GDPR дегеніміз не? Қосымша құрастырушыларға арналған қарапайым нұсқаулық
GDPR (General Data Protection Regulation) — Еуропа Одағының негізгі деректерді қорғау заңы. Ол ұйымдардың жеке деректерді — анықталатын тірі адам туралы кез келген ақпаратты — қалай жинайтынын, пайдаланатынын, сақтайтынын және бөлісетінін реттейді, сондай-ақ адамдарға өз деректеріне құқық береді, мысалы оны көру немесе жойғызу. 2018 жылдың 25 мамырынан бастап қолданылады және оның ішіндегі адамдарға қызмет көрсетсе, ЕО-дан тыс бизнеске де қолданылуы мүмкін.
Заңдық кеңес емес. Бұл нұсқаулық негіздерді түсінуге және жақсырақ сұрақтар қоюға көмектесетін жалпы түсіндірме. Ол сіздің жағдайыңыз бойынша кеңестің орнын баспайды. Ресми мәліметтер үшін Еуропалық комиссияның деректерді қорғау беттерін және Еуропалық деректерді қорғау кеңесінің шағын бизнеске арналған нұсқаулығын қараңыз.
AI көмегімен құрастырғанда бұл неге маңызды
AI құрастырушылары деректерді жинауды оңай етеді. Бір сұраныс сізге тіркелу формасын, байланыс формасын, аналитиканы, файл жүктеуді және әр пайдаланушыны тізімдейтін әкімші панелін береді. Олардың әрқайсысы жеке деректерді жинайды, ал GDPR бәріне қатысты.
Жақсы жаңалық — GDPR талап ететіннің көбі жақсы өнім тәжірибесі де болып табылады:
- Шынымен қажет нәрсені ғана жинаңыз.
- Адамдарға оны не үшін пайдаланатыныңызды айтыңыз.
- Оны қауіпсіз сақтаңыз.
- Қажет болмаған кезде оны жойыңыз.
- Адамдардың өз деректерін көруіне, түзетуіне немесе жоюына мүмкіндік беріңіз.
Мұның бәрін басынан жобалау, іске қосқаннан кейін қосқаннан әлдеқайда оңай. AI құрастырушыға ерте дұрыс сұрақтар қою кейін ауыр қайта құруды болдырмайды.
Күнделікті салыстыру
Жеке деректерді адамдар сізбен қалдыратын заттар сияқты елестетіңіз — киім ілгіш сияқты, бірақ ақпарат үшін. GDPR — киім ілгіш үшін үй ережелері:
- Адам қалдыруға келіскен нәрсені ғана алыңыз, оны түсінетін себеппен.
- Басқа мақсатта қалта ішін ақтармаңыз.
- Бөлмені құлыптаулы ұстаңыз.
- Сұраған кезде немесе оған қажет болмаған кезде заттарды қайтарыңыз немесе тастаңыз.
- Бірдеңе ұрланса, тиісті адамдарға дереу хабарлаңыз.
Бөлменің басқарылуын басқа адамға тапсырсаңыз да, сіз оларға қамқорлықта болған кезде жауаптысыз.
Негізгі ойлар
Жеке деректер нені білдіреді
Еуропалық комиссия жеке деректерді анықталған немесе анықталуы мүмкін тірі жеке тұлғаға қатысты кез келген ақпарат ретінде анықтайды. Бұл кең ұғым. Оған аттар, электрондық пошта мекенжайлары, үй мекенжайлары, IP мекенжайлары, cookie ID-лары және фотосуреттер кіреді. «Псевдонимделген» деректер — мысалы, аттары кодтармен ауыстырылған деректер — егер оларды біреумен байланыстыруға болса, әлі де жеке деректер болып қалады.
Кейбір санаттар қосымша қорғалады, соның ішінде денсаулық туралы деректер, биометриялық деректер, нәсілдік немесе этникалық шығу тегі және саяси көзқарастар.
