Ako by mala byť nastavená ochrana osobných údajov v aplikáciách smart zariadení?

Obavy a riziká spájané s využívaním mobilných aplikácii

Prieskum z decembra 2013, ktorý vykonal britský dozorný orgán na ochranu osobných údajov ICO (Information Commissioner’s Office) ukázal, že až 62% osôb, ktoré si stiahnu mobilnú aplikáciu sa obávajú toho, akým spôsobom táto aplikácia využíva ich osobné údaje a 49% užívateľov smart zariadení sa rozhodlo nestiahnuť mobilnú aplikáciu práve z obavy o svoje súkromie.[1]

Táto alarmujúca skutočnosť kazí biznis, a preto je zo strany vývojarov, start-upistov či ich investorov nevyhnutné pri vývoji programových aplikácii pre smart zariadenia vo zvýšenej miere zabezpečiť technické a právne zabezpečenie ochrany osobných údajov užívateľov, čo by malo byť zároveň spojené s vhodnou a zrozumiteľnou komunikáciou smerom k zákazníkovi online obchodu s mobilnými aplikáciami.

Problémom je aj roztrieštenosť aktérov trhu s mobilnými aplikáciami (vývojári, vlastníci aplikácii, obchody s aplikáciami, výrobcovia operačných systémov a výrobcovia smart zariadení, iné tretie strany), ktorú považuje WP 29[2] za veľké riziko pre ochranu osobných údajov. Z hľadiska logiky veci by mali byť vykonané základné úkony, ktoré vytvoria neskôr predpoklady pre splnenie regulačných povinností v oblasti ochrany osobných údajov na začiatku reťazca, i.e. pri vývoji mobilnej aplikácie. Takto sa dá podľa nášho názoru budovať aj silná konkurenčná výhoda oproti aplikáciám, ktoré nebudú adaptovateľné na splnenie regulačných požiadaviek a ktorým sa nebude dariť vhodne komunikovať ku koncovým zákazníkom dodržiavania právneho rámca na ochranu súkromia a osobných údajov. Tento prístup môže tiež podporiť trend online obchodov s aplikáciami spočívajúci v odmietaní prijať do svojej ponuky aplikácie, ktoré nie sú schopné dostatočne garantovať bezpečnosť a ochranu súkromia svojich užívateľov.

Posudzovanie rizík a vplyvov na ochranu osobných údajov

Konkrétne zoznamy spracovateľských operácii, ktoré budú podliehať tejto novej povinnosti majú podľa GDPR zverejniť jednotlivé národné dozorné orgány, k čomu zatiaľ ešte nedošlo. Podľa nášho predbežného subjektívneho názoru sa pri vývoji aplikácie pre smart zariadenie, ktorá bude využívať aj senzitívnejšie dáta (napr. biometrické údaje, údaje o polohe, platbách, fotografiách vyhotovených smart zariadením) prevádzkovateľ nevyhne vykonaniu posúdenia vplyvu na ochranu osobných údajov podľa článku 35 GDPR.

Pri vykonávaní posudzovania vplyvov je aj v kontexte záverov EDPS rozumné zobrať do úvahy okrem iného aj viaceré špecifické záležitosti:

