CyberMarka: Weryfikować swój profil na LinkedIn czy nie?

Weryfikacja profilu — czyli, co właściwie?

“W LinkedIn wiemy, że autentyczność jest kluczem do tworzenia znaczących interakcji. Plakietka Weryfikacje w Twoim profilu wskazuje, że udało Ci się potwierdzić określone informacje dotyczące Twojego konta. Zweryfikowane informacje dają innym sygnał autentyczności, że jesteś tym, za kogo się podajesz. Możliwość zobaczenia zweryfikowanych informacji na profilach innych osób pomaga budować zaufaną społeczność, dzięki czemu możesz podejmować bardziej świadome decyzje dotyczące nawiązania kontaktu z innymi specjalistami. Gdy jesteś zalogowany/-a w serwisie LinkedIn, zweryfikowany profil będzie obejmować plakietkę weryfikacji w pobliżu imienia i nazwiska członka w jego profilu” - informuje platforma dla profesjonalistów, którzy chcą budować aktywną bazę kontaktów biznesowych i zawodowych.

Linkedin ma nadzieję osiągnąć 10% zweryfikowanych profili do końca 2025 roku. Z jednej strony oznaczałoby to, że zdecydowana większość nie zostałaby zweryfikowana w ciągu najbliższego półtora roku.

I w zasadzie nie ma się czemu dziwić, zwłaszcza w Polsce, w Unii Europejskiej, gdzie dane osobowe są chronione przez RODO i coraz więcej osób świadomych jest ich wartości. 

- Weryfikacja profilu na platformie LinkedIn budzi mieszane uczucia. To zjawisko można wytłumaczyć kilkoma kluczowymi czynnikami — powiedział Rafał Stępniewski, redaktor naczelny “Security Magazine”, wyjaśniając: - Po pierwsze, istnieje silna świadomość ochrony danych osobowych, zwłaszcza po wprowadzeniu przepisów RODO, które zaostrzyły wymogi dotyczące przetwarzania danych osobowych w całej Unii Europejskiej. Polacy, podobnie jak inni obywatele UE, są coraz bardziej ostrożni w kwestii udostępniania swoich danych, co odzwierciedla ogólną tendencję do zwiększonej troski o prywatność w internecie. Po drugie, proces weryfikacji, choć ma za zadanie zwiększenie wiarygodności profilu, może być odbierany jako narzędzie nadmiernej kontroli lub inwigilacji. Niektórzy użytkownicy mogą odczuwać dyskomfort związany z potrzebą udowadniania swojej tożsamości przez internet, co w efekcie może prowadzić do oporów przed przejściem procesu weryfikacji.

Trzeci czynnik, jaki wymienił Rafał Stępniewski, to kwestia percepcji wartości dodanej weryfikacji. — Chociaż dla niektórych profesjonalistów potwierdzenie autentyczności ich profilu może być ważne, dla innych może się wydawać zbędne, szczególnie jeśli nie korzystają z LinkedIn w sposób intensywny lub skupiają się na innych formach nawiązywania kontaktów biznesowych. Albo też budowali swoją markę tak długo za pomocą LinkedIn, że weryfikacja niczego nie zmieni w postrzeganiu ich przez pozostałych użytkowników - zaznaczył redaktor naczelny “Security Magazine”.

Jako czwarty aspekt Rafał Stępniewski wymienił obawy przed możliwymi konsekwencjami związanymi z bezpieczeństwem danych. Użytkownicy mogą się zastanawiać, czy dane zebrane w trakcie weryfikacji są odpowiednio chronione przed cyberatakami czy wyciekami informacji.

- Chociaż LinkedIn promuje weryfikację jako sposób na budowanie zaufania i autentyczności, zwłaszcza wśród Polaków istnieje naturalna ostrożność związana z przekazywaniem danych osobowych, co może tłumaczyć dlaczego wielu z nich waha się przed zweryfikowaniem swojego konta — zauważył redaktor naczelny “Security Magazine”.

Bezpiecznicy są na “nie”. Dlaczego?

