Çfarë është GDPR? Udhëzues i thjeshtë për ndërtuesit e aplikacioneve
GDPR (Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave) është ligji kryesor i Bashkimit Evropian për mbrojtjen e të dhënave. Ai vendos rregulla se si organizatat mbledhin, përdorin, ruajnë dhe ndajnë të dhëna personale — çdo informacion për një person të gjallë të identifikueshëm — dhe u jep njerëzve të drejta mbi të dhënat e tyre, si të shohin ose të fshijnë të dhënat. Zbatohet që nga 25 maji 2018, dhe mund të vlejë për bizneset jashtë BE-së nëse u shërbejnë njerëzve aty.
Jo këshillë ligjore. Ky udhëzues është një shpjegim i përgjithshëm për t'ju ndihmuar të kuptoni bazat dhe të bëni pyetje më të mira. Nuk zëvendëson këshillën për situatën tuaj. Për detaje autoritative, shihni faqet e Komisionit Evropian për mbrojtjen e të dhënave dhe udhëzuesin e Bordit Evropian për Mbrojtjen e të Dhënave për bizneset e vogla.
Pse ka rëndësi kur ndërtoni me AI
Ndërtuesit me AI e bëjnë të lehtë mbledhjen e të dhënave. Një kërkesë ju jep një formë regjistrimi, një formë kontakti, analitikë, ngarkime skedarësh dhe një panel administrimi që liston çdo përdorues. Secili prej tyre mbledh të dhëna personale, dhe GDPR kujdeset për të gjitha.
Lajmi i mirë është se shumica e asaj që kërkon GDPR është edhe praktikë e mirë produkti:
- Mblidhni vetëm atë që ju duhet realisht.
- Tregoni njerëzve çfarë bëni me të.
- Mbajeni të sigurt.
- Fshijeni kur nuk ju nevojitet më.
- Lejoni njerëzit të shohin, korrigjojnë ose heqin të dhënat e tyre.
Këto janë shumë më të lehta për t'u projektuar që në fillim sesa për t'u shtuar pas lançimit. T'i bëni ndërtuesit tuaj me AI pyetjet e duhura herët ju kursen një rindërtim të dhimbshëm më vonë.
Një analogji e përditshme
Mendoni për të dhënat personale si sende që njerëzit lënë te ju — si një vendqëndrim pallton, por për informacion. GDPR janë rregullat e shtëpisë për atë vendqëndrim:
- Merrni vetëm atë që personi pranoi të lërë, për një arsye që ai e kupton.
- Mos shkaktoni rregullisht në xhepa për përdorime të tjera.
- Mbajeni dhomën të mbyllur.
- Kthejini sendet, ose hidhini, kur kërkohet ose kur nuk ju nevojiten më.
- Nëse diçka vidhet, njoftoni menjëherë personat e duhur.
Ju jeni përgjegjës për pallton kur janë në kujdesin tuaj, edhe nëse keni punësuar dikë tjetër për ta menaxhuar dhomën.
Idetë kryesore
Çfarë llogaritet si e dhënë personale
Komisioni Evropian e përkufizon të dhënën personale si çdo informacion që lidhet me një individ të gjallë të identifikuar ose të identifikueshëm. Kjo është e gjerë. Përfshin emrat, adresat email, adresat e banimit, adresat IP, ID-të e cookie-ve dhe fotografitë. Të dhënat që janë „pseudonimizuar“ — për shembull emrat e zëvendësuar me kode — mund të jenë prapë të dhëna personale nëse mund të lidhen përsëri me dikë.
Disa kategori marrin mbrojtje shtesë, përfshirë të dhënat shëndetësore, të dhënat biometrike, origjinën racore ose etnike dhe bindjet politike.
