Wprowadzenie do ekranu zgody użytkownika

Czym jest ekran zgody użytkownika#

Wyobraź sobie, że rejestrujesz się w nowej aplikacji społecznościowej, używając swojego konta Google. Klikasz przycisk "Zaloguj się przez Google" i jesteś przekierowany do Google, aby dokończyć proces logowania. Po pomyślnej autoryzacji w Google, jesteś przekierowany na stronę, która prosi Cię o udzielenie tej aplikacji dostępu do Twojego profilu konta Google. Coś takiego:

Ta strona to to, co nazywamy stroną zgody lub ekranem zgody. Jest to element interfejsu użytkownika wyświetlany przez aplikacje lub strony internetowe podczas procesu onboardingu. Jego głównym celem jest informowanie użytkowników o zbieraniu, przetwarzaniu i wykorzystywaniu ich danych osobowych oraz uzyskiwanie ich wyraźnej zgody na te działania.

Na stronie zgody użytkownicy zazwyczaj otrzymują informacje o rodzajach danych, które będą zbierane, jak będą wykorzystywane i czy będą udostępniane stronom trzecim. Informacje te są kluczowe dla przejrzystości, umożliwiając użytkownikom podejmowanie świadomych decyzji dotyczących ich prywatności i bezpieczeństwa danych.

Strony zgody są szczególnie ważne w kontekście regulacji dotyczących prywatności, takich jak Ogólne rozporządzenie o ochronie danych (GDPR) w Unii Europejskiej czy Kalifornijska Ustawa o Ochronie Konsumentów (CCPA) w Stanach Zjednoczonych, które wymagają od organizacji uzyskania wyraźnej i potwierdzającej zgody od użytkowników przed przetwarzaniem ich danych osobowych.

Kiedy potrzebujemy ekranu zgody?#

Zanim będziemy mogli odpowiedzieć na to pytanie, musimy zrozumieć kilka podstawowych pojęć dotyczących uwierzytelniania użytkownika.

Dostawca tożsamości (IdP) i Dostawca usług (SP)#

Jak wspomniano powyżej, głównym celem ekranu zgody jest informowanie użytkowników o zbieraniu, przetwarzaniu i wykorzystywaniu ich danych osobowych oraz uzyskiwanie ich wyraźnej zgody na te działania. Dlatego potrzebujemy ekranu zgody, gdy zbieramy, przetwarzamy lub wykorzystujemy dane osobowe, które są własnością innej strony, na przykład Google.

W kontekście uwierzytelniania użytkownika nazywamy stronę, która jest właścicielem danych użytkownika, Dostawcą tożsamości (IdP). Aplikację, która żąda dostępu do danych użytkownika, nazywamy Dostawcą usług (SP). W powyższym przykładzie Google jest IdP, a aplikacja społecznościowa jest SP.

IdP odpowiada za uwierzytelnianie użytkownika i dostarczanie informacji profilowych użytkownika do SP. SP jest stroną, która potrzebuje informacji profilowych użytkownika, aby świadczyć swoje usługi.

Jednokrotne logowanie (SSO)#

W powyższym przykładzie aplikacja społecznościowa używa Google jako swojego IdP. Jest to powszechny scenariusz w branży. Wiele aplikacji używa Google, Facebooka lub innych usług stron trzecich jako swojego IdP. To nazywa się Jednokrotnym Logowaniem (SSO). SSO to właściwość kontrolowania dostępu do wielu powiązanych, ale niezależnych systemów oprogramowania. Dzięki tej właściwości użytkownik loguje się za pomocą jednego identyfikatora i hasła, aby uzyskać dostęp do kilku powiązanych aplikacji. Możesz zapoznać się z CIAM 101: Uwierzytelnianie, Tożsamość, SSO dla uzyskania bardziej szczegółowych informacji.