• nevyhnutnosť zbierania a ďalšieho spracúvania primárne tzv. citlivých osobných údajov (aktuálne osobitná kategória osobných údajov v zmysle § 13 Zákona o ochrane osobných údajov) a následne aj ďalších osobných údajov v kontexte účelu využívania mobilnej aplikácie,
• nedostatok záruk o zabezpečení dostatočnej ochrany osobných údajov v kontexte slabej interakcie, ktorú užívatelia očakávajú od svojho smart zariadenia (napr. nie sú viditeľné typické grafické označenia komunikácie kryptovanej cez SSL ako je farba, či piktogram zámku),
• nedostatok reguláciou vyžadovaných informácií o spracúvaní osobných údajov, ktoré je potrebné oznámiť dotknutej osobe (užívateľovi),čo priamo súvisí aj s potrebou nastavenia mechanizmov, ktoré umožnia dotknutej osobe vyjadrovať jednoznačný, informovaný a slobodne udelený súhlas so spracúvaním jej osobných údajov prostredníctvom mobilnej aplikácie, ktorý bude udelený konkrétnemu subjektu na jasne ohraničené obdobie,
• celkovo horšia možnosť poskytovania transparentných a zrozumiteľných právnych informácii ako je tomu v prostredí desktopov, za čo môže okrem iných faktorov hlavne menší display typických mobilných smart zariadení,
• nedostatok kontroly nad určitou časťou, resp. vrstvou softvéru, ktorá zostáva, resp. môže zostať pod kontrolou a správou výrobcu, resp. vývojára mobilnej smart aplikácie a ktorou je možné ovládať hardvér koncového užívateľa (napr. senzory spôsobilé zasiahnuť právo na ochranu súkromia) alebo spracúvať dáta zhromažďované v smart zariadení (napr. prostredníctvom integrovanej API – Application Programming Interface),
• operačný systém mobilného smart zariadenia a jeho funkcionality a spôsobilosti využiteľné na zvyšovanie ochrany osobných údajov a ochrany súkromia (napr. niektoré operačné systémy neumožňujú dostatočne definovať aké osobné údaje, resp. dáta je možné povoliť mobilnej aplikácii využívať),
• využívanie externých zmluvných partnerov (napr. v postavení sprostredkovateľov alebo subdodávateľov), ktorí nie sú objektívne schopní zabezpečiť primeranú ochranu osobných údajov,
• individuálne bezpečnostné opatrenia, ktoré silno závisia od operačného systému, ktorý bude platformou pre využívanie mobilnej aplikácie a bezpečnostných služieb, ktoré tento operačný systém poskytuje. Vo všeobecnosti štandardné prostredie smartfónov a tabletov stále ponúka nižšiu úroveň bezpečnosti ako tradičné počítače.

Okrem vyššie uvedených téz je vhodné vykonať aj analýzu a posúdenie rizík v súlade s postupmi upravenými v príslušných ISO normách (napr. ISO/IEC 27001, ISO/IEC 27005).

Všeobecné princípy ochrany osobných údajov v mobilných aplikáciách

Aktuálne sú základné zásady spracúvania osobných údajov vyjadrené primárne v právnej úprave § 5 ods. 1 a § 6 ods. 2 Zákona o ochrane osobných údajov, ktoré sú v racionálnejšej podobe priemetnuté aj v článku 5 GDPR. Ak by sme túto právnu úpravu spojili a dali do kontextu so závermi EDPS a WP 29 mohli by sme sformulovať nasledovné tézy, ktoré by mohli byť označené za akési základné princípy ochrany osobných údajov pre mobilné aplikácie:

