GDPR คืออะไร? คู่มือภาษาง่ายสำหรับผู้สร้างแอป
GDPR (General Data Protection Regulation) คือกฎหมายคุ้มครองข้อมูลหลักของสหภาพยุโรป กำหนดกฎเกณฑ์ว่าองค์กรจะเก็บรวบรวม ใช้ จัดเก็บ และแบ่งปันข้อมูลส่วนบุคคล ซึ่งคือข้อมูลใดก็ตามเกี่ยวกับบุคคลธรรมชาติที่มีชีวิตและระบุตัวตนได้ และให้สิทธิแก่บุคคลเหนือข้อมูลของตน เช่น การขอดูหรือการขอให้ลบ มีผลบังคับใช้ตั้งแต่ 25 พฤษภาคม 2018 และอาจใช้กับธุรกิจนอกสหภาพยุโรปได้หากให้บริการแก่คนในสหภาพยุโรป
ไม่ใช่คำแนะนำทางกฎหมาย คู่มือนี้เป็นคำอธิบายทั่วไปเพื่อช่วยให้คุณเข้าใจพื้นฐานและถามคำถามที่ดีขึ้น ไม่ใช่การทดแทนคำปรึกษาเกี่ยวกับสถานการณ์ของคุณ สำหรับรายละเอียดที่เป็นทางการ ดูหน้าคุ้มครองข้อมูลของคณะกรรมาธิการยุโรป และคู่มือสำหรับธุรกิจขนาดเล็กของคณะกรรมการคุ้มครองข้อมูลยุโรป (EDPB)
ทำไมเรื่องนี้สำคัญเมื่อสร้างแอปด้วย AI
ตัวสร้างแอปด้วย AI ทำให้การเก็บข้อมูลเป็นเรื่องง่าย คำสั่งเดียวให้คุณได้ฟอร์มสมัคร ฟอร์มติดต่อ การวิเคราะห์ การอัปโหลดไฟล์ และแดชบอร์ดผู้ดูแลที่แสดงทุกผู้ใช้ แต่ละอย่างเก็บข้อมูลส่วนบุคคล และ GDPR ใส่ใจกับทั้งหมดนั้น
ข่าวดีคือส่วนใหญ่ที่ GDPR ขอก็เป็นแนวปฏิบัติที่ดีของผลิตภัณฑ์ด้วย:
- เก็บเท่าที่จำเป็นจริงๆ
- บอกผู้คนว่าคุณทำอะไรกับข้อมูลของพวกเขา
- รักษาความปลอดภัย
- ลบเมื่อไม่ต้องการแล้ว
- ให้ผู้คนดู แก้ไข หรือลบข้อมูลของตนได้
สิ่งเหล่านี้ง่ายกว่ามากที่จะออกแบบตั้งแต่ต้นมากกว่าจะมาเพิ่มภายหลังหลังเปิดตัว การถามตัวสร้างแอปด้วย AI ให้ถูกคำถามตั้งแต่แรกช่วยประหยัดการสร้างใหม่ที่เจ็บปวดในภายหลัง
ตัวอย่างเปรียบเทียบในชีวิตประจำวัน
ลองนึกถึงข้อมูลส่วนบุคคลเป็นของที่ผู้คนฝากไว้กับคุณ เหมือนที่เก็บเสื้อโค้ตที่ใช้ฝากของ แต่เป็นข้อมูล กฎของ GDPR คือกฎบ้านของห้องฝากเสื้อนั้น:
- รับเฉพาะสิ่งที่คนตกลงฝาก เพื่อเหตุผลที่เขาเข้าใจ
- อย่าค้นกระเป๋าเพื่อใช้เพื่อวัตถุประสงค์อื่น
- ล็อกห้องไว้
- คืนของเมื่อถูกขอ หรือทิ้งเมื่อไม่ต้องการแล้ว
- หากของถูกขโมย ให้แจ้งผู้ที่เกี่ยวข้องโดยเร็ว
คุณต้องรับผิดชอบเสื้อโค้ตขณะที่อยู่ในความดูแลของคุณ แม้คุณจะจ้างคนอื่นมาดูแลห้องก็ตาม
แนวคิดหลัก
อะไรนับเป็นข้อมูลส่วนบุคคล
