Kas yra BDAR? Paprastas vadovas kuriantiems programas
BDAR (Bendrasis duomenų apsaugos reglamentas) yra pagrindinis Europos Sąjungos asmens duomenų apsaugos įstatymas. Jis nustato taisykles, kaip organizacijos renka, naudoja, saugo ir dalijasi asmens duomenimis – bet kokia informacija apie nustatomą gyvą asmenį – ir suteikia žmonėms teises į jų pačių duomenis, pavyzdžiui, teisę juos matyti ar reikalauti ištrinti. Jis taikomas nuo 2018 m. gegužės 25 d. ir gali taikytis verslui už ES ribų, jei jis aptarnauja joje esančius žmones.
Ne teisinė konsultacija. Šis vadovas yra bendras paaiškinimas, padedantis suprasti pagrindus ir užduoti geresnius klausimus. Jis nepakeičia konsultacijos dėl jūsų situacijos. Išsamesnės autoritetingos informacijos ieškokite Europos Komisijos duomenų apsaugos puslapiuose ir Europos duomenų apsaugos valdybos vadove mažoms įmonėms.
Kodėl tai svarbu kuriant su DI
DI kūrimo įrankiai leidžia lengvai rinkti duomenis. Vienas užklausimas duoda registracijos formą, kontaktų formą, analitiką, failų įkėlimus ir administravimo skydelį, kuriame išvardyti visi naudotojai. Kiekvienas iš jų renka asmens duomenis, o BDAR rūpinasi visais.
Gera žinia, kad didžioji dalis to, ko reikalauja BDAR, yra ir geros produkto praktikos:
- Rinkite tik tai, ko iš tikrųjų reikia.
- Pasakykite žmonėms, ką su jais darote.
- Saugokite juos.
- Ištrinkite, kai jų nebereikia.
- Leiskite žmonėms pamatyti, ištaisyti ar pašalinti savo duomenis.
Tai daug lengviau suprojektuoti nuo pat pradžių nei pridėti po paleidimo. Anksti užduoti DI kūrėjui teisingus klausimus padeda išvengti skausmingo perdarymo vėliau.
Kasdienis palyginimas
Pagalvokite apie asmeninius daiktus, kuriuos žmonės palieka jums – kaip drabužinę, bet informacijai. BDAR yra drabužinės vidaus taisyklės:
- Priimkite tik tai, ką žmogus sutiko palikti, dėl priežasties, kurią jis supranta.
- Nesižvalgykite po kišenes kitiems tikslams.
- Laikykite kambarį užrakintą.
- Grąžinkite daiktus arba išmeskite, kai to paprašoma arba kai jų nebereikia.
- Jei kas nors pavogta, laiku pranešk atsakingiems žmonėms.
Už paltus atsakote, kol jie jūsų priežiūroje, net jei samdėte ką nors kitą tvarkyti kambarį.
Pagrindinės idėjos
Kas laikoma asmens duomenimis
Europos Komisija apibrėžia asmens duomenis kaip bet kokią informaciją, susijusią su nustatytu ar nustatomu gyvu asmeniu. Tai plati sąvoka. Ji apima vardus, el. pašto adresus, namų adresus, IP adresus, slapukų ID ir nuotraukas. Duomenys, kurie buvo „pseudonimizuoti“ – pavyzdžiui, vardai pakeisti kodais – vis dar gali būti asmens duomenys, jei juos galima susieti su žmogumi.
Kai kurios kategorijos turi papildomą apsaugą, įskaitant sveikatos duomenis, biometrinius duomenis, rasinę ar etninę kilmę ir politines pažiūras.
Kam jis taikomas
Pagal Komisiją, BDAR taikomas organizacijoms, įsisteigusioms ES, ir organizacijoms už ES ribų, kurios siūlo prekes ar paslaugas (mokamas ar nemokamas) žmonėms ES arba stebi jų elgesį. JAV ar JAE startuolis su europiečių klientais gali būti visiškai įtrauktas. Jungtinė Karalystė turi savo versiją – JK BDAR, kuris glaudžiai remiasi ES reglamentu.
Principai
BDAR pagrįstas trumpu principų sąrašu. Paprastais žodžiais:
| Principas | Ką tai reiškia jūsų programai |
|---|---|
| Teisėtumas, sąžiningumas, skaidrumas | Turėkite pagrįstą priežastį tvarkyti duomenis ir aiškiai pasakykite žmonėms, ką darote. |
| Tikslo apribojimas | Naudokite duomenis tomis priežastimis, kuriomis juos surinkote, o ne naujais netikėtais tikslais. |
| Duomenų mažinimas | Nerinkite laukų, kurių nereikia. |
| Tikslumas | Laikykite duomenis teisingus ir leiskite žmonėms juos ištaisyti. |
| Saugojimo apribojimas | Nelaikykite duomenų amžinai; ištrinkite, kai jie nebereikalingi. |
| Vientisumas ir konfidencialumas | Saugokite juos nuo nutekėjimų ir neteisėtos prieigos. |
| Atskaitomybė | Gebėkite parodyti, kaip laikotės taisyklių. |
Teisiniai pagrindai
Kiekvienam asmens duomenų naudojimo būdui reikia teisinio pagrindo. BDAR išvardija šešis: sutikimą, sutarties vykdymą, teisinę prievolę, gyvybinius interesus, viešąją užduotį ir teisėtus interesus. Sutikimas yra tik vienas iš jų. Pavyzdžiui, užsakymo apdorojimas, kad jis būtų pristatytas, paprastai susijęs su sutartimi, o ne su sutikimu. Kuris pagrindas tinka – tai sprendimas, kurį reikia patikrinti pagal oficialias gaires.
