Τι είναι το GDPR; Οδηγός με απλά λόγια για δημιουργούς εφαρμογών
Το GDPR (General Data Protection Regulation) είναι ο βασικός νόμος της Ευρωπαϊκής Ένωσης για την προστασία δεδομένων. Θέτει κανόνες για το πώς οι οργανισμοί συλλέγουν, χρησιμοποιούν, αποθηκεύουν και μοιράζονται προσωπικά δεδομένα — κάθε πληροφορία για ταυτοποιήσιμο ζωντανό άτομο — και δίνει στους ανθρώπους δικαιώματα πάνω στα δικά τους δεδομένα, όπως να τα δουν ή να τα διαγράψουν. Ισχύει από τις 25 Μαΐου 2018, και μπορεί να εφαρμόζεται σε επιχειρήσεις εκτός ΕΕ αν εξυπηρετούν ανθρώπους σε αυτήν.
Δεν είναι νομική συμβουλή. Αυτός ο οδηγός είναι μια γενική εξήγηση για να κατανοήσετε τα βασικά και να κάνετε καλύτερες ερωτήσεις. Δεν υποκαθιστά συμβουλή για τη δική σας κατάσταση. Για επίσημες λεπτομέρειες, δείτε τις σελίδες προστασίας δεδομένων της Ευρωπαϊκής Επιτροπής και τον οδηγό του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για μικρές επιχειρήσεις.
Γιατί έχει σημασία όταν φτιάχνετε με AI
Τα εργαλεία δημιουργίας με AI κάνουν εύκολη τη συλλογή δεδομένων. Ένα prompt σας δίνει φόρμα εγγραφής, φόρμα επικοινωνίας, αναλυτικά στοιχεία, ανεβάσματα αρχείων και ένα πάνελ διαχείρισης που εμφανίζει κάθε χρήστη. Καθένα από αυτά συλλέγει προσωπικά δεδομένα, και το GDPR νοιάζεται για όλα.
Το καλό νέο είναι ότι τα περισσότερα από όσα ζητά το GDPR είναι και καλή πρακτική για το προϊόν:
- Συλλέγετε μόνο ό,τι πραγματικά χρειάζεστε.
- Εξηγείτε στους ανθρώπους τι κάνετε με αυτά.
- Τα διατηρείτε ασφαλή.
- Τα διαγράφετε όταν δεν τα χρειάζεστε πια.
- Αφήνετε τους ανθρώπους να τα δουν, να τα διορθώσουν ή να τα αφαιρέσουν.
Αυτά είναι πολύ πιο εύκολο να σχεδιαστούν από την αρχή παρά να προστεθούν μετά την κυκλοφορία. Το να κάνετε εγκαίρως τις σωστές ερωτήσεις στο εργαλείο AI σας γλιτώνει μια επίπονη αναδόμηση αργότερα.
Μια καθημερινή αναλογία
σκεφτείτε τα προσωπικά δεδομένα ως αντικείμενα που οι άνθρωποι αφήνουν μαζί σας — σαν υπηρεσία φύλαξης παλτών, αλλά για πληροφορίες. Το GDPR είναι οι κανόνες του σπιτιού για τη φύλαξη:
- Παίρνετε μόνο ό,τι συμφώνησε να αφήσει ο άνθρωπος, για λόγο που καταλαβαίνει.
- Δεν ψάχνετε τις τσέπες για άλλες χρήσεις.
- Κρατάτε το δωμάτιο κλειδωμένο.
- Επιστρέφετε τα πράγματα, ή τα πετάτε, όταν σας ζητηθεί ή όταν δεν τα χρειάζεστε πια.
- Αν κλαπεί κάτι, ενημερώνετε έγκαιρα τους σωστούς ανθρώπους.
Είστε υπεύθυνοι για τα παλτά όσο βρίσκονται υπό τη φροντίδα σας, ακόμη κι αν έχετε προσλάβει κάποιον άλλο να διευθύνει το δωμάτιο.
