statu. Nemaliby do toho byt ziadnym sposobom zatahovane tretie strany o ktorych nema niekedy obcan ani ponatia. Podobne ako ReCaptcha su portalom UPVS odosielane aj udaje o pristupe k niektorym sluzbam koli statistike. To ze google statistiky su dobra vec je kazdemu jasne ale v statnom komunikacnom systeme si nemoze stat zlahcovat zivoit tym ze bude zatahovat do spolocnej komunikacie s obcanom sluzby o ktorych obcan nema tusenie ze sa vykonavaju na pozadi.
Musi si poradit sam aj ked takato statistika mozno navysi cenu systemu.

4

Zabudol som sa este v 1. prispevku rozpisat o co som sa pokusal v dobe prebiehajuceho online scitania:

  • kontaktoval som SUSR ako prevadzkovatela - Komunikacia nikam neviedla a bola vedena v style, ze ak sa nechcem alebo neviem scitat sam, tak mam vyuzit asistovane scitanie.
  • kontaktoval som CSIRT - Kde zial len konstatovali, ze nahlasene oznacenie zranitelnosti nekoresponduje s ich popisom… Zial nemam SecOps background aby som im to dokazal spravne pomenovat. Z celej komunikacie som mal navyse pocit, ze oni nechcu riesit prevenciu (kde sa to neda zreplikovat, resp. ani nie je co replikovat), ale cakaju kym sa nieco preukazatelne nestane.
  • kontaktoval som UOOU - Kde mi odpoved prisla az po mesiaci, s tym ze to nespada pod nich ale pod Urad pre regulaciu elektronickych komunikacii a postovych sluzieb (netusim aku maju oficialnu skratku) s citaciou zakona ohladne cookies, pricom moj problem sa cookies ani okrajovo netykal. Odpovedat na ich mail sa uz nedalo a trebalo by podat novy podnet - dalsi mesiac cakania na odpoved, co vzhladom na dlzku online scitania uz bolo bezpredmetne.
  • na zaklade vyjadrenie UOOU som kontaktoval aj Urad pre regulaciu elektronickych komunikacii a postovych sluzieb - Kde len skonstatovali, ze pouzite riesenie nevyuziva cookies a je za neho zodpovedny prevadzkovatel (SUSR). Tym sa kruh uzavrel, kedze prevadzkovatel (SUSR) uz so mnou na tuto temu dalej odmietal komunikovat.

@miromr:

Pred Google analytikou sa da ako-tak branit, nakolko sam Google poskytuje oficialne rozsirenie na tento ucel. Navyse si viete predmetne domeny zablokovat na DNS-ku alebo cez hosty a vsetko dalej funguje ako ma. Ale skuste si zablokovat google.com a/alebo gstatic.com (a ich www. alternativy) a zrazu je problem na svete.

1 Like
5

Aj tak som presvedceny ze slovensko.sk nema co pouzivat analyticke nastroje tretich stran v komunikacii obcan - stat.
Treba vediet odlisit co je este web slovensko.sk, kde moze byt takyto analyticky nastroj uzitocny avsak ked sa prihlasim do svojej schranky tak uz to nie je webova stranka slovensko.sk ale MOJA elektronicka schranka a tam si neprajem aby boli akekolvek volania o ktorych netusim a nemaju s mojou komunikaciou so statom nic spolocne.
Ak potrebuju robit statistiku z ktorej IP adresy kto kolkokrat isiel do schranky a do ktorych zloziek klikal, nech si to naprogramuju vo vnutri systemu, ale posielat tieto udaje von a bez vedomia pouzivatelov je minimalne neferove konanie.
Zabranit tomu sice dokazem (ked o tom viem…) ale vacsina ludi pri praci so schrankou to ani len netusi a dalsi problem je, ze aj ked by s tym neuhlasili, nemaju napriklad moznost “Deaktivovat schranku”. A musia strpiet taketo spravanie prevadzkovatela. je to podla niekoho sice malickost ale prave tieto malickosti maju postupny vplyv na nedoveru obcanov k statu.

