Vad är GDPR? En lättförståelig guide för appbyggare

GDPR (General Data Protection Regulation, på svenska den allmänna dataskyddsförordningen) är EU:s huvudsakliga dataskyddslag. Den ställer regler för hur organisationer samlar in, använder, lagrar och delar personuppgifter – all information om en identifierbar levande person – och ger människor rättigheter över sina egna uppgifter, till exempel att få se dem eller få dem raderade. Den har tillämpats sedan den 25 maj 2018, och den kan gälla för företag utanför EU om de betjänar personer i unionen.

Inte juridisk rådgivning. Den här guiden är en allmän förklaring som hjälper dig att förstå grunderna och ställa bättre frågor. Den ersätter inte rådgivning om din situation. För auktoritativ information, se Europeiska kommissionens sidor om dataskydd och Europeiska dataskyddsstyrelsens guide för småföretag.

Varför det spelar roll när du bygger med AI

AI-byggare gör det enkelt att samla in data. En prompt ger dig ett registreringsformulär, ett kontaktformulär, analys, filuppladdningar och en adminpanel som listar varje användare. Var och en av dem samlar in personuppgifter, och GDPR bryr sig om alla.

Den goda nyheten är att mycket av det GDPR kräver också är god produktpraxis:

• Samla bara in det du faktiskt behöver.
• Berätta vad du gör med det.
• Håll det säkert.
• Radera det när du inte längre behöver det.
• Låt människor se, rätta eller ta bort sina uppgifter.

Dessa är mycket lättare att bygga in från början än att lägga till efter lansering. Att ställa rätt frågor till din AI-byggare tidigt sparar en smärtsam ombyggnad senare.

En vardaglig liknelse

Tänk på personuppgifter som saker människor lämnar hos dig – som en garderob för information. GDPR är husreglerna för garderoben:

• Ta bara emot det personen gått med på att lämna, för ett skäl som de förstår.
• Rota inte i fickorna för andra ändamål.
• Håll rummet låst.
• Lämna tillbaka saker, eller kasta dem, när de begärs eller när du inte längre behöver dem.
• Om något blir stulet, meddela rätt personer snabbt.

Du är ansvarig för kapporna medan de är i din vård, även om du har anlitat någon annan att driva rummet.

Grundidéerna

Vad som räknas som personuppgifter

Europeiska kommissionen definierar personuppgifter som all information som hänför sig till en identifierad eller identifierbar levande person. Det är brett. Det omfattar namn, e-postadresser, hemadresser, IP-adresser, cookie-ID:n och foton. Uppgifter som har "pseudonymiserats" – till exempel att namn ersatts med koder – kan fortfarande vara personuppgifter om de kan kopplas tillbaka till en person.

Vissa kategorier får extra skydd, bland annat hälsouppgifter, biometriska uppgifter, ras- eller etniskt ursprung och politiska åsikter.

Vem den gäller för

Enligt kommissionen gäller GDPR för organisationer som är etablerade i EU, och för organisationer utanför EU som erbjuder varor eller tjänster till personer i EU (betalda eller gratis) eller övervakar deras beteende. Ett amerikanskt eller emiratiskt startup med europeiska kunder kan mycket väl omfattas. Storbritannien har en egen version, UK GDPR, som i stora drag bygger på den.

Principerna

GDPR bygger på en kort lista med principer. Med enkla ord:

Rättsliga grunder

Du behöver ett rättsligt skäl – en "laglig grund" – för varje sätt du använder personuppgifter på. GDPR listar sex: samtycke, fullgörande av avtal, rättslig förpliktelse, vitala intressen, uppgift av allmänt intresse och berättigade intressen. Samtycke är bara en av dem. Att behandla en beställning för att leverera den handlar vanligtvis om avtalet, inte om samtycke. Vilken grund som passar är en bedömning som bör kontrolleras mot officiella riktlinjer.

Människors rättigheter

Kommissionen listar dessa rättigheter för enskilda personer:

• Att bli informerad om hur deras uppgifter används
• Att få tillgång till sina uppgifter
• Att få dem rättade
• Att få dem raderade
• Att begränsa behandlingen
• Dataportabilitet (få dem i ett användbart format)
• Att invända
• Rättigheter kopplade till automatiserat beslutsfattande och profilering

Personuppgiftsincidenter

Om personuppgifter läcker och incidenten sannolikt innebär en risk för personers rättigheter och friheter måste organisationen i regel anmäla det till dataskyddsmyndigheten utan onödigt dröjsmål och, där det är möjligt, inom 72 timmar efter att den blivit medveten om det. I vissa fall måste även de berörda personerna informeras.

