Mikä on GDPR? Selkokielinen opas sovellusrakentajille

GDPR (General Data Protection Regulation, yleinen tietosuoja-asetus) on Euroopan unionin tärkein tietosuojalaki. Se asettaa säännöt sille, miten organisaatiot keräävät, käyttävät, tallentavat ja jakavat henkilötietoja – mitä tahansa tietoa tunnistettavissa olevasta elävästä henkilöstä – ja antaa ihmisille oikeuksia omaan dataansa, kuten oikeuden nähdä tietonsa tai pyytää niiden poistamista. Sitä on sovellettu 25. toukokuuta 2018 alkaen, ja se voi koskea yrityksiä EU:n ulkopuolella, jos ne palvelevat EU:ssa olevia ihmisiä.

Ei oikeudellista neuvontaa. Tämä opas on yleinen selitys, joka auttaa sinua ymmärtämään perusteet ja esittämään parempia kysymyksiä. Se ei korvaa neuvontaa omaan tilanteeseesi. Virallisia yksityiskohtia varten katso Euroopan komission tietosuojasivut ja Euroopan tietosuojaneuvoston opas pienille yrityksille.

Miksi tämä on tärkeää, kun rakennat tekoälyllä

Tekoälyrakentajat tekevät datan keräämisestä helppoa. Yksi kehote antaa sinulle rekisteröitymislomakkeen, yhteydenottolomakkeen, analytiikan, tiedostolatauksia ja ylläpitonäkymän, jossa listataan jokainen käyttäjä. Jokainen niistä kerää henkilötietoja, ja GDPR koskee kaikkia niitä.

Hyvä uutinen on, että suuri osa GDPR:n vaatimuksista on myös hyvää tuotekäytäntöä:

• Kerää vain se, mitä todella tarvitset.
• Kerro ihmisille, mitä teet tiedoilla.
• Pidä ne turvassa.
• Poista ne, kun et enää tarvitse niitä.
• Anna ihmisten nähdä, korjata tai poistaa tietonsa.

Nämä on helpompi suunnitella alusta alkaen kuin lisätä jälkikäteen julkaisun jälkeen. Kun kysyt tekoälyrakentajalta oikeat kysymykset ajoissa, säästät myöhemmin tuskallisen uudelleenrakentamisen.

Arkinen vertauskuva

Ajattele henkilötietoja tavaroina, jotka ihmiset jättävät luoksesi – kuin vaatesäilytys, mutta tiedoille. GDPR on vaatesäilytyksen talon säännöt:

• Ota vastaan vain se, minkä henkilö on suostunut jättämään, ja tiettyyn syyhyn, jonka hän ymmärtää.
• Älä kaiva taskuja muihin tarkoituksiin.
• Pidä huone lukittuna.
• Anna tavarat takaisin tai heitä ne pois, kun sitä pyydetään tai kun et enää tarvitse niitä.
• Jos jotain varastetaan, kerro oikeille tahoille nopeasti.

Olet vastuussa vaatteista niiden ollessa hoidossasi, vaikka olisit palkannut jonkun muun pyörittämään huonetta.

Keskeiset ajatukset

Mikä lasketaan henkilötiedoksi

Euroopan komissio määrittelee henkilötiedon kaikeksi tiedoksi, joka liittyy tunnistettuun tai tunnistettavissa olevaan elävään henkilöön. Se on laaja määritelmä. Siihen kuuluvat nimet, sähköpostiosoitteet, kotiosoitteet, IP-osoitteet, evästetunnisteet ja valokuvat. ”Pseudonymisoitu” data – esimerkiksi nimet korvattuina koodeilla – voi olla yhä henkilötietoa, jos se voidaan yhdistää takaisin henkilöön.

Tietyt tietoryhmät saavat lisäsuojaa, mukaan lukien terveystiedot, biometriset tiedot, rodullinen tai etninen alkuperä ja poliittiset mielipiteet.