To spravanie schranky bolo pred casom. Mozno uz ho vypli neskusal som a mozno to tam mali docasne, ale je treba brat aj taketo veci do uvahy. Neni to web sukromnej firmy ale statne rozhranie.

2 Likes
6

@miromr:

Samozrejme, na statnych weboch by nemali sluzby 3. stran co hladat. Som rovnakeho nazoru, ale zial realita je taka aka je - treba sa tomu aktivne branit a ozyvat sa so svojimi staznostami jednotlivym prevadzkovatelom, inak to uz lepsie nebude. Idealne este sirit osvetu v svojej socialnej bubline. Cim viac ludi o tom bude vediet, tym bude vacsi odpor k takymto praktikam zo strany statu.

Ono dalsi priklad z praxe ohladne GA (Google Analytics) bol aj pri scitani, kde to tiez mali nasadene bez ohladu ci uzivatel odsuhlasil cookies (alebo bol o tom preukazatelne informovany) a vyjadrenie prevadzkovatela (SUSR) bolo v zmysle, ze sice oni to tam maju nasadene pre vsetkych uzivatelov, ale nedaju tomu skriptu povel na zbieranie dat, pokym uzivatel cookies neodsuhlasi. Neviem ako chcu zabranit tomu, ze si ten remote skript na tej stranke nerobi co chce (vlastne rovnako ako script reCAPTCHA), ked ho nemaju pod kontrolou. Ale tu sa dostavame do patovej situacie, kedy ja ako uzivatel by som nevedel preukazat ze sa tak stalo aspom raz (vzhladom na vsetkych uzivatelov, ktorych sa to tyka) a zaroven prevadzkovatel by nevedel preukazat, ze sa tak nestalo ani raz.

Dalsim problemom je to, ze tymto sposobom sa Google dostane k IP uzivatela, pricom ta samotna je povazovana za PII (osobny udaj). Google sice tvrdi, ze hned 1. vec co s danym requestom robi je, ze anonymizuje IP (opt-in featura), ale da sa tomu verit? Mame si to v praxi ako overit?

Naskyta sa tu teda otazka, co s tym vieme spravit na inej urovni ako je boj jednotlivca s prevadzkovatelom/statom, kedze sa to (minimalne z mojich skusenosti) neukazuje ako efektivne.

1 Like
7

Dnes som si vsimol, ze formulare v ramci NCZI vyuzivaju sluzbu Google reCAPTCHA Enterprise (nie-Enterprise verzia je v kode zakomentovana), ktorej podmienky som citoval v prvom prispevku.

Navyse, dnes spristupnena appka GreenPass je pre Android dostupna len pre variantu Androidu s GMS, pricom nie je pristupna pre cisty Android (AOSP) a ani pre ine zariadenia s Androidom bez GMS (u nas napr. zariadenia znacky Huawei). Tu si opat stat podmienil proces nadobudnutia tejto appky akceptaciou podmienok 3. strany - Google, ba este aj nutnostou Google konta. Situaciu s Applom neriesim, tam nie je ina moznost ako App Store. Uplne totozna situacia bola aj pri appke scitania.

2 Likes
8

A mame tu ockovaciu loteriu, kde sa opat nachadza sluzba Google reCAPTCHA Enterprise a kde opat nie su dodrzane podmienky jej implementacie. Cize opat stovky tisic Slovakov boli potencionalne uvedene do omylu. Ked si spocitate, kolko ludi uz vyuzilo online scitane, registraciu na vakcinaciu, e-hranicu (tu neviem ci dobre vidim, ale minimalne v 1. kroku uz Google reCAPTCHA nie je, otazne je, ze odkedy) a teraz loteriu… Vsak to su miliony Slovakov (resp. ich interakcii), ktorymi mozno nevedomky pristupili na zmluvne podmienky a ochranu sukromia Googlu. S najvacsou pravdepodobnostou o tom ani len netusia, nakolko s tym neboli nalezite informovany v zmysle podmienok, s ktorymi prevadzkovatel musel vyjadrit svoj suhlas.

