Check Levi9 best QA positions to Backbase team!
×Закрыть

Готовитесь к GDPR?

Если кто не в курсе — это новые правила обработки персональных данных, которые начнут действовать с 25 мая и распространяются на всех, у кого есть клиенты в ЕС и Великобритании.

Уже несколько дней пытаюсь вникнуть в эту тему, но есть непонятные ньюансы. Например:

1. Насколько эти правила распространяются на блоги, сайты-визитки и т.д.
2. Как по новым правилам правильно работать с гуглоаналитикой? Везде пишут что теперь нужно согласие на установку кук, по которым можно идентифицировать пользователя, и оно должно быть в виде нажатия на кнопку или чекбокса. Implied consent («если вы продолжаете пользоваться сайтом, значит вы согласны»), opt-out (чекбокс «отказаться») и pre-checked opt-in (чекбокс «согласен», включеный по умолчанию) будут вне закона. Читал оптимистичные мнения что для аналитики сделают потом исключение, но пока что исключений нет. При этом говорят что вариант когда сайт недоступен полностью пока не примешь полиси тоже неправильный, такие куки должны быть отключаемы сами по себе.
3. Как пользоваться такими виджетами, как например комментарии от Disqus? По новым правилам отвечает за хранение и обработку данных владелец сайта, но в этом случае авторизация происходит через них и владелец сайта может только комментарии удалять.
4. Как реализовывать «право быть забытым» и продолжить делать полные бекапы. Аналогично, в Google Analytics я не заметил возможности управлять записями отдельных пользователей.
5. Как обеспечить переносимость данных, если используется тот же виджет комментариев от disqus/fb или данные уже лежат в разных местах как попало.

На вашем проекте готовятся/готовы? Что делаете с пет-проектами, где сам себе начальник и работник? С блогами?

👍НравитсяПонравилось0
В избранноеВ избранном0
LinkedIn

Похожие топики

Допустимые теги: blockquote, a, pre, code, ul, ol, li, b, i, del.
Ctrl + Enter
Допустимые теги: blockquote, a, pre, code, ul, ol, li, b, i, del.
Ctrl + Enter

Хотели как лучше, называется www.bbc.com/news/technology-49252501

Нам лист прийшов з мануалами і інформацією, що до кінця червня кожен працівник компанії має успішно здати екзамен на знання GDPR, інакше не буде допущений до роботи в компанії

Дожились, блин )

А в чём проблема? Я тоже именно так и сделал и такой экзамен разработал.

Я ж говорю — дожились. Раньше везде за английский поговорить, а теперь ещё будем экзамены по гдпр сдавать при поступлении на работу. Может это и правильно конечно, но с другой стороны — есть легал тим же, а девелоперам нужны четкие инструкции на бумажке, нет?

есть легал тим же, а девелоперам нужны четкие инструкции на бумажке, нет?

Ты не поверишь... впрочем возможно ты просто редко и не грёб либо на либо в большие корпорации там внутре ровно та же ж история «вводные курсы по факту поступления» за ними экзамен по этим вводным курсам за ними ещё парочку «отдельных специализированных» например «как правильно писать письма внутри корпорации и почему неправильно писать письма наружу корпорации и как правильно делать с письмами присланными снаружи корпорации и вообще вот это всё» ну там например «как правильно не подключать личный айфон к корпоративному вайфай».

Там кстати вполне чёткие инструкции на бомажке уже тщательно переработанные лигал тимами просто потому что по уровню доступности они должны быть доступны ещё и работникам порядка на 2-3 ниже уровня умственного развития среднего программиста. ))

Опять же ж если девелоперам приходится работать с чем-то что имеет «уровень допуска» то они соотв. получают «уровень допуска» а без него например по закрытым специально оборудованным лаборатариям со всякими сикретными железяками и соотв. гребцами над ним работающими тебя (здесь обобщение) простого гребца уже не пустят и с данными ровно та же ж история корпорации более чем прекрасно ну по крайней мере активно обходились на протяжении многих лет с защитой _собственных_ корпоративных данных а тут к ним пришли и настоятельно попросили с таким же ж рвением относиться и к _чужим_ приватным данным ничего же ж нового и девелоперу которому по работе допуск к уровня где данные таки хранятся чисто технически не нужен то и иметь такой доступ чисто технически незачем и соотв. никакую «процедуру чистоты с экзаменами» проходить и не надо а кто доступ имеет таки обратно же ж и ответственность принннём.