Žmonių teisės
Komisija išvardija šias asmenų teises:
- Būti informuotiems, kaip naudojami jų duomenys
- Susipažinti su savo duomenimis
- Reikalauti juos ištaisyti
- Reikalauti juos ištrinti
- Apriboti tvarkymą
- Duomenų perkeliamumą (gauti juos naudojamu formatu)
- Nesutikti
- Teises, susijusias su automatizuotu sprendimų priėmimu ir profiliavimu
Duomenų pažeidimai
Jei asmens duomenys nutekėjo ir pažeidimas gali kelti pavojų žmonių teisėms ir laisvėms, organizacija paprastai turi nedelsdama, o jei įmanoma – per 72 valandas nuo sužinojimo apie jį, pranešti savo duomenų apsaugos priežiūros institucijai. Kai kuriais atvejais apie tai turi būti informuoti ir pažeidimo paveikti žmonės.
Darbo pavyzdys: jogos studijos rezervacijų programa
Tarkime, kuriate jogos studijos rezervacijų programą su klientais Vokietijoje. Štai kaip BDAR formuoja programą.
Rinkite mažiau. Registracijos forma prašo vardo, el. pašto ir neprivalomo telefono numerio. Pirminiame variante buvo prašoma ir gimimo datos bei namų adreso – nieko programoje jų nenaudoja, todėl jie pašalinti.
Sveikatos duomenims reikia dėmesio. Studija nori klausti apie traumas. Tai sveikatos duomenys – ypatinga kategorija su griežtesnėmis taisyklėmis. Studija nusprendžia tai aptarti asmeniškai, todėl programa to nerenka.
Būkite skaidrūs. Privatumo politika paaiškina, kas renkama, kodėl, kiek laiko saugoma, kas dar tvarko duomenis (hostingo teikėjas, el. pašto paslauga, mokėjimo teikėjas) ir kaip susisiekti su studija.
Rinkodara atskirai. Klasės rezervavimas neužregistruoja niekieno naujienlaiškiui. Yra atskiras, nepažymėtas langelis tam.
Teisės produkte. Klientai gali peržiūrėti ir redaguoti savo profilį, atsisiųsti rezervacijų istoriją ir paprašyti ištrinti duomenis iš savo paskyros puslapio.
Saugojimas. Neaktyvios paskyros pažymimos po nustatyto laikotarpio ir pašalinamos, jei klientas neatsako. Laikotarpį pasirenka studija.
Slapukai. Prisijungimo slapukas yra būtinas. Analitika įkeliama tik tada, kai lankytojas ją priima. Žr. kas yra slapukai.
Saugumas. Slaptažodžiai užmaišomi, administravimo sritis reikalauja dviejų faktorių autentifikacijos, o kliento sąrašus eksportuoti gali tik savininkas.
Bendri terminai paaiškinti
| Terminas | Ką reiškia |
|---|---|
| Asmens duomenys | Bet kokia informacija apie nustatytą ar nustatomą gyvą asmenį. |
| Tvarkymas | Bet koks veiksmas su asmens duomenimis: rinkimas, saugojimas, naudojimas, dalijimasis, trynimas. |
| Duomenų subjektas | Asmuo, kurio duomenys. |
| Valdytojas | Organizacija, nusprendžianti, kodėl ir kaip tvarkomi duomenys – paprastai jūs, programos savininkas. |
| Tvarkytojas | Įmonė, kuri tvarko duomenis valdytojo vardu, pavyzdžiui, hostingo ar el. pašto teikėjas. |
| Duomenų tvarkymo sutartis (DTS) | Sutartis tarp valdytojo ir tvarkytojo, nustatanti, kaip tvarkomi duomenys. |
| Teisinis pagrindas | Teisinė priežastis tvarkyti duomenis, pavyzdžiui, sutikimas ar sutartis. |
| Sutikimas | Laisvai duotas, konkretus, informuotas ir aiškus „taip“; iš anksto pažymėti langeliai nelaikomi. |
| Ypatingos kategorijos duomenys | Jautrūs duomenys, pavyzdžiui, sveikatos ar biometriniai, su griežtesnėmis taisyklėmis. |
| Priežiūros institucija | Šalies duomenų apsaugos reguliuotojas. |
Dažnos klaidos ir klaidingi įsitikinimai
- „Mes ne ES, todėl tai netaikoma.“ Tai gali taikytis, priklausomai nuo to, kur yra jūsų naudotojai.
