Ի՞նչ է GDPR-ը։ Պարզ ուղեցույց հավելվածներ կառուցողների համար
GDPR-ը (General Data Protection Regulation՝ Տվյալների պաշտպանության ընդհանուր կանոնակարգ) Եվրոպական Միության հիմնական տվյալների պաշտպանության օրենքն է։ Այն սահմանում է կանոններ, թե ինչպես կազմակերպությունները հավաքում, օգտագործում, պահում և փոխանցում են անձնական տվյալները՝ ցանկացած տեղեկություն նույնացվող կենդանի մարդու մասին, և մարդկանց իրավունքներ է տալիս իրենց տվյալների նկատմամբ, օրինակ՝ տեսնել դրանք կամ ջնջել։ Այն կիրառվում է 2018 թվականի 25 մայիսից և կարող է տարածվել ԵՄ-ից դուրս գտնվող բիզնեսների վրա, եթե նրանք սպասարկում են այնտեղ գտնվող մարդկանց։
Իրավաբանական խորհրդատվություն չէ։ Այս ուղեցույցը ընդհանուր բացատրություն է՝ հիմունքները հասկանալու և ավելի լավ հարցեր տալու համար։ Այն չի փոխարինում ձեր իրավիճակի խորհրդատվությանը։ Հեղինակավոր մանրամասների համար տե՛ս Եվրոպական հանձնաժողովի տվյալների պաշտպանության էջերը և Տվյալների պաշտպանության եվրոպական խորհրդի ուղեցույցը փոքր բիզնեսների համար։
Ինչու է դա կարևոր, երբ կառուցում եք AI-ով
AI կառուցիչները տվյալներ հավաքելը դարձնում են հեշտ։ Մեկ հրահանգը տալիս է գրանցման ձև, կապի ձև, վերլուծություն, ֆայլերի վերբեռնում և ադմին վահանակ, որը ցույց է տալիս յուրաքանչյուր օգտատիրոջ։ Նրանցից յուրաքանչյուրը հավաքում է անձնական տվյալներ, և GDPR-ը հոգում է դրանց բոլորի մասին։
Լավ նորությունն այն է, որ GDPR-ի պահանջների մեծ մասը նաև արտադրանքի լավ պրակտիկա է․
- Հավաքեք միայն այն, ինչ իրականում պետք է։
- Ասեք մարդկանց, թե ինչ եք անում դրանց հետ։
- Պահեք ապահով։
- Ջնջեք, երբ այլևս պետք չէ։
- Թույլ տվեք մարդկանց տեսնել, ուղղել կամ հեռացնել իրենց տվյալները։
Դրանք շատ ավելի հեշտ է նախագծել սկզբից, քան ավելացնել թողարկումից հետո։ Վաղ հարցնելը ճիշտ հարցերը ձեր AI կառուցիչին խնայում է ցավոտ վերակառուցումից հետո։
Ամենօրյա անալոգիա
Պատկերացրեք անձնական տվյալները որպես իրեր, որ մարդիկ թողնում են ձեզ մոտ՝ ինչպես հագուստի պահարանում, բայց տեղեկատվության համար։ GDPR-ը այդ պահարանի կանոններն են․
- Վերցրեք միայն այն, ինչ մարդը համաձայնել է թողնել, ըստ հասկանալի պատճառի։
- Մի փնտրեք գրպաններում այլ նպատակների համար։
- Պահեք սենյակը փակ։
- Վերադարձրեք կամ նետեք իրերը, երբ խնդրեն կամ երբ այլևս պետք չեն։
- Եթե ինչ-որ բան գողանան, պատշաճ մարդկանց անմիջապես տեղեկացրեք։
Քուն պատասխանատու եք այդ վերարկուների համար, երբ դրանք ձեր խնամքի տակ են, նույնիսկ եթե սենյակն աշխատեցնելու համար մեկ ուրիշին եք վարձել։
Հիմնական գաղափարները
Ինչն է համարվում անձնական տվյալ
