Co je GDPR? Srozumitelný průvodce pro tvůrce aplikací

GDPR (obecné nařízení o ochraně osobních údajů) je hlavní zákon Evropské unie o ochraně dat. Stanovuje pravidla, jak organizace shromažďují, používají, ukládají a sdílejí osobní údaje — jakékoli informace o identifikovatelném živém člověku — a dává lidem práva nad jejich vlastními daty, například právo je vidět nebo nechat smazat. Platí od 25. května 2018 a může se vztahovat i na firmy mimo EU, pokud obsluhují lidi v EU.

Nejde o právní radu. Tento průvodce je obecným vysvětlením, které vám pomůže pochopit základy a klást lepší otázky. Nenahrazuje poradenství k vaší situaci. Autoritativní podrobnosti najdete na stránkách Evropské komise o ochraně údajů a v průvodci Evropského sboru pro ochranu osobních údajů pro malé firmy.

Proč na tom záleží, když stavíte s AI

AI nástroje usnadňují sbírání dat. Jeden příkaz vám dá registrační formulář, kontaktní formulář, analytiku, nahrávání souborů a administrační panel se seznamem všech uživatelů. Každý z nich sbírá osobní údaje a GDPR se týká všech.

Dobrá zpráva je, že většina toho, co GDPR požaduje, je také dobrá produktová praxe:

• Sbírejte jen to, co opravdu potřebujete.
• Řekněte lidem, co s tím děláte.
• Chraňte to.
• Mažte to, když to už nepotřebujete.
• Nechte lidi vidět, opravit nebo odstranit svá data.

Tyto věci se mnohem snáz navrhují od začátku než dodatečně po spuštění. Když se AI nástroje na správné otázky zeptáte brzy, ušetříte si později bolestivé přepracování.

Každodenní přirovnání

Představte si osobní údaje jako věci, které vám lidé nechávají — jako šatnu, ale pro informace. GDPR jsou domácí pravidla pro šatnu:

• Berte jen to, co člověk souhlasil nechat, a z důvodu, kterému rozumí.
• Neprohledávejte kapsy pro jiné účely.
• Držte místnost zamčenou.
• Vraťte věci, nebo je vyhoďte, když o to požádají, nebo když je už nepotřebujete.
• Když něco zmizí, včas to řekněte správným lidem.

Za kabáty odpovídáte, dokud jsou ve vaší péči, i když jste najali někoho jiného, aby místnost provozoval.

Základní myšlenky

Co jsou osobní údaje

Evropská komise definuje osobní údaje jako jakoukoli informaci, která se vztahuje k identifikovanému nebo identifikovatelnému živému člověku. To je široké. Zahrnuje jména, e-mailové adresy, domácí adresy, IP adresy, ID cookies a fotografie. Údaje, které byly „pseudonymizovány" — třeba jména nahrazená kódy — mohou být stále osobními údaji, pokud je lze spojit s konkrétním člověkem.

Některé kategorie mají zvláštní ochranu, včetně zdravotních údajů, biometrických údajů, rasového nebo etnického původu a politických názorů.

Na koho se vztahuje

Podle Komise se GDPR vztahuje na organizace usazené v EU a na organizace mimo EU, které nabízejí zboží nebo služby lidem v EU (placené i zdarma), nebo sledují jejich chování. Americký nebo emirátský startup s evropskými zákazníky může být pokryt. Spojené království má vlastní verzi, britské GDPR, které se jí úzce řídí.

Zásady

GDPR stojí na krátkém seznamu zásad. Prostými slovy:

Právní základy

Pro každý způsob, jakým používáte osobní údaje, potřebujete právní důvod — „právní základ". GDPR jich uvádí šest: souhlas, plnění smlouvy, právní povinnost, životně důležité zájmy, úkol ve veřejném zájmu a oprávněné zájmy. Souhlas je jen jeden z nich. Zpracování objednávky kvůli jejímu doručení je například obvykle věc smlouvy, ne souhlasu. Který základ se hodí, je úsudek, který je třeba ověřit oproti oficiálním pokynům.

Práva lidí

Komise uvádí tato práva jednotlivců:

• Být informován o tom, jak se jejich údaje používají
• Přistupovat ke svým údajům
• Nechat je opravit
• Nechat je vymazat
• Omezit zpracování
• Přenositelnost údajů (získat je v použitelném formátu)
• Vznést námitku
• Práva související s automatizovaným rozhodováním a profilováním

Úniky dat

Pokud osobní údaje uniknou a únik pravděpodobně ohrozí práva a svobody lidí, organizace obecně musí oznámit to svému úřadu pro ochranu osobních údajů bez zbytečného odkladu a, je-li to možné, do 72 hodin od zjištění. V některých případech je třeba informovat i dotčené lidi.