2 Likes
9

Ono by mozno bolo dobre sa pozriet na tie zmluvne podmienky, ktore ma stat so sluzbou Google. Ci sa v nich nahodou nehovori o povinnosti nalezite informovat svojich uzivatelov. Napriklad tym ze ich zverejni aj v domacom jazyku vo forme ktorej porozumie cela mnozina uzivatelov statneho webu. A samozrejme musi mat aj plan “B” ak uzivatel nebude suhlasit so zmluvnymi podmienkami klikne na “Nesuhlasim”.

Mame na slovensku urad, do ktoreho posobnosti problemy tohoto druhu patria, ale ci je toto pre nich “tema” je otazne. Ak nie potom sa musi obcan ci chce alebo nechce podvolit natlaku statu, ktory si zlahcuje pracu programatorov, ktori tieto sluzby do svojich aplikaci automaticky vzdy davali a teraz si neuvedomili ze su v sluzbach statu, kde oni su sluzobnikmi obcanov a nie naopak nemozu podmienovat komunikaciu so statom ziadnou zalezitostou ktora do komunikacie so statom nepatri.

10

@miromr:

Co sa tyka zmluvnych podmienok medzi Googlom a statom, tak nic take zial neexistuje. Kazdy prevadzkovatel si to riesi samostatne. V ramci mojej komunikacie so Statistickym Uradom SR (scitanie.sk) mam potvrdene, ze ten mal s Googlom (resp. jeho Irskou pobockou) uzavretu zmluvu len formou potvrdenia jej Vseobecnych obchodnych podmienok (Terms and conditions) v ich GCP ucte. Cize realne ono vlastne ani ziadna zmluva neexistuje.

Podmienky implementacie sluzby Google reCAPTCHA Enterprise su dostupne tu: Service Specific Terms  |  Google Cloud, konkretne k dnesnemu datumu bod 25 v sekcii Service Terms.

a. Information. reCAPTCHA Enterprise works by collecting hardware and software information, such as device and application data, and sending this data to Google for analysis. The information collected in connection with Customer’s use of the reCAPTCHA Enterprise Service will be used for providing, maintaining, and improving reCAPTCHA Enterprise and for general security purposes. It will not be used for personalized advertising by Google.

Nikde nie je definove, co presne znamena tato vagna definicia z 1. vety tohto bodu - “hardware and software information, such as device and application data”. Z povahy zvolenej implementacie mozno len konstatovat, ze prevadzkovatel umiestnil skript danej sluzby (ktory je hostovany na serveroch 3. strany a prevadzkovatel nad jeho obsahom nema kontrolu) priamo do webstranky, kde sa mozu nachadzat aj udaje obcana. Tym prevadzkovatel poskytol tejto 3. strane pristup k celemu obsahu webstranky a teda aj ku vsetkym udajom, ktore su tam pritomne a tym padom aj k mnozine udajov vyplnenych vo formulari, ktore spadaju pod PII. Tu je otazne, co v praxi tato skutocnost znamena v kombinacii s touto vagnou definiciou zo strany Googlu.

b. Privacy Policy. Customer will provide and adhere to a privacy policy for its API client that clearly and accurately describes to applicable Customer End Users what user information Customer collects and how Customer uses and shares such information (including for advertising) with Google and third parties. Customer will be responsible for providing any necessary notices or consents for the collection and sharing of this data with Google. Customer and its API client(s) will comply with the EU User Consent Policy.