Եվրոպական Հանձնաժողովը անձնական տվյալը սահմանում է որպես ցանկացած տեղեկություն, որը վերաբերում է նույնացված կամ նույնացվող կենդանի անձին։ Դա լայն է։ Այն ներառում է անուններ, էլփոստի հասցեներ, տան հասցեներ, IP հասցեներ, cookie ID-ներ և լուսանկարներ։ «Կեղծանունացված» (pseudonymised) տվյալները, օրինակ՝ անունները կոդերով փոխարինված, կարող են դեռ լինել անձնական տվյալներ, եթե դրանք կարելի է կապել մարդու հետ։
Որոշ կատեգորիաներ հատուկ պաշտպանություն են ստանում, ներառյալ առողջության տվյալները, կենսաչափական տվյալները, ռասայական կամ էթնիկ ծագումը և քաղաքական համոզմունքները։
Ում է վերաբերում
Հանձնաժողովի համաձայն՝ GDPR-ը կիրառվում է ԵՄ-ում հաստատված կազմակերպությունների վրա, և ԵՄ-ից դուրս գտնվող կազմակերպությունների վրա, որոնք ապրանքներ կամ ծառայություններ են առաջարկում ԵՄ-ում գտնվող մարդկանց (վճարովի կամ անվճար) կամ վերահսկում են նրանց վարքագիծը։ ԱՄՆ-ից կամ ԱՄԷ-ից եկած մեկնարկային ընկերությունը, որն ունի եվրոպացի հաճախորդներ, կարող է լրիվ ծածկված լինել։ Մեծ Բրիտանիան ունի սեփական տարբերակը՝ UK GDPR-ը, որը սերտորեն հիմնված է դրա վրա։
Սկզբունքները
GDPR-ը կառուցված է սկզբունքների կարճ ցանկի վրա։ Պարզ խոսքով․
| Սկզբունք | Ինչ է նշանակում ձեր հավելվածի համար |
|---|---|
| Օրինականություն, արդարություն, թափանցիկություն | Ունեք վավեր պատճառ մշակելու համար և պարզ ասեք մարդկանց, թե ինչ եք անում։ |
| Նպատակի սահմանափակում | Օգտագործեք տվյալները այն պատճառների համար, որոնց համար հավաքել եք, ոչ թե անսպասելի նոր նպատակների։ |
| Տվյալների նվազագույնացում | Մի հավաքեք այն դաշտերը, որոնք չեք պահանջում։ |
| Ճշգրտություն | Պահեք տվյալները ճիշտ և թույլ տվեք մարդկանց դրանք ուղղել։ |
| Պահպանման սահմանափակում | Մի պահեք տվյալները հավերժ․ ջնջեք, երբ այլևս պետք չեն։ |
| Ամբողջականություն և գաղտնիություն | Պահպանեք դրանք արտահոսքերից և չարտոնված մուտքից։ |
| Հաշվետվողականություն | Կարողանաք ցույց տալ, թե ինչպես եք համապատասխանում։ |
Օրինական հիմքեր
Անձնական տվյալների օգտագործման յուրաքանչյուր եղանակի համար պետք է օրինական պատճառ՝ «օրինական հիմք»։ GDPR-ը թվարկում է վեց հիմք՝ համաձայնություն, պայմանագրի կատարում, իրավական պարտավորություն, կենսական շահեր, հանրային առաջադրանք և օրինական շահեր։ Համաձայնությունը դրանցից միայն մեկն է։ Պատվերը առաքելու համար դրա մշակումը սովորաբար պայմանագրի հետ է կապված, ոչ թե համաձայնության։ Թե որ հիմքն է համապատասխանում, դատողություն է, որ պետք է ստուգել պաշտոնական ուղեցույցի հետ։
Մարդկանց իրավունքները
Հանձնաժողովը անհատների համար թվարկում է այս իրավունքները․
- Իմանալ, թե ինչպես են օգտագործվում իրենց տվյալները
- Մուտք ունենալ իրենց տվյալներին
- Ունենալ դրանք ուղղված
- Ունենալ դրանք ջնջված
- Սահմանափակել մշակումը
- Տվյալների տեղափոխելիություն (ստանալ դրանք օգտագործելի ձևով)