Keneen se koskee

Komission mukaan GDPR koskee EU:ssa perustettuja organisaatioita sekä EU:n ulkopuolisia organisaatioita, jotka tarjoavat tavaroita tai palveluita EU:n alueella oleville ihmisille (maksullisia tai ilmaisia) tai seuraavat heidän käyttäytymistään. Yhdysvaltalainen tai Yhdistyneiden arabiemiirikuntien startup, jolla on eurooppalaisia asiakkaita, voi hyvinkin kuulua piiriin. Yhdistyneessä kuningaskunnassa on oma versionsa, UK GDPR, joka perustuu vahvasti tähän.

Periaatteet

GDPR perustuu lyhyeen periaatteiden luetteloon. Selkokielellä:

Oikeusperusteet

Tarvitset laillisen syyn – ”oikeusperusteen” – jokaiselle tavalle, jolla käytät henkilötietoja. GDPR listaa kuusi: suostumus, sopimuksen täytäntöönpano, lakisääteinen velvoite, elintärkeät edut, yleinen etu ja oikeutettu etu. Suostumus on vain yksi niistä. Tilauksen käsittely sen toimittamiseksi perustuu esimerkiksi useimmiten sopimukseen, ei suostumukseen. Mikä peruste sopii, on harkintakysymys, jota kannattaa tarkistaa virallisia ohjeita vasten.

Ihmisten oikeudet

Komissio listaa yksilöille seuraavat oikeudet:

• Saada tietoa siitä, miten heidän tietojaan käytetään
• Päästä käsiksi tietoihinsa
• Saada ne korjattua
• Saada ne poistetuiksi
• Rajoittaa käsittelyä
• Tietojen siirrettävyys (saada ne käyttökelpoisessa muodossa)
• Vastustaa käsittelyä
• Automaattiseen päätöksentekoon ja profilointiin liittyvät oikeudet

Tietovuodot

Jos henkilötietoja vuotaa ja vuoto todennäköisesti vaarantaa ihmisten oikeudet ja vapaudet, organisaation on yleensä ilmoitettava tietosuojaviranomaiselleen ilman aiheetonta viivytystä ja, jos se on mahdollista, 72 tunnin kuluessa siitä, kun se tuli tietoon. Joissakin tapauksissa myös vaikutetuille ihmisille on kerrottava asiasta.

Esimerkki käytännössä: jooga-studion varaussovellus

Oletetaan, että rakennat varaussovellusta jooga-studiolle, jolla on asiakkaita Saksassa. Näin GDPR muokkaa sitä.

Kerää vähemmän. Rekisteröitymislomake kysyy nimeä, sähköpostia ja valinnaista puhelinnumeroa. Ensimmäinen luonnos kysyi myös syntymäaikaa ja kotiosoitetta – mikään sovelluksessa ei käytä niitä, joten ne poistetaan.

Terveystiedot vaativat huolellisuutta. Studio haluaisi kysyä loukkaantumisista. Se on terveystietoa, erityinen ryhmä, jolle on tiukemmat säännöt. Studio päättää hoitaa asian kasvotusten, joten sovellus ei kerää sitä.

Ole läpinäkyvä. Tietosuojakäytäntö selittää, mitä kerätään, miksi, kuinka kauan se säilytetään, kuka muu käsittelee sitä (hostauspalveluntarjoaja, sähköpostipalvelu, maksupalveluntarjoaja) ja miten studioon otetaan yhteyttä.

Markkinointi on erillinen asia. Tunnin varaaminen ei tilaa ketään uutiskirjeeseen. Siihen on erillinen, valitsematon ruutu.

Oikeudet tuotteessa. Asiakkaat voivat katsoa ja muokata profiiliaan, ladata varaushistoriansa ja pyytää poistoa tilisivultaan.

Säilytys. Passiiviset tilit merkitään tietyn ajan jälkeen ja poistetaan, jos asiakas ei vastaa. Studio valitsee ajanjakson.

