Hva er GDPR? En forklaring på klarspråk for appbyggere

GDPR (General Data Protection Regulation, på norsk personvernforordningen) er EUs viktigste personvernlov. Den setter regler for hvordan organisasjoner samler inn, bruker, lagrer og deler personopplysninger – enhver informasjon om en identifiserbar levende person – og gir folk rettigheter over sine egne data, for eksempel retten til å se dem eller få dem slettet. Den har gjeldt siden 25. mai 2018, og den kan gjelde for virksomheter utenfor EU hvis de betjener personer i EU.

Ikke juridisk rådgivning. Denne guiden er en generell forklaring som skal hjelpe deg å forstå grunnprinsippene og stille bedre spørsmål. Den erstatter ikke rådgivning om din situasjon. For autoritativ informasjon, se Europakommisjonens sider om personvern og Det europeiske personvernrådets guide for små virksomheter.

Hvorfor det betyr noe når du bygger med KI

KI-appbyggere gjør det enkelt å samle inn data. Én prompt gir deg et registreringsskjema, et kontaktskjema, analyse, filopplastinger og et adminpanel som lister hver bruker. Alt dette samler inn personopplysninger, og GDPR bryr seg om alt sammen.

Den gode nyheten er at det meste GDPR krever også er god produktpraksis:

• Samle bare inn det du faktisk trenger.
• Fortell folk hva du gjør med det.
• Hold det sikkert.
• Slett det når du ikke lenger trenger det.
• La folk se, rette eller fjerne sine data.

Dette er mye enklere å bygge inn fra starten enn å feste på etter lansering. Å stille KI-byggeren de riktige spørsmålene tidlig sparer deg for en smertefull ombygging senere.

En hverdagslig analogi

Tenk på personopplysninger som eiendeler folk etterlater hos deg – som en garderobe, men for informasjon. GDPR er husreglene for garderoben:

• Ta bare imot det personen samtykket til å etterlate, av en grunn de forstår.
• Ikke rot i lommene for andre formål.
• Hold rommet låst.
• Gi tingene tilbake, eller kast dem, når du blir bedt om det eller når du ikke lenger trenger dem.
• Hvis noe blir stjålet, si fra til de rette personene raskt.

Du er ansvarlig for jakkene mens de er i din varetekt, selv om du har leid inn noen andre til å drive rommet.

De sentrale ideene

Hva som regnes som personopplysninger

Europakommisjonen definerer personopplysninger som enhver informasjon som kan knyttes til en identifisert eller identifiserbar levende person. Det er vidt. Det inkluderer navn, e-postadresser, hjemmeadresser, IP-adresser, informasjonskapsel-ID-er og bilder. Data som er «pseudonymisert» – for eksempel navn erstattet med koder – kan fortsatt være personopplysninger hvis de kan knyttes tilbake til noen.

Enkelte kategorier får ekstra beskyttelse, blant annet helseopplysninger, biometriske data, rasemessig eller etnisk opprinnelse og politiske meninger.

Hvem den gjelder for

Ifølge Kommisjonen gjelder GDPR for organisasjoner etablert i EU, og for organisasjoner utenfor EU som tilbyr varer eller tjenester til personer i EU (betalt eller gratis) eller overvåker deres atferd. En oppstartsbedrift i USA eller De forente arabiske emirater med europeiske kunder kan godt være omfattet. Storbritannia har sin egen versjon, UK GDPR, som er tett basert på den.

Prinsippene

GDPR er bygget på en kort liste med prinsipper. Med enkle ord:

Rettslig grunnlag

Du trenger en juridisk grunn – et «rettslig grunnlag» – for hver måte du bruker personopplysninger på. GDPR lister seks: samtykke, oppfyllelse av en avtale, rettslig forpliktelse, vitale interesser, offentlig oppgave og berettigede interesser. Samtykke er bare ett av dem. Å behandle en bestilling for å levere den, handler for eksempel vanligvis om avtalen, ikke samtykke. Hvilket grunnlag som passer, er en vurdering som bør sjekkes mot offisielle retningslinjer.

Folks rettigheter

Kommisjonen lister opp disse rettighetene for enkeltpersoner:

• Å bli informert om hvordan dataene deres brukes
• Å få tilgang til dataene sine
• Å få dem rettet
• Å få dem slettet
• Å begrense behandlingen
• Dataportabilitet (få dem i et brukbart format)
• Å protestere
• Rettigheter knyttet til automatiserte beslutninger og profilering

Datainnbrudd

Hvis personopplysninger lekker, og bruddet sannsynligvis vil true folks rettigheter og friheter, må organisasjonen som regel varsle sin personvernmyndighet uten unødig forsinkelse og, der det er mulig, innen 72 timer etter at den ble kjent med det. I enkelte tilfeller må de berørte personene også varsles.