Ну так ещё раз повторюсь так «всегда» было по крайней мере с момента появления идеи что корпоративные данные представляют собой ценность и требуют защиты хранения доступа.

Ничего нового.

ЗЫ: вот скажем приеду я в Америку и захочу я работать над проектами United States Department of Defense а мне скажут нет дорогой товарищ стой уважаемый ты не гражданин а граждане соотв. правов таких не имеют ничем помочь не могём иди лабай дальше на пхп спасибо что позвонили нам важен ваш звонок.

ЗЫ: хм... а это мысль можно же ж и GC получить а гражданство же ж тоже можно... чёт вчера не подумал. О! надо почаще сюда писать тут полезные мысли приходят... ))

Ты не поверишь... впрочем возможно ты просто редко и не грёб либо на либо в большие корпорации

Да, я спрыгнул с галеры ещё когда она была шлюпкой и решила стать галерой (а давайте вам всем ЧП откроем, и вот это вот всё), и с тех пор только фрилансил.

девелоперу которому по работе допуск к уровня где данные таки хранятся чисто технически не нужен то и иметь такой доступ чисто технически незачем и соотв. никакую «процедуру чистоты с экзаменами» проходить и не надо

А, так все таки не всем работникам, как сказал товарищ выше? Это немного меняет дело.

Ну у меня лично «в потфолие» пакован «кейзов» когда таки всем просто потому что «программист» там вообще один я " личной галерой" )) а вот работников всего ничего т.е. все собственно какие есть «иначе не допущен к работе» потому как другой работы и нет.

Более того в соотв. с рекомендациями лучших собаководом все это занесено в секюрити журнал причём аж двумя записями сперва «запланировано» потом «реализовано» если вдруг 3х-тьху придёт инспектор ему в первую очередь журнал интересно а мы «так сказать вот он! все ходы записаны!»

ЗЫ: просто на уровне корпорации ххх тыщ чел «журнал» наверное толще и технически сложнее организован ну там базы данных всякие может даже код на жаве... )) а так ровно та же ж история.

ЗЫ: даже я отдельной строкой (по каждому случаю отдельной) туда вписан «кому данные получал кому передавал за кого отвечал». Тоже же ж опять же ничего нового в современный офис приходишь охранка твой айди сверит и ещё и в журнальчик посетителя тебя занесёт а иначе нини.

если вдруг 3х-тьху придёт инспектор ему в первую очередь журнал интересно а мы «так сказать вот он! все ходы записаны!»

Прямо как журнал техники безопасности )

Именно!

ЗЫ: о! это же ж ещё одна мысль да ты сегодня просто кладезь моих мыслей! ))

ну, у нас велика європейська бюрократична корпорація на пару тисяч людей, так що тут таке цілком нормально. Тим більше займаємось в тому числі і електронними документами з персональними і комерційними даними всередині, через нас їх мільйони проходять.

впрочем возможно ты просто редко и не грёб либо на либо в большие корпорации там внутре ровно та же ж история «вводные курсы по факту поступления» за ними экзамен по этим вводным курсам за ними ещё парочку «отдельных специализированных» например «как правильно писать письма внутри корпорации и почему неправильно писать письма наружу корпорации и как правильно делать с письмами присланными снаружи корпорации и вообще вот это всё» ну там например «как правильно не подключать личный айфон к корпоративному вайфай».

саме так, у нас наприклад є подібний екзамен по політиці безпеки, який теж кожна нова людина має здати протягом місяця після прийняття на роботу, інакше штраф до зарплати(а врешті звільнять напевно) і перепроходити кожні два роки. Там теж дають мануал, де все розписано — від інформаційної до фізичної безпеки, що можна а чого ні — і екзамен з тестами на час.