Për kë vlen
Sipas Komisionit, GDPR zbatohet për organizatat e themeluara në BE, dhe për organizatat jashtë BE-së që ofrojnë mallra ose shërbime për njerëz në BE (me pagesë ose falas) ose monitorojnë sjelljen e tyre. Një startup amerikan ose emirat me klientë evropianë mund të jetë i mbuluar. Mbretëria e Bashkuar ka versionin e vet, UK GDPR, që bazohet ngushtë mbi të.
Parimet
GDPR mbështetet mbi një listë të shkurtër parimesh. Me fjalë të thjeshta:
| Parimi | Çfarë do të thotë për aplikacionin tuaj |
|---|---|
| Ligjshmëria, drejtësia, transparenca | Keni një arsye të vlefshme për përpunimin, dhe u thoni qartë njerëzve çfarë bëni. |
| Kufizimi i qëllimit | Përdorni të dhënat për arsyet për të cilat i keni mbledhur, jo për qëllime të reja befasuese. |
| Minimizimi i të dhënave | Mos mblidhni fusha që nuk ju nevojiten. |
| Saktësia | Mbajini të dhënat të sakta dhe lejoni njerëzit t'i korrigjojnë. |
| Kufizimi i ruajtjes | Mos i mbani të dhënat përgjithmonë; fshijini kur nuk nevojiten më. |
| Integriteti dhe konfidencialiteti | Mbrojini nga rrjedhjet dhe qasja e paautorizuar. |
| Përgjegjshmëria | Jini në gjendje të tregoni si përputheni. |
Bazat ligjore
Ju nevojitet një arsye ligjore — një „bazë ligjore“ — për çdo mënyrë se si përdorni të dhëna personale. GDPR liston gjashtë: pëlqimi, zbatimi i një kontrate, detyrimi ligjor, interesat jetësore, detyra publike dhe interesat legjitime. Pëlqimi është vetëm një prej tyre. Përpunimi i një porosie për ta dorëzuar, për shembull, zakonisht lidhet me kontratën, jo me pëlqimin. Cila bazë përshtatet është një vlerësim që duhet kontrolluar me udhëzimet zyrtare.
Të drejtat e njerëzve
Komisioni liston këto të drejta për individët:
- Të informohen për mënyrën si përdoren të dhënat e tyre
- Të kenë qasje te të dhënat e tyre
- Të kenë ato të korrigjuara
- Të kenë ato të fshira
- Të kufizojnë përpunimin
- Portabiliteti i të dhënave (ta marrin në një format të përdorshëm)
- Të kundërshtojnë
- Të drejtat që lidhen me vendimmarrjen automatike dhe profilizimin
Shkeljet e të dhënave
Nëse të dhënat personale rrjedhin dhe shkelja ka gjasa të rrezikojë të drejtat dhe liritë e njerëzve, organizata zakonisht duhet ta njoftojë autoritetin e saj për mbrojtjen e të dhënave pa vonesë të panevojshme dhe, aty ku është e mundur, brenda 72 orëve nga momenti kur e ka marrë vesh. Në disa raste, edhe personat e prekur duhet të njoftohen.
Një shembull i punuar: një aplikacion rezervimesh për një studio joge
Le të themi se po ndërtoni një aplikacion rezervimesh për një studio joge me klientë në Gjermani. Ja si e formëson GDPR.
Mblidhni më pak. Forma e regjistrimit kërkon emrin, email-in dhe një numër telefoni opsional. Drafti i parë kërkonte edhe datëlindjen dhe adresën e banimit — asgjë në aplikacion nuk i përdor, kështu që u hoqën.
Të dhënat shëndetësore kërkojnë kujdes. Studios i duhet të pyesë për lëndime. Kjo janë të dhëna shëndetësore, një kategori e veçantë me rregulla më të rrepta. Studio vendos ta trajtojë këtë personalisht, kështu që aplikacioni nuk i mbledh ato.
Jini transparentë. Një politikë privatësie shpjegon çfarë mblidhet, pse, për sa kohë mbahet, kush tjetër e përpunon (ofruesi i hostimit, shërbimi i email-it, ofruesi i pagesave) dhe si të kontaktohet studioja.