Οι βασικές ιδέες
Τι θεωρείται προσωπικό δεδομένο
Η Ευρωπαϊκή Επιτροπή ορίζει ως προσωπικό δεδομένο κάθε πληροφορία που σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο ζωντανό άτομο. Αυτό είναι ευρύ. Περιλαμβάνει ονόματα, διευθύνσεις email, οικιακές διευθύνσεις, διευθύνσεις IP, αναγνωριστικά cookies και φωτογραφίες. Δεδομένα που έχουν «ψευδωνυμοποιηθεί» — για παράδειγμα, ονόματα αντικαταστάθηκαν με κωδικούς — μπορεί να εξακολουθούν να είναι προσωπικά δεδομένα αν μπορούν να συνδεθούν ξανά με κάποιον.
Μερικές κατηγορίες έχουν επιπλέον προστασία, όπως δεδομένα υγείας, βιομετρικά δεδομένα, φυλετική ή εθνοτική καταγωγή και πολιτικές απόψεις.
Σε ποιους εφαρμόζεται
Σύμφωνα με την Επιτροπή, το GDPR εφαρμόζεται σε οργανισμούς εγκατεστημένους στην ΕΕ, και σε οργανισμούς εκτός ΕΕ που προσφέρουν αγαθά ή υπηρεσίες σε άτομα στην ΕΕ (με πληρωμή ή δωρεάν) ή παρακολουθούν τη συμπεριφορά τους. Μια startup στις ΗΠΑ ή στα Ηνωμένα Αραβικά Εμιράτα με ευρωπαίους πελάτες μπορεί πολύ πιθανόν να καλύπτεται. Το Ηνωμένο Βασίλειο έχει τη δική του εκδοχή, το UK GDPR, που βασίζεται στενά σε αυτό.
Οι αρχές
Το GDPR στηρίζεται σε έναν σύντομο κατάλογο αρχών. Με απλά λόγια:
| Αρχή | Τι σημαίνει για την εφαρμογή σας |
|---|---|
| Νομιμότητα, δικαιοσύνη, διαφάνεια | Έχετε έγκυρο λόγο για την επεξεργασία και λέτε καθαρά στους ανθρώπους τι κάνετε. |
| Περιορισμός σκοπού | Χρησιμοποιείτε τα δεδομένα για τους λόγους για τους οποίους τα συλλέξατε, όχι για νέες, αιφνιδιαστικές χρήσεις. |
| Ελαχιστοποίηση δεδομένων | Μην συλλέγετε πεδία που δεν χρειάζεστε. |
| Ακρίβεια | Κρατήστε τα δεδομένα σωστά και αφήστε τους ανθρώπους να τα διορθώσουν. |
| Περιορισμός αποθήκευσης | Μην κρατάτε δεδομένα για πάντα· διαγράψτε τα όταν δεν χρειάζονται πια. |
| Ακεραιότητα και εμπιστευτικότητα | Προστατέψτε τα από διαρροές και μη εξουσιοδοτημένη πρόσβαση. |
| Λογοδοσία | Μπορείτε να δείξετε πώς συμμορφώνεστε. |
Νομικές βάσεις
Χρειάζεστε έναν νομικό λόγο — μια «νομική βάση» — για κάθε τρόπο χρήσης προσωπικών δεδομένων. Το GDPR απαριθμεί έξι: συγκατάθεση, εκτέλεση σύμβασης, νομική υποχρέωση, ζωτικά συμφέροντα, δημόσιο καθήκον και έννομα συμφέροντα. Η συγκατάθεση είναι μόνο μία από αυτές. Η επεξεργασία μιας παραγγελίας για να την παραδώσετε, για παράδειγμα, αφορά συνήθως τη σύμβαση, όχι τη συγκατάθεση. Ποια βάση ταιριάζει είναι κρίση που πρέπει να ελεγχθεί με τις επίσημες οδηγίες.
