Deze blogpost gaat over de General Data Protection Regulation (GDPR) van de Europese Unie (EU). Hoewel ik de basisprincipes van GDPR behandel, gaat de aandacht vooral uit naar de gevolgen voor freesewing.org en wat we van plan zijn te doen in de 100 dagen die ons nog resten voordat GDPR van kracht wordt.
Dit is een beetje lang om te lezen, dus hier is een inhoudsopgave:
Gedachten over de GDPR van de EU
Ik heb een haat-liefdeverhouding met de Europese Unie. Ik hou van wat ze doen en waar ze voor staan, ik haat hoe ze het doen.
De GDPR is niet anders. Het is een belangrijk stuk wetgeving dat de lat hoger legt voor online privacy, wat geweldig is. Maar toen ik over het onderwerp aan het lezen was, kreeg ik de neiging om te razen omdat OMG bureaucraten.
Laat het me uitleggen.
Privacy moet worden beschermd
In voor- en tegenspoed (ik geloof in tegenspoed) heeft het internet zich gevestigd in een modus operandi waarbij je betaalt voor gratis spullen met je persoonlijke gegevens. Sommige mensen noemen het people farming, en ik vind dat een geweldige term.
De angstaanjagende vijf zuigen steeds meer van ons persoonlijke leven op. We kunnen er weinig aan doen, behalve nooit online gaan.
Waarom de EU de beste is
Dit probleem is te groot om door iemand van ons te worden aangepakt. Wie kan er op tegen de gecombineerde macht van de techreuzen?
Nou, wat vind je hiervan voor een CV:
- Facebook 110 miljoen euro boete opgelegd voor misleidende verklaringen over hun WhatsApp-aankoop
- Amazon veroordeeld tot 250 miljoen euro extra belastingen in Luxemburg
- Google 2,4 miljard euro boete opgelegd voor misbruik dominante positie in search
- Apple veroordeeld tot het betalen van 13 miljard euro extra belastingen in Ierland
Als het op techreuzen aankomt, is de Europese Unie een en al stok en geen wortel.
De Algemene Verordening Gegevensbescherming dwingt een privacybeleid af dat de rechten van gebruikers respecteert. Het geldt voor alle EU-burgers, altijd en overal.
Het maakt niet uit of je een silicon valley moloch bent, respecteer de rechten van de EU-burgers of wordt geconfronteerd met de toorn van de eurocratie:
Organisaties die de GDPR overtreden kunnen worden beboet tot 4% van de wereldwijde jaaromzet of 20 miljoen euro (de hoogste van de twee).
Vier procent van de wereldwijde omzet is een hele grote stok.
Waarom de EU de slechtste is
Omdat de EU de EU is, is de verordening een mengelmoes van verheven doelen en idealen, afgezwakt door lobbygroepen en verder gecompliceerd door het compromis dat nodig was om 28 lidstaten aan boord te krijgen.
De bedoelingen zijn goed, het is een geweldig idee, maar ze verkopen het zoals gewoonlijk verschrikkelijk slecht.
De praktische uitvoering is in handen van de zogenaamde Artikel 29-werkgroep die zich momenteel bezighoudt met het ontwerpen van pictogrammen (ik verzin dit niet ) Het zal zijn naam veranderen in het Europees Comité voor gegevensbescherming vanaf 25 mei, want je wilt je toch niet al te comfortabel voelen met al dit jargon?
De GDPR in de praktijk
Als je op zoek bent naar deskundig advies over GDPR-compliance, dan is dit niet de plek voor jou.
Maar als je nieuwsgierig bent naar de GDPR en wat er voor nodig is om een website als freesewing.org compliant te maken, lees dan verder.
Meer lezen
Als je echt wilt weten wat GDPR is, kun je het beste lezen:. Het is geen raketwetenschap.
Als je van wetteksten op de vlucht slaat, dan heeft de ICO van het Verenigd Koninkrijk gemakkelijk een van de beste gidsen over GDPR.
Goed om te weten
Een paar dingen die je moet weten voordat we in GDPR duiken:
Er zijn nog 100 dagen te gaan
De GDPR werd al in 2016 aangenomen, maar zal pas op 25 mei 2018 zijn vruchten afwerpen.
Tot die dag krijg je een pas. Na die dag is het echt. Dat betekent dat we nog 100 dagen hebben om ons huis op orde te krijgen.
Er zijn uitzonderingen voor KMO’s
Organisaties met minder dan 250 werknemers zijn vrijgesteld van enkele van de meer bureaucratische aspecten van de GDPR, zoals een heleboel documentatievereisten.