W kontekście cyberbezpieczeństwa weryfikacja profilu na LinkedIn może rodzić obawy. Specjaliści z dziedziny cyberbezpieczeństwa podkreślają, że chociaż weryfikacja może przynosić pewne korzyści w kontekście budowania zaufania i autentyczności, istnieją poważne zagrożenia związane z prywatnością i bezpieczeństwem danych. Wymienię pięć z najczęściej powtarzających się:

• Ryzyko wycieku danych osobowych. W procesie weryfikacji użytkownicy są zobowiązani do przekazania swoich wrażliwych danych, takich jak skany dokumentów tożsamości, które mogą paść łupem cyberprzestępców w przypadku naruszenia bezpieczeństwa platformy Persona. Im więcej danych osobowych przekazujemy online, tym większe ryzyko ich wykorzystania przez osoby nieuprawnione.
• Brak przejrzystości w przechowywaniu i przetwarzaniu danych. Często nie jest jasne, w jaki sposób przechowywane są dane zbierane podczas weryfikacji. Specjaliści ds. cyberbezpieczeństwa podkreślają potrzebę jasnych informacji odnośnie do mechanizmów szyfrowania, polityk przechowywania danych i ich usuwania po zakończeniu ich użyteczności.
• Potencjalne naruszenia prywatności. Wysyłanie skanów dokumentów tożsamości może prowadzić do nadużyć i naruszeń prywatności, jeśli dane zostaną niewłaściwie zabezpieczone lub wykorzystane poza zakładanym celem. Specjaliści ostrzegają, że takie informacje mogą być używane do tworzenia fałszywych tożsamości lub innych oszustw.
• Zwiększona odpowiedzialność użytkownika. W momencie, gdy dane są już w sieci, użytkownik traci nad nimi kontrolę. W przypadku naruszenia danych, skutki mogą być długotrwałe i trudne do odwrócenia. Specjaliści ds. cyberbezpieczeństwa zwracają uwagę, że użytkownicy powinni być świadomi, iż sami ponoszą odpowiedzialność za ochronę swoich danych, a weryfikacja profilu na LinkedIn może to ryzyko zwiększać.
• Ograniczona wartość dodana dla bezpieczeństwa użytkownika. Chociaż LinkedIn promuje weryfikację jako sposób na zwiększenie zaufania i autentyczności, specjaliści z branży cyberbezpieczeństwa często argumentują, że realne korzyści dla bezpieczeństwa użytkownika są ograniczone. Podkreślają, że istnieją inne, mniej inwazyjne metody potwierdzania tożsamości, które nie wymagają przekazywania tak wrażliwych danych.

Zalety weryfikacji według LinkedIn

Aby zachować obiektywizm sprawy, przeanalizowałam, jak LinkedIn przekonuje do korzystania z tej formy aktywności, by podnieść wartość swojego profilu.

Oto, co wymienia:

1. Plakietka weryfikacji w profilu użytkownika sygnalizuje innym, że tożsamość została potwierdzona przez zaufanego partnera, co zwiększa postrzeganą autentyczność konta i buduje zaufanie wśród innych użytkowników platformy.
2. Weryfikacja tożsamości może pomóc w ograniczeniu ilości fałszywych kont oraz oszustw, co przekłada się na bezpieczniejsze środowisko dla wszystkich użytkowników.
3. Zweryfikowany profil może wpływać na większą wiarygodność użytkownika przy nawiązywaniu nowych kontaktów biznesowych, negocjacjach czy współpracy.
4. Użytkownicy, widząc zweryfikowany profil, mogą czuć się bardziej komfortowo nawiązując kontakt, wiedząc, że rozmawiają z prawdziwą osobą, której tożsamość została zweryfikowana.
5. LinkedIn może wyświetlać kraj wydania dokumentu tożsamości, co dodatkowo potwierdza pochodzenie i tożsamość użytkownika.
6. Dodawanie weryfikacji jest opcjonalne i każdy użytkownik ma kontrolę nad tym, czy chce uwzględnić tę informację w swoim profilu. W każdej chwili można również usunąć weryfikację z profilu.
7. Weryfikacja tożsamości na LinkedIn jest bezpłatna i nie wiąże się z żadnymi dodatkowymi opłatami.