Τα δικαιώματα των ανθρώπων
Η Επιτροπή απαριθμεί αυτά τα δικαιώματα για τα άτομα:
- Να ενημερώνονται για το πώς χρησιμοποιούνται τα δεδομένα τους
- Να έχουν πρόσβαση στα δεδομένα τους
- Να διορθώνονται τα δεδομένα τους
- Να διαγράφονται τα δεδομένα τους
- Να περιορίζεται η επεξεργασία
- Φορητότητα δεδομένων (να τα παίρνουν σε χρήσιμη μορφή)
- Να αντιτάσσονται
- Δικαιώματα που σχετίζονται με αυτοματοποιημένες αποφάσεις και κατάρτιση προφίλ
Παραβιάσεις δεδομένων
Αν διαρρεύσουν προσωπικά δεδομένα και η παραβίαση ενδέχεται να θέσει σε κίνδυνο δικαιώματα και ελευθερίες των ανθρώπων, ο οργανισμός γενικά πρέπει να ειδοποιήσει την αρχή προστασίας δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που το αντιλήφθηκε. Σε ορισμένες περιπτώσεις, πρέπει να ενημερωθούν και τα επηρεαζόμενα άτομα.
Ένα παράδειγμα βήμα βήμα: εφαρμογή κρατήσεων για στούντιο γιόγκα
Υποθέστε ότι φτιάχνετε μια εφαρμογή κρατήσεων για στούντιο γιόγκα με πελάτες στη Γερμανία. Δείτε πώς το GDPR διαμορφώνει την εφαρμογή.
Συλλέγετε λιγότερα. Η φόρμα εγγραφής ζητά όνομα, email και προαιρετικό τηλέφωνο. Το αρχικό σχέδιο ζητούσε και ημερομηνία γέννησης και οικιακή διεύθυνση — τίποτα στην εφαρμογή δεν τα χρησιμοποιεί, οπότε αφαιρούνται.
Τα δεδομένα υγείας θέλουν προσοχή. Το στούντιο θέλει να ρωτά για τραυματισμούς. Αυτό είναι δεδομένο υγείας, ειδική κατηγορία με αυστηρότερους κανόνες. Το στούντιο αποφασίζει να το χειρίζεται αυτοπροσώπως, οπότε η εφαρμογή δεν το συλλέγει.
Να είστε διαφανείς. Μια πολιτική απορρήτου εξηγεί τι συλλέγεται, γιατί, πόσο καιρό διατηρείται, ποιοι άλλοι το επεξεργάζονται (ο πάροχος φιλοξενίας, η υπηρεσία email, ο πάροχος πληρωμών) και πώς επικοινωνεί κανείς με το στούντιο.
Το μάρκετινγκ είναι ξεχωριστό. Η κράτηση μαθήματος δεν εγγράφει κανέναν στο ενημερωτικό δελτίο. Υπάρχει ξεχωριστό, μη επιλεγμένο πλαίσιο για αυτό.
Δικαιώματα μέσα στο προϊόν. Οι πελάτες μπορούν να δουν και να επεξεργαστούν το προφίλ τους, να κατεβάσουν το ιστορικό κρατήσεών τους και να ζητήσουν διαγραφή από τη σελίδα λογαριασμού τους.
Διατήρηση. Οι ανενεργοί λογαριασμοί σημαίνονται μετά από καθορισμένο διάστημα και αφαιρούνται αν ο πελάτης δεν απαντήσει. Η περίοδος την επιλέγει το στούντιο.
Cookies. Το cookie σύνδεσης είναι αναγκαίο. Η αναλυτική παρακολούθηση φορτώνει μόνο αφού ο επισκέπτης την αποδεχτεί. Δείτε τι είναι τα cookies.
Ασφάλεια. Οι κωδικοί γίνονται hash, η περιοχή διαχείρισης απαιτεί πιστοποίηση δύο παραγόντων, και μόνο ο ιδιοκτήτης μπορεί να εξάγει λίστες πελατών.
