Что такое GDPR? Простое руководство для создателей приложений
GDPR (General Data Protection Regulation, Общий регламент по защите данных) — главный закон Европейского союза о защите данных. Он задаёт правила, как организации собирают, используют, хранят и передают персональные данные — любую информацию об определяемом живом человеке, — и даёт людям права на их собственные данные, например право их увидеть или потребовать удалить. Действует с 25 мая 2018 года и может распространяться на компании за пределами ЕС, если они работают с людьми из ЕС.
Это не юридическая консультация. Это общее объяснение, которое помогает понять основы и задавать более точные вопросы. Оно не заменяет консультацию по вашей ситуации. Для официальных подробностей см. страницы Европейской комиссии о защите данных и руководство Европейского совета по защите данных для малого бизнеса.
Почему это важно, когда вы создаёте приложение с ИИ
ИИ-конструкторы очень легко собирают данные. Один промпт даёт форму регистрации, форму обратной связи, аналитику, загрузку файлов и административную панель со списком всех пользователей. Каждый из этих элементов собирает персональные данные, а GDPR касается всех них.
Хорошая новость в том, что многое из того, чего требует GDPR, — это также хорошая практика разработки продукта:
- Собирать только то, что действительно нужно.
- Честно сообщать, что вы с этим делаете.
- Хранить данные в безопасности.
- Удалять их, когда они больше не нужны.
- Позволять людям видеть, исправлять или удалять свои данные.
Это гораздо проще заложить в проект с самого начала, чем пристраивать после запуска. Если заранее задать ИИ-конструктору правильные вопросы, вы избежите болезненной переделки позже.
Бытовая аналогия
Представьте персональные данные как вещи, которые люди оставляют у вас — как в гардеробе, только для информации. GDPR — это правила дома для гардероба:
- Принимать только то, что человек согласился оставить, и только по понятной ему причине.
- Не рыться в карманах ради других целей.
- Держать комнату запертой.
- Возвращать вещи или выбрасывать их по просьбе или когда они больше не нужны.
- Если что-то украли, своевременно сообщить нужным людям.
Вы отвечаете за пальто, пока они у вас, даже если наняли кого-то, чтобы управлять гардеробом.
Основные идеи
Что считается персональными данными
Европейская комиссия определяет персональные данные как любую информацию, которая относится к определённому или определяемому живому человеку. Это широкое определение. Оно включает имена, адреса email, домашние адреса, IP-адреса, идентификаторы cookie и фотографии. Данные, которые «псевдонимизированы», — например, имена заменены кодами, — всё равно могут быть персональными данными, если их можно связать с человеком.
Некоторые категории получают дополнительную защиту, включая данные о здоровье, биометрические данные, расовое или этническое происхождение и политические взгляды.
К кому он применяется
По данным Комиссии, GDPR применяется к организациям, учреждённым в ЕС, а также к организациям за пределами ЕС, которые предлагают товары или услуги людям в ЕС (платно или бесплатно) либо отслеживают их поведение. Стартап из США или ОАЭ с европейскими клиентами вполне может подпадать под действие закона. У Великобритании есть собственная версия — UK GDPR, которая во многом основана на нём.
Принципы
GDPR построен на коротком списке принципов. Простыми словами:
| Принцип | Что он значит для вашего приложения |
|---|---|
| Законность, справедливость, прозрачность | Иметь законное основание для обработки и ясно сообщать людям, что вы делаете. |
| Ограничение цели | Использовать данные для тех целей, для которых они собраны, а не для неожиданных новых. |
| Минимизация данных | Не собирать поля, которые вам не нужны. |
| Точность | Поддерживать данные в актуальном виде и позволять людям их исправлять. |
| Ограничение срока хранения | Не хранить данные вечно; удалять, когда они больше не нужны. |
| Целостность и конфиденциальность | Защищать от утечек и несанкционированного доступа. |
| Подотчётность | Уметь показать, как вы соблюдаете требования. |
Законные основания
Для каждого способа использования персональных данных нужно юридическое основание — «законное основание» (lawful basis). GDPR перечисляет шесть: согласие, исполнение договора, юридическая обязанность, жизненно важные интересы, задача в общественных интересах и законные интересы. Согласие — лишь одно из них. Обработка заказа, чтобы его доставить, например, обычно опирается на договор, а не на согласие. Какое основание подходит, — это суждение, которое стоит сверить с официальными рекомендациями.
Права людей
Комиссия перечисляет такие права для физических лиц:
- Быть информированным о том, как используются их данные
- Получать доступ к своим данным
- Требовать их исправления
- Требовать их удаления
- Ограничивать обработку
- Переносимость данных (получить их в пригодном формате)
- Возражать
- Права, связанные с автоматизированным принятием решений и профилированием
Утечки данных
Если персональные данные утекли и утечка может поставить под угрозу права и свободы людей, организация, как правило, должна уведомить свой орган по защите данных без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда узнала о ней. В некоторых случаях о ней также нужно сообщить самим людям.
Пример: приложение бронирования для студии йоги
Допустим, вы создаёте приложение бронирования для студии йоги с клиентами в Германии. Вот как GDPR влияет на его устройство.
Собирайте меньше. Форма регистрации спрашивает имя, email и необязательный телефон. В первом варианте также запрашивались дата рождения и домашний адрес — ничего в приложении их не использует, поэтому их убрали.
Данные о здоровье требуют осторожности. Студия хочет спрашивать о травмах. Это данные о здоровье, особая категория с более строгими правилами. Студия решает обсуждать это лично, поэтому приложение таких данных не собирает.
Будьте прозрачны. Политика конфиденциальности объясняет, что собирается, зачем, как долго хранится, кто ещё обрабатывает данные (хостинг-провайдер, сервис email, платёжный провайдер) и как связаться со студией.
