Hvað er GDPR? Einföld leiðbeining fyrir smiði forrita

GDPR (General Data Protection Regulation, á íslensku almenna persónuverndarreglugerðin) er helsta persónuverndarlöggjöf Evrópusambandsins. Hún setur reglur um hvernig stofnanir safna, nota, geyma og deila persónuupplýsingum, sem eru hvers kyns upplýsingar um auðkenndan lifandi einstakling, og gefur fólki réttindi yfir eigin gögnum, eins og rétt til að sjá þau eða láta eyða þeim. Hún hefur gilt frá 25. maí 2018 og getur náð til fyrirtækja utan ESB ef þau þjóna fólki þar.

Ekki lögfræðiráðgjöf. Þessi leiðbeining er almenn útskýring sem hjálpar þér að skilja grunnatriðin og spyrja betri spurninga. Hún kemur ekki í stað ráðgjafar um þínar aðstæður. Fyrir opinberar upplýsingar, sjá gagnaverndarsíður framkvæmdastjórnar Evrópusambandsins og leiðbeiningar Evrópska persónuverndarráðsins fyrir lítil fyrirtæki.

Af hverju þetta skiptir máli þegar þú byggir með gervigreind

Gervigreindarsmiðir gera það auðvelt að safna gögnum. Ein fyrirmæli gefa þér skráningareyðublað, snertieyðublað, greiningu, skráaupphleðslu og stjórnborð sem listar alla notendur. Hvert þeirra safnar persónuupplýsingum, og GDPR varðar þær allar.

Góðu fréttirnar eru þær að flest af því sem GDPR krefst er líka góð vöruhönnun:

• Safnaðu aðeins því sem þú þarft í raun.
• Segðu fólki hvað þú gerir við það.
• Haltu því öruggu.
• Eyddu því þegar þú þarft það ekki lengur.
• Leyfðu fólki að sjá, leiðrétta eða fjarlægja gögn sín.

Þetta er miklu auðveldara að hanna inn frá upphafi en að líma á eftir opnun. Ef þú spyrð gervigreindarsmiðinn réttu spurninganna snemma sparar þú þér erfiða endursmíði síðar.

Dæmisaga úr daglegu lífi

Hugsaðu um persónuupplýsingar sem eigur sem fólk skilur eftir hjá þér, eins og fatahengi fyrir upplýsingar. GDPR eru húsreglur fatahengisins:

• Taktu aðeins það sem viðkomandi samþykkti að skilja eftir, af ástæðu sem hann skilur.
• Ekki róta í vösunum fyrir önnur not.
• Haltu herberginu læstu.
• Skilaðu hlutunum, eða hentu þeim, þegar beðið er um það eða þegar þú þarft þá ekki lengur.
• Ef eitthvað er stolið, láttu rétta aðila vita tafarlaust.

Þú berð ábyrgð á yfirhöfnunum meðan þær eru í þinni umsjá, jafnvel þótt þú hafir ráðið einhvern annan til að reka herbergið.

Grunnhugmyndirnar

Hvað telst persónuupplýsingar

Framkvæmdastjórn ESB skilgreinir persónuupplýsingar sem allar upplýsingar sem tengjast auðkenndum eða auðkennanlegum lifandi einstaklingi. Það er víðtækt. Þar á meðal eru nöfn, netföng, heimilisföng, IP-tölur, vafrakökuauðkenni og ljósmyndir. Gögn sem hafa verið „dulnefnd“ (pseudonymised), til dæmis þegar nöfn eru leyst af hólmi með kóðum, geta samt verið persónuupplýsingar ef hægt er að tengja þau aftur við fólk.

Sumir flokkar njóta aukinnar verndar, þar á meðal heilsufarsupplýsingar, lífkennaupplýsingar, kynþáttur eða þjóðernisuppruni og stjórnmálaskoðanir.

Hverjum hún nær til

Samkvæmt framkvæmdastjórninni nær GDPR til stofnana með staðfestu í ESB, og til stofnana utan ESB sem bjóða fólki í ESB vörur eða þjónustu (gegn gjaldi eða ókeypis) eða fylgjast með hegðun þess. Bandarískt eða Emirati-sprotafyrirtæki með evrópska viðskiptavini gæti vel fallið undir hana. Bretland hefur sína eigin útgáfu, UK GDPR, sem byggist náið á henni.

Meginreglurnar

GDPR byggist á stuttum lista af meginreglum. Á einföldu máli:

Lögmætar forsendur

Þú þarft lagalega ástæðu, „lögmæta forsendu“, fyrir hverja leið sem þú notar persónuupplýsingar. GDPR telur sex: samþykki, efndir samnings, lagaskyldu, lífsnauðsynlega hagsmuni, almannahagsmuni (opinbert verkefni) og lögmæta hagsmuni. Samþykki er aðeins ein þeirra. Að vinna úr pöntun til að afhenda hana byggist til dæmis oftast á samningnum, ekki samþykki. Hvaða forsenda passar er mat sem þarf að bera saman við opinberar leiðbeiningar.

Réttindi fólks

Framkvæmdastjórnin telur upp þessi réttindi einstaklinga:

• Að vera upplýst um hvernig gögnin eru notuð
• Að fá aðgang að gögnum sínum
• Að fá þau leiðrétt
• Að fá þeim eytt
• Að takmarka vinnslu
• Gagnaflutningsrétt (fá þau á nothæfu sniði)
• Andmælarétt
• Réttindi tengd sjálfvirkri ákvarðanatöku og persónusniðgerð

Gagnalekar

Ef persónuupplýsingar leka og lekinn er líklegur til að stofna réttindum og frelsi fólks í hættu þarf stofnunin almennt að tilkynna persónuverndaryfirvaldi sínu án ótilhlýðilegrar tafar og, þegar því verður við komið, innan 72 klukkustunda frá því hún varð vör við hann. Í sumum tilvikum þarf líka að láta þá sem málið varðar vita.