คณะกรรมาธิการยุโรปนิยามข้อมูลส่วนบุคคลว่าเป็นข้อมูลใดก็ตามที่เกี่ยวข้องกับบุคคลธรรมชาติที่มีชีวิตซึ่งระบุตัวตนได้หรือสามารถระบุได้ ซึ่งกว้างมาก รวมถึงชื่อ อีเมล ที่อยู่บ้าน IP address cookie ID และรูปภาพ ข้อมูลที่ผ่านการทำ "pseudonymised" เช่น เปลี่ยนชื่อเป็นรหัส ก็ยังเป็นข้อมูลส่วนบุคคลได้ หากยังสามารถเชื่อมโยงกลับไปยังบุคคลได้
ข้อมูลบางประเภทได้รับการคุ้มครองพิเศษ เช่น ข้อมูลสุขภาพ ข้อมูลชีวมิติ เชื้อชาติหรือชาติพันธุ์ และความคิดเห็นทางการเมือง
ใช้กับใคร
ตามคณะกรรมาธิการ GDPR ใช้กับองค์กรที่ตั้งอยู่ในสหภาพยุโรป และกับองค์กรนอกสหภาพยุโรปที่เสนอสินค้าหรือบริการให้คนในสหภาพยุโรป (ไม่ว่าจะเสียเงินหรือฟรี) หรือติดตามพฤติกรรมของพวกเขา สตาร์ทอัพในสหรัฐฯ หรือสหรัฐอาหรับเอมิเรตส์ที่มีลูกค้าในยุโรปอาจอยู่ภายใต้การคุ้มครองนี้ สหราชอาณาจักรมีฉบับของตนเอง คือ UK GDPR ซึ่งอิงตามฉบับนี้อย่างใกล้ชิด
หลักการ
GDPR สร้างบนรายการหลักการสั้นๆ ในภาษาง่ายๆ:
| หลักการ | ความหมายต่อแอปของคุณ |
|---|---|
| ความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส | มีเหตุผลที่ถูกต้องในการประมวลผล และบอกผู้คนอย่างชัดเจนว่าคุณทำอะไร |
| การจำกัดวัตถุประสงค์ | ใช้ข้อมูลเพื่อเหตุผลที่เก็บมา ไม่ใช่เหตุผลใหม่ที่คาดไม่ถึง |
| การลดข้อมูลให้น้อยที่สุด (Data minimisation) | ไม่เก็บฟิลด์ที่ไม่จำเป็น |
| ความถูกต้อง | รักษาข้อมูลให้ถูกต้อง และให้ผู้คนแก้ไขได้ |
| การจำกัดระยะเวลาการเก็บ | ไม่เก็บข้อมูลตลอดไป ลบเมื่อไม่จำเป็นอีกต่อไป |
| ความสมบูรณ์และการรักษาความลับ | รักษาความปลอดภัยจากการรั่วไหลและการเข้าถึงโดยไม่ได้รับอนุญาต |
| ความรับผิดชอบ (Accountability) | สามารถแสดงให้เห็นได้ว่าคุณปฏิบัติตามอย่างไร |
ฐานทางกฎหมาย (Lawful bases)
คุณต้องมีเหตุผลทางกฎหมาย หรือ "lawful basis" สำหรับการใช้ข้อมูลส่วนบุคคลแต่ละรูปแบบ GDPR ระบุไว้หกประการ ได้แก่ ความยินยอม การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ผลประโยชน์สำคัญของบุคคล ภารกิจสาธารณะ และผลประโยชน์โดยชอบด้วยกฎหมาย ความยินยอมเป็นเพียงหนึ่งในนั้น เช่น การประมวลผลคำสั่งซื้อเพื่อส่งมอบ โดยทั่วไปเกี่ยวข้องกับสัญญา ไม่ใช่ความยินยอม ฐานใดเหมาะสมเป็นการตัดสินใจที่ต้องตรวจกับแนวทางทางการ
สิทธิของบุคคล
คณะกรรมาธิการระบุสิทธิเหล่านี้สำหรับบุคคล:
- ได้รับแจ้งว่าข้อมูลของตนถูกใช้อย่างไร
- เข้าถึงข้อมูลของตน
- ให้แก้ไขข้อมูลได้
- ให้ลบข้อมูลได้