Попытка контор сбросить liability за нарушение GDPR с себя на гребцов. В случае чего будут пытаться отмазаться: «Вот он прошел треннинг по GDPR, мы говорили соблюдать и даже научили как, вот попдись, но он/она нарушили, нанесли нам убытки, пусть теперь они платят».

але при тому як приклад навели доступ до даних інших працівників, а не клієнтів
„Every ... employee processes personal data since everybody has access to company systems with personal data (e.g. online phone book). Because of that we have prepared online training...”

Меня вот интересует более узкий вопрос (по долгу службы) — что будет с рекламными сервисами?
A точнее с рекламой на мобильных устройствах, где у пользователя есть IDFA/GAID (а это по GDPR — персональные данные). И эти персональные данные для таргетированной рекламы используют одновременно по 3-5, а иногда и десятки разных компаний в речении нескольких секунд пока мобильное приложение ожидает ответа на рекламный запрос.
Как в этом сценарии можно умудриться получить явное согласие пользователя на участие всех этих компаний в обработке и хранении его персональных данных?
Да, в отдельных случаях с прямыми рекламодателями разработчик приложения может один раз в неделю/месяц спросить у пользователя, согласен ли он видеть персонализированную рекламу от конкретных компаний.

И в случае Facebook, с относительно закрытой рекламной экосистемой, есть возможность показать все детали в профиле пользователя. Но даже у них возникает проблема разделенной ответственности для «lead ads»:

In the case of lead ads, both Facebook and the business are data controllers, thus, both parties are responsible for ensuring compliance by providing notice and establishing a legal basis for processing the data provided by a user. The lead ads product offers advertisers the ability to link to their privacy policies and terms related to the collection and use of user data.

Тот же Google не дает ответа на обработку клика по рекламе сторонними сервисами:

Google’s vendor controls for publishers are not designed to cover click- tracking technologies.

Но самое интересное будет происходить у игроков поменьше.
Например AppsFlyer — рекламная платформа для трекинга и отчетности — неявно заявляет что IP и IDFA/GAID являются не личными данными, а просто «данными из SDK»:

The data collected by the SDK includes information such as IP address, User agent, platform, SDK version, anonymous User ID, time stamp Developer Key, application version, device identifiers such as: IDFA (Identifier For Advertisers), Android ID (Android device), Google Advertiser ID, device model, manufacture, OS version, in-app events, and network status (WiFi/3G)
...
By «Personal Information» we mean any information that can be directly associated with a specific person or entity such as a name, address, telephone number, e-mail address, or information about activities directly linked to such person.

Их прямой конкурент Kochava для своей DMP указывает что в ней нет EU Citizens:

The Kochava Collective audience marketplace does not include data derived from EU data subjects.

Как этого можно добиться, если пользователь из EU может годами ездить по всему миру?

AppLovin — крупная рекламная платформа — вообще определяет себя как Data Processor, перенося ответственность за сбор и хранение информации о согласии пользователя на своих клиентов:

2.1 The Parties agree that with regard to the Processing of Personal Data, User is the Data Controller and AppLovin is the Data Processor.

Хотя у них есть Audience Targeting — DMP. А значит они собирают и обрабатывают персональные данные от издателей, и должны получать на это явное согласие пользователей.

Пока что подобных вопросов становится все больше. И крупные игроки дают на них только частичные ответы.

Будет жарко!

Твиттер решил сделать так, без лишних кнопок «да, я принимаю новую политику» screenshots.gennady.pp.ua/20180503_f8cc4a700.png

Тоже общая практика кто-то уже прислал такое нетвиттер.

ЗЫ: да так можно.

А не implied consent ли это?

На переходе я так понимаю так можно сделать. Письмо с предупреждением достаточный. Для новой регистрации уже нет.

