Mi a GDPR? Közérthető útmutató appépítőknek

A GDPR (Általános Adatvédelmi Rendelet) az Európai Unió fő adatvédelmi törvénye. Szabályokat állít fel arra, hogyan gyűjthetnek, használhatnak, tárolhatnak és oszthatnak meg szervezetek személyes adatokat – bármilyen információt, amely egy azonosítható élő személyre vonatkozik –, és jogokat ad az embereknek az saját adataik felett, például azok megtekintésére vagy törlésére. 2018. május 25. óta alkalmazandó, és az EU-n kívüli vállalkozásokra is vonatkozhat, ha az ott élő embereknek nyújtanak szolgáltatást.

Nem jogi tanács. Ez az útmutató általános magyarázat, amely segít megérteni az alapokat és jobb kérdéseket feltenni. Nem helyettesíti a saját helyzetedre vonatkozó tanácsot. A hiteles részletekért nézd meg az Európai Bizottság adatvédelmi oldalait és az Európai Adatvédelmi Testület kisvállalkozásoknak szóló útmutatóját.

Miért fontos, ha AI-val építesz

Az AI-építők megkönnyítik az adatgyűjtést. Egyetlen prompt regisztrációs űrlapot, kapcsolatfelvételi űrlapot, analitikát, fájlfeltöltést és minden felhasználót listázó adminisztrációs felületet ad. Ezek mindegyike személyes adatot gyűjt, és a GDPR mindegyikre vonatkozik.

Az jó hír, hogy a GDPR által megkövetelt dolgok nagy része jó termékfejlesztési gyakorlat is:

• Csak azt gyűjtsd, amire valóban szükséged van.
• Mondd meg az embereknek, mit csinálsz vele.
• Tartsd biztonságban.
• Töröld, amikor már nincs rá szükséged.
• Engedd meg az embereknek, hogy lássák, javítsák vagy eltávolítsák az adataikat.

Ezeket sokkal könnyebb a kezdetektől beépíteni, mint az indítás után utólag ráragasztani. Ha korán jó kérdéseket teszel fel az AI-építődnek, később sok fájdalmas átalakítástól kímélheted meg magad.

Mindennapi hasonlat

Gondolj a személyes adatokra úgy, mint a holmikra, amelyeket az emberek nálad hagynak – mint egy ruhatár, csak információval. A GDPR a ruhatár házirendje:

• Csak azt vedd át, amit az illető hagyni akart, egy számára érthető okból.
• Ne turkálj a zsebekben más célra.
• Tartsd zárva a helyiséget.
• Add vissza a dolgokat, vagy dobd ki őket, ha kérik, vagy ha már nincs rájuk szükséged.
• Ha valami elkopik, értesítsd a megfelelő embereket haladéktalanul.

Felelős vagy a kabátokért, amíg nálad vannak, akkor is, ha valaki mást bíztál meg a helyiség működtetésével.

Az alapvető gondolatok

Mi számít személyes adatnak

Az Európai Bizottság szerint a személyes adat minden olyan információ, amely egy azonosított vagy azonosítható élő személyre vonatkozik. Ez tág fogalom. Ide tartoznak a nevek, e-mail-címek, lakcímek, IP-címek, sütiazonosítók és fényképek. Az „álnevesített” (pseudonymised) adat – például a nevek kódokkal való helyettesítése – akkor is személyes adat maradhat, ha vissza lehet kötni valakihez.

Bizonyos kategóriák fokozott védelmet élveznek, köztük az egészségügyi adatok, a biometrikus adatok, a faji vagy etnikai származás és a politikai vélemény.

Kikre vonatkozik

A Bizottság szerint a GDPR az EU-ban alapított szervezetekre vonatkozik, valamint az EU-n kívüli szervezetekre, amelyek árukat vagy szolgáltatásokat kínálnak az EU-ban lévő személyeknek (fizetősen vagy ingyen), vagy megfigyelik a viselkedésüket. Egy amerikai vagy emirátusi startup európai ügyfelekkel jó eséllyel érintett. Az Egyesült Királyságnak saját változata van, az UK GDPR, amely szorosan erre épül.

Az elvek

A GDPR néhány alapelvre épül. Egyszerűen fogalmazva:

Jogalapok

Minden egyes módon, ahogyan személyes adatot használsz, szükséged van egy jogi okra – egy „jogalapra”. A GDPR hatot sorol fel: hozzájárulás, szerződés teljesítése, jogi kötelezettség, létfontosságú érdek, közfeladat és jogos érdek. A hozzájárulás csak az egyik. Egy rendelés feldolgozása a kiszállításhoz például általában a szerződésről szól, nem a hozzájárulásról. Hogy melyik jogalap illik, mérlegelést igényel, amelyet a hivatalos útmutatóval kell ellenőrizni.

Az emberek jogai

A Bizottság a következő jogokat sorolja fel az egyének számára:

• Tájékoztatást kapni arról, hogyan használják az adataikat
• Hozzáférni az adataikhoz
• Kérni a javításukat
• Kérni a törlésüket
• Korlátozni az adatkezelést
• Az adathordozhatóságot (használható formátumban megkapni az adatot)
• Tiltakozni
• Az automatizált döntéshozatallal és a profilalkotással kapcsolatos jogokat

Adatvédelmi incidensek

Ha személyes adat kiszivárog, és az incidens valószínűsíthetően kockáztatja az emberek jogait és szabadságait, a szervezetnek általában indokolatlan késedelem nélkül, lehetőség szerint a tudomásszerzéstől számított 72 órán belül értesítenie kell az adatvédelmi hatóságot. Bizonyos esetekben az érintetteket is tájékoztatni kell.