Marketingu është veçmas. Rezervimi i një klase nuk regjistron askënd në newsletter. Ka një kutizë të veçantë, të pashënuar për këtë.
Të drejtat në produkt. Klientët mund të shohin dhe redaktojnë profilin e tyre, të shkarkojnë historikun e rezervimeve, dhe të kërkojnë fshirjen nga faqja e llogarisë së tyre.
Ruajtja. Llogaritë joaktive shënohen pas një periudhe të caktuar dhe hiqen nëse klienti nuk përgjigjet. Studioja zgjedh periudhën.
Cookie-t. Cookie-i i hyrjes është i domosdoshëm. Analitika ngarkohet vetëm pasi vizitori e pranon. Shihni çfarë janë cookie-t.
Siguria. Fjalëkalimet janë hash-uar, zona e administrimit kërkon autentikim me dy faktorë, dhe vetëm pronari mund të eksportojë listat e klientëve.
Termat e shpjeguar
| Termi | Çfarë do të thotë |
|---|---|
| E dhënë personale | Çdo informacion për një person të gjallë të identifikuar ose të identifikueshëm. |
| Përpunimi | Çdo gjë e bërë me të dhënat personale: mbledhja, ruajtja, përdorimi, ndarja, fshirja. |
| Subjekti i të dhënave | Personi për të cilin janë të dhënat. |
| Kontrolluesi | Organizata që vendos pse dhe si përpunohen të dhënat — zakonisht ju, pronari i aplikacionit. |
| Përpunuesi | Një kompani që përpunon të dhëna në emër të kontrolluesit, si një ofrues hostimi ose email-i. |
| Marrëveshja e Përpunimit të të Dhënave (DPA) | Një kontratë midis kontrolluesit dhe përpunuesit që përcakton si trajtohen të dhënat. |
| Baza ligjore | Arsyeja ligjore për përpunimin, si pëlqimi ose kontrata. |
| Pëlqimi | Një „po“ i dhënë lirisht, specifik, i informuar dhe i qartë; kutitë e parazgjedhura nuk llogariten. |
| Të dhëna të kategorisë së veçantë | Të dhëna të ndjeshme si shëndetësore ose biometrike, me rregulla më të rrepta. |
| Autoriteti mbikëqyrës | Rregullatori i mbrojtjes së të dhënave i një vendi. |
Gabime dhe keqkuptime të zakonshme
- „Ne nuk jemi në BE, pra nuk vlen.“ Mund të vlejë, bazuar në vendndodhjen e përdoruesve tuaj.
- „GDPR do të thotë pëlqim për gjithçka.“ Pëlqimi është një nga gjashtë bazat ligjore, dhe shpesh nuk është ajo e duhura.
- „Një banner cookie-sh na bën të pajtueshëm.“ Cookie-t janë një pjesë e vogël. Mbledhja e të dhënave, siguria, të drejtat dhe ruajtja kanë më shumë rëndësi.
- „Hosti ynë është i pajtueshëm me GDPR, pra ne jemi.“ Ofruesit ndihmojnë, por ju vendosni çfarë mblidh dhe çfarë bën aplikacioni juaj.
- Mbledhja „për çdo rast“. Çdo fushë shtesë është më shumë për të mbrojtur, shpjeguar dhe fshirë.
- Kopjimi i politikës së privatësisë së një sajti tjetër. Duhet të përshkruajë atë që aplikacioni juaj bën me të vërtetë.
- Bërja e fshirjes të pamundur. Nëse askush nuk mund ta fshijë një përdorues pa një zhvillues, kërkesat për të drejtat bëhen emergjenca.
