W odpowiedzi na pytania kilku klientów przyjrzeliśmy się bliżej tej sprawie i omawiamy techniczne aspekty pisma. Poniższe informacje nie stanowią jednak porady prawnej.
W drugim akapicie pada stwierdzenie: „Po wejściu na Państwa stronę internetową moja klientka stwierdziła, że bez jej zgody przekazali Państwo jej adres IP 212.95.5.xxx spółce należącej do amerykańskiego koncernu „Alphabet Inc.” („Google”). ”
To stwierdzenie jest nieprawidłowe z następujących powodów:
Wszystkie adresy IP wymienione w piśmie to dynamiczne adresy IP operatora Magenta / Telering, wykorzystywane w ramach NAT. Z technicznego punktu widzenia oznacza to, że za takim adresem IP kryje się wiele łączy internetowych różnych klientów korzystających z prywatnych adresów IP, a zatem na podstawie samego adresu IP nie można zidentyfikować konkretnego klienta.
Wszystkie czcionki pobierane z Google mają ustawiony czas przechowywania w pamięci podręcznej. Oznacza to, że gdy użytkownik odwiedza stronę korzystającą z danej czcionki, jest ona zapisywana na jego komputerze na 365 dni (w pamięci podręcznej przeglądarki) i przy wejściu na kolejną stronę nie jest ponownie pobierana z serwera Google.
Wszystkie zapytania do Google Cloud i udostępnianych tam zasobów statycznych — takich jak obrazy, CSS, czcionki, skrypty JavaScript, mapy i tym podobne — są kierowane za pośrednictwem usługi o nazwie Anycast-DNS do najbliższego centrum danych. W naszym przypadku, przy połączeniu z Austrii, jest to zazwyczaj Frankfurt. (fra16s53-in-f3.1e100.net [142.250.185.227])
Serwery te podlegają RODO i mogą przekazywać dane podmiotom trzecim wyłącznie za zgodą. Według Google informacje o dostępie są zapisywane jedynie w formie zanonimizowanej, aby zgodnie z przepisami o ochronie danych świadczyć swoje usługi.Zrzuty ekranu przedstawione w piśmie pokazują jedynie osadzenie zasobów Google oraz widok strony internetowej, nie dowodzą jednak, że faktycznie doszło do przesłania danych. W kwestii przekazywania danych zob. punkt 2 lub 3.
Z powyższych powodów twierdzenia te budzą poważne wątpliwości. Po przeanalizowaniu logów serwera hostingowego, na którym znajdują się strony kilku klientów, ustaliliśmy, że te różne, niepowiązane ze sobą hosty odwiedzano w odstępach milisekund.
Takie działanie, łącznie z wykonywaniem zrzutów ekranu, jest możliwe wyłącznie dzięki automatyzacji z użyciem robota internetowego i np. narzędzi do testów jednostkowych od Google lub Mozilli — służące do tego wywołania udokumentowano na tej stronie:
Wykonywanie zrzutów ekranu stron za pomocą przeglądarki w trybie headless
Dokumentacja API Google Chrome
Zrzuty ekranu zamieszczone w piśmie wykonano prawdopodobnie za pomocą Google Chrome w trybie headless — produktu Google i stojącego za nim amerykańskiego koncernu Alphabet Inc ...
Korzystanie z zasobów Google jest powszechną praktyką służącą przyspieszaniu działania stron internetowych dzięki szybkim serwerom i nie powinno stanowić naruszenia RODO, ponieważ dane są dostarczane z europejskich serwerów.
Kolejną bardzo zaskakującą kwestią związaną z tym pismem, która nasuwa podejrzenie phishingu na dużą skalę, jest brak numeru referencyjnego do przelewu odszkodowania. W tytule przelewu należy wpisać jedynie „ugoda”, przez co nie da się go jednoznacznie powiązać z daną sprawą.
Te masowo rozsyłane pisma wysłano za pośrednictwem usługi Poczty Austriackiej:
Wysyłka listów online Post.at
Więcej informacji i najnowsze wiadomości dotyczące tej sprawy pod adresem: