Šta je GDPR? Vodič jednostavnim jezikom za graditelje aplikacija
GDPR (General Data Protection Regulation, Opšta uredba o zaštiti podataka) je glavni zakon Evropske unije o zaštiti podataka. Postavlja pravila o tome kako organizacije prikupljaju, koriste, čuvaju i dijele lične podatke, odnosno svaku informaciju o identifikovanoj ili identifikabilnoj živoj osobi, i daje ljudima prava nad sopstvenim podacima, kao što je pravo da ih vide ili da budu obrisani. Primjenjuje se od 25. maja 2018, a može se primjenjivati i na firme izvan EU ako služe ljudima u njoj.
Nije pravni savjet. Ovaj vodič je opšte objašnjenje koje vam pomaže da razumijete osnove i postavljate bolja pitanja. Nije zamjena za savjet o vašoj situaciji. Za autoritativne detalje pogledajte stranice Evropske komisije o zaštiti podataka i vodič Evropskog odbora za zaštitu podataka za mala preduzeća.
Zašto je to važno kad gradite uz AI
AI alati za izradu olakšavaju prikupljanje podataka. Jedan prompt vam daje formu za registraciju, kontakt formu, analitiku, upload fajlova i admin dashboard koji prikazuje svakog korisnika. Svaka od tih stvari prikuplja lične podatke, a GDPR se brine o svima.
Dobra vijest je da je većina onoga što GDPR traži ujedno i dobra praksa za proizvod:
- Prikupljajte samo ono što vam zaista treba.
- Recite ljudima šta radite s njihovim podacima.
- Čuvajte ih sigurnim.
- Brišite ih kada više nisu potrebni.
- Omogućite ljudima da vide, isprave ili uklone svoje podatke.
Ovo je mnogo lakše ugraditi u dizajn od početka nego naknadno dodavati nakon lansiranja. Postavljanje pravih pitanja AI alatu rano vam štedi bolnu prepravku kasnije.
Svakodnevna analogija
Zamislite lične podatke kao stvari koje ljudi ostavljaju kod vas, kao garderobu, ali za informacije. GDPR su kućna pravila za garderobu:
- Uzmite samo ono što je osoba dozvolila da ostavi, iz razloga koji razumije.
- Ne pretresajte džepove za druge namjene.
- Držite prostoriju zaključanom.
- Vratite stvari, ili ih bacite, kada se to traži ili kada ih više ne trebate.
- Ako nešto bude ukradeno, obavijestite prave ljude brzo.
Odgovorni ste za kapute dok su kod vas, čak i ako ste unajmili nekoga da vodi prostoriju.
Osnovne ideje
Šta se smatra ličnim podatkom
Evropska komisija definiše lični podatak kao svaku informaciju koja se odnosi na identifikovanu ili identifikabilnu živu osobu. To je široko. Uključuje imena, e-mail adrese, kućne adrese, IP adrese, ID-jeve kolačića i fotografije. Podaci koji su „pseudonimizovani“, na primjer imena zamijenjena šiframa, i dalje mogu biti lični podaci ako se mogu povezati s nekim.
Neke kategorije imaju dodatnu zaštitu, uključujući zdravstvene podatke, biometrijske podatke, rasno ili etničko porijeklo i političke stavove.
Na koga se primjenjuje
Prema Komisiji, GDPR se primjenjuje na organizacije s poslovnim nastanom u EU i na organizacije izvan EU koje nude robu ili usluge ljudima u EU (plaćene ili besplatne) ili prate njihovo ponašanje. Startup iz SAD ili UAE s evropskim kupcima može vrlo vjerovatno biti obuhvaćen. Velika Britanija ima svoju verziju, UK GDPR, koja je blisko zasnovana na njoj.
Načela
GDPR je izgrađen na kratkoj listi načela. Običnim riječima:
| Načelo | Šta znači za vašu aplikaciju |
|---|---|
| Zakonitost, pravičnost, transparentnost | Imajte valjan razlog za obradu i jasno recite ljudima šta radite. |
| Ograničenje svrhe | Koristite podatke za razloge zbog kojih ste ih prikupili, a ne za iznenadne nove. |
| Minimizacija podataka | Ne prikupljajte polja koja vam ne trebaju. |
| Tačnost | Držite podatke tačnim i omogućite ljudima da ih isprave. |
| Ograničenje pohrane | Ne čuvajte podatke zauvijek; brišite ih kada više nisu potrebni. |
| Integritet i povjerljivost | Čuvajte ih sigurnim od curenja i neovlaštenog pristupa. |
| Odgovornost | Budite u stanju pokazati kako se usklađujete. |
Pravne osnove
Za svaki način korištenja ličnih podataka potreban vam je pravni razlog, „pravna osnova“. GDPR navodi šest: saglasnost, izvršenje ugovora, zakonska obaveza, vitalni interesi, javni zadatak i legitimni interesi. Saglasnost je samo jedna od njih. Obrada narudžbe radi njene isporuke, na primjer, obično se odnosi na ugovor, a ne na saglasnost. Koja osnova odgovara je procjena koju treba provjeriti prema zvaničnim uputstvima.