Кімге қолданылады
Комиссияның айтуынша, GDPR ЕО-да құрылған ұйымдарға, және ЕО-дан тыс жерде орналасқан, ЕО-дағы адамдарға тауар немесе қызмет ұсынатын (ақылы немесе тегін) немесе олардың мінез-құлқын бақылайтын ұйымдарға қолданылады. Еуропалық клиенттері бар АҚШ немесе БАӘ стартапы, әлбетте, қамтылуы мүмкін. Ұлыбританияның өз нұсқасы бар — UK GDPR, ол оған жақын негізделген.
Принциптер
GDPR қысқа принциптер тізіміне негізделген. Қарапайым тілмен:
| Принцип | Қосымшаңыз үшін мағынасы |
|---|---|
| Заңдылық, әділдік, ашықтық | Деректерді өңдеуге негізді себеп болсын және адамдарға не істейтіныңізді анық айтыңыз. |
| Мақсатты шектеу | Деректерді жинаған себептеріңіз үшін пайдаланыңыз, күтпеген жаңа мақсаттар үшін емес. |
| Деректерді азайту | Қажет емес өрістерді жинамаңыз. |
| Дәлдік | Деректерді дұрыс ұстаңыз және адамдарға оларды түзетуге мүмкіндік беріңіз. |
| Сақтау мерзімін шектеу | Деректерді мәңгі сақтамаңыз; қажет болмағанда жойыңыз. |
| Тұтастық және құпиялылық | Ағып кетуден және рұқсатсыз қолжетімділіктен қорғаңыз. |
| Жауапкершілік | Сәйкестікті қалай қамтамасыз ететініңізді көрсете алыңыз. |
Заңды негіздер
Жеке деректерді пайдаланудың әр тәсілі үшін заңды себеп — «заңды негіз» қажет. GDPR алтауын тізімдейді: келісім, шарт орындау, заңдық міндеттеме, өмірлік мүдделер, қоғамдық міндет және заңды мүдделер. Келісім — олардың бірі ғана. Мысалы, тапсырысты жеткізу үшін өңдеу әдетте келісімге емес, шартқа қатысты. Қай негіз сәйкес келетіні ресми нұсқаулықпен тексеруге тиіс бағалау.
Адамдардың құқықтары
Комиссия жеке тұлғалар үшін мынадай құқықтарды тізімдейді:
- Деректері қалай пайдаланылатыны туралы хабардар болу
- Деректеріне қол жеткізу
- Оларды түзету
- Оларды жою
- Өңдеуді шектеу
- Деректерді тасымалдау (пайдалануға ыңғайлы пішімде алу)
- Қарсылық білдіру
- Автоматты шешім қабылдау мен профильдеуге қатысты құқықтар
Деректер ағып кетуі
Егер жеке деректер ағып кетіп, бұзушылық адамдардың құқықтары мен бостандықтарына қауіп төндіруі мүмкін болса, ұйым әдетте деректерді қорғау органын негізсіз кешіктірмай, ал мүмкін болса, оны біліп қалғаннан кейін 72 сағат ішінде хабардар етуге тиіс. Кейбір жағдайларда зардап шеккен адамдарға да хабарлау қажет.
Жұмыс мысалы: йога студиясының брондау қосымшасы
Германиядағы клиенттері бар йога студиясына арналған брондау қосымшасын жасап жатырсыз делік. GDPR оны қалай қалыптастыратыны міне.
Азырақ жинаңыз. Тіркелу формасы аты, электрондық поштасы және міндетті емес телефон нөмірін сұрайды. Алғашқы нұсқада туған күні мен үй мекенжайы да сұралған — қосымшада оларды ешнәрсе пайдаланбайды, сондықтан олар алынып тасталды.
Денсаулық деректеріне қамқорлық керек. Студия жарақаттар туралы сұрағысы келеді. Бұл денсаулық туралы деректер, қатаң ережелері бар арнайы санат. Студия мұны орнына жеке-жеке өңдеуді шешеді, сондықтан қосымша оны жинамайды.