- จำกัดการประมวลผลได้
- การพกพาข้อมูล (data portability) คือได้รับข้อมูลในรูปแบบที่ใช้งานได้
- คัดค้านได้
- สิทธิที่เกี่ยวข้องกับการตัดสินใจอัตโนมัติและการทำโปรไฟล์
การรั่วไหลของข้อมูล
หากข้อมูลส่วนบุคคลรั่วไหลและการละเมิดนั้นอาจส่งผลเสียต่อสิทธิและเสรีภาพของบุคคล องค์กรโดยทั่วไปต้องแจ้งหน่วยงานคุ้มครองข้อมูลโดยไม่ชักช้า และหากเป็นไปได้ภายใน 72 ชั่วโมงหลังจากทราบเรื่อง ในบางกรณี ต้องแจ้งบุคคลที่ได้รับผลกระทบด้วย
ตัวอย่างการทำงาน: แอปจองคลาสโยคะ
สมมติคุณกำลังสร้างแอปจองสำหรับสตูดิโอโยคะที่มีลูกค้าในเยอรมนี นี่คือวิธีที่ GDPR กำหนดการออกแบบแอป
เก็บให้น้อยลง ฟอร์มสมัครขอชื่อ อีเมล และเบอร์โทรที่ไม่บังคับ ร่างแรกของแอปเคยขอวันเกิดและที่อยู่บ้านด้วย แต่ไม่มีอะไรในแอปใช้สองอย่างนั้น จึงถูกลบออก
ข้อมูลสุขภาพต้องระวัง สตูดิโอต้องการถามเรื่องการบาดเจ็บ ซึ่งเป็นข้อมูลสุขภาพ เป็นหมวดพิเศษที่มีกฎเข้มงวดกว่า สตูดิโอตัดสินใจจัดการเรื่องนี้ด้วยตนเองแทน แอปจึงไม่เก็บข้อมูลนี้
โปร่งใส นโยบายความเป็นส่วนตัวอธิบายว่าเก็บอะไร ทำไม เก็บนานเท่าไร ใครอีกที่ประมวลผลข้อมูล (ผู้ให้บริการโฮสติ้ง บริการอีเมล ผู้ให้บริการชำระเงิน) และจะติดต่อสตูดิโอได้อย่างไร
การตลาดแยกต่างหาก การจองคลาสไม่ได้สมัครรับจดหมายข่าวให้ใคร มีช่องทำเครื่องหมายแยกต่างหากที่ไม่ได้ติ๊กไว้ล่วงหน้าสำหรับเรื่องนั้น
สิทธิในผลิตภัณฑ์ ลูกค้าดูและแก้ไขโปรไฟล์ของตนได้ ดาวน์โหลดประวัติการจองได้ และขอลบได้จากหน้าบัญชี
การเก็บรักษา บัญชีที่ไม่ได้ใช้งานจะถูกทำเครื่องหมายหลังช่วงเวลาที่กำหนด และถูกลบหากลูกค้าไม่ตอบกลับ สตูดิโอเลือกระยะเวลาเอง
คุกกี้ คุกกี้สำหรับล็อกอินจำเป็น การวิเคราะห์จะโหลดหลังจากผู้เยี่ยมชมยอมรับเท่านั้น ดูคุกกี้คืออะไร
ความปลอดภัย รหัสผ่านถูกแฮช พื้นที่ผู้ดูแลต้องใช้การยืนยันตัวตนสองขั้นตอน และมีเพียงเจ้าของเท่านั้นที่ส่งออกรายชื่อลูกค้าได้
คำศัพท์ที่ควรรู้
| คำศัพท์ | ความหมาย |
|---|---|
| ข้อมูลส่วนบุคคล | ข้อมูลใดก็ตามเกี่ยวกับบุคคลธรรมชาติที่มีชีวิตซึ่งระบุตัวตนได้หรือสามารถระบุได้ |
| การประมวลผล (Processing) | สิ่งใดก็ตามที่ทำกับข้อมูลส่วนบุคคล: เก็บรวบรวม จัดเก็บ ใช้ แบ่งปัน ลบ |
| เจ้าของข้อมูล (Data subject) | บุคคลที่ข้อมูลนั้นเกี่ยวข้องด้วย |
