Що таке GDPR? Посібник простою мовою для тих, хто створює застосунки
GDPR (General Data Protection Regulation, Загальний регламент про захист даних) — головний закон Європейського Союзу про захист даних. Він встановлює правила, як організації збирають, використовують, зберігають і передають персональні дані — будь-яку інформацію про ідентифіковану живу людину — і надає людям права щодо їхніх даних, наприклад право побачити їх або вимагати видалення. Він застосовується з 25 травня 2018 року і може поширюватися на компанії за межами ЄС, якщо ті обслуговують людей у ньому.
Не юридична порада. Цей посібник — загальне пояснення, яке допоможе зрозуміти основи й ставити кращі запитання. Він не замінює консультацію щодо вашої ситуації. Для авторитетних деталей див. сторінки Європейської комісії про захист даних і посібник Європейської ради із захисту даних для малого бізнесу.
Чому це важливо, коли ви створюєте з ШІ
ШІ-конструктори дуже полегшують збирання даних. Один промпт дає вам форму реєстрації, контактну форму, аналітику, завантаження файлів і адмін-панель зі списком усіх користувачів. Кожен з цих елементів збирає персональні дані, і GDPR стосується всіх них.
Добра новина в тому, що більшість вимог GDPR також є хорошою практикою для продукту:
- Збирайте лише те, що вам справді потрібно.
- Чесно скажіть людям, що ви з цим робите.
- Тримайте дані в безпеці.
- Видаляйте їх, коли вони більше не потрібні.
- Дозвольте людям бачити, виправляти або видаляти свої дані.
Закласти це з самого початку набагато легше, ніж доробляти після запуску. Правильні запитання до ШІ-конструктора на ранньому етапі заощаджують болісну переробку пізніше.
Повсякденна аналогія
Уявіть персональні дані як речі, які люди залишають у вас — як у гардеробі, тільки для інформації. GDPR — це правила гардеробу:
- Беріть лише те, що людина погодилася залишити, і з причини, зрозумілої їй.
- Не лазьте по кишенях для інших цілей.
- Тримайте приміщення замкненим.
- Повертайте речі або викидайте їх, коли вас попросять або коли вони вам більше не потрібні.
- Якщо щось украли, вчасно повідомте відповідних людей.
Ви відповідаєте за речі, поки вони у вас, навіть якщо найняли когось іншого керувати гардеробом.
Основні ідеї
Що вважається персональними даними
Європейська комісія визначає персональні дані як будь-яку інформацію, що стосується ідентифікованої або такої, що може бути ідентифікована, живої особи. Це широке поняття. До нього входять імена, адреси електронної пошти, домашні адреси, IP-адреси, ідентифікатори cookie і фотографії. Дані, які пройшли «псевдонімізацію» — наприклад, імена замінено кодами, — можуть залишатися персональними даними, якщо їх можна пов'язати з конкретною людиною.
Деякі категорії мають додатковий захист, зокрема дані про здоров'я, біометричні дані, расове чи етнічне походження та політичні погляди.
На кого це поширюється
За даними Комісії, GDPR поширюється на організації, зареєстровані в ЄС, а також на організації за межами ЄС, які пропонують товари чи послуги людям у ЄС (платні або безплатні) або відстежують їхню поведінку. Стартап зі США чи ОАЕ з європейськими клієнтами цілком може підпадати під дію регламенту. У Великій Британії є власна версія — UK GDPR, що значною мірою базується на ньому.
Принципи
GDPR побудовано на короткому переліку принципів. Простими словами:
| Принцип | Що це означає для вашого застосунку |
|---|---|
| Законність, справедливість, прозорість | Мати правомірну підставу для обробки і чітко сказати людям, що ви робите. |
| Обмеження мети | Використовувати дані для тих цілей, для яких їх зібрали, а не для несподіваних нових. |
| Мінімізація даних | Не збирати поля, які вам не потрібні. |
| Точність | Тримати дані правильними і дозволяти людям їх виправляти. |
| Обмеження зберігання | Не зберігати дані вічно; видаляти, коли вони більше не потрібні. |
| Цілісність і конфіденційність | Захищати їх від витоків і несанкціонованого доступу. |
| Підзвітність | Уміти показати, як ви дотримуєтеся вимог. |
Правові підстави
Для кожного способу використання персональних даних потрібна правова підстава (lawful basis). GDPR називає шість таких підстав: згода, виконання договору, юридичний обов'язок, життєво важливі інтереси, виконання завдання в суспільних інтересах і законні інтереси. Згода — лише одна з них. Наприклад, обробка замовлення для його доставки зазвичай пов'язана з договором, а не зі згодою. Яка підстава підходить, — це судження, яке слід перевірити за офіційними роз'ясненнями.
