Čo je GDPR? Sprievodca pre tvorcov aplikácií jednoducho
GDPR (Všeobecné nariadenie o ochrane údajov) je hlavný zákon Európskej únie o ochrane údajov. Stanovuje pravidlá pre to, ako organizácie zbierajú, používajú, ukladajú a zdieľajú osobné údaje – akékoľvek informácie o identifikovateľnej živej osobe – a dáva ľuďom práva nad ich vlastnými údajmi, napríklad právo ich vidieť alebo dať vymazať. Platí od 25. mája 2018 a môže sa vzťahovať aj na firmy mimo EÚ, ak obsluhujú ľudí v nej.
Nie je to právne poradenstvo. Tento sprievodca je všeobecné vysvetlenie, ktoré vám má pomôcť porozumieť základom a klásť lepšie otázky. Nenahrádza poradenstvo o vašej konkrétnej situácii. Autoritatívne podrobnosti nájdete na stránkach Európskej komisie o ochrane údajov a v sprievodcovi Európskeho výboru pre ochranu údajov pre malé firmy.
Prečo na tom záleží, keď stavate s AI
Nástroje na tvorbu aplikácií s AI uľahčujú zbieranie údajov. Jeden prompt vám dá registračný formulár, kontaktný formulár, analytiku, nahrávanie súborov a administračný panel so zoznamom všetkých používateľov. Každý z nich zbiera osobné údaje a GDPR sa zaujíma o všetky.
Dobrou správou je, že väčšina toho, čo GDPR vyžaduje, je zároveň dobrá praktika pri tvorbe produktu:
- Zbierajte len to, čo naozaj potrebujete.
- Povedzte ľuďom, čo s údajmi robíte.
- Chráňte ich.
- Vymažte ich, keď ich už nepotrebujete.
- Umožnite ľuďom vidieť, opraviť alebo odstrániť svoje údaje.
Tieto veci sa oveľa ľahšie navrhujú od začiatku, než dodatočne dolepujú po spustení. Ak sa nástroja na tvorbu aplikácií včas opýtate správne otázky, ušetríte si neskoršie bolestivé prepracovanie.
Každodenná analógia
Predstavte si osobné údaje ako veci, ktoré ľudia nechávajú u vás – ako šatňa, ale pre informácie. GDPR sú domáce pravidlá šatne:
- Berte len to, čo človek zverí, a na dôvod, ktorému rozumie.
- Nepreľuhrávajte vrecká na iné účely.
- Držte miestnosť zamknutú.
- Vráťte veci, alebo ich vyhoďte, keď o to požiada alebo keď ich už nepotrebujete.
- Ak sa niečo stratí alebo ukradne, včas informujte správne osoby.
Zodpovedáte za kabáty, kým sú vo vašej starostlivosti, aj keď ste najali niekoho, kto miestnosť vedie.
Základné myšlienky
Čo sa považuje za osobné údaje
Európska komisia definuje osobné údaje ako akékoľvek informácie, ktoré sa týkajú identifikovaného alebo identifikovateľného živého jednotlivca. Je to široký pojem. Zahŕňa mená, e-mailové adresy, domáce adresy, IP adresy, identifikátory cookie a fotografie. Údaje, ktoré boli „pseudonymizované“ – napríklad mená nahradené kódmi – môžu byť stále osobnými údajmi, ak sa dajú prepojiť späť s konkrétnou osobou.
Niektoré kategórie majú zvýšenú ochranu, vrátane zdravotných údajov, biometrických údajov, rasového alebo etnického pôvodu a politických názorov.
Na koho sa vzťahuje
Podľa Komisie sa GDPR vzťahuje na organizácie usadené v EÚ a na organizácie mimo EÚ, ktoré ponúkajú tovar alebo služby ľuďom v EÚ (platené alebo bezplatné) alebo sledujú ich správanie. Startup v USA alebo v SAE s európskymi zákazníkmi môže byť pokrytý veľmi pravdepodobne. Spojené kráľovstvo má vlastnú verziu, britské GDPR, ktoré je veľmi blízke pôvodnému nariadeniu.
Zásady
GDPR stojí na krátkom zozname zásad. Jednoducho povedané:
| Zásada | Čo to znamená pre vašu aplikáciu |
|---|---|
| Zákonnosť, korektnosť, transparentnosť | Mať platný dôvod na spracúvanie a jasne ľuďom povedať, čo robíte. |
| Obmedzenie účelu | Používať údaje na dôvody, pre ktoré ste ich zbierali, nie na nečakané nové účely. |
| Minimalizácia údajov | Nezbierať polia, ktoré nepotrebujete. |
| Presnosť | Udržiavať údaje správne a umožniť ľuďom ich opraviť. |
| Obmedzenie uloženia | Neuchovávať údaje naveky; vymazať ich, keď už nie sú potrebné. |
| Integrita a dôvernosť | Chrániť ich pred únikmi a neoprávneným prístupom. |
| Zodpovednosť | Byť schopný preukázať, ako dodržiavate pravidlá. |
Právne základy
Na každý spôsob, akým používate osobné údaje, potrebujete právny dôvod – „právny základ“. GDPR uvádza šesť: súhlas, plnenie zmluvy, zákonná povinnosť, životne dôležité záujmy, plnenie úlohy vo verejnom záujme a oprávnené záujmy. Súhlas je len jeden z nich. Spracovanie objednávky na jej doručenie je napríklad zvyčajne otázkou zmluvy, nie súhlasu. Ktorý základ sa hodí, je úsudok, ktorý treba overiť oproti oficiálnym usmerneniam.