Маркетинг отдельно. Бронирование занятия не подписывает никого на рассылку. Для этого есть отдельный, не отмеченный по умолчанию флажок.
Права внутри продукта. Клиенты могут просматривать и редактировать свой профиль, скачать историю бронирований и запросить удаление на странице аккаунта.
Срок хранения. Неактивные аккаунты помечаются через заданный период и удаляются, если клиент не отвечает. Срок выбирает студия.
Cookie. Cookie для входа необходим. Аналитика загружается только после того, как посетитель её принимает. См. что такое cookie.
Безопасность. Пароли хешируются, для административной части требуется двухфакторная аутентификация, а экспорт списков клиентов доступен только владельцу.
Основные термины
| Термин | Что это значит |
|---|---|
| Персональные данные | Любая информация об определяемом или идентифицируемом живом человеке. |
| Обработка | Любое действие с персональными данными: сбор, хранение, использование, передача, удаление. |
| Субъект данных | Человек, которого касаются данные. |
| Контролёр | Организация, которая определяет, зачем и как обрабатываются данные, — обычно вы, владелец приложения. |
| Обработчик | Компания, которая обрабатывает данные по поручению контролёра, например хостинг-провайдер или сервис email. |
| Соглашение об обработке данных (DPA) | Договор между контролёром и обработчиком, который задаёт порядок обращения с данными. |
| Законное основание | Юридическая причина обработки, например согласие или договор. |
| Согласие | Свободное, конкретное, информированное и однозначное «да»; проставленные по умолчанию галочки не считаются. |
| Данные особой категории | Чувствительные данные, например о здоровье или биометрия, с более строгими правилами. |
| Надзорный орган | Регулятор по защите данных в стране. |
Распространённые ошибки и заблуждения
- «Мы не в ЕС, поэтому это нас не касается». Закон может применяться в зависимости от того, где находятся ваши пользователи.
- «GDPR означает согласие на всё». Согласие — одно из шести законных оснований, и часто оно не то, что нужно.
- «Баннер о cookie делает нас соответствующими». Cookie — лишь небольшая часть. Сбор данных, безопасность, права и сроки хранения важнее.
- «Наш хостинг соответствует GDPR, значит, и мы соответствуем». Провайдеры помогают, но решаете, что собирает и делает ваше приложение, вы.
- Сбор «на всякий случай». Каждое лишнее поле — ещё что-то, что нужно защитить, объяснить и удалить.
- Копирование чужой политики конфиденциальности. Она должна описывать то, что ваше приложение реально делает.
- Невозможность удаления. Если никто не может удалить пользователя без разработчика, запросы о правах превращаются в авралы.
Что просить у вашего ИИ-конструктора
- «Перечисли все персональные данные, которые собирает это приложение, где они хранятся и зачем они нужны».
- «Убери поля формы, которые мы не используем».
- «Добавь страницу аккаунта, где пользователи смогут просматривать, редактировать и скачивать свои данные, а также запрашивать удаление».
- «Сделай административное действие, которое полностью удаляет пользователя и связанные с ним записи, либо анонимизирует записи, которые мы обязаны хранить».
- «Оставь регистрацию на маркетинг отдельным, не отмеченным по умолчанию флажком».
- «Не загружай аналитику или маркетинговые скрипты до получения согласия».
- «Перечисли все сторонние сервисы, которые получают данные пользователей, чтобы я мог добавить их в политику конфиденциальности».
- «Ограничь административный экспорт ролью владельца и веди журнал: кто что экспортировал».
Потом прочитайте как написать условия использования и политику конфиденциальности и как добавить согласие на cookie.
GDPR и Mythex
Mythex даёт строительные блоки, а не сертификат соответствия. Данные вашего приложения хранятся в собственной базе данных проекта и файловом хранилище, если вы их включаете; код принадлежит вам, а на Pro можно экспортировать проект, если нужно его перенести. Что собирает ваше приложение, как долго хранит данные и как люди реализуют свои права — решения за вами, и их вы просите агента построить. Страница документации о владении данными объясняет, что размещает Mythex, а безопасность приложений, которые вы создаёте предостерегает от заявлений о соответствии требованиям, которого у вас нет. Если нужны конкретные детали, например где размещаются данные или соглашение об обработке данных, спросите службу поддержки Mythex до запуска.
Вопросы
Что такое GDPR простыми словами?
Общий регламент ЕС по защите персональных данных (GDPR) — главный закон Европейского союза о защите данных. Он задаёт правила, как организации собирают, используют, хранят и передают информацию о людях, и даёт этим людям права на их данные. Действует с 25 мая 2018 года.
GDPR распространяется на компании за пределами ЕС?
Может. По данным Европейской комиссии, он применяется к организациям за пределами ЕС, которые предлагают товары или услуги людям в ЕС, даже бесплатно, или отслеживают их поведение. Важно не только где вы зарегистрированы, но и кто ваши пользователи.
Является ли адрес электронной почты персональными данными?
Да. Персональные данные — это любая информация, которая относится к определённому или определяемому живому человеку. Имена, адреса email, IP-адреса и идентификаторы cookie могут считаться персональными данными.
Делает ли использование хостинга, соответствующего GDPR, моё приложение соответствующим GDPR?
Нет. Хостинг может помогать с соблюдением требований, но решаете вы: какие данные собирает приложение, зачем, как долго их хранят и кто их видит. Эти решения принимаете вы и должны принимать правильно.
Является ли это руководство юридической консультацией?
Нет. Это общее объяснение, которое помогает задавать более точные вопросы. Для вашей конкретной ситуации обратитесь к официальным рекомендациям ЕС или вашего национального органа по защите данных либо к квалифицированному юристу.