Но этот пункт это мелочи там есть другой пункт «об необходимости поддержания актуальности» и вот что с ним делать я пока не решил с одной стороны от data processor требуется данные актуализировать т.е. уже явно (?) спрашивать об этом пользователя а вот что делать если пользователь неактуализировал пока непонятно и можно ли в этом месте применить такое же «письмо отправили и если данные не изменили и аккаунт не закрыли то всё ок» или же требуется явная акция пользователя «зайти и подтвердить» опять же ж «что дальше делать?» ведь в соотв. с пунктом «обрабатывать данные только пока в этом есть конкретная необходимость» а вот если данные признаны неактуальными это «необходимость обработки» ещё есть есть или скажем блокировать аккаунт как неактивный? И что это значит «блокировать аккаунт как неактивный» в разрезе персональных данных? В этом случае можно ли их просто хранить с соблюдением всех процедур но не актуализировать или нельзя таки хранить «архивные и неактуальные»?

Добавлю еще один пункт: если вы фрилансите или оплачиваете работу фрилансеров, то будьте внимательны. В некоторых странах фактура может содержать персональные данные (инн или родне число). Например, налоговый номер чпшника в Словакии — его родне число. Он его обязан указать на фактуре. А вы с ним теперь должны бережно обращаться, т.к. — персональные данные

Поскольку, как по мне, техническую часть выполнить практически невозможно (как вы собираетесь предоставить не авторизованным пользователям предоставлять возможность удалять свои сессии и IP из логов и бэкапов?). А учитывая то, что никто не имеет права заглядывать в ваш код и логи, остается только оформить формальную часть — красиво расписать для чего вы используете ПС и как их защищаете, предоставив пользователю прочитать это и согласиться.

Мне вот еще интересно как они собираются проверять исполнение того что я напишу в privacy policy. К примеру напишу что все данные с сервера я удалил по запросу, а как оно на самом деле буду знать только я. Мне вообще эта история напоминает то, как Европа ввела VAT на цифровые товары. Все крупные компании этим очень озаботилсь и реализовали, Европа получила доп источних дохода. Но сейчас попадается масса (не EU) сайтов которые игнорируют VAT или думаю что это их не касается т.к. они вне EU. Я думаю европейские суды не будут гоняться за блогами и небольшими сайтами так же как и в истории с VAT.

как вы собираетесь предоставить не авторизованным пользователям предоставлять возможность удалять свои сессии и IP из логов и бэкапов?

А Вам критически необходимо их хранить?

Пример, который приводил кто-то в сети — произошла атака на сайт. Если не хранить IP в логах — кто взломал/пытался взломать найти невозможно. Рай для всяких начинающих и не очень хакеров.

Как я понял, хранить нельзя данные которые позволяют опознать человека. Просто список IP для блокировки хранить можно, а куки с привязкой к IP нельзя..

Мы как раз работаем над этим. Не владею вопросом профессионально, но кое-что слышал из-за плеча:

1. Распространяются на все, что имеет дело с персональными данными. Например, на сотрудника в отделе кадров, который знает твой домашний адрес. Если только сайт не нарочито-анонимный и не использует даже кук — надо озаботиться.
2. Аналитика беспокоится этим вопросом не меньше и шлет новости, завела новую секцию в настройках, уверен, оттуда будет ответ.
3. В документе, описывающем обработку приватных данных должны быть описаны все передачи данных всем третьим сторонам! Документ должен будет явно принят, как публичная оферта.
4. Все, что ты не должен хранить по закону (например, финансовые транзакции или детали заказов) — ты обязан удалить по запросу. Так что надо отчетливо понимать, что удалять можно, а что нельзя и реализовать удаление возможного.
5. Я не очень понимаю, что такое «переносимость» в данном контексте, но процессы обработки данных описываются в документе, который пользователь должно явно принять, как и последующие изменения в нем, так что при миграции данных придется озаботится этой неприятной бюрократией.

Важный мотивационный момент — с 25го мая штрафы за всю эту тему делаются какими-то шести-семизначными и ставят вопрос очень остро, так что разобраться надо.

Я не очень понимаю, что такое «переносимость» в данном контексте

В нескольких местах про переносимость читал что пользователь имеет право потребовать всю имеющююся на него информацию в человеко-читаемом виде. То есть например экспортировать в файл какой-нибудь и отдать.

Хм, интересный вопрос, надо исследовать...

То есть например экспортировать в файл какой-нибудь и отдать.

Экспортируйте в WordPerfect и пусть разбираются.