Evästeet. Kirjautumisen eväste on välttämätön. Analytiikka latautuu vasta, kun vierailija hyväksyy sen. Katso mitä evästeet ovat.

Turvallisuus. Salasanat tiivistetään, ylläpitoalue vaatii kaksivaiheisen todennuksen, ja vain omistaja voi viedä asiakaslistoja.

Yleisten termien selitykset

Yleisiä virheitä ja väärinkäsityksiä

• ”Emme ole EU:ssa, joten se ei koske meitä.” Se voi koskea sinua käyttäjiesi sijainnin perusteella.
• ”GDPR tarkoittaa suostumusta kaikkeen.” Suostumus on yksi kuudesta oikeusperusteesta, eikä se usein ole oikea.
• ”Evästebanneri tekee meistä yhteensopivia.” Evästeet ovat pieni osa. Tietojen keräys, turvallisuus, oikeudet ja säilytys ovat tärkeämpiä.
• ”Palveluntarjoajamme on GDPR-yhteensopiva, joten mekin olemme.” Palveluntarjoajat auttavat, mutta sinä päätät, mitä sovelluksesi kerää ja tekee.
• Keräät ”varmuuden vuoksi”. Jokainen ylimääräinen kenttä on enemmän suojattavaa, selitettävää ja poistettavaa.
• Toisen sivuston tietosuojakäytännön kopiointi. Sen on kuvattava, mitä sinun sovelluksesi todella tekee.
• Poistamisen tekeminen mahdottomaksi. Jos kukaan ei voi poistaa käyttäjää ilman kehittäjää, oikeuspyynnöistä tulee hätätilanteita.

Mitä pyytää tekoälyrakentajaltasi

• ”Listaa jokainen henkilötieto, jota tämä sovellus kerää, missä se tallennetaan ja miksi sitä tarvitaan.”
• ”Poista kaikki lomakekentät, joita emme käytä.”
• ”Lisää tilisivu, jolla käyttäjät voivat katsoa, muokata ja ladata tietonsa sekä pyytää poistoa.”
• ”Rakenna ylläpitotoiminto, joka poistaa käyttäjän ja hänen liittyvät tietueensa kokonaan, tai anonymisoi tietueet, jotka on pakko säilyttää.”
• ”Pidä markkinoinnin tilaus erillisenä, valitsemattomana ruutuna.”
• ”Älä lataa analytiikka- tai markkinointiskriptejä ennen suostumusta.”
• ”Listaa jokainen kolmannen osapuolen palvelu, joka saa käyttäjien tietoja, jotta voin lisätä ne tietosuojakäytäntöön.”
• ”Rajoita ylläpidon vientitoiminnot omistajan rooliin ja kirjaa, kuka vei mitä.”

Lue sen jälkeen kuinka kirjoittaa käyttöehdot ja tietosuojakäytäntö ja kuinka lisätä evästesuostumus.

GDPR ja Mythex

Mythex antaa rakennuspalikat, ei yhteensopivuustodistusta. Sovelluksesi data elää omassa projektitietokannassaan ja tiedostotallennuksessaan, kun otat ne käyttöön, omistat koodin, ja Pro-tilillä voit viedä projektin ulos, jos sinun täytyy siirtää se. Mitä sovelluksesi kerää, kuinka kauan se säilyttää sitä ja miten ihmiset käyttävät oikeuksiaan, ovat päätöksiä, jotka teet – ja joita pyydät agenttia rakentamaan. Sivu datan omistajuus selittää, mitä Mythex isännöi, ja tietoturva rakentamillesi sovelluksille varoittaa väittämästä yhteensopivuutta, jota sinulla ei ole. Jos tarvitset tarkkoja tietoja, kuten missä data on isännöity tai tarvitsetko käsittelysopimuksen, kysy Mythexin tuesta ennen julkaisua.

Kysymykset