Какво е GDPR? Ръководство с прости думи за създатели на приложения

GDPR (General Data Protection Regulation – Общ регламент за защита на данните) е основният закон на Европейския съюз за защита на данните. Той определя правилата за това как организациите събират, използват, съхраняват и споделят лични данни – всяка информация за установим жив човек – и дава на хората права върху собствените им данни, например правото да ги видят или да ги изтрият. Прилага се от 25 май 2018 г. и може да се прилага и за фирми извън ЕС, ако обслужват хора в него.

Не е правен съвет. Това ръководство е общо обяснение, което да ви помогне да разберете основите и да задавате по-добри въпроси. То не замества съвет за вашата конкретна ситуация. За авторитетни подробности вижте страниците на Европейската комисия за защита на данните и ръководството на Европейския комитет по защита на данните за малки фирми.

Защо е важно, когато създаваш с ИИ

ИИ инструментите за създаване на приложения правят събирането на данни лесно. Една заявка ви дава формуляр за регистрация, формуляр за контакт, аналитика, качване на файлове и административно табло с всеки потребител. Всяко от тях събира лични данни, а GDPR се грижи за всички тях.

Добрата новина е, че повечето неща, които GDPR изисква, са и добра продуктова практика:

• Събирайте само това, от което наистина се нуждаете.
• Кажете на хората какво правите с данните им.
• Пазете ги в сигурност.
• Изтривайте ги, когато вече не са ви нужни.
• Позволете на хората да виждат, коригират или премахват своите данни.

Това е много по-лесно да се предвиди от самото начало, отколкото да се добави след пускане. Задаването на правилните въпроси на ИИ инструмента рано спестява болезнено преработване по-късно.

Ежедневна аналогия

Представете си личните данни като вещи, които хората оставят при вас – като гардероб за палта, но за информация. GDPR са правилата на къщата за този гардероб:

• Приемайте само това, което човекът е съгласен да остави, и то по причина, която той разбира.
• Не ровете в джобовете за други цели.
• Дръжте стаята заключена.
• Връщайте вещите или ги изхвърляйте, когато ви бъде поискано или когато вече не ви трябват.
• Ако нещо бъде откраднато, уведомете навреме правилните хора.

Отговаряте за палтата, докато са във вашите грижи, дори ако сте наели някой друг да управлява стаята.

Основните идеи

Кое се смята за лични данни

Европейската комисия определя личните данни като всяка информация, която се отнася до установен или установим жив човек. Определението е широко. Включва имена, имейл адреси, домашни адреси, IP адреси, идентификатори на бисквитки и снимки. Данни, които са „псевдонимизирани“ – например имената са заменени с кодове – може все още да са лични данни, ако могат да бъдат свързани обратно с някого.

Някои категории получават допълнителна защита, включително здравни данни, биометрични данни, расов или етнически произход и политически убеждения.

Към кого се прилага

Според Комисията GDPR се прилага за организации, установени в ЕС, и за организации извън ЕС, които предлагат стоки или услуги на хора в ЕС (платени или безплатни) или наблюдават поведението им. Стартираща фирма от САЩ или ОАЕ с европейски клиенти може много вероятно да попада под него. Великобритания има собствена версия – UK GDPR, която е тясно базирана на него.

Принципите

GDPR е изграден върху кратък списък от принципи. С прости думи:

Правни основания

За всеки начин, по който използвате лични данни, ви е нужна правна причина – „правно основание“. GDPR изброява шест: съгласие, изпълнение на договор, законово задължение, жизненоважни интереси, задача от обществен интерес и легитимни интереси. Съгласието е само едно от тях. Обработката на поръчка, за да я доставите, например обикновено е свързана с договора, а не със съгласието. Кое основание подхожда е преценка, която трябва да се провери спрямо официалните насоки.

Правата на хората

Комисията изброява следните права за физическите лица:

• Да бъдат информирани как се използват данните им
• Да имат достъп до данните си
• Да бъдат коригирани
• Да бъдат изтрити
• Да се ограничи обработката
• Преносимост на данните (да ги получат в използваем формат)
• Да възразят
• Права, свързани с автоматизираното вземане на решения и профилирането

Нарушения на сигурността на данните

Ако лични данни изтекат и нарушението вероятно ще застраши правата и свободите на хората, организацията обикновено трябва да уведоми своя орган за защита на данните без ненужно забавяне и, когато е възможно, в рамките на 72 часа след като е разбрала за него. В някои случаи засегнатите хора също трябва да бъдат уведомени.