Et praktisk eksempel: en bookingapp for et yogastudio

Si at du bygger en bookingapp for et yogastudio med kunder i Tyskland. Slik former GDPR appen.

Samle inn mindre. Registreringsskjemaet spør om navn, e-post og et valgfritt telefonnummer. Det første utkastet spurte også om fødselsdato og hjemmeadresse – ingenting i appen bruker dem, så de er fjernet.

Helseopplysninger krever forsiktighet. Studioet ønsker å spørre om skader. Det er helseopplysninger, en spesiell kategori med strengere regler. Studioet bestemmer seg for å håndtere det personlig i stedet, slik at appen ikke samler det inn.

Vær åpen. En personvernerklæring forklarer hva som samles inn, hvorfor, hvor lenge det oppbevares, hvem andre som behandler det (hostingleverandøren, e-posttjenesten, betalingsleverandøren) og hvordan man kontakter studioet.

Markedsføring er separat. Å booke en time melder ingen på nyhetsbrevet. Det finnes en egen, ikke-avkrysset boks for det.

Rettigheter i produktet. Kunder kan se og redigere profilen sin, laste ned bookinghistorikken sin og be om sletting fra kontosiden sin.

Oppbevaring. Inaktive kontoer markeres etter en fastsatt periode og fjernes hvis kunden ikke svarer. Studioet velger perioden.

Informasjonskapsler. Innloggingskapselen er nødvendig. Analyse lastes først etter at besøkeren har godtatt det. Se hva informasjonskapsler er.

Sikkerhet. Passord hashes, adminområdet krever tofaktorautentisering, og bare eieren kan eksportere kundelister.

Vanlige begreper forklart

Vanlige feil og misforståelser

• «Vi er ikke i EU, så det gjelder ikke.» Det kan gjelde basert på hvor brukerne dine er.
• «GDPR betyr samtykke til alt.» Samtykke er ett av seks rettslige grunnlag, og ofte ikke det riktige.
• «En informasjonskapselbanner gjør oss compliant.» Informasjonskapsler er en liten del. Datainnsamling, sikkerhet, rettigheter og oppbevaring betyr mer.
• «Hosten vår er GDPR-kompatibel, så vi er det.» Leverandører hjelper, men du bestemmer hva appen din samler inn og gjør.
• Å samle inn «for sikkerhets skyld». Hvert ekstra felt er mer å beskytte, forklare og slette.
• Å kopiere en annen sides personvernerklæring. Den må beskrive hva din app faktisk gjør.
• Å gjøre sletting umulig. Hvis ingen kan slette en bruker uten en utvikler, blir forespørsler om rettigheter til nødsituasjoner.

Hva du bør be KI-byggeren din om

• «List opp hver personopplysning denne appen samler inn, hvor den lagres, og hvorfor den trengs.»
• «Fjern alle skjemafelt vi ikke bruker.»
• «Legg til en kontoside der brukere kan se, redigere og laste ned dataene sine, og be om sletting.»
• «Bygg en adminhandling som sletter en bruker og tilhørende poster helt, eller anonymiserer poster vi må beholde.»
• «Behold markedsføringsregistrering som en egen, ikke-avkrysset boks.»
• «Ikke last inn analyse- eller markedsføringsskript før samtykke.»
• «List opp alle tredjepartstjenester som mottar brukerdata, slik at jeg kan legge dem til i personvernerklæringen.»
• «Begrens admineksporter til eierrollen, og logg hvem som eksporterte hva.»

Les deretter hvordan du skriver vilkår for bruk og personvernerklæring og hvordan du legger til samtykke for informasjonskapsler.

GDPR og Mythex

Mythex gir deg byggeklossene, ikke et samsvarssertifikat. Appens data lever i prosjektets egen database og fillagring når du aktiverer dem, du eier koden, og på Pro kan du eksportere prosjektet hvis du må flytte det. Hva appen din samler inn, hvor lenge den beholder det, og hvordan folk utøver sine rettigheter, er beslutninger du tar – og ber agenten bygge. Dokumentasjonssiden om dataeierskap forklarer hva Mythex hoster, og sikkerhet for apper du bygger advarer mot å hevde etterlevelse du ikke har. Hvis du trenger spesifikke detaljer, som hvor data hostes eller en databehandleravtale, spør Mythex-support før du lanserer.

Spørsmål