Ашық болыңыз. Құпиялылық саясаты не жиналатынын, неге, қанша уақыт сақталатынын, оны тағы кім өңдейтінін (хостинг провайдері, электрондық пошта қызметі, төлем провайдері) және студиямен қалай байланысуға болатынын түсіндіреді.
Маркетинг бөлек. Сабаққа брондау ешкімді жаңалықтар хатына жазылдырмайды. Ол үшін бөлек, белгіленбеген құсбелгі бар.
Өнімдегі құқықтар. Клиенттер профилін көре және өңдей алады, брондау тарихын жүктей алады және аккаунт бетінен жоюды сұрай алады.
Сақтау. Белсенді емес аккаунттар белгілі бір кезеңнен кейін белгіленеді және клиент жауап бермесе жойылады. Кезеңді студия таңдайды.
Cookie-лер. Кіру cookie-і қажет. Аналитика тек келуші келісім бергеннен кейін жүктеледі. Cookie дегеніміз не қараңыз.
Қауіпсіздік. Құпиясөздер хэштеледі, әкімші аймағы екі факторлы аутентификацияны талап етеді, ал клиент тізімдерін тек иесі экспорттай алады.
Ортақ терминдер
| Термин | Мағынасы |
|---|---|
| Жеке деректер | Анықталған немесе анықталуы мүмкін тірі адам туралы кез келген ақпарат. |
| Өңдеу | Жеке деректермен жасалатын кез келген әрекет: жинау, сақтау, пайдалану, бөлісу, жою. |
| Деректер субъектісі | Деректер қатысты адам. |
| Контроллер | Деректер неге және қалай өңделетінін шешетін ұйым — әдетте сіз, қосымша иесі. |
| Процессор | Контроллердің атынан деректерді өңдейтін компания, мысалы хостинг немесе электрондық пошта провайдері. |
| Деректерді өңдеу келісімі (DPA) | Контроллер мен процессор арасындағы деректер қалай өңделетінін белгілейтін шарт. |
| Заңды негіз | Өңдеудің заңдық себебі, мысалы келісім немесе шарт. |
| Келісім | Еркін берілген, нақты, хабардар және анық «иә»; алдын ала белгіленген құсбелгілер есептелмейді. |
| Арнайы санат деректері | Денсаулық немесе биометрия сияқты қатаң ережелері бар сезімтал деректер. |
| Қадағалаушы орган | Елдің деректерді қорғау реттеушісі. |
Жиі кездесетін қателер мен қате түсініктер
- «Біз ЕО-да емеспіз, сондықтан ол қолданылмайды». Пайдаланушыларыңыздың орналасқан жеріне байланысты қолданылуы мүмкін.
- «GDPR барлығына келісім дегенді білдіреді». Келісім — алты заңды негіздің бірі, және көбіне дұрысы емес.
- «Cookie баннері бізді сәйкес етеді». Cookie-лер — кішкене бөлігі ғана. Деректерді жинау, қауіпсіздік, құқықтар және сақтау маңыздырақ.
- «Біздің хостинг GDPR-ге сай, демек біз де сәйкеспіз». Провайдерлер көмектеседі, бірақ қосымшаңыз не жинайтынын және не істейтінін сіз шешесіз.
- «Бәрібір керек болар» деп жинау. Әр қосымша өріс — қорғау, түсіндіру және жою керек тағы бір нәрсе.
- Басқа сайттың құпиялылық саясатын көшіру. Ол сіздің қосымшаңыз нақты не істейтінін сипаттауы керек.
- Жоюды мүмкін еместей ету. Егер пайдаланушыны әзірлеушісіз ешкім жоя алмаса, құқықтар туралы сұраулар төтенше жағдайға айналады.
AI құрастырушыдан не сұрау керек
- «Бұл қосымша жинайтын әр жеке деректер бөлігін, олар қайда сақталатынын және неге қажет екенін тізіңіз.»
- «Біз пайдаланбайтын кез келген форма өрісін жойыңыз.»