Példa: egy jógastúdió foglalóappja

Tegyük fel, hogy egy jógastúdiónak építesz foglalóappot, amelynek németországi ügyfelei vannak. Így alakítja az appot a GDPR.

Kevesebbet gyűjts. A regisztrációs űrlap nevet, e-mail-címet és egy opcionális telefonszámot kér. Az első változat születési dátumot és lakcímet is kért – az app semmire nem használja őket, ezért eltávolították.

Az egészségügyi adatokkal óvatosan. A stúdió sérülésekről akart kérdezni. Ez egészségügyi adat, különleges kategória, szigorúbb szabályokkal. A stúdió úgy döntött, hogy ezt személyesen kezeli, így az app nem gyűjti.

Légy átlátható. Az adatvédelmi szabályzat elmagyarázza, mit gyűjtenek, miért, meddig őrzik, kik mások dolgozzák fel (a tárhelyszolgáltató, az e-mail-szolgáltatás, a fizetési szolgáltató), és hogyan lehet kapcsolatba lépni a stúdióval.

A marketing külön van. Egy óra lefoglalása senkit nem iratkoztat fel a hírlevélre. Erre külön, be nem jelölt jelölőnégyzet van.

Jogok a termékben. Az ügyfelek megtekinthetik és szerkeszthetik a profiljukat, letölthetik a foglalási előzményeiket, és a fiókjuk oldaláról kérhetik a törlésüket.

Megőrzés. Az inaktív fiókokat egy beállított idő után megjelölik, és eltávolítják, ha az ügyfél nem reagál. Az időtartamot a stúdió választja meg.

Sütik. A bejelentkezési süti szükséges. Az analitika csak akkor töltődik be, ha a látogató elfogadja. Lásd mik a sütik.

Biztonság. A jelszavak hash-elve vannak, az adminisztrációs felület kétfaktoros hitelesítést követel, és csak a tulajdonos exportálhatja az ügyféllistákat.

Gyakori fogalmak magyarázata

Gyakori hibák és tévhitek

• „Nem vagyunk az EU-ban, tehát nem vonatkozik ránk.” Attól függően vonatkozhat, hol vannak a felhasználóid.
• „A GDPR mindenhez hozzájárulást jelent.” A hozzájárulás a hat jogalap egyike, és gyakran nem a megfelelő.
• „Egy sütibanner megfelelővé tesz minket.” A sütik csak egy kis része. Az adatgyűjtés, a biztonság, a jogok és a megőrzés ennél fontosabbak.
• „A hosztunk GDPR-kompatibilis, tehát mi is azok vagyunk.” A szolgáltatók segítenek, de te döntöd el, mit gyűjt és mit csinál az appod.
• Gyűjtés „biztos ami biztos alapon”. Minden extra mező több, amit védeni, magyarázni és törölni kell.
• Más oldal adatvédelmi szabályzatának átmásolása. Azt kell leírnia, amit a te appod ténylegesen csinál.
• Törlés lehetetlenné tétele. Ha senki sem tud törölni egy felhasználót fejlesztő nélkül, a jogi kérések vészhelyzetté válnak.

Mit kérj az AI-építőtől

• „Sorold fel az összes személyes adatot, amelyet ez az app gyűjt, hogy hol tárolódik, és miért szükséges.”
• „Távolíts el minden űrlapmezőt, amelyet nem használunk.”
• „Adj egy fiókoldalt, ahol a felhasználók megtekinthetik, szerkeszthetik és letölthetik az adataikat, és törlést kérhetnek.”
• „Építs egy adminisztrációs műveletet, amely teljesen töröl egy felhasználót és a kapcsolódó rekordjait, vagy anonimizálja azokat a rekordokat, amelyeket meg kell tartanunk.”
• „A marketing-feliratkozás maradjon külön, be nem jelölt jelölőnégyzetként.”
• „Ne töltsd be az analitikai vagy marketing szkripteket a hozzájárulás előtt.”
• „Sorold fel az összes harmadik fél szolgáltatást, amely felhasználói adatot kap, hogy felvehessem őket az adatvédelmi szabályzatba.”
• „Korlátozd az adminisztrációs exportálást a tulajdonos szerepkörre, és naplózd, ki mit exportált.”

Utána olvasd el a hogyan írj felhasználási feltételeket és adatvédelmi szabályzatot és a hogyan adj hozzá sütihozzájárulást útmutatót.

GDPR és a Mythex

A Mythex az építőkockákat adja, nem megfelelőségi tanúsítványt. Az appod adatai a saját projektadatbázisodban és fájltárhelyedben élnek, ha ezeket bekapcsolod; a kódot te birtokolod, és Pro csomagban exportálhatod a projektet, ha át kell költöztetned. Hogy az appod mit gyűjt, mennyi ideig őrzi, és hogyan gyakorolják az emberek a jogaikat, az te döntéseid – és ezeket kéred az ügynöktől, hogy építse meg. Az adattulajdon dokumentációs oldala elmagyarázza, mit tárol a Mythex, a biztonság a készített appokhoz oldal pedig figyelmeztet arra, hogy ne állítsd, hogy van olyan megfelelőséged, amellyel nem rendelkezel. Ha konkrétumokra van szükséged, például arra, hol tárolódnak az adatok, vagy kell-e adatfeldolgozási megállapodás, kérdezd meg a Mythex ügyfélszolgálatát indítás előtt.

Kérdések