• princíp zákonnosti, spravodlivosti a transparentnosti si bude vyžadovať udelenie jednoznačného a informovaného súhlasu dotknutej osoby, s tým ako, kým, na aký účel a po akú dobu budú spracúvané jej osobné údaje získané prevádzkovateľom prostredníctvom mobilnej aplikácie stiahnutej do smart zariadenia využívaného dotknutou osobou. Mobilná aplikácia si musí pýtať individuálny súhlas vo vzťahu ku každej kategórii osobných údajov spojených s konkrétnym a samostatným účelom ich spracovania. Vývojári by tiež nemali zabúdať na možnosť vymazať osobné údaje priamo dotknutou osobou. Samozrejme pri určení právneho základu je potrebné zobrať do úvahy aj povahu mobilnej aplikácie, pretože nie vždy bude potrebné získavať súhlas dotknutej osoby (napr. aplikáciu na internet banking je možné považovať za súčasť plnenia zmluvného vzťahu a právnym základom môže byť pokojne zmluva o bežnom účte). Zároveň je pre naplnenie atribútu informovanosti súhlasu kľúčové poskytnúť dotknutej osobe v správny okamih správne právne informácie, preto ich je vhodné poskytovať ešte v rámci procesu inštalácie aplikácie, pred tým ako by mohlo dôjsť k získaniu osobných údajov;
• princíp obmedzenia účelu spracúvania osobných údajov by mohol byť interpretovaný takým spôsobom, že mobilná aplikácia musí získavať výlučne dáta, ktoré sú nevyhnutné na vykonávanie pôvodne identifikovaných a plánovaných funkcionalít, pričom otázky ochrany osobných údajov musia byť transparentne komunikované smerom k užívateľom ešte pred inštaláciou mobilnej aplikácie (napr. v online obchode) a po inštalácii nebude môcť dôjsť k spracúvaniu dát na iné ako na transparentne oznámené účely, s ktorými dotknutá osoba vyjadrila svoj súhlas. Tento princíp je primerane aplikovateľný aj na dátové prenosy tretím stranám, ktoré sú tiež podmienené vedomosťou a súhlasom dotknutej osoby, avšak nevzťahuje sa na sprostredkovateľov, často mylne stotožňovaných s treťou stranou, či na tretie strany, ktoré sú na poskytnutie dát oprávnené ex lege (napr. polícia). V dôsledku obmedzenia účelu sa zároveň od vývojárov aplikácií vyžaduje, aby mali dobrý prehľad o obchodných dôvodoch zainteresovaných biznis modelov, než začnú od používateľov (dotknutých osôb) zbierať osobné údaje. Osobné údaje možno spracúvať len na spravodlivé a zákonné účely, a tie musia byť transparentne vymedzené ešte pred spracovaním údajov. Zásada obmedzenia účelu vylučuje náhle zmeny kľúčových podmienok spracovania bez toho, aby dotknutá osoba mala možnosť odmietnuť takéto spracúvanie.[3] Obmedzenie účelu je úzko späté so zásadou minimalizácie údajov;
• princíp minimalizácie údajov je veľmi často narúšaný pri používaní mobilných aplikácii, ktoré vyžadujú prístup k takým dátam a osobným údajom, ktoré nie sú absolútne potrebné z hľadiska povahy a funkcionalít danej aplikácie (napr. hra typu Tetris vyžaduje prístup k obsahu SD karty smart zariadenia a všetkým fotografiám a súkromnému adresáru kontaktov používateľa) a dotknutá osoba nemá možnosť vyjadriť jednoznačný a slobodný súhlas, čoho je potrebné sa vyvarovať. Samotné použitie niektorých nástrojov nad rámec OS, ktoré kontrolujú kam mobilná aplikácia pristupuje a dokážu ju zastaviť (napr. Xposed Framework – Privacy) nemusí byť dostatočné. Rovnako aj tretie strany získavajúce prístup k údajom používateľa prostredníctvom aplikácie musia dodržiavať zásady obmedzenia účelu a minimalizácie údajov. V rámci minimalizácie údajov je tiež vhodné zabezpečiť, aby sa jedinečné, často nezmeniteľné identifikátory zariadenia (napr. IMEI[4], IMSI[5], UDID[6] alebo číslo mobilného telefónu) nepoužívali na účely reklamy alebo analýzy založenej na záujmoch a preferenciách dotknutej osoby. Vývojári aplikácií by mali tiež znemožniť postupné rozširovanie používania funkcie za hranice jej pôvodného účelu, a to tak, že nebudú meniť spracovanie z jednej verzie aplikácie na druhú bez toho, aby o tom náležite informovali koncových používateľov a aby im poskytli príležitosť zrušiť buď spracúvanie údajov, alebo celú službu. S cieľom zabrániť zbytočnému a potenciálne neoprávnenému spracovaniu údajov musia vývojári aplikácií dôkladne zvážiť, aké údaje sú nevyhnutne potrebné na prevádzkovanie želanej funkcie.[7] Aplikácie totiž môžu získať prístup k mnohým funkciám zariadenia, a preto sú schopné robiť veľa vecí, ako posielať skryté SMS, získať prístup k fotografiám a celému zoznamu kontaktov. Mnoho obchodov s aplikáciami podporuje (polo)automatizované aktualizácie, v rámci ktorých môže vývojár aplikácií integrovať nové prvky a sprístupniť ich s len malou alebo žiadnou interakciou koncového používateľa.[8] Používatelia by mali mať k dispozícii aj technické prostriedky na overenie vyhlásení o deklarovaných účeloch, čiže prístup k informáciám o objeme údajov v odchádzajúcom prenose na aplikáciu vo vzťahu k prenosu inicializovaného používateľom, resp. dotknutou osobou.[9] V rámci tohto princípu je aj s ohľadom na bezpečnosť užívateľa tiež vhodné zvážiť obmedzenie prístupu k citlivejším dátam obsahujúcim kontextovú informáciu ako je napr. geolokalizácia polohy zariadenia, i. e. dotknutej osoby (napr. platobná aplikácia nie je použiteľná ak GPS dáta ukazujú, že zariadenie sa nachádza v nepovolenej lokalite) a neuchovávať históriu GPS polôh zariadenia dlhšie ako si to vyžaduje správne fungovanie funkcionalít aplikácie, ktoré dotknutá osoba chce využívať, pričom potrebné dáta sú právne pokryté vhodným právnym základom (napr. udeleným súhlasom dotknutej osoby). Zmysel tohto princípu je možné jednou vetou zhrnúť tak, že už vo fáze dizajnovania aplikácie je potrebné identifikovať dáta nevyhnutne potrebné pre správne fungovanie aplikácie a následne individuálne posúdiť každý údaj z hľadiska jeho citlivosti a toho, či je vhodné takýto údaj získavať, uchovávať a využívať na stanovený účel;
• princíp správnosti osobných údajov by sa mohol zo strany vývojárov mobilných aplikácii podľa nášho názoru zohľadniť napr. tak že, keď je súčasťou využívania aplikácie aj registrácia dotknutej osoby spojená s uvádzaním bežných identifikátorov (napr. meno, adresa, email), tak sa zabezpečí technická možnosť ľahkej aktualizácie a modifikácie registrovaných dát, či už v dôsledku iniciatívy dotknutej osoby (napr. oznámenie pri zmene emailu, vlastná konfigurácia nastavení) alebo automaticky v dôsledku zmeny zariadenia;
• princíp minimalizácie uchovávania údajov je veľmi dôležitý a vývojári, resp. prevádzkovatelia, ktorí rozhodli o využívaní mobilnej aplikácie na dosahovanie konkrétneho účelu spracúvania by sa mali zamerať aj na to, aby dokázali riadiť a adresne likvidovať presne určené dáta, resp. osobné údaje konkrétneho používateľa, či už automatizovane podľa určených algoritmov spojených s rozhodnou právnou udalosťou (napr. uplynutie doby platnosti súhlasu dotknutej osoby) alebo individuálne na základe výkonu práva konkrétnej dotknutej osoby alebo „by default“ podľa účelu aplikácie a relevantnosti údajov pre koncového používateľa. K tejto poslednej možnosti je možné zobrať do úvahy niekoľko príkladov sformulovaných WP 29 (napr. dlhšie obdobie nečinnosti, resp. nevyužívania mobilnej aplikácie a iné).[10]
• princípu zodpovednosti za spracúvanie osobných údajov je možné vyhovieť práve zvládnutými procesmi spojenými s poskytovaním správnych právnych informácii v správny čas, získavaním jednoznačných súhlasov, nastavením dobre zvládnutej právnej, resp. compliance a bezpečnostnej dokumentácie a poverením vhodného človeka do funkcie DPO (Data Protection Officer / Zodpovedná osoba);
• princíp integrity a dôvernosti spracúvaných údajov je neoddeliteľne spojený so zabezpečením primeranej bezpečnosti spracúvania osobných údajov prostredníctvom konkrétnych technických a organizačných bezpečnostných opatrení, čomu venujeme viac priestoru v nasledujúcej časti tohto článku.