Практически пример: приложение за резервации в студио по йога

Да кажем, че създавате приложение за резервации за студио по йога с клиенти в Германия. Ето как GDPR оформя приложението.

Събирайте по-малко. Формулярът за регистрация иска име, имейл и незадължителен телефонен номер. Първата чернова искаше и дата на раждане и домашен адрес – нищо в приложението не ги използва, затова са премахнати.

Здравните данни изискват внимание. Студиото иска да пита за контузии. Това са здравни данни – специална категория със строги правила. Студиото решава да ги обработва лично, така че приложението не ги събира.

Бъдете прозрачни. Политиката за поверителност обяснява какво се събира, защо, колко време се пази, кой друг ги обработва (доставчикът на хостинг, услугата за имейли, доставчикът на плащания) и как да се свържете със студиото.

Маркетингът е отделно. Резервацията на час не записва никого за бюлетина. Има отделна, неотметната отметка за това.

Правата в продукта. Клиентите могат да виждат и редактират профила си, да изтеглят историята на резервациите си и да поискат изтриване от страницата на акаунта си.

Съхранение. Неактивните акаунти се маркират след определен период и се премахват, ако клиентът не отговори. Периодът се избира от студиото.

Бисквитки. Бисквитката за вход е необходима. Аналитиката се зарежда само след като посетителят я приеме. Вижте какво са бисквитките.

Сигурност. Паролите се хешират, административната зона изисква двуфакторно удостоверяване, а само собственикът може да експортира списъците с клиенти.

Често срещани термини с обяснение

Чести грешки и заблуди

• „Не сме в ЕС, затова не се прилага.“ Може да се прилага според това къде са вашите потребители.
• „GDPR означава съгласие за всичко.“ Съгласието е едно от шестте правни основания и често не е правилното.
• „Банерът за бисквитки ни прави съвместими.“ Бисквитките са само малка част. Събирането на данни, сигурността, правата и съхранението са по-важни.
• „Нашият хостинг е съвместим с GDPR, значи и ние сме.“ Доставчиците помагат, но вие решавате какво събира приложението ви и какво прави с данните.
• Събиране „за всеки случай“. Всяко допълнително поле е още нещо, което трябва да защитите, обясните и изтриете.
• Копиране на чужда политика за поверителност. Тя трябва да описва какво вашето приложение действително прави.
• Изтриването да е невъзможно. Ако никой не може да изтрие потребител без разработчик, исканията за права се превръщат в спешни случаи.

Какво да поискате от вашия ИИ инструмент

• „Изброй всяка лична информация, която това приложение събира, къде се съхранява и защо е нужна.“
• „Премахни полетата във формуляри, които не използваме.“
• „Добави страница на акаунта, където потребителите могат да виждат, редактират и изтеглят данните си и да поискат изтриване.“
• „Създай административно действие, което напълно изтрива потребител и свързаните му записи, или анонимизира записите, които трябва да пазим.“
• „Запази регистрацията за маркетинг като отделна, неотметната отметка.“
• „Не зареждай скриптове за аналитика или маркетинг преди съгласие.“
• „Изброй всяка външна услуга, която получава потребителски данни, за да ги добавя в политиката за поверителност.“
• „Ограничи административните експорти до ролята на собственика и записвай кой какво е експортирал.“

След това прочетете как да напишете общи условия и политика за поверителност и как да добавите съгласие за бисквитки.

GDPR и Mythex

Mythex ви дава градивните елементи, а не сертификат за съответствие. Данните на приложението ви живеят в собствената база данни на проекта и в файловото хранилище, когато ги включите, вие притежавате кода, а в Pro можете да експортирате проекта, ако трябва да го преместите. Какво събира приложението ви, колко време пази данните и как хората упражняват правата си са решения, които вземате вие – и които поискате от агента да изгради. Страницата в документацията за собственост върху данните обяснява какво хоства Mythex, а сигурност за приложенията, които създавате предупреждава срещу твърдения за съответствие, които нямате. Ако ви трябват конкретни неща, като къде са хоствани данните или споразумение за обработка на данни, попитайте support на Mythex, преди да пуснете приложението.

Въпроси