Оно-то так, но челенж в другом — кто-то должен будет написать код чтобы можно было данные любого пользователя по запросу отдать. Конечно это не то чтобы проблема, но ресурсы затратить нужно.

Уверены? Будет очень распространенный метод DDOS-а. Кинуть 1000 запросов на выборку, про*бешься и на один не успеешь ответить — тюрьма и суд.

Возможно компания может заявить что рабочая переписка не является персональными данными, а принадлежит компании. И отдать досье из отдела кадров (если оно хранится в электронном виде, как я понял GDPR не распространяется на бумажные документы)

Возможно компания может заявить что рабочая переписка не является персональными данными, а принадлежит компании.

Например, у гребца в подписи могли быть ФИО и номер телефона. Это его персональные данные, что бы там галера не кукарекала. Пусть кукарекает, что с нее взять, ей и так предстоит трудная ночь.

Например, у гребца в подписи могли быть ФИО и номер телефона. Это его персональные данные, что бы там галера не кукарекала. Пусть кукарекает, что с нее взять, ей и так предстоит трудная ночь.

Не ну сирёзно чувак писал уже тут про это же ж вот смотри я шлю тебе письмо в котором вот как ты говоришь «ФИО и номер телефона» и всё ты значит попал на баппки потому как у тебя теперь мои персональные данные есть.

GDPR не распространяется на бумажные документы)

Мда вам ещё учиться и учиться... )) распространяется на всё (тут экспрессия и восклицательные знаки)

Ну ок допустим «не распространяется на бумажные» т.е. выходит я могу распечатать а из «электронной базы» стереть а данные в бумажном виде размножить и наклеить на раборе на районе или там в СССР отправить почтой бомажной так получается? Или скажем бумажные данные не надо специальным образом хранить доступ ограничивать архивировать и уничтожать в соотв. порядке и прочия?

Ну дети чисто дети простите ))

распространяется на всё

Да? Я где-то читал что только на электронные

вариант 1 — Удаляешь все нафиг из его аккаунта и все. Но могут сдать другие сотрудники у которых в инбоксе осталась история, поэтому

Бред простите среди Прав Человека по новому требованию есть также право требовать Удоли Всё Моё! и соотв. требование никак не реализуется потому как якобы «другие сотрудники» личные данные ерунда совсем другого порядка чем личная переписка.

ЗЫ: а есть же ж ещё разные слаки трелло и прочие джиры я же ж в них личными руками писал Удоли!!! ))

Переписка не есть персональными данными за это в контракте и прочих законах по труду написано это уже проходили неоднократно.

Ну гугл например позволяет свои данные скачать архивом, причем давно. По-человечески через веб-интерфейс (только уже не помню где там тот интерфейс находится). Всё ещё зависит от того насколько сложная структура данных, и как много клиентов. Если пользователей до сотни, а все данные хранятся в одной табличке — то некоторые клиенты БД могут выборку даже в аккуратный html сохранить и действительно сводится к тому чтобы вбить запрос.

Вот даже инструкцию нашел https://support.google.com/accounts/answer/3024190?hl=en

Правда я так понимаю это данные используемых сервисов, а не всё «досье»

Ну дык не надо хранить сложные и объёмные персональные данные всего делов-то? ))

ЗЫ: причём же ж речь об _персонализированных_ т.е. об конкретно сказать что и как конкретный чувак делал если говорить например об поведении (интернет магазины с их «анализом личных предпочтений» кстати попадают) а если «анализ поведений» просто «обобщённая статистика неперсонализированная» то это уже никакие не «персональные данные» и логи сервера туда же ж хотя да чисто технически и теоретически с них можно всякого намайнить но так это и в интернете сделать можно.

ЗЫ: а вообще да попоболь и вава в голове я так и знал что что-то такое будет когда германцам упала палка по голове на гуглостритвью ((

кто-то должен будет написать код чтобы можно было данные любого пользователя по запросу отдать.

Не совсем так в правилах нигде не сказано что это должен быть «автоматический код» зато указаны «сроки ответа на запрос пользователя» т.е. «пишите письма получайте ответ в установленный законом срок» но вообще-то эта опция «право получить все любые данные собранные компанией на меня по запросу» была и ранее просто сегодня штрафы сделали (т.е. с 25-го) уже более суровы и стучать более конкретно есть куда по поводу.

