Kas ir VDAR? Vienkāršs ceļvedis lietotņu veidotājiem

VDAR (Vispārīgā datu aizsardzības regula, angliski GDPR — General Data Protection Regulation) ir Eiropas Savienības galvenais datu aizsardzības likums. Tas nosaka noteikumus, kā organizācijas vāc, izmanto, glabā un dala personas datus — jebkuru informāciju par identificējamu dzīvu personu — un piešķir cilvēkiem tiesības pār saviem datiem, piemēram, tiesības tos redzēt vai likt tos dzēst. Tas piemērojams kopš 2018. gada 25. maija, un tas var attiekties arī uz uzņēmumiem ārpus ES, ja tie apkalpo cilvēkus tajā.

Nav juridisks padoms. Šis ceļvedis ir vispārīgs skaidrojums, kas palīdz saprast pamatus un uzdot labākus jautājumus. Tas nav aizstājējs padomam par jūsu situāciju. Autoritatīvākai informācijai skatiet Eiropas Komisijas datu aizsardzības lapas un Eiropas Datu aizsardzības kolēģijas ceļvedi mazajiem uzņēmumiem.

Kāpēc tas ir svarīgi, veidojot ar MI

MI veidotāji datu vākšanu padara vienkāršu. Viena uzvedne sniedz reģistrācijas veidlapu, kontaktu veidlapu, analītiku, failu augšupielādi un administrēšanas paneli, kas uzskaita katru lietotāju. Katrs no tiem vāc personas datus, un VDAR attiecas uz visiem.

Labā ziņa ir tā, ka lielākā daļa no tā, ko prasa VDAR, ir arī labs produkta praksē:

• Vāciet tikai to, kas patiešām vajadzīgs.
• Pasakiet cilvēkiem, ko ar to darāt.
• Nodrošiniet drošību.
• Dzēsiet, kad tas vairs nav vajadzīgs.
• Ļaujiet cilvēkiem redzēt, labot vai noņemt savus datus.

Tos daudz vieglāk ieprojektēt no sākuma, nekā pielāgot pēc palaišanas. Ja jau agri uzdodat pareizos jautājumus savam MI veidotājam, vēlāk var izvairīties no sāpīgas pārbūves.

Ikdienas salīdzinājums

Iedomājieties personas datus kā mantas, ko cilvēki atstāj pie jums — kā garderobi, bet informācijai. VDAR ir garderobes iekšējie noteikumi:

• Ņemiet tikai to, ko persona piekrita atstāt, kādam iemeslam, ko viņa saprot.
• Neizmeklējiet kabatas citiem nolūkiem.
• Turiet telpu slēgtu.
• Atdodiet lietas atpakaļ vai izmetiet tās, kad to prasa vai kad tās vairs nevajag.
• Ja kaut kas pazudis, nekavējoties paziņojiet pareizajiem cilvēkiem.

Jūs esat atbildīgs par mēteļiem, kamēr tie ir jūsu aprūpē, pat ja esat nolīdzis kādu citu vadīt telpu.

Galvenās idejas

Kas ir personas dati

Eiropas Komisija personas datus definē kā jebkuru informāciju, kas attiecas uz identificētu vai identificējamu dzīvu personu. Tas ir plaši. Tajos ietilpst vārdi, e-pasta adreses, mājas adreses, IP adreses, sīkdatņu identifikatori un fotogrāfijas. Dati, kas ir „pseidonimizēti” — teiksim, vārdi aizstāti ar kodiem —, joprojām var būt personas dati, ja tos var saistīt ar konkrētu cilvēku.

Dažas kategorijas saņem papildu aizsardzību, tostarp veselības dati, biometriskie dati, rasu vai etniskā izcelsme un politiskie uzskati.

Kam tas attiecas

Pēc Komisijas teiktā, VDAR attiecas uz organizācijām, kas reģistrētas ES, un uz organizācijām ārpus ES, kas piedāvā preces vai pakalpojumus cilvēkiem ES (par maksu vai bez tās) vai novēro viņu uzvedību. ASV vai AAE jaunuzņēmums ar eiropiešu klientiem, visticamāk, ir ietilpstošs. Apvienotajai Karalistei ir sava versija — Apvienotās Karalistes VDAR, kas ir cieši balstīta uz šo regulu.

Principi

VDAR ir veidots uz īsa principu saraksta. Vienkāršiem vārdiem:

Juridiskie pamati

Katram datu lietošanas veidam jums vajag juridisku iemeslu — „likumīgo pamatu”. VDAR uzskaita sešus: piekrišana, līguma izpilde, juridiska saistība, vitālas intereses, sabiedrības uzdevums un leģitīmas intereses. Piekrišana ir tikai viens no tiem. Piemēram, pasūtījuma apstrāde tā piegādei parasti ir saistīta ar līgumu, nevis piekrišanu. Kurš pamats der, ir spriedums, ko jāpārbauda pret oficiālām vadlīnijām.

Cilvēku tiesības

Komisija uzskaita šādas tiesības privātpersonām:

• Tikt informētam par to, kā tiek izmantoti viņu dati
• Piekļūt saviem datiem
• Likt tos labot
• Likt tos dzēst
• Ierobežot apstrādi
• Datu pārnesamību (saņemt tos lietojamā formātā)
• Iebilst
• Tiesības, kas saistītas ar automatizētu lēmumu pieņemšanu un profilēšanu

Datu noplūdes

Ja personas dati tiek nopludināti un noplūde, visticamāk, apdraud cilvēku tiesības un brīvības, organizācijai parasti jāpaziņo savai datu aizsardzības iestādei bez liekas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad par to uzzināts. Dažos gadījumos par to jāinformē arī skartie cilvēki.