Trudno jednak pominąć wątek, który wielokrotnie pojawia się również wśród pytań do supportu LinkedIn, a mianowicie: czy zweryfikowanie konta jest konieczne, czy brak plakietki będzie niosło ze sobą jakieś skutki? W tym temacie LinkedIn milczy, jednak wśród wielu specjalistów za granicą słychać głosy: “Możliwe, że z czasem Linkedin nada priorytet udostępnianiu treści ze „zweryfikowanych” profili. (...) Linkedin mówi nam, że zweryfikowane profile mają więcej wyświetleń niż niezweryfikowane” — napisał znany londyński mówca, mentor i doradca biznesu, w tym, jak korzystać z LinkedIn, Mark Lee.

Wilk syty i owca cała? Czyli co mówi sam LinkedIn?

Skoro więc są plusy, mimo wątpliwości, pokusiłam się o pewien eksperyment, idąc tropem Facebooka. Bowiem, według jednej z ekspertek social mediów, Anny Petyni-Kawy, na Facebooku dopuszczona jest opcja zakrycia wrażliwych danych przy weryfikacji konta, tak, by Facebook widział tylko to, co jest mu niezbędne.

Zapytałam Pomoc LinkedIn, czy podczas skanowania paszportu można zakryć te dane, np. białym paskiem papieru czy w programie graficznym, które nie są Personie potrzebne. 

LinkedIn informuje wprost:

“Persona przestrzega następujących zasad udostępniania informacji o użytkowniku wyłącznie serwisowi LinkedIn, a przed ich udostępnieniem prosi Cię o zgodę:

• Twoje imię i nazwisko widniejące na wydanym przez rząd dokumencie tożsamości (np. paszporcie).
• Rodzaj dokumentu tożsamości, który przesłano do Persona w celu zweryfikowania swojej tożsamości (np. paszport).
• Wystawca tego dokumentu tożsamości
• Zahaszowany, unikalny identyfikator wygenerowany przez Persona w procesie weryfikacji tożsamości („UID”).
• Twój RequestID."

Skoro tak, to do czego Personie potrzebne są pozostałe dane typu: data i miejsce urodzenia, PESEL, podpis, seria i numer dokumentu, data wydania i data końca ważności paszportu? I dlaczego nie prosi o zgodę na pozostałe dane, skoro też muszą być widoczne na przesłanym do niej skanie.

Zapytałam więc, czy przesyłając skan do weryfikacji, można niepotrzebne im dane, zakryć. Dostałam odpowiedź: “Hi Monika! Having an identity verification by Persona on your profile means that you had a valid government-issued ID and it’s verified by LinkedIn’s verification partner, Persona. You will only be able to provide an NFC-enabled passport (...) Also, if you remove any data from your passport, if will no longer be valid and our team will not accept. Hope this helps! ~LAV” 

I dalej: “Our team will not accept documentation that has missing information. Member privacy is a top priority for LinkedIn. The Safety and Recovery team requests ID verification to ensure only the rightful account holder regains access to their account. (...). ~LAV”

Kiedy napisałam o wątpliwościach dotyczących takiego sposobu weryfikacji, otrzymałam odpowiedź: “We understand and will absolutely share your feedback with our team directly. -JZ”

Co na to UODO?

Karol Witowski, p.o. rzecznika prasowego Departamentu Komunikacji Społecznej Urzędu Ochrony Danych Osobowych napisał nam: “Kluczowe znaczenie wydaje się mieć to, w jakim rzeczywiście celu użytkownik LinkedIn miałby poddać się weryfikacji, jak wpłynie odmowa na jego sytuację prawną jako użytkownika i jak konkretnie miałby wyglądać proces takiej weryfikacji.”

Pomocniczo wskazał, że organ nadzorczy wielokrotnie podkreślał, że dokumenty potwierdzające tożsamość są wydawane w celach ściśle określonych przepisami prawa i zawierają wskazany w nich katalog danych osobowych, których ujawnienie w całości może narażać np. na niebezpieczeństwo kradzieży tożsamości.