Praktický příklad: aplikace pro rezervace jógového studia

Řekněme, že stavíte rezervační aplikaci pro jógové studio se zákazníky v Německu. Takto GDPR formuje aplikaci.

Sbírejte méně. Registrační formulář se ptá na jméno, e-mail a volitelné telefonní číslo. První verze se ptala i na datum narození a domácí adresu — nic v aplikaci je nepoužívá, takže je odebereme.

Zdravotní údaje vyžadují opatrnost. Studio chce zjišťovat zranění. To jsou zdravotní údaje, zvláštní kategorie s přísnějšími pravidly. Studio se rozhodne to řešit osobně, takže to aplikace nesbírá.

Buďte transparentní. Zásady ochrany osobních údajů vysvětlují, co se sbírá, proč, jak dlouho se to uchovává, kdo ještě údaje zpracovává (hostingový poskytovatel, e-mailová služba, platební poskytovatel) a jak studio kontaktovat.

Marketing je oddělený. Rezervace hodiny nikoho nezapíše do newsletteru. Je tu samostatné, nezaškrtnuté políčko pro tento účel.

Práva v produktu. Zákazníci mohou zobrazit a upravit svůj profil, stáhnout si historii rezervací a požádat o smazání ze své stránky účtu.

Uchovávání. Neaktivní účty se po nastavené době označí a odstraní, pokud zákazník neodpoví. Dobu si zvolí studio.

Cookies. Přihlašovací cookie je nezbytná. Analytika se načte, až návštěvník souhlasí. Viz co jsou cookies.

Zabezpečení. Hesla jsou hashována, administrace vyžaduje dvoufaktorové ověření a seznamy zákazníků může exportovat jen vlastník.

Běžné pojmy vysvětlené

Časté chyby a omyly

• „Nejsme v EU, takže se to nás netýká." Může se vztahovat podle toho, kde jsou vaši uživatelé.
• „GDPR znamená souhlas na všechno." Souhlas je jeden ze šesti právních základů a často není ten správný.
• „Lišta s cookies nás dělá kompatibilní." Cookies jsou jen malá část. Sběr dat, zabezpečení, práva a uchovávání váží víc.
• „Náš hosting je kompatibilní s GDPR, takže jsme i my." Poskytovatelé pomáhají, ale rozhodujete vy, co vaše aplikace sbírá a dělá.
• Sbírání „pro jistotu". Každé další pole je něco, co musíte chránit, vysvětlit a smazat.
• Kopírování cizích zásad ochrany osobních údajů. Musí popisovat, co vaše aplikace opravdu dělá.
• Znemožnění mazání. Pokud nikdo bez vývojáře nemůže uživatele smazat, žádosti o práva se stanou krizemi.

Co požádat od svého AI nástroje

• „Vypiš každý kus osobních údajů, který tato aplikace sbírá, kde je uložen a proč je potřeba."
• „Odeber všechna pole formulářů, která nepoužíváme."
• „Přidej stránku účtu, kde uživatelé mohou zobrazit, upravit a stáhnout svá data a požádat o smazání."
• „Vytvoř akci v administraci, která uživatele i jeho související záznamy úplně smaže, nebo anonymizuje záznamy, které musíme zachovat."
• „Nech registraci do marketingu jako samostatné, nezaškrtnuté políčko."
• „Nenačítej analytické ani marketingové skripty před souhlasem."
• „Vypiš každou externí službu, která dostává údaje uživatelů, abych je mohl přidat do zásad ochrany osobních údajů."
• „Omez exporty z administrace na roli vlastníka a zaznamenávej, kdo co exportoval."

Pak si přečtěte jak napsat obchodní podmínky a zásady ochrany osobních údajů a jak přidat souhlas s cookies.

GDPR a Mythex

Mythex vám dodá stavební prvky, ne certifikát shody. Data vaší aplikace žijí v databázi a úložišti souborů vlastního projektu, když je zapnete; kód vlastníte vy a na Pro můžete projekt exportovat, pokud ho potřebujete přesunout. Co vaše aplikace sbírá, jak dlouho to uchovává a jak lidé uplatňují svá práva, to jsou rozhodnutí, která děláte vy — a agenta požádáte, aby je postavil. Stránka dokumentace o vlastnictví dat vysvětluje, co Mythex hostuje, a zabezpečení aplikací, které stavíte varuje před tvrzením o shodě, kterou nemáte. Pokud potřebujete konkrétní údaje, například kde jsou data hostována nebo smlouvu o zpracování, zeptejte se podpory Mythexu před spuštěním.

Otázky