- «Пайдаланушылар деректерін көре, өңдей және жүктей алатын, сондай-ақ жоюды сұрай алатын аккаунт бетін қосыңыз.»
- «Пайдаланушыны және оның байланысты жазбаларын толық жоятын, немесе сақтауымыз керек жазбаларды анонимдейтін әкімші әрекетін жасаңыз.»
- «Маркетингке жазылуды бөлек, белгіленбеген құсбелгі ретінде сақтаңыз.»
- «Келісімге дейін аналитика немесе маркетинг скрипттерін жүктемеңіз.»
- «Пайдаланушы деректерін алатын әр үшінші тарап қызметін тізіңіз, сонда оларды құпиялылық саясатына қоса аламын.»
- «Әкімші экспорттарын тек иесі рөліне шектеңіз және кімнің нені экспорттағанын журналға жазыңыз.»
Содан кейін қызмет көрсету шарттары мен құпиялылық саясатын қалай жазу керек және cookie келісімін қалай қосу керек бетін оқыңыз.
GDPR және Mythex
Mythex сізге құрылыс блоктарын береді, сәйкестік сертификатын емес. Қосымшаңыздың деректері оларды қоссаңыз, өз жобасының деректер қорында және файл сақтауда тұрады, кодты сіз иеленесіз, ал жобаны көшіру қажет болса, Pro тарифінде оны экспорттауға болады. Қосымшаңыз не жинайтыны, оны қанша уақыт сақтайтыны және адамдар өз құқықтарын қалай пайдаланатыны — сіз шешетін және агенттен құруды сұрайтын шешімдер. Mythex нені хосттайтынын деректерге иелік ету құжаттама беті түсіндіреді, ал сіз құрастыратын қосымшаларға арналған қауіпсіздік беті сізде жоқ сәйкестікті жариялаудан ескертеді. Деректердің қай жерде хосталатыны немесе деректерді өңдеу келісімі сияқты нақты мәліметтер керек болса, іске қосар алдында Mythex қолдауына хабарласыңыз.
Сұрақтар
GDPR қарапайым тілмен айтқанда не?
Жалпы деректерді қорғау регламенті (GDPR) — Еуропа Одағының негізгі деректерді қорғау заңы. Ол ұйымдардың адамдар туралы ақпаратты қалай жинайтынын, пайдаланатынын, сақтайтынын және бөлісетінін реттейді, ал сол адамдарға өз деректеріне қатысты құқықтар береді. 2018 жылдың 25 мамырынан бастап қолданылады.
GDPR ЕО-дан тыс бизнеске қолданыла ма?
Қолданыла алады. Еуропалық комиссияның айтуынша, ол ЕО-дан тыс жерде орналасқан, бірақ ЕО-дағы адамдарға тегін болса да тауар немесе қызмет ұсынатын, немесе олардың мінез-құлқын бақылайтын ұйымдарға қолданылады. Сіздің қай жерде орналасқаныңыз ғана емес, пайдаланушыларыңыз кім екені де маңызды.
Электрондық пошта мекенжайы жеке деректер ме?
Иә. Жеке деректер — анықталған немесе анықталуы мүмкін тірі адамға қатысты кез келген ақпарат. Аттар, электрондық пошта мекенжайлары, IP мекенжайлары және cookie ID-лары бәрі де есептелуі мүмкін.
GDPR-ге сай хостингті пайдалану қосымшамды сәйкес ете ме?
Жоқ. Хостинг сәйкестікті қолдай алады, бірақ қосымшаңыз қандай деректерді жинайтынын, неге, қанша уақыт сақтайтынын және кімнің көретінін сіз шешесіз. Бұл таңдауларды дұрыс жасау сіздің міндетіңіз.
Бұл нұсқаулық заңдық кеңес пе?
Жоқ. Бұл жақсырақ сұрақтар қоюға көмектесетін жалпы түсіндірме. Нақты жағдайыңыз үшін ЕО-ның немесе ұлттық деректерді қорғау органының ресми нұсқаулығын тексеріңіз немесе білікті кеңесшімен сөйлесіңіз.