- Առարկել
- Իրավունքներ, որ կապված են ավտոմատացված որոշումների և պրոֆիլավորման հետ
Տվյալների խախտումներ
Եթե անձնական տվյալները արտահոսում են, և խախտումը հավանաբար վտանգի տակ է դնում մարդկանց իրավունքներն ու ազատությունները, կազմակերպությունը սովորաբար պետք է տեղեկացնի իր տվյալների պաշտպանության մարմնին անհապաղ, և, եթե հնարավոր է,՝ այն բանից հետո, երբ իմացել է դրա մասին, 72 ժամվա ընթացքում։ Որոշ դեպքերում տուժած մարդկանց նույնպես պետք է տեղեկացնել։
Օրինակ աշխատանքում․ յոգայի ստուդիայի ամրագրման հավելված
Նշենք, որ կառուցում եք ամրագրման հավելված յոգայի ստուդիայի համար, որի հաճախորդները Գերմանիայում են։ Ահա, թե ինչպես է GDPR-ը ձևավորում այն։
Հավաքեք ավելի քիչ։ Գրանցման ձևը հարցնում է անունը, էլփոստը և կամընտիր հեռախոսահամարը։ Նախնական տարբերակը նաև հարցնում էր ծննդյան ամսաթիվ և տան հասցե՝ հավելվածում դրանցից ոչինչ չի օգտագործվում, ուստի հեռացվել են։
Առողջության տվյալները պահանջում են զգուշություն։ Ստուդիան ուզում է հարցնել վնասվածքների մասին։ Դա առողջության տվյալ է՝ հատուկ կատեգորիա՝ ավելի խիստ կանոններով։ Ստուդիան որոշում է դա անել անձամբ, այնպես որ հավելվածը այն չի հավաքում։
Եղեք թափանցիկ։ Գաղտնիության քաղաքականությունը բացատրում է, թե ինչ է հավաքվում, ինչու, որքան ժամանակ է պահվում, ով ևս մշակում է այն (հոստինգի մատակարարը, էլփոստի ծառայությունը, վճարային մատակարարը) և ինչպես կապվել ստուդիայի հետ։
Մարքեթինգը առանձին է։ Դասի ամրագրումը ոչ մեկին չի գրանցում լրատվագրում։ Դրա համար առանձին, չնշված վանդակ կա։
Իրավունքներն արտադրանքի մեջ։ Հաճախորդները կարող են տեսնել և խմբագրել իրենց պրոֆիլը, ներբեռնել ամրագրումների պատմությունը և հաշվի էջից խնդրել ջնջում։
Պահպանում։ Ոչ ակտիվ հաշիվները նշվում են որոշված ժամանակահատվածից հետո և հեռացվում, եթե հաճախորդը չի պատասխանում։ Ժամանակահատվածը ընտրում է ստուդիան։
Cookie-ներ։ Մուտքի cookie-ն անհրաժեշտ է։ Վերլուծությունը բեռնվում է միայն այն բանից հետո, երբ այցելուն ընդունում է այն։ Տե՛ս ինչ են cookie-ները։
Անվտանգություն։ Գաղտնաբառերը հեշավորված են, ադմին հատվածը պահանջում է երկու քայլով նույնականացում, և հաճախորդների ցուցակները արտահանել կարող է միայն սեփականատերը։
Ընդհանուր տերմինների բացատրություն
| Տերմին | Ինչ է նշանակում |
|---|---|
| Անձնական տվյալ | Ցանկացած տեղեկություն նույնացված կամ նույնացվող կենդանի անձի մասին։ |
| Մշակում | Անձնական տվյալների հետ կատարված ցանկացած գործողություն՝ հավաքում, պահում, օգտագործում, փոխանցում, ջնջում։ |
| Տվյալների սուբյեկտ | Անձը, ում մասին են տվյալները։ |
| Վերահսկող (controller) | Կազմակերպությունը, որ որոշում է, թե ինչու և ինչպես են տվյալները մշակվում՝ սովորաբար դուք՝ հավելվածի սեփականատերը։ |
