Czym jest RODO? Prosty przewodnik dla twórców aplikacji

RODO (Rozporządzenie o ochronie danych osobowych, GDPR — General Data Protection Regulation) to główne prawo Unii Europejskiej dotyczące ochrony danych. Określa zasady, jak organizacje zbierają, wykorzystują, przechowują i udostępniają dane osobowe — czyli wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osobie — i daje ludziom prawa do ich własnych danych, na przykład prawo do wglądu w nie albo do ich usunięcia. Obowiązuje od 25 maja 2018 roku i może dotyczyć firm spoza UE, jeśli obsługują osoby z UE.

To nie jest porada prawna. Ten przewodnik to ogólne wyjaśnienie, które ma pomóc zrozumieć podstawy i zadawać lepsze pytania. Nie zastępuje porady dotyczącej twojej sytuacji. Wiarygodne szczegóły znajdziesz na stronach Komisji Europejskiej o ochronie danych oraz w przewodniku Europejskiej Rady Ochrony Danych dla małych firm.

Dlaczego to ma znaczenie, gdy budujesz z AI

Kreatory AI bardzo ułatwiają zbieranie danych. Jeden prompt daje formularz rejestracji, formularz kontaktowy, analitykę, przesyłanie plików i panel administratora z listą wszystkich użytkowników. Każdy z nich zbiera dane osobowe, a RODO dotyczy wszystkich.

Dobra wiadomość jest taka, że większość tego, czego wymaga RODO, to również dobra praktyka produktowa:

• Zbieraj tylko to, czego naprawdę potrzebujesz.
• Mów ludziom, co z tym robisz.
• Zabezpiecz to.
• Usuwaj, gdy już nie jest potrzebne.
• Pozwól ludziom zobaczyć, poprawić lub usunąć swoje dane.

Te rzeczy znacznie łatwiej zaprojektować od początku niż dołożyć po starcie. Zadanie właściwych pytań kreatorowi AI na wczesnym etapie oszczędzi bolesnej przebudowy później.

Codzienna analogia

Pomyśl o danych osobowych jak o rzeczach, które ludzie zostawiają u ciebie — jak w szatni, tyle że na informacje. RODO to regulamin tej szatni:

• Przyjmuj tylko to, co osoba zgodziła się zostawić, z powodem, który rozumie.
• Nie grzeb w kieszeniach w poszukiwaniu innych zastosowań.
• Trzymaj pomieszczenie zamknięte.
• Oddawaj rzeczy albo je wyrzucaj, gdy ktoś o to poprosi lub gdy już nie są potrzebne.
• Jeśli coś zostanie skradzione, powiadom właściwe osoby bez zwłoki.

Odpowiadasz za płaszcze, dopóki są u ciebie, nawet jeśli zatrudniłeś kogoś do prowadzenia szatni.

Podstawowe idee

Co jest danymi osobowymi

Komisja Europejska definiuje dane osobowe jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osoby. To szeroka definicja. Obejmuje imiona, adresy e-mail, adresy domowe, adresy IP, identyfikatory plików cookie i zdjęcia. Dane „pseudonimizowane” — na przykład imiona zamienione na kody — nadal mogą być danymi osobowymi, jeśli da się je powiązać z konkretną osobą.

Niektóre kategorie mają dodatkową ochronę, w tym dane o zdrowiu, dane biometryczne, pochodzenie rasowe lub etniczne oraz poglądy polityczne.

Do kogo się stosuje

Zgodnie z Komisją RODO dotyczy organizacji mających siedzibę w UE oraz organizacji spoza UE, które oferują towary lub usługi osobom w UE (płatne lub bezpłatne) albo monitorują ich zachowanie. Start-up z USA lub ZEA z europejskimi klientami może być objęty przepisami. Wielka Brytania ma własną wersję, UK GDPR, ściśle wzorowaną na RODO.

Zasady

RODO opiera się na krótkiej liście zasad. Prostymi słowami:

Podstawy prawne

Dla każdego sposobu wykorzystania danych osobowych potrzebujesz podstawy prawnej — „lawful basis”. RODO wymienia sześć: zgoda, wykonanie umowy, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym i prawnie uzasadniony interes. Zgoda to tylko jedna z nich. Realizacja zamówienia, żeby je dostarczyć, zwykle opiera się na umowie, a nie na zgodzie. Która podstawa pasuje, to kwestia oceny, którą należy sprawdzić w oficjalnych wytycznych.

Prawa osób

Komisja wymienia te prawa osób fizycznych:

• Prawo do informacji o tym, jak wykorzystywane są ich dane
• Prawo dostępu do danych
• Prawo do sprostowania
• Prawo do usunięcia
• Prawo do ograniczenia przetwarzania
• Prawo do przenoszenia danych (otrzymania ich w użytecznym formacie)
• Prawo sprzeciwu
• Prawa związane ze zautomatyzowanym podejmowaniem decyzji i profilowaniem

Naruszenia danych

Jeśli dane osobowe wyciekną i naruszenie może zagrozić prawom i wolnościom ludzi, organizacja zwykle musi zgłosić to organowi ochrony danych bez zbędnej zwłoki i, o ile to możliwe, w ciągu 72 godzin od uzyskania wiedzy o naruszeniu. W niektórych przypadkach trzeba też poinformować osoby, których dotyczy wyciek.