Tu v zmysle 1. vety tohto bodu, prevadzkovatel mal informovat obcanov, ake udaje zdiela s Googlom, minimalne v rozsahu/textacii z 1. bodu tychto podmienok - “hardware and software information, such as device and application data”, kde sa opat dostavame k problematike, co tato vagna definicia vlastne znamena.

c. Terms. Customer agrees to explicitly inform applicable Customers End Users that Customer has implemented reCAPTCHA Enterprise on its properties and that Customer End Users’ use of reCAPTCHA Enterprise is subject to the Privacy Policy and Terms of Use. reCAPTCHA Enterprise may only be used to fight spam and abuse on Customer’s properties, and not for any other purposes, such as determining credit worthiness, employment eligibility, financial status, or insurability of a user.

A v tomto bode 1. veta hovori to, ze prevadzkovatel mal obcanov informovat o implementacii danej sluzby na svojej webstranke a co tato skutocnost znamena pre samotnych obcanov - ze pouzitim tejto sluzby obcan vlastne akceptuje zmluvne podmienky a ochranu sukromia Googlu. A nie, nejaky stvorcek dolu vpravo na obrazovke, v ktorom su umiestnene 2 odkazy bez kontextu tento bod nenaplna. Vlastne z toho stvorceka ani nie je zrejme, ci sa jedna o Enterprise verziu alebo nie. A to som videl aj variantu, kde bol tento stvorcek takmer kompletne prekryty floating action buttonom (tusim e-hranica to takto svojho casu mala).

Takze asi tolko k danym podmienkam z mojej strany. Co sa tyka planu B, tam je otazne co prevadzkovatelovi poskytne porovnatelnu ochranu (v ramci opravneneho zaujmu prevadzkovatela chranit si svoje webove sidlo) ako tato sluzba a navyse nebude obcana viazat ziadnymi dalsimi podmienkami. Napr. eID by slo na tento ucel pekne vyuzit, ale to tiez nie je povinne, cize by musel byt aj plan C. A takto mozme pokracovat dalej az nakoniec dojdeme k variante, ze by obcan musel postou posielat prevadzkovatelovi nejaky list/prehlasenie (a este by zalezalo od povahy sluzby, ci by musel obsahovat overeny podpis od notara/matriky).

A co sa tyka kompetentneho uradu, o tom som sa uz rozpisal vyssie. Sam som s touto zalezitostou kontaktoval viacero uradov/institucii, ale vsetci davaju od toho ruky prec. Nahlasovat nekorektne pouzitie priamo Googlu (ak je to vobec mozne), tiez nebude riesenim, kedze v praxi by to bolo mozno 1 nahlasenie na 1 000 000 pouziti, co by sa javilo len ako statisticka chyba a nikto by to dalej neriesil. Podvolit sa tiez nie je riesenie - dnes statu dovolime pouzit sluzby Googlu o rok to bude zase nieco ine a mozno este horsie. Lepsie je to podchytit hned na zaciatku. Preto som dufal, ze by toto vlakno mohlo nastartovat aj nejake aktivity zo strany SD, ku ktoremu by nase institucie s najvacsou pravdepodobnostou pristupovali inak ako k jednemu otravnemu obcanovi.

1 Like
11

tak, tak tu ta trochu prisrobuju, potom tuto a zase po case hentam a naraz zistis ze si zamotany ako v pavucine. Nie je to prva takato stranka a stat by mal pouzivat vlastny system s podobnym stupnom ochrany ale hlavne taky ktory ma vo svojej moci. Bol by problem napriklad zadat pre ITSlovensko ulohu nieco take vytvorit? Vratane statistickeho systemu aby sa na statistiky neposielali slutzbe googlu udaje o tom ktora ip chodi kedy do ktorej schranky a zlozky v schranke upvs. Toto by mal mat stat vlastne a pod svojou kontrolou.

12

vytvorit dobru captchu zjavne nie je uplne trivialne, nie je problem to zadat, len je neiste ci to bude take dobre ako google.
A stale nevidim to velke riziko, ktore to ma riesit. Asi som malo paranoidny. Ale to ake data su posielane je v dokumentacii, da sa to overit ze to plati.