Het komt erop neer dat je nog steeds het juiste moet doen, maar dat je veel minder papierwerk hoeft in te vullen.
Freesewing heeft nul mensen in dienst, dus we zijn er vanaf.
Er zijn extra voorzieningen voor gevoelige gegevens
Lichaamsmetingen alleen zijn geen gevoelige gegevens
De GDPR heeft extra bepalingen voor gevoelige gegevens zoals biometrische gegevens, profilering en een heleboel andere zaken.
Dit was reden tot bezorgdheid omdat we lichaamsmetingen verzamelen en een van onze vragen was of dat als biometrische gegevens kan worden aangemerkt.
Het blijkt van niet. Biometrische gegevens zijn gegevens die je kunt gebruiken om iemand te identificeren, zoals een vingerafdruk of een irisscan. Lichaamsmetingen alleen zijn geen gevoelige gegevens.
Gegevens verzamelen met toestemming
Om gegevens te verzamelen, heb je een zogenaamde wettelijke basis voor gegevensverwerking nodig.
Er zijn verschillende soorten, maar degene die op ons van toepassing is (en op de meeste online diensten) is toestemming.
In dit scenario is je rechtsgrondslag voor het verwerken van de gegevens dat je de persoon hebt gevraagd om zijn gegevens en dat hij deze vrijwillig aan je heeft gegeven.
Dat is eenvoudig en logisch. Maar de GDPR wil er echt voor zorgen dat deze toestemming uit vrije wil wordt gegeven en niet met tegenzin.
Om te voorkomen dat bedrijven een grote muur van juridisch jargon opwerpen waar mensen mee moeten instemmen, schetst de GDPR een aantal van principes waaraan deze toestemming moet voldoen. Hier is een niet-uitputtende lijst:
- mensen moeten echte keuze en controle hebben
- toestemming vereist een positieve opt-in, vooraf aangevinkte vakjes of iets dergelijks zijn niet toegestaan
- er moet een heel duidelijke verklaring zijn die uitlegt waar mensen mee akkoord gaan
- deze verzoeken om toestemming moeten los staan van eventuele voorwaarden &
- Toestemming moet gedifferentieerd zijn, je hebt individuele toestemming nodig voor verschillende dingen en kunt geen algemene toestemming vragen.
- het moet makkelijk zijn voor mensen om toestemming te hertekenen
- toestemming voor gegevensverwerking mag geen voorwaarde zijn voor een dienst
Als ik naar die lijst kijk, kan ik me niet aan de indruk onttrekken dat wetgeving een stuk eenvoudiger zou zijn als wetgevers gewoon don’t be a dick konden schrijven en het voor gezien houden.
Granulariteit toestemming
Onthoud dat we niet zomaar algemene toestemming kunnen krijgen. We hebben toestemming nodig voor elk type gegevensverwerking dat we doen.
Voor freesewing.org hebben we drie verschillende soorten gegevensverwerking geïdentificeerd:
- Profielgegevens
- Modelgegevens
- Patroonsgegevens
Voor elk van deze dingen moeten we toestemming krijgen van de gebruiker, waarbij we ervoor moeten zorgen dat het echte toestemming is zoals bedoeld in de GDPR.
Hieronder zie je een voorbeeld van hoe dit er voor elk gegevenstype uit zou kunnen zien:
Deze mockups zijn niet langer beschikbaar
Houd er rekening mee dat de mockups die oorspronkelijk in dit bericht stonden niet langer beschikbaar zijn. In plaats daarvan is deze functionaliteit geïmplementeerd in de website.
Toestemming timing
De GDPR stelt dat je om toestemming moet vragen wanneer de gegevens worden verzameld.
Met onze drie soorten gegevensverwerking betekent dit dat er op verschillende momenten om toestemming moet worden gevraagd:
- Profielgegevens: Bij het aanmelden op de site
- Modelgegevens: Bij het maken van het eerste model
- Patroonsgegevens: Als je beschermheer wordt
Dit vereist (ook) wat extra werk om dit in de site te integreren.
Basisrechten respecteren bij het verwerken van gegevens
De EU legt basisrechten voor haar burgers vast die gerespecteerd moeten worden bij het verwerken van gegevens.
Laten we eens kijken naar elk van deze rechten en hun invloed op freesewing.org.
Het recht om geïnformeerd te worden
Je moet transparant zijn over hoe je persoonlijke gegevens gebruikt. Waarom je het verzamelt, hoe je het gebruikt, enzovoort.
Het informeren van gebruikers is iets waar we nog aan werken. Deze blogpost maakt daar deel van uit.