“W wielu przypadkach zakres danych, widniejących na dokumentach tożsamości jest szerszy niż dane potrzebne do potwierdzenia np. tożsamości czy wieku. W przedstawionej przez Panią sprawie istotne jest ustalenie podstawy prawnej pozyskiwania skanów dokumentów paszportowych. Wątpliwe jest czy może to być zgoda w rozumieniu art. 6 ust. 1 lit. a RODO” - napisał nam rzecznik prasowy UODO, dodając, że katalog danych w paszporcie jest bardzo szeroki i trudno uznać, że wszystkie są niezbędne do potwierdzenia tożsamości użytkownika mediów społecznościowych, w szczególności jeśli nie są podawane w trakcie zakładania konta w mediach społecznościowych. 

“Należy zaznaczyć, że ujawnienie takich danych jak: wizerunek twarzy, odwzorowanie podpisu, numer PESEL, czy seria i numer dokumentu paszportowego znacznie zwiększa ryzyko kradzieży tożsamości osoby (chociażby w przypadku naruszenia danych u administratora powodującego wyciek danych)” — czytamy w odpowiedzi na nasze pytania Karola Witowskiego.

“W wielu przypadkach trudno uznać taką metodę za odpowiadającą zasadzie minimalizacji danych, określonej w RODO. Powstaje też wątpliwość jakie dalsze działania będą podejmowane przez administratora ze skanami dokumentów tożsamości” - dodał przedstawiciel Urzędu Ochrony Danych Osobowych.

UODO przypomina, by za każdym razem, gdy korzystanie z określonej usługi wiąże się z pozyskiwaniem przez administratora dodatkowych danych osobowych, należy zastanowić się czy jest to warte przekazywania szczegółowych informacji o nas.

“Jeżeli ktoś uważa, że administrator niewłaściwie postępuje z jego danymi, to może złożyć skargę do Prezesa UODO. Z uwagi na to, że siedziba Linkedin znajduje się w Irlandii, to tego rodzaju sprawy zgodnie z RODO mają charakter transgraniczny. W związku z tym Prezes UODO przekazuje takie sprawy irlandzkiemu organowi nadzorczemu (Data Protection Commission) jako właściwemu do rozpatrzenia skargi w charakterze wiodącego organu nadzorczego zgodnie z art. 56 ust. 1 RODO” - podsumował Karol Witowski.

Co na to ChrońPESEL?

“Zgodnie z przepisami „RODO” administrator (np. bank czy Persona) przed rozpoczęciem przetwarzania danych osobowych powinien przeanalizować, czy jest to niezbędne. Zgodnie ze stanowiskiem prezesa UODO, każda decyzja o kopiowaniu i skanowaniu dokumentów tożsamości powinna być poprzedzona odpowiednią  analizą i zweryfikowaniem, czy rzeczywiście taka czynność jest konieczna. Na podstawie art. 5 RODO dane osobowe m.in. muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, a ich przetwarzanie ograniczone do niezbędnego minimum” — przekazał nam Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl

Dodał, że jeśli ktoś prosi nas o zrobienie zdjęcia lub wykonanie kopii dowodu osobistego, paszportu czy prawa jazdy, warto zdecydowanie odmówić. “W zamian można zaproponować okazanie dokumentu tożsamości do wglądu w celu spisania niezbędnych informacji, czy sporządzić oświadczenie z własnoręcznym podpisem. Co więcej, jeżeli podanie jakichś danych osobowych nie jest konieczne, zasłońmy to miejsce palcem lub kartką papieru. Kserowanie lub skanowanie dokumentów powinno być ostatecznością stosowaną tylko w uzasadnionych przypadkach” — przekazał nam ekspert serwisu ChronPESEL.pl.

Bartłomiej Drozd, zaznaczył, że obecnie w polskim prawie nie ma przepisów, które wprost upoważniałyby portale społecznościowe lub współpracujące z nimi podmioty zewnętrzne do przetwarzania kopii dowodów osobistych czy paszportów. 