13

@miromr:

Podla mojho osobneho nazoru, by jednak nas stat nedokazal vytvorit porovnatelne kvalitne sluzby ako su sluzby Googlu (teda primarne recaptchu, analytika by problem nebola) a jednak si myslim, ze by ich nezvladal dlhodobo prevadzkovat a udrziavat v pozadovanej kvalite. Nehovoriac o tom, ze s najvacsou pravdepodobnostou sluzby Googlu aktualne stat vyuziva zadarmo.

@vliv2:

Tu nejde primarne o nejake riziko. V predchadzajucom prispevku som to uviedol len na margo tych podmienok, pricom riesene by mohlo byt uplne trivialne - umiestnit recaptchu na dalsiu podstranku (t.j. na dalsi krok daneho procesu), kde uz nebudu pritomne ziadne udaje obcana. Tym padom by sa Google mohol dostat len k mnozine udajov ako IP alebo UA, ale uz nie k udajom z formularu (ak nezostanu este v local / session storage). Nikde som ani nepisal, ze k nim Google aktivne pristupuje, len som upozornil na fakt, ze prevadzkovatel mu to zvolenou implementaciou umoznil. Ja osobne som zastanca nazoru “Better safe than sorry.” a preto som aj na tuto moznost upozornil.

Primarny problem je ale uplne ineho charakteru. Ak ma stat stavia do pozicie, ze mam prijat podmienky 3. strany s ktorymi nesuhlasim, tak ich jednoducho neprijmem a skoncil som - a to je kamen urazu, ze neexistuje alternativny sposob bez prijatia tychto podmienok. V skutocnosti pri tomto pripade s recaptchou ani ziadne explicitne prijatie podmienok neprebehne, kedze stat ani Google mi nedali na vyber medzi prijatim a neprijatim - to je len moje ohradenie voci tym podmienkam, kde stat ich kvazi uz pred-prijal za mna pricom ma ani o tomto fakte neinformoval (co v zmysle podmienok implementacie danej sluzby mal spravit). Stat nie je sukromny sektor ako napr. e-shop, ze ak nesuhlasim, tak jednoducho idem ku konkurencii a nakupim tam.

Ak tvrdite, ze je k tomu dostupna dokumentacia, mozte sem kludne poslat link, kde sa ja ako koncovy pouzivatel budem vediet k nej bez problemov dostat (t.j. bez Google konta) a na jej zaklade si vase tvrdenie o overitelnosti sam overit. Ja osobne takouto informaciou nedisponujem a pochybujem, ze by Google niekde explicitne zverejnil aku konkretnu mnozinu udajov spracovava a odosiela k sebe na server. Ak by toto bolo zname, bolo by velmi jednoduche obist celu recaptchu.

A toto nie je problem len recaptchy, Androidu s GMS, resp. sluzieb Googlu ako takych. Do obdobnej situacie sa dostanete napr. aj so SW pre eID citacku (pre Linux), kde stat po obcanoch pozaduje prijatie licencnych podmienok Oracle Javy. Tiez ich mozte odmietnut a ste skoncili (aspom podla oficialnej dokumentacie).

14

ok, skusim reformulovat problem.
na jednej strane je snaha urobit sluzby statu s co najvyssou pridanou hodnotou a to vyzaduje napriklad vediet email, telefon, suhlas s roznymi licencnymi poziadavkami atd. Ale zaroven by stat mal poskytovat aj sluzby na najnizsom spolocnom menovateli, teda osobne a len s vyuzitim toho zakon prikazuje ( v zasade obciansky ).

Je toto ten problem ?

15

@vliv2:

Myslim, ze sa vam zlievaju 2 vlakna do jedneho. E-mail a telefon sa riesi v tomto vlakne.

Vo vztahu obcan-stat su casto pritomne aj osobne/citlive udaje a do tohto vztahu by nemali byt zbytocne zatahovane dalsie 3. strany (minimalne nie bez explicitneho consentu obcana), ktore s danou sluzbou vobec nesuvisia.