IdP pierwszej strony vs IdP trzeciej strony#

IdP pierwszej strony to IdP będący własnością tej samej organizacji, co SP. SP może nawet dzielić tę samą nazwę domeny z IdP. Więc SP żąda dostępu do danych użytkownika będących własnością tej samej organizacji. Na przykład, jeśli korzystasz z Google Workspace, to Google jest Twoim IdP pierwszej strony.

IdP trzeciej strony natomiast to IdP będący własnością innej organizacji niż SP. SP żąda dostępu do danych użytkownika, które nie są jego własnością. Na przykład, jeśli używasz Google jako IdP i logujesz się do aplikacji społecznościowej, jak w powyższym przykładzie, to Google jest IdP trzeciej strony dla aplikacji społecznościowej.

Zgoda użytkownika#

Za każdym razem, gdy użytkownik loguje się do aplikacji, kluczowe jest, aby użytkownik był świadomy, jakie dane są zbierane i jak będą używane.

Dla IdP pierwszej strony, te informacje są zazwyczaj zawarte w polityce prywatności i regulaminie organizacji. Użytkownik zazwyczaj musi zgodzić się na politykę prywatności i regulamin przed rejestracją do usługi. W takim przypadku zgoda użytkownika jest domniemana.

Jednak ważne jest, aby IdP miał ścisłą kontrolę nad danymi, które posiada. IdP nie powinien pozwalać żadnemu SP trzeciej strony na dostęp do danych użytkownika bez wyraźnej zgody użytkownika. Każdy dostęp do danych przez SP trzeciej strony jest traktowany jako aktywność udostępniania danych. Użytkownik musi być poinformowany o aktywności udostępniania danych i musi wyrazić na nią wyraźną zgodę.

Dlatego dla IdP trzeciej strony zgoda użytkownika jest zawsze wymagana. Dlatego wszyscy główni IdP, tacy jak Google, Facebook i Microsoft, wymagają od SP wyświetlenia ekranu zgody użytkownikowi przed zalogowaniem się użytkownika do SP.

Na przykład w przypadku Google, gdy próbujesz stworzyć klienta OAuth Google, zostanie poproszony o dostarczenie szczegółowej konfiguracji ekranu zgody.

Dzięki temu użytkownik jest świadomy aktywności udostępniania danych i wyraźnie się na to zgodził.

Jakie informacje powinny być zawarte na ekranie zgody?#

Ważne jest, aby ekran zgody dostarczał użytkownikowi wystarczających informacji, aby mógł podjąć świadomą decyzję. W tym między innymi:

• Który podmiot (SP) żąda dostępu do danych użytkownika?
• Jaka jest obecna tożsamość użytkownika?
• Jakie dane użytkownika są zbierane?
• Jak będą wykorzystywane dane użytkownika?
• Jakie dodatkowe usługi lub API dostarczone przez IdP będą używane?
• Jakie dodatkowe uprawnienia zostaną nadane SP?
• Jaka jest polityka prywatności SP?

Wszystkie powyższe informacje powinny być zawarte na ekranie zgody precyzyjnie i jasno. Użytkownik powinien być w stanie zrozumieć informacje bez żadnych niejasności. Jest to szczególnie ważne w przypadku danych użytkownika, które są zbierane i jak będą używane.

IdP ma obowiązek zapewnić, że dane użytkownika są używane tylko w celu, na który użytkownik wyraził zgodę. IdP nie powinien pozwalać SP na wykorzystywanie danych użytkownika do żadnego innego celu bez wyraźnej zgody użytkownika.

Podsumowanie#

Podsumowując, strona zgody służy jako mechanizm do uzyskiwania wyraźnego pozwolenia od użytkowników na przetwarzanie ich danych, wspierając przejrzystość i zgodność z przepisami dotyczącymi prywatności. Jest obecnie wymagana przez wszystkich głównych IdP dla SP trzeciej strony i odgrywa ważną rolę w ochronie prywatności użytkowników i bezpieczeństwie danych. Zwłaszcza, jeśli oferujesz usługę IdP trzeciej strony.