GDPR гэж юу вэ? Апп бүтээгчдэд зориулсан энгийн тайлбар
GDPR (General Data Protection Regulation) бол Европын холбооны гол өгөгдөл хамгаалах хууль юм. Энэ нь байгууллагууд хувийн мэдээллийг — тодорхойлогдох амьд хүний талаарх аливаа мэдээллийг — хэрхэн цуглуулах, ашиглах, хадгалах, хуваалцах дүрмийг тогтоож, хүмүүст өөрсдийн өгөгдлөө харах эсвэл устгуулах зэрэг эрх олгодог. 2018 оны 5-р сарын 25-наас хэрэгжиж эхэлсэн бөгөөд хэрэв ЕХ-ны хүмүүст үйлчилдэг бол ЕХ-ны гадны бизнест ч хамаарч болно.
Хуулийн зөвлөгөө биш. Энэ гарын авлага нь үндсийг ойлгоход болон илүү сайн асуулт асуухад туслах ерөнхий тайлбар юм. Таны нөхцөл байдлын талаарх зөвлөгөөний орлуулагч биш. Баталгаатай дэлгэрэнгүй мэдээллийн хувьд Европын комиссын өгөгдөл хамгаалалтын хуудас болон Европын өгөгдөл хамгаалалтын зөвлөлийн жижиг бизнесийн гарын авлага-ийг үзнэ үү.
AI-аар бүтээхэд яагаад чухал вэ
AI builder нь өгөгдөл цуглуулахыг хялбар болгодог. Нэг prompt-оор танд бүртгүүлэх маягт, холбоо барих маягт, аналитик, файл байршуулах, хэрэглэгч бүрийг харуулах админ самбар бэлэн болдог. Эдгээр нь бүгд хувийн мэдээлэл цуглуулдаг бөгөөд GDPR тэдгээр бүрийг анхаардаг.
Сайн мэдээ нь GDPR-ийн шаардлагуудын ихэнх нь сайн бүтээгдэхүүний практик мөн гэдэг явдал юм:
- Зайлшгүй хэрэгтэй зүйлийг л цуглуул.
- Хүмүүст юу хийснээ хэл.
- Аюулгүй байлга.
- Хэрэггүй болсон үедээ устга.
- Хүмүүст өгөгдлөө харах, засах, устгах боломж олго.
Эдгээрийг эхнээс нь зохион бүтээх нь хөөргөсний дараа нэмэхээс хамаагүй хялбар. Эрт сайн асуултууд асуух нь хожим өвдөлттэй дахин бүтээхээс хамгаална.
Өдөр тутмын жишээ
Хувийн мэдээллийг хүмүүс тантай үлдээсэн эд зүйлс гэж бодоорой — гутлын хадгалах газар шиг, гэхдээ мэдээллийн. GDPR нь тэр хадгалах газрын дүрмүүд юм:
- Хүн үлдээхийг зөвшөөрсөн зүйлийг л, ойлгомжтой шалтгаанаар авна.
- Бусад зорилгоор халаасыг нь хайхгүй.
- Өрөөг түгжээтэй байлгана.
- Асуухад эсвэл хэрэгцээгүй болоход зүйлсийг буцаана эсвэл хаяна.
- Юу нэгэн зүйл хулгайлагдвал зохих хүмүүст шуурхай мэдэгдэнэ.
Та өрөөг өөр хүнд ажиллуулуулсан байсан ч, зүйлс таны хяналтанд байх хугацаанд тэдгээрт та хариуцлагатай.
Гол санаанууд
Хувийн мэдээлэл гэж юуг хэлдэг вэ
ЕХ-ны комисс хувийн мэдээллийг тодорхойлогдсон эсвэл тодорхойлогдох боломжтой амьд хувь хүнтэй холбоотой аливаа мэдээлэл гэж тодорхойлдог. Энэ нь өргөн. Үүнд нэр, имэйл хаяг, гэрийн хаяг, IP хаяг, cookie ID, зураг орно. «Псевдонимжуулсан» өгөгдөл — жишээлбэл нэрийг кодоор солисон — хүнтэй буцааж холбож болох бол хувийн мэдээлэл хэвээр байж болно.
Зарим ангилалд нэмэлт хамгаалалт өгдөг, үүнд эрүүл мэндийн өгөгдөл, биометрик өгөгдөл, үндэс угсаа эсвэл үндэстэн, улс төрийн үзэл бодол орно.
Хэнд хамаатай вэ
Комиссын мэдээлснээр GDPR нь ЕХ-д байгуулагдсан байгууллагад, мөн ЕХ-ны гадна байгаа боловч ЕХ-ны хүмүүст бараа эсвэл үйлчилгээ (төлбөртэй буюу үнэгүй) санал болгодог эсвэл тэдний зан байдлыг хянадаг байгууллагад хамаарна. Европын харилцагчтай АНУ эсвэл БАХ-ийн стартап магадгүй хамрагдана. Их Британи өөрийн UK GDPR-тэй бөгөөд энэ нь үүнд маш ойр суурилсан.