Prava ljudi
Komisija navodi ova prava za pojedince:
- Da budu informisani o tome kako se njihovi podaci koriste
- Da pristupe svojim podacima
- Da se podaci isprave
- Da se podaci obrišu
- Da se obrada ograniči
- Na prenosivost podataka (dobiti ih u upotrebljivom formatu)
- Da ulože prigovor
- Prava vezana za automatizovano donošenje odluka i profilisanje
Povrede podataka
Ako lični podaci procure i povreda vjerovatno ugrožava prava i slobode ljudi, organizacija generalno mora obavijestiti svoj organ za zaštitu podataka bez nepotrebnog odlaganja i, gdje je moguće, u roku od 72 sata od saznanja. U nekim slučajevima moraju biti obaviješteni i pogođeni ljudi.
Praktičan primjer: aplikacija za rezervacije u joga studiju
Recimo da gradite aplikaciju za rezervacije za joga studio s kupcima u Njemačkoj. Evo kako GDPR oblikuje aplikaciju.
Prikupljajte manje. Forma za registraciju traži ime, e-mail i opcioni broj telefona. Prvi nacrt je tražio i datum rođenja i kućnu adresu. Ništa u aplikaciji ih ne koristi, pa su uklonjeni.
Zdravstveni podaci zahtijevaju pažnju. Studio želi pitati o povredama. To su zdravstveni podaci, posebna kategorija sa strožim pravilima. Studio odlučuje da to rješava lično, pa aplikacija to ne prikuplja.
Budite transparentni. Politika privatnosti objašnjava šta se prikuplja, zašto, koliko dugo se čuva, ko ih još obrađuje (hosting provajder, e-mail servis, provajder plaćanja) i kako kontaktirati studio.
Marketing je odvojen. Rezervacija časa ne prijavljuje nikoga na newsletter. Postoji zasebno, neoznačeno polje za to.
Prava u proizvodu. Kupci mogu vidjeti i urediti svoj profil, preuzeti historiju rezervacija i zatražiti brisanje sa stranice svog naloga.
Čuvanje. Neaktivni nalozi se označavaju nakon određenog perioda i uklanjaju ako kupac ne odgovori. Period bira studio.
Kolačići. Kolačić za prijavu je neophodan. Analitika se učitava tek nakon što posjetilac pristane. Pogledajte šta su kolačići.
Sigurnost. Lozinke se hashiraju, administrativna oblast zahtijeva dvofaktorsku autentifikaciju, a samo vlasnik može izvesti liste kupaca.
Pojmovi objašnjeni
| Pojam | Značenje |
|---|---|
| Lični podatak | Svaka informacija o identifikovanoj ili identifikabilnoj živoj osobi. |
| Obrada | Svaka radnja s ličnim podacima: prikupljanje, čuvanje, korištenje, dijeljenje, brisanje. |
| Subjekt podataka | Osoba na koju se podaci odnose. |
| Kontrolor | Organizacija koja odlučuje zašto i kako se podaci obrađuju, obično vi, vlasnik aplikacije. |
| Procesor | Firma koja obrađuje podatke u ime kontrolora, poput hosting ili e-mail provajdera. |
| Ugovor o obradi podataka (DPA) | Ugovor između kontrolora i procesora koji određuje kako se podaci tretiraju. |
| Pravna osnova | Pravni razlog za obradu, poput saglasnosti ili ugovora. |
| Saglasnost | Slobodno data, specifična, informisana i jasna „da“; unaprijed označena polja se ne računaju. |
| Posebna kategorija podataka | Osjetljivi podaci poput zdravstvenih ili biometrijskih, sa strožim pravilima. |
| Nadzorni organ | Regulator za zaštitu podataka u jednoj zemlji. |
Česte greške i zablude
- „Mi nismo u EU, pa se ne primjenjuje.“ Može se primjenjivati u zavisnosti od toga gdje su vaši korisnici.