Κοινοί όροι εξηγημένοι
| Όρος | Τι σημαίνει |
|---|---|
| Προσωπικό δεδομένο | Κάθε πληροφορία για ταυτοποιημένο ή ταυτοποιήσιμο ζωντανό άτομο. |
| Επεξεργασία | Κάθε ενέργεια με προσωπικά δεδομένα: συλλογή, αποθήκευση, χρήση, κοινοποίηση, διαγραφή. |
| Υποκείμενο των δεδομένων | Το άτομο στο οποίο αναφέρονται τα δεδομένα. |
| Υπεύθυνος επεξεργασίας (Controller) | Ο οργανισμός που αποφασίζει γιατί και πώς επεξεργάζονται τα δεδομένα — συνήθως εσείς, ο ιδιοκτήτης της εφαρμογής. |
| Εκτελών την επεξεργασία (Processor) | Εταιρεία που επεξεργάζεται δεδομένα για λογαριασμό του υπευθύνου, όπως πάροχος φιλοξενίας ή email. |
| Συμφωνία Επεξεργασίας Δεδομένων (DPA) | Σύμβαση μεταξύ υπευθύνου και εκτελούντος που ορίζει πώς χειρίζονται τα δεδομένα. |
| Νομική βάση | Ο νομικός λόγος της επεξεργασίας, όπως συγκατάθεση ή σύμβαση. |
| Συγκατάθεση | Ένα ελεύθερα δοθέν, συγκεκριμένο, ενημερωμένο και σαφές «ναι»· τα προεπιλεγμένα πλαίσια δεν μετράνε. |
| Δεδομένα ειδικής κατηγορίας | Ευαίσθητα δεδομένα όπως υγεία ή βιομετρικά, με αυστηρότερους κανόνες. |
| Εποπτική αρχή | Η ρυθμιστική αρχή προστασίας δεδομένων μιας χώρας. |
Συνηθισμένα λάθη και παρανοήσεις
- «Δεν είμαστε στην ΕΕ, άρα δεν ισχύει». Μπορεί να ισχύει ανάλογα με το πού βρίσκονται οι χρήστες σας.
- «Το GDPR σημαίνει συγκατάθεση για όλα». Η συγκατάθεση είναι μία από έξι νομικές βάσεις, και συχνά δεν είναι η σωστή.
- «Ένα banner cookies μας κάνει συμμορφωμένους». Τα cookies είναι ένα μικρό μέρος. Η συλλογή δεδομένων, η ασφάλεια, τα δικαιώματα και η διατήρηση έχουν μεγαλύτερη σημασία.
- «Ο πάροχος φιλοξενίας μας είναι συμβατός με το GDPR, άρα κι εμείς». Οι πάροχοι βοηθούν, αλλά εσείς αποφασίζετε τι συλλέγει και κάνει η εφαρμογή σας.
- Συλλογή «για κάθε ενδεχόμενο». Κάθε επιπλέον πεδίο είναι κάτι παραπάνω να προστατεύσετε, να εξηγήσετε και να διαγράψετε.
- Αντιγραφή της πολιτικής απορρήτου άλλου site. Πρέπει να περιγράφει τι κάνει η δική σας εφαρμογή.
- Να καθιστάτε τη διαγραφή αδύνατη. Αν κανείς δεν μπορεί να διαγράψει έναν χρήστη χωρίς προγραμματιστή, τα αιτήματα δικαιωμάτων γίνονται έκτακτες ανάγκες.
Τι να ζητήσετε από το εργαλείο AI
- «Κάνε λίστα κάθε προσωπικό δεδομένο που συλλέγει αυτή η εφαρμογή, πού αποθηκεύεται και γιατί χρειάζεται.»
- «Αφαίρεσε όλα τα πεδία φόρμας που δεν χρησιμοποιούμε.»
- «Πρόσθεσε σελίδα λογαριασμού όπου οι χρήστες μπορούν να δουν, να επεξεργαστούν και να κατεβάσουν τα δεδομένα τους, και να ζητήσουν διαγραφή.»
- «Φτιάξε μια ενέργεια διαχειριστή που διαγράφει πλήρως έναν χρήστη και τις σχετικές εγγραφές του, ή ανωνυμοποιεί τις εγγραφές που πρέπει να κρατηθούν.»
- «Κράτα την εγγραφή για μάρκετινγκ ως ξεχωριστό, μη επιλεγμένο πλαίσιο.»
- «Μην φορτώνεις σενάρια αναλυτικών ή μάρκετινγκ πριν τη συγκατάθεση.»
- «Κάνε λίστα κάθε εξωτερική υπηρεσία που λαμβάνει δεδομένα χρηστών, ώστε να την προσθέσω στην πολιτική απορρήτου.»
