GDPR Nedir? Uygulama Geliştiriciler İçin Sade Bir Rehber

GDPR (Genel Veri Koruma Tüzüğü), Avrupa Birliği'nin temel veri koruma yasasıdır. Kuruluşların kişisel verileri — kimliği belirlenmiş yaşayan bir kişiyle ilgili her türlü bilgiyi — nasıl topladığını, kullandığını, sakladığını ve paylaştığını düzenler ve kişilere kendi verileri üzerinde haklar tanır; örneğin verilerini görme ya da silinmesini isteme hakkı gibi. 25 Mayıs 2018'den beri uygulanmaktadır ve AB'deki kişilere hizmet veriyorlarsa AB dışındaki işletmeler için de geçerli olabilir.

Hukuki tavsiye değildir. Bu rehber, temelleri anlamanıza ve daha iyi sorular sormanıza yardımcı olmak için genel bir açıklamadır. Kendi durumunuz hakkında tavsiye yerine geçmez. Yetkili ayrıntılar için Avrupa Komisyonu'nun veri koruma sayfalarına ve Avrupa Veri Koruma Kurulu'nun küçük işletmeler için rehberine bakın.

AI ile geliştirirken neden önemli?

AI oluşturucular veri toplamayı çok kolaylaştırır. Tek bir istem size bir kayıt formu, bir iletişim formu, analitik, dosya yüklemeleri ve her kullanıcıyı listeleyen bir yönetim paneli verir. Bunların her biri kişisel veri toplar ve GDPR hepsini önemser.

İyi haber, GDPR'nin istediklerinin çoğunun iyi ürün uygulamasının da parçası olmasıdır:

• Yalnızca gerçekten ihtiyaç duyduğunuz veriyi toplayın.
• İnsanlara bu verilerle ne yaptığınızı söyleyin.
• Güvende tutun.
• Artık ihtiyaç duymadığınızda silin.
• İnsanların verilerini görmesine, düzeltmesine ya da kaldırmasına izin verin.

Bunları baştan tasarlamak, lansmandan sonra sonradan eklemekten çok daha kolaydır. AI oluşturucunuza erken dönemde doğru soruları sormak, daha sonra yaşanacak acı verici bir yeniden yapılandırmayı önler.

Günlük hayattan bir benzetme

Kişisel verileri, insanların yanınızda bıraktığı eşyalar gibi düşünün — bir garderobe gibi, ama bilgi için. GDPR, o garderobenin ev kurallarıdır:

• Yalnızca kişinin bıraktığını kabul ettiğiniz, anlayabileceği bir nedenle alın.
• Cebini karıştırıp başka amaçlarla kullanmayın.
• Odayı kilitli tutun.
• İstendiğinde ya da artık ihtiyacınız kalmadığında eşyaları geri verin ya da atın.
• Bir şey çalınırsa, doğru kişilere derhal haber verin.

Odayı başka birine işletmek için de ücretini ödesenizde, bakımdaki eşyalardan siz sorumlusunuz.

Temel kavramlar

Kişisel veri nedir?

Avrupa Komisyonu, kişisel veriyi kimliği belirlenmiş ya da belirlenebilir yaşayan bir bireyle ilgili her türlü bilgi olarak tanımlar. Bu geniş bir tanımdır. Ad, e-posta adresi, ev adresi, IP adresi, çerez kimlikleri ve fotoğrafları içerir. "Takma adlandırılmış" veriler — örneğin adların kodlarla değiştirildiği veriler — yine de birine bağlanabiliyorsa kişisel veridir.

Bazı kategoriler ek koruma görür: sağlık verileri, biyometrik veriler, ırk ya da etnik köken ve siyasi görüşler gibi.

Kimlere uygulanır?

Komisyon'a göre GDPR, AB'de kurulmuş kuruluşlara ve AB dışındaki, AB'deki kişilere (ücretli ya da ücretsiz) mal veya hizmet sunan ya da davranışlarını izleyen kuruluşlara uygulanır. AB'deki Avrupalı müşterileri olan bir ABD ya da BAE girişimi büyük olasılıkla kapsam içindedir. Birleşik Krallık'ın, buna yakından dayanan kendi versiyonu olan UK GDPR'si vardır.

İlkeler

GDPR, kısa bir ilkeler listesi üzerine kuruludur. Sade bir dille:

Yasal dayanaklar

Veriyi kullandığınız her yol için yasal bir nedene — bir "yasal dayanağa" — ihtiyacınız vardır. GDPR altı tane listeler: rıza, bir sözleşmenin ifası, yasal yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat. Rıza bunlardan yalnızca biridir. Örneğin bir siparişi teslim etmek için işlemek genellikle rızaya değil, sözleşmeye dayanır. Hangi dayanağın uygun olduğu, resmi yönergelere göre kontrol edilmesi gereken bir değerlendirmedir.

İnsanların hakları

Avrupa Komisyonu bireyler için şu hakları sıralar:

• Verilerinin nasıl kullanıldığı konusunda bilgilendirilme
• Verilerine erişim
• Düzeltilme
• Silinme
• İşlemenin kısıtlanması
• Veri taşınabilirliği (kullanılabilir bir biçimde alma)
• İtiraz
• Otomatik karar verme ve profilleme ile ilgili haklar

Veri ihlalleri

Kişisel veriler sızar ve ihlal kişilerin haklarını ve özgürlüklerini riske atabilecek nitelikteyse, kuruluşun genellikle veri koruma otoritesine gecikmeksizin ve mümkünse ihlalden haberdar olduğu andan itibaren 72 saat içinde bildirimde bulunması gerekir. Bazı durumlarda etkilenen kişilere de bilgi verilmelidir.