To, ze recaptcha zjednodusi zivot programatorom, mna ako koncoveho uzivatela nemusi vobec zaujimat. Nevidim dovod preco by som musel napr. pre ucel scitania sa akceptovat nejake podmienky Googlu. Ako Google suvisi s mojim scitanim sa (resp. registraciou na vakcinaciu alebo do e-hranice)?

Vo vseobecnosti, ak postavime obcana do pozicie, ze moze nejake podmienky (3. strany) odmietnut (alebo sa voci nim ohradit), tak treba ratat aj s takymto scenarom.

Ak by sa recaptcha zamenila napr. za eID, tak by som v tomto pripade namietky nemal. Ale to by eID muselo byt povinne a kazdy obcan by musel disponovat pristupom k internetu a zariadenim kompatibilnym s citackou (ci uz doma alebo na kontaktnych miestach zriadenych statom).

1 Like
16

@vliv2:

Este raz si citam vasu spravu a myslim si, ze ano, z casti to co ste napisali mozno oznacit za tento problem.

Sam spominate, ze by stat mal sluzby poskytovat aj kvazi offline sposobom - osobne s OP, resp. by som prekusol aj online variantu s mnozinou udajov rovnou alebo mensou mnozine udajov na OP. A toto je jeden z problemov, ze tuto variantu nie vzdy stat poskytuje:

  • colne vyhlasenie - netusim (este som nezistoval) ako ide vybavit offline,
  • GreenPass, resp. jeho PDF/papierova varianta - tiez netusim ako sa da ziskat offline,
  • registracia na vakcinaciu - len nedavno sa otvorila aj pre neregistrovanych (teda cca. rok bola len online) a tu doslova ide o zdravie,
  • e-hranica - nie je ziadne oficialne info o tom ako postupovat offline (ci na hraniciach niekto bude s papierom, ktory vyplnim a co robit ak na hraniciach nikto nebude / nikto ma nezastavi),
  • scitanie - tu dokonca zakon explicitne urcoval, ze sa malo dat autentifikovat len pomocou mnoziny udajov z OP a realne to mozne nebolo, kedze tam bol zase nutny suhlas s podmienkami 3. strany, ktore so scitanim nesuviseli (a nech som teda korektny, existoval aj regulerny offline variant).

Ale to uz sme off-topic, tak prosim, skusme sa drzat povodnej temy. Dakujem.

No a tie dalsie casti problemu (resp. samostatne problemy) su spomenute v mojom predchadzajucom prispevku.

17

ja netvrdim ze to dnes stat robi, len sa snazim pochopit vase vychodiska a co je vasa poziadavka.
Ak to smeruje k tomu ze by mali byt podporovane aj vsetky medziscenare, tak to naraza na efektivitu. Uz len pouzivanie kazdeho internet browsera znamena akceptovat nejake licencne podmienky, ak to dovediem do extremu tak by pre par uzivatelov mal existovat statny operacny system so statnym browserom, statnym programovacim jazykom atd.

Ciste technicky google recaptcha zbiera a zasiela nasledovne data:
All cookies placed by Google over the last 6 months,
How many mouse clicks you’ve made on that screen (or touches if on a touch device),
The CSS information for that page,
The date,
The language your browser is set to,
Any plug-ins you have installed on the browser, and
All Javascript objects

18

VsZP to umožňuje vo svojich pobočkách. Ostatné ZP neviem. Možno to je iba iniciatíva VsZP. Ak si dobre pamätám, tak zákon prikazuje ZP iba elektronický prístup ku DGC pre svojich poistencov.

To znamená všetky údaje uvedené na stránke ?

19

neviem, myslim si ze ide o o nazvy ako vstup do AI. Ale davam to ako som to dostal.

20

Ak by stránka robila nejakú client-side validáciu formulára alebo iné fancy veci s poliami formulára (highlighty, show/hide atď) tak by som sa nedivil keby sa to dostalo do takej širokej množiny ako all Javascript objects.