Не сказано, но лучше быть готовым, имхо, а не после получения запроса обнаружить что данные хранятся где попало и непонятно как их собрать в кучу.

данные хранятся где попало и непонятно как их собрать в кучу.

Во-первых это личные проблемы и то чисто технические. Опять же ж если «данные хранятся где попало» но в рамках защищённых систем и ограниченного доступа и «не кому попало» то всё ок прописаны только регламенты защиты данных а не их обращения.

Ну видимо если не успевают выдать данные в срок то атата.

Во-первых это личные проблемы и то чисто технические.

Так о том и речь, что GDPR создал всем кучу личных чисто технических проблем

)) да ладно просто у всех бардак на самом деле реально все данные лежат как попало где попало что за пароли чьи пароли кто видит кто нет никаких процедур нет и вообще бардак.

И кстати GDPR в основном именно об упорядочивании бардака а не об технической реализации такого упорядочивания хочешь веди ручной бумажный журнал безопасности храни в сейфе процедура ведения и хранения также описана в этом самом «внутреннем документе компании по управлению данными» всё это и предоставляется инспектору на случай проверки это тоже ок.

ЗЫ: я например заготовлю письма и числа 15-го разошлю всем kindly reminder об процедурах/политиках смены паролей (с записами в журнал безопасности об этом по факту каждой смены ага ага и с занесением в правила компании ага ага) в разрезе GDPR. А может 13-го чтобы красиво за 2 рабочих недели будет торт.

разошлю всем kindly reminder об процедурах/политиках смены паролей

Вот твиттер уже повторяет за мной ))

We recently found a bug that stored passwords unmasked in an internal log. We fixed the bug and have no indication of a breach or misuse by anyone. As a precaution, consider changing your password on all services where you’ve used this password. t.co/RyEDvQOTaZ
— Twitter Support (@TwitterSupport) 3 мая 2018 г.
после получения запроса обнаружить что данные хранятся где попало и непонятно как их собрать в кучу

Значит Вы и ранее нарушали закон, потому что нельзя было личные личные данные хранить где попало и как попало. А теперь за это начали штрафовать.

Нет. Какой закон регулировал структуру БД и в какой нормальной форме хранить данные, например? Или какую файловую структуру использовать для хранения файлов пользователя?

А не проще ли использовать сторонние сервисы для логина, вроде AWS Cognito?

Не проще, потому что ответсвенность несёт владелец сайта. Вот у меня в блоге авторизации нет в-принципе, и пользователь в базе я один. Для комментариев подключен виджет от Disqus. Там авторизация через соцсети или их собственная, у меня только есть доступ к модерированию комментариев. И это очень удобно с технической точки зрения — не нужно мучаться с ботами и выбирать эффективную капчу например, и интеграция простая — поставил плагин для ВП, зарегистрировал свой сайт у них и готово.

Но, с точки зрения GDPR конечная ответственность за соблюдение правил лежит на мне. И в данный момент Disqus не позволяет точно знать какие данные на пользователя у них есть, не позволяет скачать пользовательские комментарии, не позволяет удалить все комментарии пользователя оптом, и конечно нельзя удалить пользовательские данные (так как они могут использоваться и для других сайтов). То есть ответственность есть, а всего необходимого контроля нет. И полиси при регистрации у них свои. Как это будет разруливаться на практике (и будет ли вообще, так как гоняться за блогерами выглядит глупо) неясно. Вообще технически пользователь данные дает не мне, он дает их им. Но выглядит-то это как будто даёт он их мне.

На хабре ребята пытались разобраться — насколько это страшно и с чем его едят, через поиск по сайту найдёте много интересного

Из того что нашел на эту тему.

Smaller firms — those defined as having 250 employees or less — do not have to comply with all GDPR rules as standard. If your organisation falls into this band, there’s no need to have documentation of why personal data is being collected and processed, the information you’re storing or how long for. Smaller firms are not required to maintain a record of processing activities unless this carries a risk to the rights and freedoms of data subjects, it is a regular occurrence, or it relates to certain data like criminal convictions and offences.