- „BDAR reiškia sutikimą viskam.“ Sutikimas yra vienas iš šešių teisinių pagrindų ir dažnai ne tas, kurio reikia.
- „Slapukų langelis mus daro atitinkančius.“ Slapukai yra viena maža dalis. Duomenų rinkimas, saugumas, teisės ir saugojimas svarbesni.
- „Mūsų hostingas atitinka BDAR, todėl ir mes.“ Teikėjai padeda, bet jūs nusprendžiate, ką renka ir daro jūsų programa.
- Rinkti „kad prireiktų“. Kiekvienas papildomas laukas – dar vienas dalykas, kurį reikia apsaugoti, paaiškinti ir ištrinti.
- Kito svetainės privatumo politikos kopijavimas. Ji turi aprašyti, ką jūsų programa iš tikrųjų daro.
- Ištrynimo padarymas neįmanomu. Jei niekas negali ištrinti naudotojo be kūrėjo, teisių prašymai tampa avarijomis.
Ko paprašyti iš DI kūrėjo
- „Išvardyk kiekvieną asmens duomenų dalį, kurią ši programa renka, kur ji saugoma ir kodėl ji reikalinga.“
- „Pašalink formos laukus, kurių nenaudojame.“
- „Pridėk paskyros puslapį, kuriame naudotojai gali peržiūrėti, redaguoti ir atsisiųsti savo duomenis bei prašyti ištrinti.“
- „Sukurk administratoriaus veiksmą, kuris visiškai ištrina naudotoją ir jo susijusius įrašus arba anonimizuoja įrašus, kuriuos privalome saugoti.“
- „Laikyk rinkodaros prenumeratą atskiru, nepažymėtu langeliu.“
- „Neįkelk analitikos ar rinkodaros scenarijų prieš sutikimą.“
- „Išvardyk kiekvieną trečiosios šalies paslaugą, kuri gauna naudotojų duomenis, kad galėčiau juos įtraukti į privatumo politiką.“
- „Apriboti administratoriaus eksportus tik savininko vaidmeniui ir įrašyti, kas ką eksportavo.“
Tada perskaitykite kaip parašyti paslaugų teikimo sąlygas ir privatumo politiką ir kaip pridėti slapukų sutikimą.
BDAR ir Mythex
Mythex suteikia statybinius blokus, o ne atitikties sertifikatą. Jūsų programos duomenys gyvena jos projekto duomenų bazėje ir failų saugykloje, kai juos įjungiate; jūs turite kodą, o Pro plane galite eksportuoti projektą, jei reikia jį perkelti. Ką renka jūsų programa, kiek laiko ji saugo duomenis ir kaip žmonės naudojasi savo teisėmis – tai sprendimai, kuriuos priimate jūs ir kuriuos prašote agento įgyvendinti. Dokumentacijos puslapis duomenų nuosavybė paaiškina, ką Mythex talpina, o saugumas jūsų kuriamoms programoms įspėja prieš tvirtinimą, kad turite atitiktį, kurios neturite. Jei reikia konkrečių dalykų, pavyzdžiui, kur talpinami duomenys ar duomenų tvarkymo sutartis, prieš paleidimą klauskite Mythex palaikymo.
Klausimai
Kas yra BDAR paprastais žodžiais?
Bendrasis duomenų apsaugos reglamentas (BDAR) – pagrindinis Europos Sąjungos asmens duomenų apsaugos įstatymas. Jis nustato taisykles, kaip organizacijos renka, naudoja, saugo ir dalijasi informacija apie žmones, ir suteikia tiems žmonėms teises į jų duomenis. Jis taikomas nuo 2018 m. gegužės 25 d.
Ar BDAR taikomas verslui už ES ribų?
Gali. Pagal Europos Komisiją jis taikomas organizacijoms už ES ribų, kurios siūlo prekes ar paslaugas žmonėms ES, net nemokamai, arba stebi jų elgesį. Svarbu ne tik tai, kur esate įsikūrę, bet ir kas yra jūsų naudotojai.
Ar el. pašto adresas yra asmens duomenys?
Taip. Asmens duomenys – tai bet kokia informacija, susijusi su nustatytu ar nustatomu gyvu asmeniu. Vardai, el. pašto adresai, IP adresai ir slapukų ID gali būti laikomi asmens duomenimis.
Ar naudojimas BDAR atitinkančio hostingo padaro mano programą atitinkančią?
Ne. Hostingas gali padėti atitikti reikalavimus, bet jūs nusprendžiate, kokius duomenis renka jūsų programa, kodėl, kiek laiko jie saugomi ir kas juos mato. Šiuos sprendimus turite priimti patys teisingai.
Ar šis vadovas yra teisinė konsultacija?
Ne. Tai bendras paaiškinimas, padedantis užduoti geresnius klausimus. Dėl jūsų konkrečios situacijos patikrinkite oficialias ES ar savo nacionalinės duomenų apsaugos institucijos gaires arba kreipkitės į kvalifikuotą konsultantą.