Çfarë t'i kërkoni ndërtuesit tuaj me AI
- „Listo çdo pjesë të dhënash personale që mbledh ky aplikacion, ku ruhet, dhe pse nevojitet.“
- „Hiq çdo fushë formulari që nuk e përdorim.“
- „Shto një faqe llogarie ku përdoruesit mund të shohin, redaktojnë dhe shkarkojnë të dhënat e tyre, dhe të kërkojnë fshirjen.“
- „Ndërto një veprim administrimi që fshin plotësisht një përdorues dhe regjistrimet e lidhura, ose anonimizon regjistrimet që duhet t'i mbajmë.“
- „Mbaje regjistrimin për marketing si një kutizë të veçantë, të pashënuar.“
- „Mos ngarko skriptet e analitikës ose marketingut përpara pëlqimit.“
- „Listo çdo shërbim të palës së tretë që merr të dhëna përdoruesish, që t'i shtoj në politikën e privatësisë.“
- „Kufizo eksportet e administratorit vetëm për rolin e pronarit, dhe regjistro kush eksportoi çfarë.“
Pastaj lexoni si të shkruani kushtet e shërbimit dhe politikën e privatësisë dhe si të shtoni pëlqimin për cookie-t.
GDPR dhe Mythex
Mythex ju jep blloqet ndërtuese, jo një certifikatë pajtueshmërie. Të dhënat e aplikacionit tuaj jetojnë në bazën e të dhënave të vet të projektit dhe në ruajtjen e skedarëve kur i aktivizoni, ju zotëroni kodin, dhe në Pro mund ta eksportoni projektin nëse keni nevojë ta zhvendosni. Çfarë mbledh aplikacioni juaj, sa kohë i mban, dhe si ushtrojnë njerëzit të drejtat e tyre janë vendime që i merrni ju — dhe i kërkoni agjentit t'i ndërtojë. Faqja e dokumentacionit për pronësinë e të dhënave shpjegon çfarë hoston Mythex, dhe siguria për aplikacionet që ndërtoni paralajmëron kundër pretendimit për pajtueshmëri që nuk e keni. Nëse ju duhen detaje specifike, si ku hostohen të dhënat ose një marrëveshje përpunimi të dhënash, pyesni mbështetjen e Mythex përpara lançimit.
Pyetje
Çfarë është GDPR me fjalë të thjeshta?
Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave (GDPR) është ligji kryesor i Bashkimit Evropian për mbrojtjen e të dhënave. Ajo vendos rregulla se si organizatat mbledhin, përdorin, ruajnë dhe ndajnë informacion për njerëzit, dhe u jep këtyre njerëzve të drejta mbi të dhënat e tyre. Zbatohet që nga 25 maji 2018.
A vlen GDPR për bizneset jashtë BE-së?
Mund të vlejë. Sipas Komisionit Evropian, ajo zbatohet për organizatat jashtë BE-së që ofrojnë mallra ose shërbime për njerëz në BE, edhe falas, ose që monitorojnë sjelljen e tyre. Vendndodhja juaj nuk është e vetmja pyetje; ka rëndësi edhe kush janë përdoruesit tuaj.
A është një adresë email e dhënë personale?
Po. E dhënë personale është çdo informacion që lidhet me një person të gjallë të identifikuar ose të identifikueshëm. Emrat, adresat email, adresat IP dhe ID-të e cookie-ve mund të llogariten të tilla.
A e bën një host të pajtueshëm me GDPR aplikacionin tim të pajtueshëm?
Jo. Një host mund të mbështesë pajtueshmërinë, por ju vendosni çfarë të dhënash mbledh aplikacioni juaj, pse, për sa kohë mbahen dhe kush i sheh. Ato zgjedhje janë tuajat për t'i bërë si duhet.
A është ky udhëzues këshillë ligjore?
Jo. Është një shpjegim i përgjithshëm që ju ndihmon të bëni pyetje më të mira. Për situatën tuaj specifike, kontrolloni udhëzimet zyrtare të BE-së ose të autoritetit tuaj kombëtar për mbrojtjen e të dhënave, ose flisni me një këshilltar të kualifikuar.