Práva ľudí
Komisia uvádza tieto práva jednotlivcov:
- Byť informovaný o tom, ako sa jeho údaje používajú
- Získať prístup k svojim údajom
- Nechať ich opraviť
- Nechať ich vymazať
- Obmedziť spracúvanie
- Prenosnosť údajov (získať ich v použiteľnom formáte)
- Namietať
- Práva súvisiace s automatizovaným rozhodovaním a profilovaním
Úniky údajov
Ak unikne osobný údaj a únik pravdepodobne ohrozí práva a slobody ľudí, organizácia spravidla musí oznámiť to svojmu úradu na ochranu údajov bez zbytočného odkladu a ak je to možné, do 72 hodín od zistenia. V niektorých prípadoch sa o tom musia informovať aj dotknuté osoby.
Praktický príklad: aplikácia na rezervácie v joga štúdiu
Predstavte si, že stavate aplikáciu na rezervácie pre joga štúdio so zákazníkmi v Nemecku. Takto GDPR formuje aplikáciu.
Zbierajte menej. Registračný formulár pýta meno, e-mail a voliteľné telefónne číslo. Prvý návrh pýtal aj dátum narodenia a domácu adresu – v aplikácii nič z toho nepoužívame, takže sa to odstráni.
Zdravotné údaje si vyžadujú opatrnosť. Štúdio chce pýtať na zranenia. To sú zdravotné údaje, osobitná kategória s prísnejšími pravidlami. Štúdio sa rozhodne riešiť to osobne, takže to aplikácia nezbiera.
Buďte transparentní. Zásady ochrany osobných údajov vysvetľujú, čo sa zbiera, prečo, ako dlho sa uchováva, kto ďalší údaje spracúva (poskytovateľ hostingu, e-mailová služba, poskytovateľ platieb) a ako sa s štúdiom skontaktovať.
Marketing je oddelený. Rezervácia hodiny nikoho neprihlási na newsletter. Na to je samostatné, nezaškrtnuté políčko.
Práva v produkte. Zákazníci môžu zobraziť a upraviť svoj profil, stiahnuť si históriu rezervácií a požiadať o vymazanie zo stránky svojho účtu.
Uchovávanie. Neaktívne účty sa po určenom čase označia a odstránia, ak zákazník neodpovie. Dobu si určuje štúdio.
Cookies. Prihlasovacia cookie je nevyhnutná. Analytika sa načíta až potom, čo ju návštevník prijme. Pozrite čo sú cookies.
Bezpečnosť. Heslá sú zahashované, administračná časť vyžaduje dvojfaktorové overenie a zoznamy zákazníkov môže exportovať len vlastník.
Vysvetlenie bežných pojmov
| Pojem | Význam |
|---|---|
| Osobné údaje | Akékoľvek informácie o identifikovanej alebo identifikovateľnej živej osobe. |
| Spracúvanie | Čokoľvek s osobnými údajmi: zber, ukladanie, používanie, zdieľanie, mazanie. |
| Dotknutá osoba | Osoba, ktorej sa údaje týkajú. |
| Prevádzkovateľ | Organizácia, ktorá rozhoduje, prečo a ako sa údaje spracúvajú – zvyčajne vy ako vlastník aplikácie. |
| Sprostredkovateľ | Firma, ktorá spracúva údaje v mene prevádzkovateľa, napríklad poskytovateľ hostingu alebo e-mailu. |
| Zmluva o spracúvaní osobných údajov (DPA) | Zmluva medzi prevádzkovateľom a sprostredkovateľom, ktorá stanovuje, ako sa s údajmi nakladá. |
| Právny základ | Právny dôvod spracúvania, napríklad súhlas alebo zmluva. |
| Súhlas | Slobodne daný, konkrétny, informovaný a jasný súhlas; predvolene zaškrtnuté políčka sa nepočítajú. |
| Údaje osobitnej kategórie | Citlivé údaje, napríklad zdravotné alebo biometrické, s prísnejšími pravidlami. |
| Dozorný úrad | Regulátor ochrany údajov v krajine. |
Bežné chyby a omyly
- „Nie sme v EÚ, takže to na nás nedopadá.“ Môže to dopadať na základe toho, kde sú vaši používatelia.