| Մշակող (processor) | Ընկերություն, որ մշակում է տվյալները վերահսկողի անունից, օրինակ՝ հոստինգի կամ էլփոստի մատակարար։ |
| Տվյալների մշակման համաձայնագիր (DPA) | Պայմանագիր վերահսկողի և մշակողի միջև, որ սահմանում է, թե ինչպես են տվյալները վարվում։ |
| Օրինական հիմք | Մշակման օրինական պատճառը, օրինակ՝ համաձայնություն կամ պայմանագիր։ |
| Համաձայնություն | Ազատորեն տրված, կոնկրետ, տեղեկացված և հստակ «այո»․ նախապես նշված վանդակները չեն հաշվվում։ |
| Հատուկ կատեգորիայի տվյալներ | Զգայուն տվյալներ, ինչպիսիք են առողջությունը կամ կենսաչափությունը, խիստ կանոններով։ |
| Վերահսկող մարմին | Երկրի տվյալների պաշտպանության կարգավորիչը։ |
Տարածված սխալներ և սխալ պատկերացումներ
- «Մենք ԵՄ-ում չենք, ուստի այն չի կիրառվում»։ Այն կարող է կիրառվել՝ կախված ձեր օգտատերերի գտնվելու վայրից։
- «GDPR-ը նշանակում է համաձայնություն ամեն ինչի համար»։ Համաձայնությունը վեց օրինական հիմքերից մեկն է, և հաճախ ոչ ճիշտը։
- «Cookie-ների հայտարարությունը մեզ համապատասխանող է դարձնում»։ Cookie-ները փոքր մասն են։ Տվյալների հավաքումը, անվտանգությունը, իրավունքները և պահպանումը ավելի կարևոր են։
- «Մեր հոստը GDPR-ին համապատասխան է, ուստի մենք էլ ենք»։ Մատակարարները օգնում են, բայց դուք եք որոշում, թե ինչ է հավաքում և անում ձեր հավելվածը։
- Հավաքել «ինչ-որ դեպքում»։ Յուրաքանչյուր լրացուցիչ դաշտ ավելի շատ բան է, որ պետք է պաշտպանել, բացատրել և ջնջել։
- Ուրիշի գաղտնիության քաղաքականության պատճենում։ Այն պետք է նկարագրի, թե ինչ է ձեր հավելվածն իրականում անում։
- Ջնջումը անհնար դարձնել։ Եթե ոչ ոք չի կարող ջնջել օգտատիրոջը առանց մշակողի, իրավունքների հարցումները վերածվում են արտակարգ իրավիճակների։
Ինչ խնդրել ձեր AI կառուցիչից
- «Թվարկիր յուրաքանչյուր անձնական տվյալ, որ այս հավելվածը հավաքում է, որտեղ է պահվում և ինչու է անհրաժեշտ։»
- «Հեռացրու այն դաշտերը, որ չենք օգտագործում։»
- «Ավելացրու հաշվի էջ, որտեղ օգտատերերը կարող են տեսնել, խմբագրել և ներբեռնել իրենց տվյալները, և խնդրել ջնջում։»
- «Կառուցիր ադմին գործողություն, որ լրիվ ջնջում է օգտատիրոջը և նրա կապված գրառումները, կամ անանունացնում է այն գրառումները, որոնք պետք է պահենք։»
- «Պահիր մարքեթինգային գրանցումը որպես առանձին, չնշված վանդակ։»
- «Մի բեռնիր վերլուծության կամ մարքեթինգային սկրիպտներ մինչև համաձայնությունը։»
- «Թվարկիր յուրաքանչյուր երրորդ կողմի ծառայություն, որ ստանում է օգտատիրոջ տվյալները, որպեսզի ավելացնեմ դրանք գաղտնիության քաղաքականության մեջ։»
- «Սահմանափակիր ադմին արտահանումները սեփականատիրոջ դերով և գրանցիր, թե ով ինչ է արտահանել։»
Այնուհետև կարդացեք ինչպես գրել օգտագործման պայմաններ և գաղտնիության քաղաքականություն և ինչպես ավելացնել cookie-ների համաձայնություն։