| ผู้ควบคุมข้อมูล (Controller) | องค์กรที่ตัดสินใจว่าเหตุใดและอย่างไรข้อมูลจะถูกประมวลผล โดยทั่วไปคือคุณในฐานะเจ้าของแอป |
| ผู้ประมวลผลข้อมูล (Processor) | บริษัทที่ประมวลผลข้อมูลในนามของผู้ควบคุม เช่น ผู้ให้บริการโฮสติ้งหรืออีเมล |
| Data Processing Agreement (DPA) | สัญญาระหว่างผู้ควบคุมกับผู้ประมวลผลที่กำหนดว่าจะจัดการข้อมูลอย่างไร |
| Lawful basis | เหตุผลทางกฎหมายสำหรับการประมวลผล เช่น ความยินยอมหรือสัญญา |
| ความยินยอม (Consent) | "ตกลง" ที่ให้โดยอิสระ เฉพาะเจาะจง ได้รับข้อมูลแล้ว และชัดเจน ช่องที่ติ๊กไว้ล่วงหน้าไม่นับ |
| ข้อมูลประเภทพิเศษ (Special category data) | ข้อมูลอ่อนไหว เช่น สุขภาพหรือชีวมิติ ที่มีกฎเข้มงวดกว่า |
| หน่วยงานกำกับดูแล (Supervisory authority) | หน่วยงานกำกับดูแลการคุ้มครองข้อมูลของแต่ละประเทศ |
ความผิดพลาดและความเข้าใจผิดที่พบบ่อย
- "เราไม่ได้อยู่ในสหภาพยุโรป จึงไม่ใช้กับเรา" อาจใช้ได้ ขึ้นอยู่กับที่ตั้งของผู้ใช้
- "GDPR หมายถึงต้องมีความยินยอมสำหรับทุกอย่าง" ความยินยอมเป็นหนึ่งในหกฐานทางกฎหมาย และมักไม่ใช่ฐานที่ถูกต้อง
- "แบนเนอร์คุกกี้ทำให้เราสอดคล้องแล้ว" คุกกี้เป็นส่วนเล็กๆ ส่วนหนึ่ง การเก็บข้อมูล ความปลอดภัย สิทธิ และการเก็บรักษาสำคัญกว่า
- "โฮสต์ของเราสอดคล้องกับ GDPR เราจึงสอดคล้องด้วย" ผู้ให้บริการช่วยได้ แต่คุณเป็นคนตัดสินใจว่าแอปเก็บและทำอะไร
- การเก็บ "เผื่อไว้" ทุกฟิลด์ที่เพิ่มมาคือสิ่งที่ต้องปกป้อง อธิบาย และลบ
- การคัดลอกนโยบายความเป็นส่วนตัวของเว็บไซต์อื่น นโยบายต้องอธิบายสิ่งที่แอปของคุณทำจริง
- ทำให้การลบเป็นไปไม่ได้ หากไม่มีใครลบผู้ใช้ได้โดยไม่ต้องให้นักพัฒนาทำ คำขอตามสิทธิจะกลายเป็นเหตุฉุกเฉิน
สิ่งที่ควรขอจากตัวสร้างแอปด้วย AI ของคุณ
- "แสดงรายการข้อมูลส่วนบุคคลทุกชิ้นที่แอปนี้เก็บ เก็บไว้ที่ไหน และทำไมจึงจำเป็น"
- "ลบฟิลด์ฟอร์มที่เราไม่ได้ใช้"
- "เพิ่มหน้าบัญชีที่ผู้ใช้ดู แก้ไข และดาวน์โหลดข้อมูลของตนได้ และขอให้ลบได้"
- "สร้างการกระทำของผู้ดูแลที่ลบผู้ใช้และเรกคอร์ดที่เกี่ยวข้องทั้งหมดอย่างสมบูรณ์ หรือทำให้เรกคอร์ดที่ต้องเก็บไว้ไม่ระบุตัวตน"
- "ให้การสมัครรับการตลาดเป็นช่องแยกที่ไม่ได้ติ๊กไว้ล่วงหน้า"
- "อย่าโหลดสคริปต์การวิเคราะห์หรือการตลาดก่อนได้รับความยินยอม"
- "แสดงรายการบริการของบุคคลที่สามทุกบริการที่รับข้อมูลผู้ใช้ เพื่อให้ฉันเพิ่มลงในนโยบายความเป็นส่วนตัว"