- «Περιόρισε τις εξαγωγές διαχειριστή στον ρόλο του ιδιοκτήτη και κατέγραφε ποιος εξήγαγε τι.»
Μετά διαβάστε πώς να γράψετε όρους χρήσης και πολιτική απορρήτου και πώς να προσθέσετε συγκατάθεση για cookies.
Το GDPR και το Mythex
Το Mythex σας δίνει τα δομικά στοιχεία, όχι πιστοποιητικό συμμόρφωσης. Τα δεδομένα της εφαρμογής σας ζουν στη δική της βάση δεδομένων του έργου και στην αποθήκευση αρχείων όταν τα ενεργοποιήσετε· είστε ιδιοκτήτες του κώδικα, και στο Pro μπορείτε να εξάγετε το έργο αν χρειαστεί να το μεταφέρετε. Τι συλλέγει η εφαρμογή σας, πόσο καιρό το κρατά και πώς οι άνθρωποι ασκούν τα δικαιώματά τους είναι αποφάσεις που παίρνετε εσείς — και ζητάτε από τον πράκτορα να τις χτίσει. Η σελίδα τεκμηρίωσης για την ιδιοκτησία δεδομένων εξηγεί τι φιλοξενεί το Mythex, και η ασφάλεια για τις εφαρμογές που φτιάχνετε προειδοποιεί ενάντια στο να ισχυρίζεστε συμμόρφωση που δεν έχετε. Αν χρειάζεστε συγκεκριμένα στοιχεία, όπως πού φιλοξενούνται τα δεδομένα ή μια συμφωνία επεξεργασίας δεδομένων, ρωτήστε την υποστήριξη του Mythex πριν την κυκλοφορία.
Ερωτήσεις
Τι είναι το GDPR με απλά λόγια;
Ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) είναι ο βασικός νόμος της Ευρωπαϊκής Ένωσης για την προστασία δεδομένων. Θέτει κανόνες για το πώς οι οργανισμοί συλλέγουν, χρησιμοποιούν, αποθηκεύουν και μοιράζονται πληροφορίες για ανθρώπους, και δίνει σε αυτούς τους ανθρώπους δικαιώματα πάνω στα δεδομένα τους. Ισχύει από τις 25 Μαΐου 2018.
Εφαρμόζεται το GDPR σε επιχειρήσεις εκτός ΕΕ;
Μπορεί. Σύμφωνα με την Ευρωπαϊκή Επιτροπή, εφαρμόζεται σε οργανισμούς εκτός ΕΕ που προσφέρουν αγαθά ή υπηρεσίες σε άτομα στην ΕΕ, ακόμα και δωρεάν, ή που παρακολουθούν τη συμπεριφορά τους. Το πού είναι εγκατεστημένη η επιχείρηση δεν είναι το μοναδικό ερώτημα· έχει σημασία και ποιοι είναι οι χρήστες σας.
Είναι η διεύθυνση email προσωπικό δεδομένο;
Ναι. Προσωπικό δεδομένο είναι κάθε πληροφορία που σχετίζεται με ταυτοποιημένο ή ταυτοποιήσιμο ζωντανό άτομο. Ονόματα, διευθύνσεις email, διευθύνσεις IP και αναγνωριστικά cookies μπορεί όλα να θεωρούνται προσωπικά δεδομένα.
Αν χρησιμοποιώ φιλοξενία συμβατή με το GDPR, η εφαρμογή μου είναι συμβατή;
Όχι. Μια φιλοξενία μπορεί να βοηθήσει στη συμμόρφωση, αλλά εσείς αποφασίζετε ποια δεδομένα συλλέγει η εφαρμογή σας, γιατί, για πόσο διατηρούνται και ποιος τα βλέπει. Αυτές οι επιλογές είναι δικές σας να τις κάνετε σωστά.
Είναι αυτός ο οδηγός νομική συμβουλή;
Όχι. Είναι μια γενική εξήγηση που σας βοηθά να κάνετε καλύτερες ερωτήσεις. Για τη δική σας περίπτωση, ελέγξτε τις επίσημες οδηγίες της ΕΕ ή της εθνικής σας αρχής προστασίας δεδομένων, ή μιλήστε με έναν αρμόδιο σύμβουλο.