Ce este GDPR? Un ghid simplu pentru cei care construiesc aplicații

GDPR (General Data Protection Regulation) este principala lege a Uniunii Europene pentru protecția datelor. Stabilește reguli pentru modul în care organizațiile colectează, folosesc, stochează și împart date cu caracter personal — orice informație despre o persoană fizică identificabilă — și le acordă oamenilor drepturi asupra datelor lor, cum ar fi dreptul de a le vedea sau de a le șterge. Se aplică din 25 mai 2018 și poate fi valabilă și pentru afacerile din afara UE, dacă deservesc persoane din UE.

Nu este consultanță juridică. Acest ghid este o explicație generală, care te ajută să înțelegi elementele de bază și să pui întrebări mai bune. Nu înlocuiește un sfat privind situația ta. Pentru detalii autorizate, vezi paginile Comisiei Europene despre protecția datelor și ghidul Comitetului European pentru Protecția Datelor pentru întreprinderile mici.

De ce contează când construiești cu AI

Constructorii de aplicații cu AI fac colectarea de date foarte ușoară. Un singur prompt îți oferă un formular de înregistrare, un formular de contact, analiză a traficului, încărcări de fișiere și un panou de administrare care listează fiecare utilizator. Fiecare dintre ele colectează date personale, iar GDPR se ocupă de toate.

Veștea bună este că majoritatea cerințelor GDPR sunt și bune practici de produs:

• Colectează doar ce ai efectiv nevoie.
• Spune oamenilor ce faci cu datele lor.
• Păstrează-le în siguranță.
• Șterge-le când nu mai ai nevoie de ele.
• Lasă oamenii să își vadă, corecteze sau șteargă datele.

Aceste lucruri sunt mult mai ușor de proiectat de la început decât de adăugat după lansare. Dacă pui constructorului tău de aplicații întrebările potrivite din timp, economisești o refacere dureroasă mai târziu.

O analogie din viața de zi cu zi

Gândește-te la datele personale ca la lucrurile pe care oamenii le lasă la tine — ca la garderoba unui restaurant, dar pentru informații. GDPR sunt regulile casei pentru garderobă:

• Ia doar ce a fost de acord persoana să lase, pentru un motiv pe care îl înțelege.
• Nu scotocești prin buzunare pentru alte scopuri.
• Ții camera încuiată.
• Dai lucrurile înapoi, sau le arunci, atunci când ți se cere sau când nu mai ai nevoie de ele.
• Dacă ceva este furat, spui prompt persoanelor potrivite.

Ești responsabil pentru haine cât timp sunt în grija ta, chiar dacă ai angajat pe altcineva să conducă garderoba.

Ideile de bază

Ce înseamnă date cu caracter personal

Comisia Europeană definește datele cu caracter personal ca orice informație care se referă la o persoană fizică identificată sau identificabilă. Definiția este largă. Include nume, adrese de e-mail, adrese de domiciliu, adrese IP, ID-uri de cookie și fotografii. Datele „pseudonimizate” — de exemplu, nume înlocuite cu coduri — pot fi tot date cu caracter personal, dacă pot fi legate înapoi de o persoană.

Anumite categorii primesc protecție suplimentară, inclusiv date despre sănătate, date biometrice, origine rasială sau etnică și opinii politice.

Cui se aplică

Potrivit Comisiei, GDPR se aplică organizațiilor stabilite în UE și organizațiilor din afara UE care oferă bunuri sau servicii persoanelor din UE (cu plată sau gratuit) sau le monitorizează comportamentul. Un startup din SUA sau din Emiratele Arabe Unite cu clienți europeni poate fi foarte bine acoperit. Regatul Unit are propria versiune, UK GDPR, care se bazează în mare măsură pe el.

Principiile

GDPR se construiește pe o listă scurtă de principii. Pe înțelesul tuturor:

Temeiurile legale

Ai nevoie de un motiv legal — o „bază legală” — pentru fiecare mod în care folosești date personale. GDPR enumeră șase: consimțământul, executarea unui contract, obligația legală, interesele vitale, interesul public și interesul legitim. Consimțământul este doar unul dintre ele. Prelucrarea unei comenzi pentru a o livra, de exemplu, ține de obicei de contract, nu de consimțământ. Care temei se potrivește este o judecată care trebuie verificată față de ghidurile oficiale.

Drepturile oamenilor

Comisia enumeră aceste drepturi pentru persoane:

• Dreptul de a fi informat despre modul în care sunt folosite datele lor
• Dreptul de acces la date
• Dreptul la rectificare
• Dreptul la ștergere
• Dreptul la restricționarea prelucrării
• Dreptul la portabilitatea datelor (să le primească într-un format utilizabil)
• Dreptul la opoziție
• Drepturile legate de deciziile automatizate și de crearea de profiluri

Încălcările de date

Dacă datele cu caracter personal se scurg și încălcarea este susceptibilă să pună în pericol drepturile și libertățile oamenilor, organizația trebuie, în general, să notifice autoritatea pentru protecția datelor fără întârzieri nejustificate și, dacă este posibil, în 72 de ore de la momentul în care a aflat. În unele cazuri, persoanele afectate trebuie și ele informate.