Права людей
Комісія перелічує такі права для окремих осіб:
- Бути поінформованим про те, як використовуються його дані
- Мати доступ до своїх даних
- Вимагати їх виправлення
- Вимагати їх видалення
- Обмежувати обробку
- Переносимість даних (отримати їх у придатному для використання форматі)
- Заперечувати
- Права, пов'язані з автоматизованим ухваленням рішень і профілюванням
Витоки даних
Якщо персональні дані витекли і порушення може поставити під ризик права й свободи людей, організація, як правило, мусить повідомити свій орган із захисту даних без зайвої затримки і, якщо це можливо, протягом 72 годин після того, як дізналася про порушення. У деяких випадках про це мають повідомити й самих людей.
Практичний приклад: застосунок бронювання для студії йоги
Припустімо, ви створюєте застосунок бронювання для студії йоги з клієнтами в Німеччині. Ось як GDPR формує його.
Збирайте менше. Форма реєстрації запитує ім'я, електронну пошту та необов'язковий номер телефону. У першій версії також запитувалися дата народження і домашня адреса — але жодна функція застосунку їх не використовує, тож їх прибрано.
Дані про здоров'я потребують обережності. Студія хоче запитувати про травми. Це дані про здоров'я — особлива категорія зі суворішими правилами. Студія вирішує обробляти це особисто, тож застосунок такого не збирає.
Будьте прозорі. Політика конфіденційності пояснює, що збирається, навіщо, як довго зберігається, хто ще обробляє дані (хостинговий провайдер, сервіс електронної пошти, провайдер платежів) і як зв'язатися зі студією.
Маркетинг окремо. Бронювання заняття не підписує людину на розсилку. Є окремий, не позначений за замовчуванням прапорець для цього.
Права в продукті. Клієнти можуть переглянути й редагувати свій профіль, завантажити історію бронювань і подати запит на видалення зі сторінки свого облікового запису.
Строки зберігання. Неактивні облікові записи позначаються після певного періоду і видаляються, якщо клієнт не відповідає. Період обирає студія.
Cookie. Cookie для входу необхідні. Аналітика завантажується лише після того, як відвідувач її прийме. Див. що таке cookie.
Безпека. Паролі хешуються, адмін-зона вимагає двофакторної автентифікації, а експортувати списки клієнтів може лише власник.
Пояснення поширених термінів
| Термін | Що означає |
|---|---|
| Персональні дані | Будь-яка інформація про ідентифіковану або таку, що може бути ідентифікована, живу людину. |
| Обробка | Будь-що, що робиться з персональними даними: збирання, зберігання, використання, передача, видалення. |
| Суб'єкт даних | Людина, якої стосуються дані. |
| Контролер | Організація, яка вирішує, навіщо і як обробляються дані — зазвичай ви, власник застосунку. |
| Процесор | Компанія, яка обробляє дані від імені контролера, наприклад хостинговий або поштовий провайдер. |
| Договір про обробку даних (DPA) | Угода між контролером і процесором, яка визначає, як поводяться з даними. |
| Правова підстава | Законна причина обробки, наприклад згода або договір. |
| Згода | Вільне, конкретне, інформоване і чітке «так»; позначені за замовчуванням прапорці не рахуються. |
| Дані особливої категорії | Чутливі дані, як-от про здоров'я чи біометрію, з суворішими правилами. |
| Наглядовий орган | Регулятор із захисту даних у країні. |
Поширені помилки та хибні уявлення
- «Ми не в ЄС, тож це нас не стосується». Може стосуватися залежно від того, де знаходяться ваші користувачі.