В других местах пишут не так:

To take SMEs into account, GDPR includes an exemption on record-keeping for businesses with less than 250 employees. However, it’s important to note that this does not make the business exempt from all other aspects and they are still required to comply with the rest of GDPR.

Только документации меньше вести, а всё остальное остаётся.

Да, тут бы понять что значит все остальное и что конкретно делать. Все что я пока понял:

— нужно убрать «pre-ticked opt-in boxes» (не практикуем)
— пользователь может запросить информацию которую вы храните, попросить удалить ее и т.п. думаю это где то в privacy policy нужно прописать и указать имэйл куда писать. для красоты можно прям отедльный сделать privacy@domain.com
— добавить чекбокс на контакт формах «I consent to my submitted data being collected and stored»

Наверняка что то нужно в privacy policy добавлять и в уведомления про кукис. Планирую найти каких то более крупных ребят в моей нише и посмотреть что у них изменилось.

Но вообще не думаю что кто то мелкими компниями будет заниматься заведомо зная что 20 млн с нее не возьмешь, может даже и не хватить на покрытие судебных расходов.

— нужно убрать «pre-ticked opt-in boxes» (не практикуем)
— пользователь может запросить информацию которую вы храните, попросить удалить ее и т.п. думаю это где то в privacy policy нужно прописать и указать имэйл куда писать. для красоты можно прям отедльный сделать privacy@domain.com
— добавить чекбокс на контакт формах «I consent to my submitted data being collected and stored»

вот это всё, плюс желательно шифровать базу, плюс в полиси прописать что будете делать с данными и сколько будете хранить, и сторонние куки как я понимаю должны быть отключаемыми. Это из того что я нашел на разных сайтах.

2. Как по новым правилам правильно работать с гуглоаналитикой? Везде пишут что теперь нужно согласие на установку кук, по которым можно идентифицировать пользователя, и оно должно быть в виде нажатия на кнопку или чекбокса. Implied consent («если вы продолжаете пользоваться сайтом, значит вы согласны»), opt-out (чекбокс «отказаться») и pre-checked opt-in (чекбокс «согласен», включеный по умолчанию) будут вне закона. Читал оптимистичные мнения что для аналитики сделают потом исключение, но пока что исключений нет. При этом говорят что вариант когда сайт недоступен полностью пока не примешь полиси тоже неправильный, такие куки должны быть отключаемы сами по себе.

Основная функциональность, и та, где происходят запись информации, по которой возможна персональная идентификация пользователя, должны быть разнесены.

4. Как реализовывать «право быть забытым» и продолжить делать полные бекапы. Аналогично, в Google Analytics я не заметил возможности управлять записями отдельных пользователей.

Разделять базы на ту часть, где есть персональная информация и ту, где её нет. По истечении установленных законом сроков подменять ключи в записях ссылкой не на реального пользователя, а на «забытую сущность» — копию данных пользователя, но без его персональных данных. Лучше, конечно, в явном виде спрашивать, хочет ли человек быть забытым и спустя какое время. Если мои данные будут тереть на амазоне каждые 90 дней только потому, что у меня нет возможности указать в явном виде «3 года» вместо «90 дней» — я был бы очень зол.

Ах, да — пет-проекты, которыми владеют не организации, вне сферы действия этого закона. Блог, если он не корпоративный — тоже побоку.

Разделять базы на ту часть, где есть персональная информация и ту, где её нет.

Это понятно (но если проект не новый и всё уже написано, то большая вероятность что хранится оно не так), но с бекапами как быть? Даже если чувствительная информация хранится в отдельной базе, эта база все равно хранит данные всех пользователей и её бекап будет содержать данные всех пользователей. Единственное решение этой проблемы — хранить отдельно идентификаторы тех кого нужно забыть, и в случае необходимости восстановления из бекапа их сразу после восстановления удалять.

Лучше, конечно, в явном виде спрашивать, хочет ли человек быть забытым и спустя какое время.