GDPR-ը և Mythex-ը
Mythex-ը տալիս է կառուցվածքային բլոկներ, ոչ թե համապատասխանության վկայական։ Ձեր հավելվածի տվյալները գտնվում են իր նախագծի տվյալների բազայում և ֆայլերի պահեստում, երբ դրանք միացնում եք, դուք եք սեփականատերը, իսկ Pro-ում կարող եք արտահանել նախագիծը, եթե պետք է այն տեղափոխել։ Այն, թե ինչ է հավաքում ձեր հավելվածը, որքան ժամանակ է պահում այն և ինչպես են մարդիկ օգտագործում իրենց իրավունքները, ձեր որոշումներն են, և դրանք խնդրում եք գործակալից կառուցել։ Փաստաթղթերի տվյալների սեփականության էջը բացատրում է, թե ինչ է Mythex-ը հոստում, իսկ ձեր կառուցած հավելվածների անվտանգությունը զգուշացնում է համապատասխանության հայտարարելուց, որը դուք չունեք։ Եթե ձեզ պետք են կոնկրետ մանրամասներ, օրինակ՝ որտեղ են տվյալները հոստվում կամ տվյալների մշակման համաձայնագիր, հարցրեք Mythex-ի աջակցությանը մինչև գործարկումը։
Հարցեր
Ի՞նչ է GDPR-ը պարզ տերմիններով։
GDPR-ը (General Data Protection Regulation, Տվյալների պաշտպանության ընդհանուր կանոնակարգ) Եվրոպական Միության հիմնական տվյալների պաշտպանության օրենքն է։ Այն սահմանում է կանոններ, թե ինչպես կազմակերպությունները հավաքում, օգտագործում, պահում և փոխանցում են մարդկանց մասին տեղեկատվությունը, և այդ մարդկանց իրավունքներ է տալիս իրենց տվյալների նկատմամբ։ Այն կիրառվում է 2018 թվականի 25 մայիսից։
Կիրառվո՞ւմ է GDPR-ը ԵՄ-ից դուրս գտնվող բիզնեսների նկատմամբ։
Կարող է։ Եվրոպական Հանձնաժողովի համաձայն՝ այն կիրառվում է ԵՄ-ից դուրս գտնվող կազմակերպությունների նկատմամբ, որոնք ապրանքներ կամ ծառայություններ են առաջարկում ԵՄ-ում գտնվող մարդկանց, նույնիսկ անվճար, կամ վերահսկում են նրանց վարքագիծը։ Ձեր գտնվելու վայրը միակ հարցը չէ․ կարևոր է նաև, թե ովքեր են ձեր օգտատերերը։
Արդյո՞ք էլփոստի հասցեն անձնական տվյալ է։
Այո։ Անձնական տվյալն ցանկացած տեղեկություն է, որը վերաբերում է նույնացված կամ նույնացվող կենդանի անձի։ Անուններ, էլփոստի հասցեներ, IP հասցեներ և cookie ID-ներ կարող են բոլորը համարվել այդպիսին։
Արդյո՞ք GDPR-ին համապատասխան հոստը դարձնում է իմ հավելվածը համապատասխան։
Ոչ։ Հոստը կարող է աջակցել համապատասխանությանը, բայց դուք եք որոշում, թե ինչ տվյալներ է հավելվածը հավաքում, ինչու, որքան ժամանակ են դրանք պահվում և ով է դրանք տեսնում։ Այդ ընտրությունները ձերն են, և դրանք ճիշտ անելը ձեր պատասխանատվությունն է։
Արդյո՞ք այս ուղեցույցը իրավաբանական խորհրդատվություն է։
Ոչ։ Այն ընդհանուր բացատրություն է, որ օգնում է ավելի լավ հարցեր տալ։ Ձեր կոնկրետ իրավիճակի համար ստուգեք ԵՄ-ի կամ ձեր ազգային տվյալների պաշտպանության մարմնի պաշտոնական ուղեցույցը, կամ դիմեք որակավորված խորհրդատուի։