- «GDPR означає згоду на все». Згода — одна з шести правових підстав, і часто вона не підходить.
- «Банер про cookie робить нас відповідними». Cookie — лише невелика частина. Збирання даних, безпека, права і строки зберігання важливіші.
- «Наш хостинг відповідає GDPR, значить і ми відповідаємо». Провайдери допомагають, але ви вирішуєте, що збирає ваш застосунок і що з ним робить.
- Збирання «на всякий випадок». Кожне зайве поле — це ще одна річ, яку треба захистити, пояснити і видалити.
- Копіювання чужої політики конфіденційності. Вона має описувати те, що ваш застосунок справді робить.
- Неможливість видалення. Якщо ніхто не може видалити користувача без розробника, запити щодо прав перетворюються на надзвичайні ситуації.
Що просити у вашого ШІ-конструктора
- «Перелічи кожні персональні дані, які збирає цей застосунок, де вони зберігаються і навіщо вони потрібні».
- «Прибери поля форми, які ми не використовуємо».
- «Додай сторінку облікового запису, де користувачі можуть переглянути, редагувати й завантажити свої дані та подати запит на видалення».
- «Побудуй дію адміністратора, яка повністю видаляє користувача і пов'язані з ним записи, або анонімізує записи, які ми мусимо зберегти».
- «Залиш реєстрацію на маркетингову розсилку окремим прапорцем, не позначеним за замовчуванням».
- «Не завантажуй скрипти аналітики чи маркетингу до отримання згоди».
- «Перелічи кожен сторонній сервіс, який отримує дані користувачів, щоб я міг додати їх до політики конфіденційності».
- «Обмеж експорт для адміністраторів роллю власника і веди журнал, хто що експортував».
Далі прочитайте як написати умови користування та політику конфіденційності і як додати згоду на cookie.
GDPR і Mythex
Mythex дає вам будівельні блоки, а не сертифікат відповідності. Дані вашого застосунку живуть у власній базі даних проєкту та файловому сховищі, коли ви їх вмикаєте; ви володієте кодом, а на Pro можете експортувати проєкт, якщо потрібно його перенести. Що збирає ваш застосунок, як довго зберігає дані і як люди реалізують свої права, — рішення, які ухвалюєте ви і просите агента побудувати. Сторінка документації про володіння даними пояснює, що саме хостить Mythex, а безпека для застосунків, які ви створюєте застерігає від заяв про відповідність, якої ви не маєте. Якщо вам потрібні конкретні деталі, як-от місце розміщення даних або договір про обробку даних, зверніться до підтримки Mythex до запуску.
Запитання
Що таке GDPR простими словами?
Загальний регламент про захист даних (GDPR) — головний закон Європейського Союзу про захист даних. Він встановлює правила, як організації збирають, використовують, зберігають і передають інформацію про людей, і надає цим людям права щодо їхніх даних. Він застосовується з 25 травня 2018 року.
Чи поширюється GDPR на компанії за межами ЄС?
Може. За даними Європейської комісії, він поширюється на організації за межами ЄС, які пропонують товари чи послуги людям у ЄС, навіть безплатно, або відстежують їхню поведінку. Важливо не лише те, де ви зареєстровані, а й хто ваші користувачі.
Чи є адреса електронної пошти персональними даними?
Так. Персональні дані — це будь-яка інформація, що стосується ідентифікованої або такої, що може бути ідентифікована, живої людини. Імена, адреси електронної пошти, IP-адреси та ідентифікатори cookie можуть належати до таких даних.
Чи робить застосунок відповідним GDPR використання хостингу, сумісного з GDPR?
Ні. Хостинг може підтримувати відповідність, але вирішуєте ви, які дані збирає ваш застосунок, навіщо, як довго їх зберігають і хто їх бачить. Ці рішення мають бути правильними саме вашими.
Чи є цей посібник юридичною порадою?
Ні. Це загальне пояснення, яке допоможе ставити кращі запитання. Для вашої конкретної ситуації перевірте офіційні роз'яснення ЄС або національного органу із захисту персональних даних чи зверніться до кваліфікованого радника.