Bezpečnostné faktory

Faktor bezpečnosti spracúvania osobných údajov prostredníctvom mobilných aplikácii je fakticky mimo-právnou témou. Z právneho hľadiska je dôležitá správna právna dokumentácia prijatých bezpečnostných opatrení, čo aktuálne podľa nášho národného práva znamená vypracovanie bezpečnostného projektu v súlade so Zákonom o ochrane osobných údajov, vyhláškou č. 164/2013 Z. z. o rozsahu a dokumentácii bezpečnostných opatrení a tiež v súlade s vhodnými ISO normami upravujúcimi základné otázky informačnej bezpečnosti.

Podľa článkov 25 a 32 GDPR, ktoré stanovujú základnú právnu úpravu bezpečnosti spracúvania osobných údajov s účinnosťou od mája 2018 bude potrebné zo strany prevádzkovateľa mobilnej aplikácie zabezpečiť okrem štandardnej ochrany osobných údajov (článok 25 ods. 2 GDPR) aj špecificky navrhnutú ochranu osobných údajov (článok 25 ods. 1 GDPR). V zmysle uvedeného je potrebné so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení, povahu, rozsah, kontext a účely spracúvania, ako aj na existujúce riziká prijať primerané technické a organizačné opatrenia. GDPR sa usiluje byť pri úprave bezpečnosti spracúvania osobných údajov značne technicky neutrálne, čo je pochopiteľné z hľadiska rýchleho rozvoja IT plynule prepojeného s vývojom nových hrozieb a rizík. Z tohto hľadiska je potrebné hľadať návod na prijatie konkrétnych a vhodných bezpečnostných opatrení inde.