- "จำกัดการส่งออกของผู้ดูแลให้เฉพาะบทบาทเจ้าของ และบันทึกว่าใครส่งออกอะไร"
จากนั้นอ่านวิธีเขียนข้อกำหนดการใช้บริการและนโยบายความเป็นส่วนตัว และวิธีเพิ่มการขอความยินยอมคุกกี้
GDPR กับ Mythex
Mythex ให้บล็อกการสร้างพื้นฐาน ไม่ใช่ใบรับรองการปฏิบัติตาม ข้อมูลของแอปคุณอยู่ในฐานข้อมูลและที่เก็บไฟล์ของโปรเจกต์เมื่อคุณเปิดใช้งาน คุณเป็นเจ้าของโค้ด และใน Pro คุณส่งออกโปรเจกต์ได้หากต้องการย้ายออก แอปของคุณเก็บอะไร เก็บนานแค่ไหน และผู้คนใช้สิทธิของตนอย่างไร เป็นการตัดสินใจที่คุณทำและขอให้เอเจนต์สร้าง หน้าเอกสารเรื่องการเป็นเจ้าของข้อมูล อธิบายว่า Mythex โฮสต์อะไรบ้าง และความปลอดภัยสำหรับแอปที่คุณสร้าง เตือนไม่ให้อ้างการปฏิบัติตามที่คุณไม่มี หากคุณต้องการรายละเอียดเช่นข้อมูลถูกโฮสต์ที่ใด หรือข้อตกลงการประมวลผลข้อมูล ให้ถามฝ่ายสนับสนุนของ Mythex ก่อนเปิดตัว
คำถาม
GDPR คืออะไรแบบง่ายๆ?
General Data Protection Regulation (GDPR) คือกฎหมายคุ้มครองข้อมูลหลักของสหภาพยุโรป กำหนดกฎเกณฑ์ว่าองค์กรจะเก็บรวบรวม ใช้ จัดเก็บ และแบ่งปันข้อมูลเกี่ยวกับบุคคลอย่างไร และให้สิทธิแก่บุคคลเหล่านั้นเหนือข้อมูลของตน มีผลบังคับใช้ตั้งแต่ 25 พฤษภาคม 2018
GDPR ใช้กับธุรกิจนอกสหภาพยุโรปได้ไหม?
ได้ ตามที่คณะกรรมาธิการยุโรประบุ กฎหมายนี้ใช้กับองค์กรนอกสหภาพยุโรปที่เสนอสินค้าหรือบริการให้คนในสหภาพยุโรป แม้จะให้ฟรี หรือที่ติดตามพฤติกรรมของพวกเขา ที่ตั้งของคุณไม่ใช่คำถามเดียว ผู้ใช้ของคุณเป็นใครก็สำคัญ
อีเมลเป็นข้อมูลส่วนบุคคลไหม?
ใช่ ข้อมูลส่วนบุคคลคือข้อมูลใดก็ตามที่เกี่ยวข้องกับบุคคลธรรมชาติที่มีชีวิตซึ่งระบุตัวตนได้หรือสามารถระบุได้ ชื่อ อีเมล IP address และ cookie ID ล้วนอาจนับเป็นข้อมูลส่วนบุคคลได้
การใช้โฮสต์ที่สอดคล้องกับ GDPR ทำให้แอปของฉันสอดคล้องด้วยไหม?
ไม่ โฮสต์ช่วยสนับสนุนการปฏิบัติตามได้ แต่คุณเป็นคนตัดสินใจว่าแอปของคุณเก็บข้อมูลอะไร เพื่ออะไร เก็บนานแค่ไหน และใครเห็นบ้าง การเลือกเหล่านั้นเป็นความรับผิดชอบของคุณที่ต้องทำให้ถูกต้อง
คู่มือนี้เป็นคำแนะนำทางกฎหมายหรือไม่?
ไม่ใช่ เป็นคำอธิบายทั่วไปเพื่อช่วยให้คุณถามคำถามได้ดีขึ้น สำหรับสถานการณ์เฉพาะของคุณ ให้ตรวจแนวทางทางการจากสหภาพยุโรปหรือหน่วยงานคุ้มครองข้อมูลของประเทศคุณ หรือปรึกษาที่ปรึกษาที่มีคุณสมบัติเหมาะสม