- „GDPR znamená súhlas na všetko.“ Súhlas je jeden zo šiestich právnych základov a často nie ten správny.
- „Lišta s cookies nás robí súladnými.“ Cookies sú len malá časť. Zber údajov, bezpečnosť, práva a uchovávanie sú dôležitejšie.
- „Náš hosting je GDPR kompatibilný, takže sme aj my.“ Poskytovatelia pomáhajú, ale vy rozhodujete, čo vaša aplikácia zbiera a robí.
- Zbieranie „pre istotu“. Každé ďalšie pole je ďalšia vec na ochranu, vysvetľovanie a mazanie.
- Kopírovanie cudzích zásad ochrany údajov. Musia popisovať, čo vaša aplikácia skutočne robí.
- Znemožnenie vymazania. Ak nikto nemôže odstrániť používateľa bez vývojára, žiadosti o práva sa zmenia na núdzové situácie.
Čo požiadať od nástroja na tvorbu aplikácií
- „Vypíš každý kúsok osobných údajov, ktoré táto aplikácia zbiera, kde sa ukladajú a prečo sú potrebné.“
- „Odstráň všetky polia formulára, ktoré nepoužívame.“
- „Pridaj stránku účtu, kde môžu používatelia zobraziť, upraviť a stiahnuť svoje údaje a požiadať o vymazanie.“
- „Vytvor administračnú akciu, ktorá úplne vymaže používateľa a jeho súvisiace záznamy, alebo anonymizuje záznamy, ktoré musíme zachovať.“
- „Marketingový súhlas nechaj ako samostatné, nezaškrtnuté políčko.“
- „Nenačítavaj analytické ani marketingové skripty pred súhlasom.“
- „Vypíš každú službu tretej strany, ktorá dostáva údaje používateľov, aby som ju mohol doplniť do zásad ochrany údajov.“
- „Obmedz export administrácie len na rolu vlastníka a zaznamenávaj, kto čo exportoval.“
Potom si prečítajte ako napísať podmienky používania a zásady ochrany osobných údajov a ako pridať súhlas s cookies.
GDPR a Mythex
Mythex vám dáva stavebné prvky, nie certifikát súladu. Dáta vašej aplikácie žijú vo vlastnej databáze projektu a úložisku súborov, keď ich zapnete, vlastníte kód a v Pro môžete projekt exportovať, ak ho potrebujete presunúť. To, čo vaša aplikácia zbiera, ako dlho to uchováva a ako ľudia uplatňujú svoje práva, sú rozhodnutia, ktoré robíte vy – a ktoré agentovi zadávate na vybudovanie. Stránka dokumentácie o vlastníctve dát vysvetľuje, čo Mythex hostuje, a bezpečnosť aplikácií, ktoré vytvárate varuje pred tvrdením o súlade, ktorý nemáte. Ak potrebujete konkrétne informácie, napríklad kde sú údaje hostované alebo zmluvu o spracúvaní osobných údajov, opýtajte sa podpory Mythex pred spustením.
Otázky
Čo je GDPR jednoducho povedané?
Všeobecné nariadenie o ochrane údajov (GDPR) je hlavný zákon Európskej únie o ochrane údajov. Stanovuje pravidlá pre to, ako organizácie zbierajú, používajú, ukladajú a zdieľajú informácie o ľuďoch, a dáva týmto ľuďom práva nad ich údajmi. Platí od 25. mája 2018.
Vzťahuje sa GDPR aj na firmy mimo EÚ?
Môže. Podľa Európskej komisie sa vzťahuje na organizácie mimo EÚ, ktoré ponúkajú tovar alebo služby ľuďom v EÚ, aj zadarmo, alebo ktoré sledujú ich správanie. Nie je rozhodujúce len to, kde sídlite; dôležité je aj to, kto sú vaši používatelia.
Je e-mailová adresa osobným údajom?
Áno. Osobné údaje sú akékoľvek informácie, ktoré sa týkajú identifikovanej alebo identifikovateľnej živej osoby. Môžu nimi byť mená, e-mailové adresy, IP adresy a identifikátory cookie.
Urobí moju aplikáciu súladnou s GDPR hostingová služba, ktorá je GDPR kompatibilná?
Nie. Hosting môže podporiť súlad, ale vy rozhodujete, aké údaje vaša aplikácia zbiera, prečo, ako dlho sa uchovávajú a kto ich vidí. Tieto rozhodnutia musíte urobiť správne vy.
Je tento sprievodca právnym poradenstvom?
Nie. Je to všeobecné vysvetlenie, ktoré vám má pomôcť klásť lepšie otázky. Pre vašu konkrétnu situáciu skontrolujte oficiálne usmernenia EÚ alebo vášho národného úradu na ochranu údajov, prípadne sa obráťte na kvalifikovaného poradcu.