V roku 2011 vydala ENISA (European Network and Information Security Agency) usmernenie pre vývojárov mobilných aplikácii pre smart zariadenia, ktoré definuje aj vacero konkrétnych bezpečnostných opatrení.[11] Z hľadiska soft law je tiež vhodné zobrať do úvahy aj názory WP 29[11].

Vzhľadom na zložitosť a technické zameranie tejto témy uvedieme v stručnosti iba niekoľko najzásadnejších a najšpecifickejších bezpečnostných opatrení, ktoré by vývojári mobilných aplikácii mali integrovať do svojho softvérového diela s cieľom vytvoriť predpoklady pre zabezpečenie primeranej bezpečnosti spracúvania osobných údajov, ktorú musia garantovať prevádzkovatelia alebo sprostredkovatelia v zmysle regulácie ochrany osobných údajov. Práve tieto subjekty môžu byť napr. objednávateľmi vývoja danej mobilnej aplikácie, a preto by mali od vývojárov požadovať dosiahnutie compliance štandardov už v počiatočnej fáze kontraktácie takejto objednávky. Toto je však téma na samostatný článok. In medias res pozrime sa teda na niektoré z autoritami (ENISA, WP29) odporúčaných špecifických bezpečnostných opatrení:

• integrovanie tzv. kill-switch do mobilnej aplikácie, ktorý umožní na diaľku vymazať zo zariadenia dotknutej osoby citlivé dáta spracúvané mobilnou aplikáciu napr. v prípade straty alebo krádeže zariadenia alebo individuálnej autentizovanej žiadosti užívateľa,
• minimalizácia väzieb a zložitosti kódu a zavedenie kontrol, aby sa predišlo neúmyselnému prenosu alebo kompromitácii údajov,
• preveriť všetky vstupy s cieľom zabrániť preplneniu vyrovnávacej pamäte alebo útoku injektovaním (injection attack),
• vytvorenie primeraných stratégii riadenia bezpečnostných aktualizácií a vykonávanie pravidelných nezávislých kontrol systémovej bezpečnosti,
• automatické presadzovanie zásady minimálnych práv, podľa ktorej majú aplikácie prístup len k tým údajom, ktoré naozaj potrebujú na sprístupnenie funkcie používateľovi,
• aktualizácie aplikácií na najnovšiu dostupnú verziu a pripomienky, ktoré majú zabrániť opakovanému používaniu hesiel na rôzne služby,
• umožniť fungovanie mobilnej aplikácie v osobitných lokalitách pamäte zariadenia (tzv. sandbox, príp. docker),
• využiť dostupné mechanizmy na to, aby mohli používatelia vidieť, ktoré aplikácie spracúvajú aké údaje, a selektívne zapínať a vypínať povolenia. Používanie skrytých funkcií by nemalo byť povolené,
• Z hľadiska prevencie únikov dát sa vyvarovať využívania zdieľaných dátových úložísk (caches, dočasné dátové úložiská),zZabezpečiť bezpečnú autentizáciu užívateľa tokenom alebo prihlasovacím heslom, pričom autorizačné dáta uložené v pamäti zariadenia by mali byť vždy bezpečne zašifrované,
• poskytnúť užívateľovi možnosť kedykoľvek zmeniť heslo,
• zaviesť nútené využívanie bezpečného komunikačného „end-to-end“ protokolu ako je napr. SSL/TLS,
• používať silné a overené šifrovacie algoritmy (nepr. AES) a vhodnú dĺžku kľúčov,
• využívať certifikáty iba od dôveryhodných certifikačných autorít,
• udržiavať backendové služby API a platformový server mobilnej aplikácie dostatočne zabezpečený (napr. obmedzovať prístup užívateľov na báze individuálnej IP adresy s cieľom redukovať riziko DDoS útokov, pravidelné testovanie zraniteľností, evidencia, analýza a archivovanie logovacích záznamov, posilniť hardvérovú konfiguráciu servera a zabezpečiť inštaláciu posledných verzií bezpečnostných patches a iné),
• zabezpečiť dátovú integráciu so službami a aplikáciami tretích strán (napr. venovať náležitú pozornosť validovaniu všetkých dát prijatých alebo poslaných aplikáciami tretích strán pred tým ako budú spracované v rámci mobilnej aplikácie, uistiť sa, že kódy alebo knižnice využívané mobilnou aplikáciou pochádzajú z dôveryhodných zdrojov a neobsahujú škodlivý kód (napr. backendových Trojanov),
• implementovať kontrolné mechanizmy na prevenciu neautorizovaného prístupu k plateným zdrojom (napr. SMS, telefónne hovory, digitálne peňaženky apod.) napríklad prostredníctvom varovných notifikácii, ktoré si vyžiadajú autentizovaný súhlas z vynaložením výdavkov v dôsledku správania mobilnej aplikácie a evidenciou vhodných logovacích záznamov,
• zabezpečiť predpoklady pre rýchle a automatizované aktualizovanie (update) aplikácie potrebným bezpečnostným patchom.