Vinnudæmi: bókunarapp fyrir jógastúdíó

Segjum að þú sért að smíða bókunarapp fyrir jógastúdíó með viðskiptavini í Þýskalandi. Hér er hvernig GDPR mótar appið.

Safnaðu minna. Skráningareyðublaðið biður um nafn, netfang og valfrjálst símanúmer. Fyrsta drögin báðu einnig um fæðingardag og heimilisfang. Ekkert í appinu notar þau, svo þau eru fjarlægð.

Heilsufarsupplýsingar þarfnast varúðar. Stúdíóið vill spyrja um meiðsli. Það eru heilsufarsupplýsingar, sérflokkur með strangari reglum. Stúdíóið ákveður að taka þær augliti til auglitis í staðinn, svo appið safnar þeim ekki.

Vertu gagnsæ. Persónuverndarstefna útskýrir hvað er safnað, af hverju, hversu lengi það er geymt, hverjir aðrir vinna úr því (hýsingaraðilinn, tölvupóstþjónustan, greiðslufyrirtækið) og hvernig hafa má samband við stúdíóið.

Markaðssetning er aðskilin. Að bóka tíma skráir engan í fréttabréfið. Það er sérstakur, ómerktur gátreitur fyrir það.

Réttindi í vörunni. Viðskiptavinir geta skoðað og breytt prófílnum sínum, sótt bókunarsöguna sína og beðið um eyðingu á reikningssíðunni sinni.

Varðveisla. Óvirkum reikningum er merkt eftir ákveðið tímabil og þeim eytt ef viðskiptavinurinn svarar ekki. Stúdíóið velur tímabilið.

Vafrakökur. Innskráningarkakan er nauðsynleg. Greining hleðst aðeins eftir að gesturinn samþykkir hana. Sjá hvað vafrakökur eru.

Öryggi. Lykilorð eru keyjuð, stjórnunarsvæðið krefst tveggja þátta auðkenningar og aðeins eigandinn getur flutt út lista yfir viðskiptavini.

Algeng hugtök útskýrð

Algeng mistök og misskilningar

• „Við erum ekki í ESB, svo þetta gildir ekki.“ Hún getur gilt út frá því hvar notendurnir þínir eru.
• „GDPR þýðir samþykki fyrir öllu.“ Samþykki er ein af sex lögmætum forsendum, og oft ekki sú rétta.
• „Vafrakökuborði gerir okkur samhæfð.“ Vafrakökur eru einn lítill hluti. Söfnun gagna, öryggi, réttindi og varðveisla skipta meira máli.
• „Hýsingaraðilinn okkar er GDPR-samhæfður, svo við erum það.“ Hýsingaraðilar aðstoða, en þú ákveður hvað appið safnar og gerir.
• Að safna „bara ef“. Sérhver aukareitur er meira sem þarf að verja, útskýra og eyða.
• Að afrita persónuverndarstefnu annarrar síðu. Hún verður að lýsa því sem þitt app gerir í raun.
• Að gera eyðingu ómögulega. Ef enginn getur eytt notanda án forritara verða beiðnir um réttindi að neyðartilvikum.

Hvað á að biðja gervigreindarsmiðinn þinn um

• „Listaðu öll persónugögn sem þetta app safnar, hvar þau eru geymd og af hverju þau eru nauðsynleg.“
• „Fjarlægðu reiti í eyðublöðum sem við notum ekki.“
• „Bættu við reikningssíðu þar sem notendur geta skoðað, breytt og sótt gögn sín og beðið um eyðingu.“
• „Búðu til aðgerð í stjórnunarkerfinu sem eyðir notanda og tengdum færslum hans að fullu, eða gerir færslur sem við verðum að geyma nafnlausar.“
• „Hafðu markaðsskráningu sem sérstakan, ómerktan gátreit.“
• „Hlaðið ekki greiningar- eða markaðsskriftum fyrr en samþykki liggur fyrir.“
• „Listaðu sérhverja þjónustu frá þriðja aðila sem fær gögn notenda, svo ég geti bætt henni við persónuverndarstefnuna.“
• „Takmarkaðu útflutning fyrir stjórnendur við eigandahlutverkið og skráðu hver flutti út hvað.“

Lestu síðan hvernig þú skrifar skilmála og persónuverndarstefnu og hvernig þú bætir vafrakökusamþykki við.

GDPR og Mythex

Mythex veitir byggingarkubba, ekki vottorð um samhæfi. Gögn appsins þíns eru í eigin verkefnisgagnagrunni og skráageymslu þegar þú virkjar þau, þú átt kóðann og á Pro geturðu flutt verkefnið út ef þú þarft að færa það. Hvaða gögn appið þitt safnar, hversu lengi það geymir þau og hvernig fólk nýtir réttindi sín eru ákvarðanir sem þú tekur, og biður fulltrúann um að smíða. Skjalasíðan um eignarhald gagna útskýrir hvað Mythex hýsir, og öryggi fyrir öpp sem þú smíðar varar við því að fullyrða samhæfi sem þú hefur ekki. Ef þú þarft sérstök atriði, eins og hvar gögnin eru hýst eða vinnslusamning, spurðu þjónustuver Mythex áður en þú opnar.

Spurningar