Przykład krok po kroku: aplikacja rezerwacji w studiu jogi

Załóżmy, że budujesz aplikację rezerwacji dla studia jogi z klientami w Niemczech. Oto, jak RODO wpływa na jej kształt.

Zbieraj mniej. Formularz rejestracji pyta o imię, e-mail i opcjonalny numer telefonu. Pierwsza wersja pytała też o datę urodzenia i adres domowy — nic w aplikacji ich nie używa, więc zostały usunięte.

Dane o zdrowiu wymagają uwagi. Studio chce pytać o kontuzje. To dane o zdrowiu, czyli szczególna kategoria z surowszymi zasadami. Studio decyduje się zbierać je osobiście, więc aplikacja ich nie zbiera.

Bądź przejrzysty. Polityka prywatności wyjaśnia, co jest zbierane, po co, jak długo jest przechowywane, kto jeszcze je przetwarza (dostawca hostingu, usługa e-mail, dostawca płatności) i jak skontaktować się ze studiem.

Marketing jest osobno. Rezerwacja zajęć nie zapisuje nikogo do newslettera. Jest osobne, niezaznaczone domyślnie pole wyboru na to.

Prawa w produkcie. Klienci mogą przeglądać i edytować swój profil, pobrać historię rezerwacji i zażądać usunięcia konta na swojej stronie konta.

Przechowywanie. Nieaktywne konta są oznaczane po określonym czasie i usuwane, jeśli klient nie odpowie. Okres wybiera studio.

Pliki cookie. Ciasteczko logowania jest niezbędne. Analityka ładuje się dopiero po zaakceptowaniu jej przez odwiedzającego. Zobacz czym są ciasteczka.

Bezpieczeństwo. Hasła są haszowane, obszar administracyjny wymaga uwierzytelniania dwuskładnikowego, a tylko właściciel może eksportować listy klientów.

Wyjaśnienie najważniejszych pojęć

Częste błędy i mylne przekonania

• „Nie jesteśmy w UE, więc to nas nie dotyczy”. Może dotyczyć na podstawie tego, gdzie są twoi użytkownicy.
• „RODO oznacza zgodę na wszystko”. Zgoda to jedna z sześciu podstaw prawnych i często nie jest właściwa.
• „Baner o ciasteczkach czyni nas zgodnymi”. Ciasteczka to tylko mała część. Zbieranie danych, bezpieczeństwo, prawa i przechowywanie są ważniejsze.
• „Nasz host jest zgodny z RODO, więc my też jesteśmy”. Dostawcy pomagają, ale to ty decydujesz, co twoja aplikacja zbiera i robi.
• Zbieranie „na wszelki wypadek”. Każde dodatkowe pole to więcej do ochrony, wyjaśnienia i usunięcia.
• Kopiowanie polityki prywatności innej strony. Musi opisywać to, co twoja aplikacja faktycznie robi.
• Uniemożliwianie usunięcia. Jeśli nikt bez programisty nie może usunąć użytkownika, wnioski o prawa stają się awaryjnymi sytuacjami.

O co poprosić swojego kreatora AI

• „Wypisz każdą daną osobową, jaką zbiera ta aplikacja, gdzie jest przechowywana i dlaczego jest potrzebna.”
• „Usuń pola formularza, których nie używamy.”
• „Dodaj stronę konta, na której użytkownicy mogą przeglądać, edytować i pobierać swoje dane oraz zgłaszać żądanie usunięcia.”
• „Zbuduj akcję administratora, która w pełni usuwa użytkownika i powiązane rekordy, albo anonimizuje rekordy, które musimy zachować.”
• „Zachowaj zapis do marketingu jako osobne, niezaznaczone domyślnie pole wyboru.”
• „Nie ładuj skryptów analityki ani marketingu przed zgodą.”
• „Wypisz każdą zewnętrzną usługę, która otrzymuje dane użytkowników, żebym mógł dodać ją do polityki prywatności.”
• „Ogranicz eksporty z panelu administracyjnego do roli właściciela i zapisuj, kto co wyeksportował.”

Potem przeczytaj jak napisać regulamin i politykę prywatności oraz jak dodać zgodę na pliki cookie.

RODO a Mythex

Mythex daje klocki budulcowe, a nie certyfikat zgodności. Dane twojej aplikacji są przechowywane w bazie danych projektu i magazynie plików, gdy je włączysz; kod należy do ciebie, a w planie Pro możesz wyeksportować projekt, jeśli potrzebujesz go przenieść. To, co zbiera twoja aplikacja, jak długo trzyma dane i jak ludzie realizują swoje prawa, to decyzje, które podejmujesz — i o które prosisz agenta. Strona dokumentacji o własności danych wyjaśnia, co Mythex hostuje, a bezpieczeństwo aplikacji, które budujesz ostrzega przed deklarowaniem zgodności, której nie masz. Jeśli potrzebujesz konkretów, takich jak miejsce hostowania danych czy umowa powierzenia przetwarzania, zapytaj wsparcie Mythex przed startem.

Pytania