Záver

Mobilné aplikácie sa stali bežnou a užitočnou súčasťou našich životov. Bohužiaľ často sme za ich využívanie nútení platiť našimi osobnými údajmi a zásahmi do súkromia. Táto prax vyvoláva nedôveru dotknutých osôb (užívateľov aplikácii) a obmedzuje rast digitálnej ekonomiky. Práve faktické bezpečnostné posilňovanie mobilných aplikácii spojené so splnením nových regulačných povinností stanovených v GDPR by mohlo pomôcť vrátiť dotknutým osobám stratenú kontrolu nad osobnými údajmi a priniesť potrebnú dávku dôvery na inštalovanie a nerušené užívanie mobilných aplikácii.

Prevádzkovatelia, ktorí sa rozhodli pri spracúvaní osobných údajov využívať v rámci určených prostriedkov spracúvania osobných údajov aj aplikácie mobilných smart zariadení alebo sprostredkovatelia, ktorí tieto appky využívajú v rámci plnenia zmluvného vzťahu s prevádzkovateľom by sa mali začať seriózne zaoberať dopadmi GDPR na túto súčasť ich biznis modelov, a to najmä v prípadoch, keď mobilné aplikácie slúžia na profilovanie dotknutých osôb (napr. vyhodnocovanie správania zákazníka) alebo využívajú citlivé údaje (napr. zdravotný stav), či inak zasahujú do súkromia dotknutej osoby (geolokalizácia a vyhodnocovanie navštívených miest). Sankcie za porušovanie GDPR môžu byť totiž ukladané v milíonoch EUR.

JUDr. Ondrej Zimen

Táto e-mailová adresa je chránená pred spamovacími robotmi. Na jej zobrazenie potrebujete mať nainštalovaný JavaScript.

[2] Pracovná skupina zriadená podľa článku 29 smernice 95/46/ES.

[3] Stanovisko Pracovnej skupiny pre ochranu údajov zriadená podľa článku 29 č.  2/2013 k aplikáciám v inteligentných zariadeniach.

[4] Medzinárodná identifikácia mobilného zariadenia (International Mobile Equipment Identity).

[5] Medzinárodná identifikácia mobilného účastníka (International Mobile Subscriber Identity).

[6] Jedinečný identifikátor zariadenia (Unique Device Identifier).

[7] Stanovisko Pracovnej skupiny pre ochranu údajov zriadená podľa článku 29 č.  2/2013 k aplikáciám v inteligentných zariadeniach.

[8] Stanovisko Pracovnej skupiny pre ochranu údajov zriadená podľa článku 29 č.  2/2013 k aplikáciám v inteligentných zariadeniach.

[9] Pozri bližšie bod 3.9 Stanoviska Pracovnej skupiny pre ochranu údajov zriadená podľa článku 29 č.  2/2013 k aplikáciám v inteligentných zariadeniach.

[10] ENISA: Smartphone Secure Development Guidelines [online] [citované 06.12.2016] dostupné: https://www.enisa.europa.eu/publications/smartphone-secure-development-guidelines.

[11] pozri bližšie bod 3.6 Stanoviska Pracovnej skupiny pre ochranu údajov zriadená podľa článku 29 č.  2/2013 k aplikáciám v inteligentných zariadeniach.