Apakah Fitur Anonim di Aplikasi Pendamping Aman? Tautan Identitas dan Jejak Data
Label anonim bisa jadi berguna, tetapi itu bukanlah gambaran lengkap tentang siapa saja yang dapat menghubungkan suatu tindakan ke akun atau seseorang. Suatu fitur mungkin menyembunyikan nama tampilan Anda dari pengguna lain, sementara operator tetap mengaitkan unggahan tersebut dengan data masuk (login), jalur pemulihan, sesi perangkat, catatan pembayaran, peristiwa jaringan, laporan moderasi, atau penyedia layanan. Itu adalah anonimitas terhadap audiens tertentu, bukan berarti anonimitas terhadap platform. Anonimitas samaran (pseudonimitas) berbeda lagi: alias yang stabil atau pengidentifikasi internal dapat menyembunyikan nama dari pandangan sambil tetap mempertahankan tautan di seluruh percakapan dan catatan. Sebelum menggunakan fitur tersebut, tuliskan tiga pertanyaan terpisah: anonim bagi pengguna lain, anonim bagi operator, dan tidak dapat ditautkan di seluruh catatan. Tandai setiap pertanyaan yang belum terjawab sebagai tidak diketahui daripada memperluas istilah pemasaran di luar cakupan yang terdokumentasi.
Tentukan siapa yang seharusnya tidak mengetahui apa
Mulailah dengan matriks audiens sederhana. Tempatkan pengguna lain, pengunjung publik, moderator, staf dukungan, operator, penyedia pembayaran atau pendaftaran masuk, dan pengolah data terkait lainnya dalam baris-baris terpisah. Pada kolom, cantumkan nama yang terlihat, alias stabil, pengidentifikasi akun, pesan atau unggahan, stempel waktu, peristiwa perangkat atau jaringan, riwayat laporan, dan status pembayaran. Untuk setiap sel, catat apakah terlihat, dapat ditautkan di bawah tujuan tertentu, dipisahkan, disimpan, atau tidak diketahui. Panduan ICO membedakan anonimisasi dari pseudonimisasi: data pseudonim masih dapat dihubungkan ke seseorang dengan informasi tambahan yang disimpan secara terpisah. Oleh karena itu, nama panggilan hanya menjawab pertanyaan tentang tampilan luar. Itu tidak menunjukkan apakah ID akun internal, email pemulihan, atau referensi vendor tetap terhubung di belakang layar. Pertahankan penilaian tetap faktual dan sesuai cakupan versi fitur saat ini.
Uji pengisolasian (singling out) dan keterkaitan (linkability) di sekitar alias publik
Dua risiko tetap penting bahkan ketika tidak ada yang melihat nama resmi/asli. Pengisolasian (*singling out*) berarti partisipan yang sama atau catatan mereka dapat diisolasi; keterkaitan (*linkability*) berarti catatan-catatan yang terpisah dapat digabungkan. ICO menggunakan keduanya sebagai indikator keteridentifikasian. Nama pengguna (*handle*) yang stabil, avatar yang digunakan kembali, biografi yang khas, jadwal yang berulang, cerita yang dikutip, tautan publik, atau stempel waktu yang presisi dapat membuat satu alias dikenali atau menghubungkannya dengan profil lain. NIST juga memperingatkan bahwa menghapus pengidentifikasi langsung tidak serta-merta memutus setiap jalur penautan. Tinjau pratinjau publik saat keluar dari akun (*signed out*), area pencarian dan berbagi, notifikasi balasan, ekspor data, dan kartu tautan (*link cards*). Gunakan hanya akun Anda sendiri dan kontrol reguler. Jangan menyelidiki orang lain, menyilangkan sumber-sumber privat, atau berupaya membobol perlindungan layanan. Tujuannya adalah untuk mengurangi pengungkapan yang tidak disengaja, bukan untuk mengungkap identitas orang lain.