Un exemplu practic: o aplicație de rezervări pentru un studio de yoga

Să presupunem că construiești o aplicație de rezervări pentru un studio de yoga, cu clienți în Germania. Iată cum modelează GDPR aplicația.

Colectează mai puțin. Formularul de înregistrare cere nume, e-mail și un număr de telefon opțional. Prima versiune cerea și data nașterii și adresa de domiciliu — nimic din aplicație nu le folosea, așa că au fost scoase.

Datele despre sănătate cer atenție. Studioul vrea să întrebe despre accidentări. Acestea sunt date despre sănătate, o categorie specială cu reguli mai stricte. Studioul decide să trateze subiectul față în față, așa că aplicația nu colectează asta.

Fii transparent. O politică de confidențialitate explică ce se colectează, de ce, cât timp se păstrează, cine le mai prelucrează (furnizorul de hosting, serviciul de e-mail, furnizorul de plăți) și cum poți contacta studioul.

Marketingul este separat. Rezervarea unei clase nu te înscrie automat la newsletter. Există o casetă separată, nebifată, pentru asta.

Drepturile în produs. Clienții își pot vedea și edita profilul, pot descărca istoricul rezervărilor și pot cere ștergerea din pagina contului.

Păstrarea datelor. Conturile inactive sunt marcate după o perioadă stabilită și șterse dacă clientul nu răspunde. Studioul alege perioada.

Cookie-uri. Cookie-ul de login este necesar. Analiza se încarcă doar după ce vizitatorul o acceptă. Vezi ce sunt cookie-urile.

Securitate. Parolele sunt hash-uite, zona de administrare cere autentificare în doi pași, iar doar proprietarul poate exporta listele de clienți.

Termeni explicați

Greșeli și concepții greșite frecvente

• „Nu suntem în UE, deci nu se aplică.” Poate să se aplice în funcție de unde se află utilizatorii tăi.
• „GDPR înseamnă consimțământ pentru orice.” Consimțământul este unul dintre cele șase temeiuri legale și adesea nu este cel potrivit.
• „Un banner de cookie-uri ne face conformi.” Cookie-urile sunt o parte mică. Colectarea datelor, securitatea, drepturile și păstrarea contează mai mult.
• „Hostul nostru este conform GDPR, deci noi suntem.” Furnizorii ajută, dar tu decizi ce colectează aplicația ta și ce face cu datele.
• Colectarea „just in case”. Fiecare câmp în plus înseamnă mai mult de protejat, explicat și șters.
• Copierea politicii de confidențialitate a altui site. Trebuie să descrie ce face aplicația ta în realitate.
• Ștergerea imposibilă. Dacă nimeni nu poate șterge un utilizator fără un dezvoltator, cererile privind drepturile devin urgențe.

Ce să ceri constructorului tău de aplicații cu AI

• „Listează fiecare dată cu caracter personal pe care o colectează această aplicație, unde este stocată și de ce este nevoie de ea.”
• „Elimină câmpurile din formular pe care nu le folosim.”
• „Adaugă o pagină de cont în care utilizatorii își pot vedea, edita și descărca datele și pot cere ștergerea.”
• „Construiește o acțiune de administrare care șterge complet un utilizator și înregistrările lui legate sau anonimizează înregistrările pe care trebuie să le păstrăm.”
• „Păstrează înscrierea la marketing ca o casetă separată, nebifată.”
• „Nu încărca scripturi de analiză sau de marketing înainte de consimțământ.”
• „Listează fiecare serviciu terț care primește date ale utilizatorilor, ca să le pot adăuga în politica de confidențialitate.”
• „Restricționează exporturile din administrare doar la rolul de proprietar și înregistrează cine a exportat ce.”

Apoi citește cum scrii termenii și condițiile și politica de confidențialitate și cum adaugi consimțământul pentru cookie-uri.

GDPR și Mythex

Mythex îți oferă elementele de construcție, nu un certificat de conformitate. Datele aplicației tale trăiesc în baza de date proprie a proiectului și în stocarea de fișiere, atunci când le activezi, tu deții codul, iar pe Pro poți exporta proiectul dacă trebuie să îl muți. Ce colectează aplicația ta, cât timp păstrează datele și cum își exercită oamenii drepturile sunt decizii pe care le iei tu — și pe care le ceri agentului să le construiască. Pagina din documentație despre proprietatea datelor explică ce găzduiește Mythex, iar securitatea pentru aplicațiile construite avertizează împotriva pretinderii unei conformități pe care nu o ai. Dacă ai nevoie de detalii precum unde sunt găzduite datele sau un acord de prelucrare a datelor, întreabă suportul Mythex înainte de lansare.

Întrebări