Çalışan bir örnek: bir yoga stüdyosu rezervasyon uygulaması

Diyelim ki Almanya'da müşterileri olan bir yoga stüdyosu için rezervasyon uygulaması geliştiriyorsunuz. GDPR, uygulamayı şöyle şekillendirir.

Daha az topla. Kayıt formu ad, e-posta ve isteğe bağlı bir telefon numarası ister. İlk taslak doğum tarihi ve ev adresi de istiyordu — uygulamada bunların hiçbiri kullanılmadığı için kaldırıldı.

Sağlık verileri özen ister. Stüdyo, sakatlıklar hakkında soru sormak istiyor. Bu, daha katı kurallara tabi özel bir kategori olan sağlık verisidir. Stüdyo bunu yüz yüze ele almaya karar verir; böylece uygulama bunu toplamaz.

Şeffaf ol. Bir gizlilik politikası neyin toplandığını, nedenini, ne kadar süreyle saklandığını, verileri başka kimlerin işlediğini (barındırma sağlayıcısı, e-posta hizmeti, ödeme sağlayıcısı) ve stüdyoya nasıl ulaşılacağını açıklar.

Pazarlama ayrıdır. Bir ders rezervasyonu, kimseyi bültene abone etmez. Bunun için ayrı, işaretlenmemiş bir onay kutusu vardır.

Haklar üründe. Müşteriler profillerini görüntüleyip düzenleyebilir, rezervasyon geçmişlerini indirebilir ve hesap sayfalarından silme talep edebilir.

Saklama. Etkin olmayan hesaplar belirli bir süre sonra işaretlenir ve müşteri yanıt vermezse kaldırılır. Süreyi stüdyo seçer.

Çerezler. Giriş çerezi gereklidir. Analitik yalnızca ziyaretçi kabul ettikten sonra yüklenir. Bkz. çerezler nedir.

Güvenlik. Parolalar özetlenir, yönetici alanı iki faktörlü kimlik doğrulama gerektirir ve müşteri listelerini yalnızca sahip dışa aktarabilir.

Temel terimler

Yaygın hatalar ve yanlış anlamalar

• "Biz AB'de değiliz, o yüzden geçerli değil." Kullanıcılarınızın bulunduğu yere bağlı olarak geçerli olabilir.
• "GDPR her şey için rıza demektir." Rıza altı yasal dayanaktan biridir ve çoğu zaman doğru olan değildir.
• "Çerez bildirimi bizi uyumlu yapar." Çerezler çok küçük bir parçadır. Veri toplama, güvenlik, haklar ve saklama daha önemlidir.
• "Barındırma sağlayıcımız GDPR uyumlu, o halde biz de uyumluyuz." Sağlayıcılar yardımcı olur, ama uygulamanızın ne topladığına ve ne yaptığına siz karar verirsiniz.
• "Ya olur ya olmaz" diye veri toplamak. Her ekstra alan, korunması, açıklanması ve silinmesi gereken bir şeydir.
• Başka bir sitenin gizlilik politikasını kopyalamak. Politika, sizin uygulamanızın gerçekte ne yaptığını anlatmalıdır.
• Silmeyi imkânsız kılmak. Hiçbir kullanıcı bir geliştirici olmadan silinemiyorsa, hak taleplerinin her biri bir acil duruma dönüşür.

AI oluşturucunuzdan ne istemelisiniz?

• "Bu uygulamanın topladığı her kişisel veriyi, nerede saklandığını ve neden gerekli olduğunu listele."
• "Kullanmadığımız form alanlarını kaldır."
• "Kullanıcıların verilerini görebileceği, düzenleyebileceği ve indirebileceği ve silme talep edebileceği bir hesap sayfası ekle."
• "Bir kullanıcıyı ve ilişkili kayıtlarını tamamen silen ya da tutmamız gereken kayıtları anonimleştiren bir yönetici işlemi oluştur."
• "Pazarlama kaydını ayrı, işaretlenmemiş bir onay kutusu olarak tut."
• "Rıza alınmadan analitik ya da pazarlama script'lerini yükleme."
• "Kullanıcı verisi alan her üçüncü taraf hizmeti listele; gizlilik politikasına ekleyebileyim."
• "Yönetici dışa aktarımlarını yalnızca sahip rolüyle sınırla ve kimin neyi dışa aktardığını kaydet."

Ardından hizmet koşulları ve gizlilik politikası nasıl yazılır ve çerez onayı nasıl eklenir yazılarını okuyun.

Mythex ve GDPR

Mythex size bir uyumluluk sertifikası değil, yapı taşları sunar. Etkinleştirdiğinizde uygulamanızın verileri kendi proje veritabanında ve dosya depolamasında tutulur; kodun sahibi sizsiniz ve taşınmanız gerekirse Pro'da projeyi dışa aktarabilirsiniz. Uygulamanızın ne topladığı, ne kadar sakladığı ve insanların haklarını nasıl kullandığı, sizin vereceğiniz ve agent'a inşa ettireceğiniz kararlardır. Mythex'in neyi barındırdığını veri sahipliği sayfası açıklar; oluşturduğunuz uygulamalar için güvenlik sayfası ise sahip olmadığınız uyumluluğu iddia etmeye karşı uyarır. Verilerin nerede barındırıldığı ya da bir veri işleme sözleşmesi gibi özel konularda, yayına çıkmadan önce Mythex destek ekibine danışın.

Sorular