Право быть забытым подразумевает что пользователь требует чтобы его данные удалили и тогда тот кто хранит данные должен выполнить это требование в разумные сроки (до месяца кажется). Речь не идёт о том чтобы удалять данные самостоятельно. Исключение сделали для случаев когда данные должны храниться по закону какое-то время (например банки обязаны данные клиентов какое-то время хранить)

Единственное решение этой проблемы — хранить отдельно идентификаторы тех кого нужно забыть, и в случае необходимости восстановления из бекапа их сразу после восстановления удалять.

В общем-то да, это самое простое решение. Их можно хранить в отдельной, очень маленькой базе. Очевидно, что первичные ключи даже для миллиардов пользователей, которые решат вдруг быть забытыми, занимают очень мало места.

Право быть забытым подразумевает что пользователь требует чтобы его данные удалили и тогда тот кто хранит данные должен выполнить это требование в разумные сроки (до месяца кажется).

Modalities should be provided for facilitating the exercise of the data subject’s rights under this Regulation, including mechanisms to request and, if applicable, obtain, free of charge, in particular, access to and rectification or erasure of personal data and the exercise of the right to object. The controller should also provide means for requests to be made electronically, especially where personal data are processed by electronic means. The controller should be obliged to respond to requests from the data subject without undue delay and at the latest within one month and to give reasons where the controller does not intend to comply with any such requests.

Тут если цель сваять что-то по-быстрому, можно просто удалять персональные данные в течении месяца, тогда интерфейс для права быть забытым писать не придётся. Когда будет время, можно писать UI, который при идентификации на сайте будет спрашивать о согласии с выбранной политикой/ах, излагать эту/и политику/и в красивом окошке, запоминать выбор и действовать в соответствии с ним, реализовывать право быть забытым по его запросу, или автоматически после какого-то выбранного пользователем периода неактивности на сайте.

Тоже об этом думал, тогда стартаперам-одиночкам и блогерам зеленый свет. Но мне кажется суд в случае чего скажет что фоп — тоже организация :)

Правда не совсем понятно как они собираются заставлять например американские компании платить штрафы, которыми пугают (20 миллионов евро или 4 процента оборота, что больше).

Не вникал. Как?

Думаю, что как раз на таких будет нацелена толпа волкоадвокатов.
В ФБ-то как раз наверняка всё продумали, у них юристы зубастые и их на понт не возьмёшь..

Да, пользователю разве что в случае утечки за моральный ущерб перепадёт

Ну как бы про data breach нужно сообщить пользователям и в орган (хз какой если ты не в стране ЕС, где эти органы будут). Если данные не смогут расшифровать, то вроде бы всё ок и никому ничего не должен.

Ты не можешь нести ответственность за нарушение закона другими, это попирает основы права

GDPR попирает сам здравый смысл, не то что основы права. Например в теории, если понимать буквально:

1. IP адрес является персональной информацией (все в шоке, ага)

2. На сервере включен обычно access log

3. На сайт зашел кто-то из ЕС — и всё, GDPR уже на владельца сайта распространяется

На практике конечно вряд ли оно так будет работать, потому что это всё недоказуемо и может быть можно сказать что сам по себе айпишник в логах без другой информации (имени там хотя бы) опасности не представляет, но сам факт что ЕС пытается навязать свои правила всему миру таким интересным способом — возмущает и раздражает.

В какой-нибудь отдаленной стране могут даже не знать о GDPR и что они что-то там нарушают, оказывая услуги гражданам ЕС. Я понимаю что хотели как лучше (защита персональных данных несомненно важна), но получилось как-то так.

3. На сайт зашел кто-то из ЕС — и всё, GDPR уже на владельца сайта распространяется

Нет. И если кто-то дал визитку или прислал электронное письмо бумажной почтой а там же ж обратный адрес и имя и фамилия и пол а в подписи небось ещё и место работы и должность! — всё равно нет.

ФБ уже предприняли шаги, чтоб закону соответствовать. Ну и вынесли неевропейских юзеров с европейских серверов

На *абре есть топик с линком на телегочат и ивент
Название: GDPR как оружие массового поражения

Все готовятся
Нет времени отвечать
:(

Подписаться на комментарии