- „GDPR znači saglasnost za sve.“ Saglasnost je jedna od šest pravnih osnova, i često nije ona prava.
- „Baner za kolačiće nas čini usklađenima.“ Kolačići su samo mali dio. Prikupljanje podataka, sigurnost, prava i čuvanje važniji su.
- „Naš host je usklađen s GDPR-om, pa smo i mi.“ Provajderi pomažu, ali vi odlučujete šta vaša aplikacija prikuplja i radi.
- Prikupljanje „za svaki slučaj“. Svako dodatno polje je više toga što treba zaštititi, objasniti i obrisati.
- Kopiranje tuđe politike privatnosti. Mora opisivati šta vaša aplikacija zaista radi.
- Brisanje koje nije moguće. Ako niko ne može obrisati korisnika bez programera, zahtjevi za prava postaju hitni slučajevi.
Šta tražiti od vašeg AI alata za izradu
- „Navedi svaki komad ličnih podataka koje ova aplikacija prikuplja, gdje se čuvaju i zašto su potrebni.“
- „Ukloni sva polja forme koja ne koristimo.“
- „Dodaj stranicu naloga gdje korisnici mogu pregledati, urediti i preuzeti svoje podatke, i zatražiti brisanje.“
- „Napravi admin akciju koja potpuno briše korisnika i njegove povezane zapise, ili anonimizuje zapise koje moramo čuvati.“
- „Držite prijavu za marketing kao zasebno, neoznačeno polje.“
- „Ne učitavajte analitičke ili marketinške skripte prije saglasnosti.“
- „Navedi svaki vanjski servis koji prima podatke korisnika, da ih dodam u politiku privatnosti.“
- „Ograniči admin izvoze na vlasničku ulogu i bilježi ko je šta izvezao.“
Zatim pročitajte kako napisati uslove korištenja i politiku privatnosti i kako dodati saglasnost za kolačiće.
GDPR i Mythex
Mythex vam daje gradivne blokove, a ne certifikat o usklađenosti. Podaci vaše aplikacije žive u sopstvenoj bazi projekta i fajl pohrani kada ih uključite, vi posjedujete kod, a na Pro planu možete izvesti projekat ako ga trebate preseliti. Šta vaša aplikacija prikuplja, koliko dugo to čuva i kako ljudi ostvaruju svoja prava su odluke koje donosite vi, i koje tražite od agenta da ugradi. Stranica dokumentacije o vlasništvu podataka objašnjava šta Mythex hostuje, a sigurnost za aplikacije koje gradite upozorava protiv tvrdnji o usklađenosti koje nemate. Ako su vam potrebni detalji, poput mjesta hostovanja podataka ili ugovora o obradi podataka, pitajte Mythex podršku prije lansiranja.
Pitanja
Šta je GDPR jednostavnim riječima?
Opšta uredba o zaštiti podataka (GDPR) je glavni zakon Evropske unije o zaštiti podataka. Postavlja pravila o tome kako organizacije prikupljaju, koriste, čuvaju i dijele informacije o ljudima, i daje tim ljudima prava nad svojim podacima. Primjenjuje se od 25. maja 2018.
Primjenjuje li se GDPR i na firme izvan EU?
Može. Prema Evropskoj komisiji, primjenjuje se na organizacije izvan EU koje nude robu ili usluge ljudima u EU, čak i besplatno, ili koje prate njihovo ponašanje. Gdje se nalazite nije jedino pitanje; važno je i ko su vaši korisnici.
Je li e-mail adresa lični podatak?
Da. Lični podatak je svaka informacija koja se odnosi na identifikovanu ili identifikabilnu živu osobu. Imena, e-mail adrese, IP adrese i ID-jevi kolačića mogu se smatrati ličnim podacima.
Ako koristim hosting usklađen s GDPR-om, je li moja aplikacija usklađena?
Ne. Host može pomoći u usklađenosti, ali vi odlučujete koje podatke vaša aplikacija prikuplja, zašto, koliko dugo ih čuva i ko ih vidi. Te odluke su vaše da ih ispravno donesete.
Je li ovaj vodič pravni savjet?
Nije. To je opšte objašnjenje koje vam pomaže da postavljate bolja pitanja. Za vašu specifičnu situaciju provjerite zvanična uputstva Evropske unije ili vašeg nacionalnog organa za zaštitu podataka, ili se obratite kvalifikovanom savjetniku.