Praktisks piemērs: jogas studijas rezervāciju lietotne

Pieņemsim, ka veidojat rezervāciju lietotni jogas studijai ar klientiem Vācijā. Lūk, kā VDAR to veido.

Vākt mazāk. Reģistrācijas veidlapā tiek prasīts vārds, e-pasts un neobligāts tālruņa numurs. Sākotnējā versijā tika prasīta arī dzimšanas diena un mājas adrese — neviens lietotnes elements tos neizmanto, tāpēc tie tiek noņemti.

Veselības datiem vajag rūpes. Studija vēlas jautāt par traumām. Tie ir veselības dati — īpaša kategorija ar stingrākiem noteikumiem. Studija nolemj to apstrādāt klātienē, tāpēc lietotne šos datus nevāc.

Esiet caurskatāmi. Privātuma politikā ir paskaidrots, kas tiek vākts, kādam nolūkam, cik ilgi tiek glabāts, kas vēl apstrādā datus (hostēšanas pakalpojumu sniedzējs, e-pasta pakalpojums, maksājumu pakalpojumu sniedzējs) un kā sazināties ar studiju.

Mārketings ir atsevišķs. Nodarbības rezervēšana nevienu nepieraksta jaunumu saņemšanai. Šim nolūkam ir atsevišķa, neatzīmēta izvēles rūtiņa.

Tiesības produktā. Klienti var skatīt un labot savu profilu, lejupielādēt rezervāciju vēsturi un pieprasīt dzēšanu savā konta lapā.

Glabāšana. Neaktīvi konti pēc noteikta laika tiek atzīmēti un noņemti, ja klients neatbild. Periodu izvēlas studija.

Sīkdatnes. Pieteikšanās sīkdatne ir nepieciešama. Analītika ielādējas tikai pēc tam, kad apmeklētājs to ir pieņēmis. Skatiet kas ir sīkdatnes.

Drošība. Paroles tiek jauktas, administrēšanas zona prasa divfaktoru autentifikāciju, un klientu sarakstus var eksportēt tikai īpašnieks.

Izskaidroti biežākie termini

Biežākās kļūdas un maldi

• „Mēs neesam ES, tāpēc tas uz mums neattiecas.” Tas var attiekties atkarībā no tā, kur atrodas jūsu lietotāji.
• „VDAR nozīmē piekrišanu visam.” Piekrišana ir viens no sešiem likumīgajiem pamatiem, un bieži tas nav īstais.
• „Sīkdatņu baneris padara mūs atbilstošus.” Sīkdatnes ir tikai neliela daļa. Datu vākšana, drošība, tiesības un glabāšana ir svarīgākas.
• „Mūsu hosts atbilst VDAR, tātad mēs atbilstam.” Pakalpojumu sniedzēji palīdz, bet jūs izlemjat, ko jūsu lietotne vāc un dara.
• Vākšana „uz visu gadījumu”. Katrs papildu lauks ir vairāk, kas jāaizsargā, jāizskaidro un jādzēš.
• Cita vietnes privātuma politikas kopēšana. Tai jāapraksta tas, ko jūsu lietotne patiesi dara.
• Dzēšanas padarīšana neiespējamas. Ja neviens nevar dzēst lietotāju bez izstrādātāja, tiesību pieprasījumi kļūst par ārkārtas situācijām.

Ko lūgt savam MI veidotājam

• „Uzskaiti katru personas datu daļu, ko šī lietotne vāc, kur tā tiek glabāta un kāpēc tā vajadzīga.”
• „Noņem visus veidlapas laukus, ko mēs neizmantojam.”
• „Pievieno konta lapu, kur lietotāji var skatīt, labot un lejupielādēt savus datus un pieprasīt dzēšanu.”
• „Izveido administrēšanas darbību, kas pilnībā dzēš lietotāju un viņa saistītos ierakstus vai anonimizē ierakstus, kas jāglabā.”
• „Reģistrāciju mārketingam glabā kā atsevišķu, neatzīmētu izvēles rūtiņu.”
• „Nelādē analītikas vai mārketinga skriptus pirms piekrišanas.”
• „Uzskaiti katru trešās puses pakalpojumu, kas saņem lietotāju datus, lai varu tos pievienot privātuma politikai.”
• „Ierobežo administratora eksportus lomai „īpašnieks” un reģistrē, kurš ko eksportējis.”

Pēc tam izlasiet kā uzrakstīt lietošanas noteikumus un privātuma politiku un kā pievienot sīkdatņu piekrišanu.

VDAR un Mythex

Mythex nodrošina būvklučus, nevis atbilstības sertifikātu. Jūsu lietotnes dati dzīvo tās projekta datubāzē un failu glabātuvē, kad tos iespējojat; jūs esat kodu īpašnieks, un Pro versijā varat eksportēt projektu, ja to nepieciešams pārvietot. To, ko jūsu lietotne vāc, cik ilgi tā glabā un kā cilvēki īsteno savas tiesības, izlemjat jūs — un lūdzat aģentam to veidot. Dokumentācijas lapa par datu īpašumtiesībām izskaidro, ko Mythex hostē, un drošība lietotnēm, ko veidojat brīdina pret atbilstības apgalvošanu, kad jums tās nav. Ja jums vajag konkrētas detaļas, piemēram, kur dati tiek hostēti vai datu apstrādes līgumu, pirms palaišanas jautājiet Mythex atbalstam.

Jautājumi