We moeten de individuele privacyverklaringen ontwerpen, maar ook een meer algemeen privacybeleid en ervoor zorgen dat gebruikers op de hoogte zijn van al hun rechten.
Hoewel dit wat werk vereist, verwacht ik hier geen problemen.
Het recht op toegang
Mensen hebben het recht om te weten dat hun gegevens worden verwerkt en om toegang te krijgen tot die gegevens.
We voldoen al aan de regels, omdat alle gegevens die gebruikers invoeren op de site ook voor hen toegankelijk zijn.
Het recht op rectificatie
Mensen hebben het recht om hun gegevens te corrigeren als ze niet kloppen.
We voldoen al aan de regels, omdat alle gegevens die gebruikers invoeren op de site ook door hen bewerkt kunnen worden.
Het recht om te wissen
Mensen hebben het recht om hun gegevens te laten verwijderen/verwijderen.
We voldoen al aan de regels, omdat gebruikers hun modellen of hele account op elk moment kunnen verwijderen.
Het recht om de verwerking te beperken
Dit recht houdt in dat gebruikers een bevriezing moeten kunnen zetten op alle gegevensverwerking, zonder dat dit zover gaat dat ze hun gegevens kunnen wissen.
We bieden deze mogelijkheid momenteel nog niet en zullen deze functionaliteit aan de site moeten toevoegen.
Het recht op gegevensportabiliteit
Mensen hebben niet alleen het recht om al hun gegevens te exporteren, die export moet ook in een formaat zijn waarmee ze hun gegevens gemakkelijk ergens anders mee naartoe kunnen nemen.
We voldoen hier al aan, omdat we gebruikers toestaan om al hun gegevens te exporteren en deze beschikbaar te stellen in verschillende standaardformaten (YAML en JSON).
Het recht op bezwaar
Het recht om bezwaar te maken is specifiek van toepassing op:
- verwerking voor openbare belangen of door officiële instanties
- verwerking voor direct marketing
- verwerking voor wetenschap/historisch onderzoek/statistiek
In deze gevallen kunnen mensen bezwaar maken tegen deze specifieke verwerking.
Dit gaat voor ons gelden als we geanonimiseerde modelgegevens gaan publiceren, iets wat op onze roadmap staat.
De reden voor het publiceren van deze gegevens is dat we een dataset beschikbaar willen maken van echte lichaamsmetingen, in plaats van de standaard metingen die meestal in de industrie worden gebruikt.
Hierover zullen we later meer schrijven, maar in wezen valt dit onder de categorie wetenschappelijk onderzoek/statistiek . En ook al zijn de gegevens geanonimiseerd, we moeten nog steeds het recht van gebruikers respecteren om bezwaar te maken tegen deze verwerking.
Daarom moeten we de mogelijkheid toevoegen om bezwaar te maken tegen dit specifieke gebruik van de gegevens.
Rechten met betrekking tot geautomatiseerde besluitvorming en profilering
Mensen hebben extra rechten als het gaat om profilering of beslissingen die door AI of algoritmes worden genomen zonder menselijke betrokkenheid.
Dit is niet relevant in onze situatie.
Privacy door ontwerp
De EU is niet tevreden met een paar toestemmingsvragen en het respecteren van de rechten van mensen bij het verwerken van gegevens. Het wil er ook voor zorgen dat je privacy (beter) beschermd is als het misgaat.
Daarom pleit het voor privacy by design. Hoewel het een concept is dat moeilijk is vast te leggen in wetgeving, is het doel van duidelijk: ze willen dat iedereen vanaf het begin van hun project/product/bedrijf rekening houdt met privacy, en niet als bijzaak.
Zaken als versleuteling (zowel tijdens het transport als voor gegevens in rust), pseudoniemen en het verlopen van gegevens worden voorgesteld als zaken om in gedachten te houden tijdens het ontwerpen.
Het is duidelijk dat de EU je code niet komt controleren om te zien of je privacy by design ter harte hebt genomen. Maar het kan (en zal waarschijnlijk) invloed hebben als het misgaat.
Stel je twee bedrijven voor die een datalek hebben, de ene heeft niet veel gedaan om de privacy van hun gebruikers te waarborgen, terwijl de andere privacy by design maatregelen heeft genomen om de schade te beperken.
Het lijkt voor de hand te liggen dat de EU harder zal optreden tegen het bedrijf dat het niet eens heeft geprobeerd.