Ikuti jembatan akun, pemulihan, proses masuk, dan pembayaran
Aplikasi biasanya memerlukan kesinambungan untuk menyimpan preferensi, memulihkan akses, memberlakukan langganan, atau menutup akun. Petakan pengidentifikasi yang digunakan saat pendaftaran, proses masuk eksternal jika disediakan, kotak surat atau nomor pemulihan, ID akun internal, tanda terima pembelian, referensi pelanggan langganan, dan tiket dukungan. Catatan-catatan ini tidak serta-merta mengekspos informasi yang sama ke pihak yang sama. Penyedia pembayaran mungkin menangani detail penagihan sementara aplikasi menerima referensi transaksi atau hak akses (*entitlement*); penyedia identitas dapat mengonfirmasi proses masuk sementara aplikasi menyimpan akunnya sendiri. Verifikasi pemberitahuan privasi dan pengaturan saat ini alih-alih mengasumsikan rancangan yang seragam secara universal. Tanyakan apakah kontribusi anonim tetap terhubung ke akun, apakah staf dapat mengambil kembali keterkaitan tersebut untuk alasan yang terdokumentasi, dan apa yang dinyatakan oleh penghapusan atau ekspor tentang tautan tersebut. Jangan memasukkan informasi penagihan, pemulihan, atau identitas palsu untuk menciptakan anonimitas buatan.
Inventarisasi jejak perangkat, jaringan, konten, dan metadata
Konten hanyalah salah satu lapisan. Layanan mungkin memproses alamat IP, pengidentifikasi kuki atau iklan, sidik jari perangkat (*device fingerprint*), versi aplikasi, bahasa, perkiraan wilayah jaringan, waktu sesi, peristiwa mogok (*crash*), nama file unggahan, properti lampiran, riwayat pengeditan, atau tanda terima pengiriman. ICO mencatat bahwa pengidentifikasi daring dapat membedakan pengguna atau berkontribusi pada pembuatan profil jika digabungkan dengan informasi lain. Ini bukan berarti setiap aplikasi mengumpulkan setiap item, dan layar izin ponsel tidak dapat mengungkapkan semua catatan di sisi server. Susun inventarisasi jejak dari keterbukaan informasi di toko aplikasi saat ini, pemberitahuan privasi, penjelasan di dalam produk, daftar izin, ekspor data, dan respons dukungan. Pisahkan jejak yang wajib dari analitik opsional dan data khusus fitur. Bedakan juga antara penghapusan konten dengan penyimpanan log, pencabutan izin perangkat dengan penghapusan unggahan sebelumnya, serta perubahan alias dengan perubahan pengidentifikasi internal.
Sertakan log keselamatan dan pihak pemroses, lalu buat keputusan yang terukur
Fitur komunitas anonim mungkin masih memerlukan laporan penyalahgunaan, batas frekuensi (*rate limits*), daftar blokir, peristiwa keamanan, keputusan peninjauan, banding, dan bukti bahwa suatu kontrol telah diterapkan. Catatan-catatan tersebut dapat selaras dengan anonimitas terhadap sesama pengguna sembari tetap dapat ditautkan ke akun untuk tujuan keselamatan yang telah dinyatakan. Pertanyaan yang sama berlaku untuk penyedia hosting, autentikasi, pembayaran, analitik, dukungan pelanggan, dan pemrosesan konten: kategori data apa yang diterima pihak mana, untuk tugas apa, dan berapa lama? Jangan menonaktifkan, menghindari, atau menguji coba kontrol moderasi dan keamanan. Akhiri dengan kesimpulan enam baris: audiens publik, alias stabil, jembatan akun, jejak teknis, catatan keselamatan, dan pengolah data. Tandai masing-masing sebagai terkonfirmasi, bersyarat, atau tidak diketahui, serta kutip layar atau bagian kebijakan yang Anda periksa. Gunakan fitur tersebut hanya pada tingkat pengungkapan yang sesuai dengan batas terlemah yang diketahui, dan tinjau kembali pemetaannya saat rancangan visibilitas, pembayaran, komunitas, atau moderasi berubah.