Ett praktiskt exempel: en bokningsapp för en yogastudio

Säg att du bygger en bokningsapp för en yogastudio med kunder i Tyskland. Så här formar GDPR appen.

Samla in mindre. Registreringsformuläret frågar efter namn, e-post och ett valfritt telefonnummer. Det första utkastet frågade också efter födelsedatum och hemadress – ingenting i appen använder dem, så de tas bort.

Hälsouppgifter kräver försiktighet. Studion vill fråga om skador. Det är hälsouppgifter, en särskild kategori med striktare regler. Studion bestämmer sig för att hantera det personligen i stället, så appen samlar inte in det.

Var transparent. En integritetspolicy förklarar vad som samlas in, varför, hur länge det sparas, vilka andra som behandlar det (hostingleverantören, e-posttjänsten, betalningsleverantören) och hur man kontaktar studion.

Marknadsföring är separat. Att boka ett pass prenumererar ingen på nyhetsbrevet. Det finns en separat, ikryssad ruta för det.

Rättigheter i produkten. Kunder kan visa och redigera sin profil, ladda ner sin bokningshistorik och begära radering från sin kontosida.

Lagring. Inaktiva konton flaggas efter en fastställd period och tas bort om kunden inte svarar. Studion väljer perioden.

Cookies. Inloggningscookien är nödvändig. Analys laddas först efter att besökaren godkänt den. Se vad cookies är.

Säkerhet. Lösenord hashas, adminområdet kräver tvåfaktorsautentisering, och endast ägaren kan exportera kundlistor.

Vanliga begrepp förklarade

Vanliga misstag och missuppfattningar

• "Vi är inte i EU, så det gäller inte." Det kan gälla utifrån var dina användare finns.
• "GDPR innebär samtycke för allt." Samtycke är en av sex rättsliga grunder, och ofta inte den rätta.
• "En cookie-banner gör oss kompatibla." Cookies är en liten del. Insamling av data, säkerhet, rättigheter och lagringstid är viktigare.
• "Vår värd är GDPR-kompatibel, så vi är det." Leverantörer hjälper till, men du bestämmer vad din app samlar in och gör.
• Att samla in "för säkerhets skull". Varje extra fält är mer att skydda, förklara och radera.
• Att kopiera en annan sajts integritetspolicy. Den måste beskriva vad din app faktiskt gör.
• Att göra radering omöjlig. Om ingen kan radera en användare utan en utvecklare blir begäranden om rättigheter till nödsituationer.

Vad du ska be din AI-byggare om

• "Lista varje personuppgift som den här appen samlar in, var den lagras och varför den behövs."
• "Ta bort formulärfält som vi inte använder."
• "Lägg till en kontosida där användare kan visa, redigera och ladda ner sina uppgifter, och begära radering."
• "Bygg en adminåtgärd som helt raderar en användare och deras relaterade poster, eller anonymiserar poster som vi måste behålla."
• "Behåll registrering för marknadsföring som en separat, ikryssad ruta."
• "Ladda inte in analys- eller marknadsföringsskript före samtycke."
• "Lista varje tredjepartstjänst som tar emot användaruppgifter, så att jag kan lägga till dem i integritetspolicyn."
• "Begränsa adminexporter till ägarrollen och logga vem som exporterade vad."

Läs sedan hur du skriver användarvillkor och integritetspolicy och hur du lägger till cookie-samtycke.

GDPR och Mythex

Mythex ger dig byggstenarna, inte ett efterlevnadscertifikat. Din apps data lagras i sin egen projektdatabas och filutrymme när du aktiverar dem, du äger koden, och på Pro kan du exportera projektet om du behöver flytta det. Vad din app samlar in, hur länge den sparar det och hur människor utövar sina rättigheter är beslut du fattar – och ber agenten bygga. Dokumentationssidan om dataägande förklarar vad Mythex hostar, och säkerhet för appar du bygger varnar för att påstå efterlevnad du inte har. Behöver du detaljer, till exempel var data hostas eller ett personuppgiftsbiträdesavtal, fråga Mythex support innan du lanserar.

Frågor