Зарчмууд
GDPR богино жагсаалт зарчмуудаар бүтсэн. Энгийнээр хэлбэл:
| Зарчим | Таны апп-д юу гэсэн үг вэ |
|---|---|
| Хууль ёсны байдал, шударга байдал, ил тод байдал | Боловсруулах хүчин төгөлдөр шалтгаантай байж, хүмүүст юу хийснээ тодорхой хэл. |
| Зорилгын хязгаарлалт | Өгөгдлийг цуглуулсан шалтгаанаар нь ашиглах, гэнэтийн шинэ зорилгоор биш. |
| Өгөгдлийн хэмжээг багасгах | Хэрэггүй талбар цуглуулахгүй байх. |
| Нарийвчлал | Өгөгдлийг зөв байлгаж, хүмүүст засах боломж олгох. |
| Хадгалах хугацааны хязгаарлалт | Өгөгдлийг мөнхөд хадгалахгүй; хэрэггүй болсон үедээ устгах. |
| Бүрэн бүтэн байдал ба нууцлал | Задрал, зөвшөөрөлгүй хандалтаас хамгаалж аюулгүй байлгах. |
| Хариуцлага | Яаж нийцэж байгаагаа харуулж чаддаг байх. |
Хууль ёсны үндэслэл
Хувийн мэдээллийг ашиглах арга бүрт танд хууль ёсны шалтгаан — «хууль ёсны үндэслэл» — хэрэгтэй. GDPR зургаан үндэслэл жагсаадаг: зөвшөөрөл, гэрээний гүйцэтгэл, хуулийн үүрэг, гол ашиг сонирхол, олон нийтийн үүрэг, хууль ёсны ашиг сонирхол. Зөвшөөрөл нь тэдгээрийн зөвхөн нэг нь. Жишээлбэл захиалгыг хүргэхээр боловсруулах нь ихэвчлэн зөвшөөрөл биш, харин гэрээний тухай асуудал. Аль үндэслэл тохирохыг албан ёсны удирдамжтай харьцуулан шалгах шийдвэр шаардана.
Хүмүүсийн эрх
Комиссын жагсаасан хувь хүмүүст олгодог эрхүүд:
- Өгөгдлөө хэрхэн ашиглаж байгаа талаар мэдээлэл авах
- Өгөгдөлдөө хандах
- Засуулах
- Устгуулах
- Боловсруулалтыг хязгаарлуулах
- Өгөгдлийн зөөвөрлөлт (хэрэглэхэд хялбар хэлбэрээр авах)
- Эсэргүүцэх
- Автомат шийдвэр гаргалт болон профайлингтой холбоотой эрхүүд
Өгөгдлийн зөрчил
Хэрэв хувийн мэдээлэл задарч, зөрчил нь хүмүүсийн эрх, эрх чөлөөнд эрсдэл учруулах магадлалтай бол байгууллага ерөнхийдөө өгөгдөл хамгаалах байгууллагадаа зохисгүй саатуулалгүйгээр, боломжтой бол мэдсэнээс хойш 72 цагийн дотор мэдэгдэх ёстой. Зарим тохиолдолд нөлөөлөгдсөн хүмүүст бас мэдэгдэх ёстой.
Жишээ: йогын студийн захиалгын апп
Германд харилцагчтай йогын студид захиалгын апп бүтээж байгаа гэж бодъё. GDPR үүнийг хэрхэн хэлбэржүүлэхийг харцгаая.
Бага цуглуулах. Бүртгэлийн маягт нэр, имэйл, сонголтоор утасны дугаар асууна. Анхны ноорог мөн төрсөн огноо, гэрийн хаяг асуусан — аппад тэдгээрийг ашигладаггүй тул хасагдсан.
Эрүүл мэндийн өгөгдөлд анхаарал хэрэгтэй. Студи гэмтлийн талаар асуух хүсэлтэй. Энэ бол эрүүл мэндийн өгөгдөл, илүү хатуу дүрэмтэй тусгай ангилал юм. Студи үүнийг биечлэн шийдэхээр шийдсэн тул апп үүнийг цуглуулдаггүй.
Ил тод байх. Нууцлалын бодлого нь юу цуглуулдаг, яагаад, хэр удаан хадгалдаг, өөр хэн боловсруулдаг (hosting үйлчилгээ үзүүлэгч, имэйлийн үйлчилгээ, төлбөрийн үйлчилгээ үзүүлэгч) болон студитай хэрхэн холбогдох тухай тайлбарлана.