“Jednak należy pamiętać, że skorzystanie z weryfikacji tożsamości za pośrednictwem Persony jest całkowicie dobrowolne i nie jest warunkiem prowadzenia profilu na Linkedln. (...) Dostępne metody weryfikacji profilu w portalu społecznościowym zależą od decyzji jego właściciela. Z informacji zamieszczonych na stronie Linkedln wynika, że serwis stosuje różne sposoby weryfikacji, np. umożliwia również potwierdzenie miejsca pracy i instytucji edukacyjnej m.in. za pomocą służbowego lub uczelnianego adresu e-mail” - czytamy w odpowiedzi na nasze pytanie.

Czy ChrońPESEL rekomenduje weryfikowanie profilu na LinkedIn w sposób, który stosuje Persona? “Usługa Persony polega na dokonaniu weryfikacji tożsamości i przekazaniu jego wyniku portalowi społecznościowemu, ale gromadzona przy okazji ilość danych wydaje się zbyt obszerna” — przekazał nam Bartłomiej Drozd: “Zwłaszcza że, jeśli zaakceptujemy politykę ochrony prywatności Persony, to zgodzimy się również m.in. na przetwarzanie przez nią danych biometrycznych. Przejęcie przez cyberprzestępców danych osobowych zebranych przez tę firmę w związku ze świadczeniem usługi weryfikacji, może być bardzo niebezpieczne i skutkować np. kradzieżą tożsamości. Lepiej więc wybrać inne dostępne metody potwierdzenia prawdziwości konta dostępne na LinkedIn. Jeśli mimo zdecydujemy się na weryfikację tożsamości w serwisie Linkedln za pomocą paszportu, wcześniej powinniśmy bardzo dokładnie zapoznać się z polityką ochrony prywatności i warunkami korzystania z usługi oferowanej przez Personę."

Co na to prawnik, specjalista ds. ODO?

Aneta Grala, prawniczka i specjalistka ds. ochrony danych osobowych w Rzetelnej Grupie nie pozostawia wątpliwości: - Trzeba mieć świadomość, że wyciek danych znajdujących się w dowodzie osobistym może powodować bardzo poważne konsekwencje dla osoby, której te dane dotyczą, jak np. podszywanie się osoby trzeciej pod nas w celu wyłudzenia pożyczki czy dokonanie zakupów na raty.

Potwierdziła stanowisko naszych poprzednich rozmówców, że zbieranie kopii dowodów osobistych jest prawnie dozwolone jedynie w sytuacji, gdy jest to konieczne i nie można zrealizować celu, w jakim są pobierane w inny sposób lub przetwarzając mniejszą ilość danych osobowych, a nadmiarowe pozyskiwanie danych osobowych jest niezgodne z RODO.

- Administrator przed rozpoczęciem przetwarzania danych osobowych powinien poddać ocenie, czy dla celu, jakim jest weryfikacja konta osoby fizycznej na portalu LinkedIn niezbędne jest pobranie wszystkich danych osobowych znajdujących się na dowodzie osobistym oraz, czy nie ma innego sposobu weryfikacji — powiedziała nam Aneta Grala, dodając: — Rozwiązań jest jednak wiele, np. zakrycie na dokumencie danych osobowych, które nie są konieczne dla realizacji tego celu, może być także dodanie znaku wodnego lub opisu na kopii dokumentu z informacją, że kopia została wykonana tylko na potrzeby konkretnej operacji, czy autoryzacja za pomocą innego portalu. Znalezienie innego — bezpiecznego sposobu weryfikacji konta leży jednak po stronie administratora, czyli serwisu internetowego.

- Biorąc pod uwagę obecnie stosowane praktyki w celu weryfikacji konta przez portal LinkedIn, nie rekomenduję przesyłania skanów dowodów osobistych do LinkedIn ani Persony, tym bardziej, że podmioty te nie zapewniają, że przesłane do nich dane osobowe są bezpieczne - podsumowała ekspertka.

Na zakończenie zastanawiające jest i budzące wątpliwości, dlaczego LinkedIn nie wziął pod uwagę opcji zakrywania danych, które są Personie niepotrzebne. Z pewnością nie budziłoby to tylu wątpliwości.