Wat we al doen
We doen al een aantal dingen die worden aangestuurd door een privacy by design benadering. Bijvoorbeeld:
- We gebruiken pseudoniemen voor gebruikersaccounts
- We delen geen gegevens met derden
- We voegen geen trackingcode of analytics toe
- We gebruiken geen cookies
- We hebben geen sociale logins, like-knoppen of dergelijke dingen
- We laten geen advertenties zien
- We voeren geen JavaScript-code van derden uit
- We gebruiken encryptie op alle transporten
Meer informatie hierover vind je in deze blogpost: De keuzes die ik heb gemaakt om je privacy te beschermen. Of waarom je geen koekjes krijgt.
Deze vormen al een heel goede basis voor een privacybewuste website. Maar omdat we toch al wijzigingen moeten aanbrengen voor GDPR, overwegen we andere opties om de privacylat nog hoger te leggen. Specifiek: wat kunnen we doen om de schade voor onze gebruikers te beperken als er een datalek is?
Beperking van gegevensopslag
Sommige van de meest gevoelige gegevens die we tegenwoordig opslaan zijn het adres en de geboortedatum van onze hooggeplaatste klanten.
De site heeft deze informatie echter niet nodig om te functioneren. We hebben het alleen nodig voor administratieve doeleinden; Het versturen van cadeaus en verjaardagskaarten naar onze klanten.
Daarom is het niet echt nodig om deze gegevens in de freesewing database te bewaren. We kunnen deze informatie net zo goed opschrijven in een notitieboekje dat we op onze salontafel bewaren.
Als onderdeel van onze GDPR-gerelateerde veranderingen zullen we deze informatie uit de database verwijderen en offline opslaan op .
Encryptie van gegevens in rust
We versleutelen alle gegevens al tijdens het transport. Maar we overwegen momenteel om encryptie van gegevens in rust toe te voegen.
Het idee is om alle gegevens te versleutelen waarmee een gebruiker mogelijk kan worden geïdentificeerd. Zoals:
- E-mailadres
- Gebruikersnaam
- Modelnamen
- Model opmerkingen
Dit zou een extra verdedigingslaag voor de privacy van onze gebruikers toevoegen voor het geval onze database op de een of andere manier wordt gedumpt.
Hoewel deze verandering niet-triviaal zal zijn om te implementeren en met een prestatieverlies gepaard zal gaan, vind ik dat het de moeite waard is om naar te kijken.
Conclusie
Hoewel we nog wat werk te doen hebben, voldoen we al aan grote delen van de GDPR, vooral op als het gaat om het respecteren van gebruikersrechten:
- Het recht om geïnformeerd te worden
- Het recht op toegang
- Het recht op rectificatie
- Het recht om te wissen
- Het recht om de verwerking te beperken
- Het recht op gegevensportabiliteit
- Het recht op bezwaar
- Rechten met betrekking tot geautomatiseerde besluitvorming en profilering
We werken momenteel aan het recht om geïnformeerd te worden en hebben een plan voor de wijzigingen die nodig zijn om het recht om de verwerking te beperken en het recht om bezwaar te makente respecteren.
Op de site voor het verzamelen van gegevens moeten we de details voor onze privacyverklaringen uitwerken. We schrijven ook een gedetailleerd privacybeleid waarin alle informatie uit de verschillende mededelingen wordt gebundeld.
We moeten wijzigingen aanbrengen in de gebruikersregistratie om ervoor te zorgen dat meldingen op het juiste moment worden gepresenteerd. En dan hebben we het er nog niet eens over dat we moeten bijhouden wie waarvoor toestemming heeft gegeven.
Actiepunten
- Opstellen privacyverklaringen voor profiel/model/patrongegevens
- Integreer toestemming bij het inwerken van gebruikers, het maken van modellen en het aanmelden van begunstigers
- Website functionaliteit afhankelijk maken van toestemming
- Zorg voor een centraal privacy dashboard waar mensen hun privacy-instellingen/toestemming kunnen bekijken
- E-mailmeldingen toevoegen telkens als toestemming wordt gewijzigd
- Mensen een manier bieden om hun account te bevriezen
- Mensen een manier bieden om bezwaar te maken tegen het gebruik van hun modelgegevens voor onderzoek en statistiek
- Een algemeen privacybeleid schrijven en publiceren
- Gevoelige gegevens in de database versleutelen
Het lijkt erop dat we veel werk voor de boeg hebben.
Feedback
Persoonlijk ben ik van mening dat de GDPR een goede zaak is. Maar ik wil graag van je horen over de veranderingen die in deze blogpost worden beschreven.
Dus geef alsjeblieft feedback en commentaar. Het zijn tenslotte jouw gegevens waar we het over hebben.