Маркетинг тусдаа. Хичээлд бүртгүүлэх нь хэнийг ч мэдээллийн хуудсанд бүртгэдэггүй. Үүний тусдаа, тэмдэглээгүй checkbox байдаг.
Бүтээгдэхүүн дэх эрх. Харилцагчид профайлаа харах, засах, захиалгын түүхээ татаж авах, бүртгэлийн хуудсаасаа устгах хүсэлт гаргах боломжтой.
Хадгалах хугацаа. Идэвхгүй бүртгэлүүд тогтоосон хугацааны дараа тэмдэглэгдэж, харилцагч хариу өгөхгүй бол устгагдана. Хугацааг студи сонгоно.
Cookie. Нэвтрэх cookie шаардлагатай. Аналитик нь зочин зөвшөөрсний дараа л ачаална. Cookie гэж юу вэ гэдгийг үзнэ үү.
Аюулгүй байдал. Нууц үгийг hash хийдэг, админ хэсэгт хоёр шатлалт баталгаажуулалт шаардагдана, мөн зөвхөн эзэн харилцагчийн жагсаалтыг экспортолж чадна.
Нэр томьёоны тайлбар
| Нэр томьёо | Юуг илэрхийлдэг вэ |
|---|---|
| Хувийн мэдээлэл | Тодорхойлогдсон эсвэл тодорхойлогдох боломжтой амьд хүний талаарх аливаа мэдээлэл. |
| Боловсруулалт (processing) | Хувийн мэдээлэлтэй хийгдэх бүх үйлдэл: цуглуулах, хадгалах, ашиглах, хуваалцах, устгах. |
| Өгөгдлийн субъект | Өгөгдөл хамаарах хүн. |
| Controller | Өгөгдлийг яагаад, хэрхэн боловсруулахаа шийддэг байгууллага — ихэвчлэн та, аппын эзэн. |
| Processor | Controller-ийн төлөө өгөгдлийг боловсруулдаг компани, жишээлбэл hosting эсвэл имэйлийн үйлчилгээ үзүүлэгч. |
| Өгөгдөл боловсруулах гэрээ (DPA) | Controller болон processor-ийн хооронд өгөгдлийг хэрхэн зохицуулахыг тогтоосон гэрээ. |
| Хууль ёсны үндэслэл | Боловсруулах хууль ёсны шалтгаан, жишээлбэл зөвшөөрөл эсвэл гэрээ. |
| Зөвшөөрөл | Чөлөөтэй, тодорхой, мэдээлэлтэй, ойлгомжтой «тийм»; урьдчилан тэмдэглэсэн хайрцаг тоологдохгүй. |
| Тусгай ангиллын өгөгдөл | Эрүүл мэнд эсвэл биометрик зэрэг мэдрэмтгий өгөгдөл, илүү хатуу дүрэмтэй. |
| Хяналтын байгууллага | Улсын өгөгдөл хамгаалах зохицуулагч. |
Түгээмэл алдаа ба буруу ойлголтууд
- «Бид ЕХ-д байхгүй тул энэ хамаарахгүй.» Таны хэрэглэгчид хаана байгаагаас шалтгаалан хамаарч болно.
- «GDPR бүх зүйлд зөвшөөрөл гэсэн үг.» Зөвшөөрөл бол зургаан хууль ёсны үндэслэлийн нэг бөгөөд ихэвчлэн зөв биш.
- «Cookie-ийн баннер биднийг нийцүүлдэг.» Cookie бол жижиг хэсэг. Өгөгдөл цуглуулах, аюулгүй байдал, эрх, хадгалах хугацаа илүү чухал.
- «Манай hosting GDPR-д нийцсэн тул бид нийцдэг.» Үйлчилгээ үзүүлэгчид тусалдаг ч таны апп юу цуглуулж, юу хийхийг та шийднэ.
- «Магадгүй гэж» цуглуулах. Нэмэлт талбар бүр хамгаалах, тайлбарлах, устгах зүйл нэмдэг.
- Өөр сайтын нууцлалын бодлогыг хуулах. Энэ нь таны аппын жинхэнэ үйл ажиллагааг тайлбарлах ёстой.
- Устгалыг боломжгүй болгох. Хөгжүүлэгчгүйгээр хэн ч хэрэглэгчийг устгаж чадахгүй бол эрхийн хүсэлтүүд яаралтай асуудал болдог.
AI builder-оосоо юу гуйх вэ
- «Энэ апп цуглуулдаг хувийн мэдээллийн бүх зүйлийг, хаана хадгалагдаж буйг, яагаад хэрэгтэйг жагсаа.»
- «Бидний ашигладаггүй маягтын аливаа талбарыг хас.»
- «Хэрэглэгчид өгөгдлөө харах, засах, татаж авах, устгуулах хүсэлт гаргах боломжтой бүртгэлийн хуудас нэм.»
- «Хэрэглэгч болон түүний холбогдох бичлэгүүдийг бүрэн устгадаг, эсвэл хадгалах ёстой бичлэгүүдийг нэрийг нь нууж (anonymise) хийдэг админ үйлдэл бүтээ.»
- «Маркетингийн бүртгэлийг тусдаа, тэмдэглээгүй checkbox хэлбэрээр үлдээ.»
- «Зөвшөөрөл авахаас өмнө аналитик эсвэл маркетингийн script ачаалуулахгүй бай.»
- «Хэрэглэгчийн өгөгдөл хүлээн авдаг гуравдагч талын бүх үйлчилгээг жагсаа, ингэснээр нууцлалын бодлогодоо нэмж чадна.»
- «Админ экспортыг зөвхөн эзэн рольд хязгаарлаж, хэн юу экспортолснийг бүртгэ.»
Дараа нь үйлчилгээний нөхцөл болон нууцлалын бодлогыг хэрхэн бичих вэ болон cookie зөвшөөрөл нэмэх арга гэдгийг унших.
GDPR ба Mythex
Mythex танд барилгын блокуудыг өгдөг, нийцлийн гэрчилгээг биш. Таны аппын өгөгдөл таныг идэвхжүүлсэн үед өөрийн төслийн өгөгдлийн сан болон файлын хадгалалтад байдаг, та кодын эзэн бөгөөд Pro дээр шаардлагатай бол төслөө экспортолж шилжүүлж болно. Таны апп юу цуглуулдаг, хэр удаан хадгалдаг, хүмүүс эрхээ хэрхэн хэрэгжүүлдэг вэ гэдэг нь таны шийдвэр — мөн агентаас бүтээхийг хүсэх зүйл. Өгөгдлийн эзэмшил хуудсанд Mythex юуг хостлодог тухай тайлбарласан бөгөөд таны бүтээсэн аппын аюулгүй байдал хуудсанд байхгүй нийцлийг нэхэмжлэхийн эсрэг анхааруулдаг. Хэрэв танд өгөгдөл хаана хостлогдсон, эсвэл өгөгдөл боловсруулах гэрээ гэх мэт тодорхой зүйл хэрэгтэй бол нээлтээс өмнө Mythex-ийн дэмжлэгт хандаарай.
Асуултууд
GDPR энгийнээр юу вэ?
Ерөнхий өгөгдөл хамгаалах журам (GDPR) бол Европын холбооны гол өгөгдөл хамгаалах хууль юм. Энэ нь байгууллагууд хүмүүсийн талаарх мэдээллийг хэрхэн цуглуулах, ашиглах, хадгалах, хуваалцах дүрмийг тогтоож, тэдэнд өгөгдөлдөө эрх олгодог. 2018 оны 5-р сарын 25-наас хэрэгжиж эхэлсэн.
GDPR ЕХ-ноос гадуурх бизнест хамаарах уу?
Хамаарч болно. Европын комиссын мэдээлснээр энэ нь ЕХ-ны гадна байрлах, харин ЕХ-ны хүмүүст үнэгүй ч гэсэн бараа эсвэл үйлчилгээ санал болгодог, эсвэл тэдний зан байдлыг хянадаг байгууллагад хамаарна. Таны байрлал цорын ганц асуулт биш; хэрэглэгчид чинь хэн бэ гэдэг нь бас чухал.
Имэйл хаяг нь хувийн мэдээлэл мөн үү?
Тийм. Хувийн мэдээлэл гэдэг нь тодорхойлогдсон эсвэл тодорхойлогдох боломжтой амьд хүнтэй холбоотой аливаа мэдээлэл юм. Нэр, имэйл хаяг, IP хаяг, cookie ID бүгд үүнд багтаж болно.
GDPR-д нийцсэн hosting ашигласнаар миний апп нийцдэг үү?
Үгүй. Hosting нь нийцэхэд тусалж болох ч таны апп ямар өгөгдөл цуглуулдаг, яагаад, хэр удаан хадгалдаг, хэн харж болохыг та шийднэ. Эдгээр сонголтыг зөв хийх нь танд хамаарна.
Энэ гарын авлага хуулийн зөвлөгөө мөн үү?
Үгүй. Энэ бол асуултуудаа илүү сайн асуухад туслах ерөнхий тайлбар юм. Таны тодорхой нөхцөл байдлын хувьд ЕХ-ны албан ёсны удирдамж эсвэл үндэсний өгөгдөл хамгаалах байгууллагын зааврыг шалгах, эсвэл мэргэжлийн зөвлөхтэй ярилцах хэрэгтэй.