Mapy a geolokace v aplikacích: 7 rozhodnutí, která neodkládejte na konec

01Oddělte mapu, polohu zařízení a hledání adres

Mapa zobrazuje zeměpisná data, vaše pobočky, zásilky nebo jiné body. K jejímu zobrazení nepotřebujete automaticky znát polohu uživatele. Geolokace zjišťuje, kde se zařízení nachází. Geokódování převádí adresu na souřadnice; opačný převod hledá adresu k poloze. Plánování trasy a vyhledávání míst jsou další samostatné funkce.

Pro zadání i rozpočet je rozdělte. Seznam poboček může používat předem připravené souřadnice a ručně zadané město. Rozvoz potřebuje také trasu a provozní údaje. Aplikace pro techniky může místo celodenního sledování zaznamenat polohu při potvrzení konkrétního úkonu, pokud pro takový záznam existuje oprávněný účel.

Ke každé funkci napište, co má člověk udělat a jaký výsledek potřebuje firma. Tím předejdete situaci, kdy aplikace sbírá přesná data jen proto, že je knihovna umí získat.

02Vyberte nejmenší potřebnou přesnost a četnost

Přesnější a častější poloha není pro každou službu lepší. U poboček může stačit město nebo přibližná oblast. Aktivní navigace má jiné nároky. Následující příklady jsou návrhové možnosti, nikoli univerzální právní titul pro sběr údajů.

Aplikace musí rozlišit aktuální a starou polohu i údaj s nízkou přesností. Ukládejte nebo zpracovávejte potřebný čas měření a informaci o přesnosti, pokud je používáte při rozhodování. Bod na mapě bez těchto souvislostí může vypadat přesvědčivě, i když člověk už dávno stojí jinde.

03Oprávnění telefonu není souhlas se vším dalším

Systémové oprávnění rozhoduje, zda aplikace smí technicky získat polohu zařízení. Samo o sobě neřeší právní základ jejího dalšího zpracování, délku uchování ani předání jiné firmě. Text systémového dialogu proto není náhradou za vysvětlení účelu a pravidel nakládání s údaji.

Android umožňuje uživateli povolit jen přibližnou polohu, i když aplikace žádá přesnou. Dokumentace doporučuje žádat oprávnění v okamžiku použití potřebné funkce a přístup na pozadí řešit postupně. Apple rozlišuje úrovně přístupu k poloze a doporučuje vyžadovat širší oprávnění jen při skutečné potřebě.

Před dialogem napište konkrétní důvod: „Poloha pomůže seřadit pobočky podle vzdálenosti.“ Nabídněte ruční volbu města, pokud úkol takovou alternativu dovoluje. Zvládněte zamítnutí, jednorázové povolení a pozdější změnu nastavení. Opakované vyskakování žádosti po každém odmítnutí může uživatele odradit, aniž by zlepšilo službu.

U přístupu na pozadí jasně vymezte začátek a konec. Sdílení pro konkrétní rozvoz nemá bez dalšího pokračovat po dokončení zakázky. Uživatel má poznat, kdy funkce běží, a najít její nastavení. Podporované režimy ověřte pro cílové systémy a jejich aktuální pravidla.

04Právní základ určete podle účelu, ne podle tlačítka

Poloha spojená s identifikovatelným člověkem je osobní údaj. Pro její zpracování potřebujete odpovídající právní důvod. Základní příručka ÚOOÚ vysvětluje, že souhlas je jednou z možností. Někdy připadá v úvahu nezbytnost pro plnění smlouvy či oprávněný zájem, vždy podle skutečného účelu a podmínek. Napsat do obchodních podmínek, že firma smí sledovat polohu, nestačí.

Zvlášť posuzujte získání údaje ze zařízení a jeho následné použití. Pokyny EDPB k čl. 5 odst. 3 směrnice ePrivacy zahrnují také situace s údaji ze senzorů, nejen cookies. Pravidla přístupu do zařízení a jejich výjimky mohou vyžadovat samostatné posouzení; vhodný titul podle GDPR je automaticky nenahrazuje.

Pokud využíváte souhlas, musí být svobodný, konkrétní a informovaný a musí jít snadno odvolat. Oddělte třeba hledání pobočky od dobrovolného dlouhodobého vyhodnocování pohybu. EDPB upozorňuje na nerovnováhu mezi zaměstnavatelem a zaměstnancem: souhlas zaměstnance bývá problematický, pokud odmítnutí není skutečně svobodné.

U sledování pracovníků, dlouhé historie pohybu nebo propojení s dalšími profily zapojte před vývojem pověřence či právníka. Prověřte také potřebu posouzení vlivu na ochranu osobních údajů, které souvisí s vysokým rizikem, nikoli automaticky s každou mapou. Zadání má říct, kdo rozhoduje o účelu, kdo údaje dostává a jak se vyřizují práva lidí.

05Navrhněte tok údajů, uchování a přístup třetích stran

Nakreslete cestu jedné souřadnice: telefon, server aplikace, mapová služba, analytika, zákaznická podpora. Ke každému kroku doplňte příjemce a potřebná pole. Vyhledání blízké pobočky může proběhnout bez trvalého ukládání přesné polohy na vašem serveru. Pokud údaj nepotřebujete k dalšímu účelu, nevytvářejte si z něj historii jen pro případ budoucího využití.

ÚOOÚ mezi zásadami uvádí omezení účelu, minimalizaci a uchování pouze po potřebnou dobu. V aplikaci je převeďte na konkrétní pravidla: které údaje vznikají, kdo je vidí, kdy se mažou a co zůstane v zálohách. Neexistuje jedna univerzální lhůta vhodná pro všechny polohové funkce. Délku uchování zdůvodněte pro jednotlivé účely.

SDK je knihovna cizího dodavatele vložená do aplikace. U map, reklam nebo analytiky ověřte, jaká data skutečně odesílá, kam a za jakých podmínek. Zkontrolujte nastavení i síťovou komunikaci testovací verze. Vaše vlastní databáze může být prázdná, zatímco jiná komponenta posílá polohu nebo identifikátor dál.

• Do mapového dotazu nepřidávejte jméno zákazníka, číslo objednávky ani jiné údaje, které poskytovatel nepotřebuje.
• Prověřte role příjemců, smluvní vztahy a případné předávání údajů mimo EHP. Samotné označení „mapový partner“ nic z toho nevyjasňuje.
• Přesnou polohu nedávejte do běžných analytických událostí, veřejných odkazů a logů bez vymezeného účelu a přístupu.
• Interní ID místo jména nepovažujte za anonymizaci, pokud dokážete záznam přiřadit k člověku.
• U zákaznického sledování zásilky používejte přístup omezený na konkrétní zakázku a přiměřenou dobu.

Pro napojení na další systémy využijte pravidla návrhu integrace přes API. U polohy k nim přidejte kontrolu, kdo smí číst kterou zakázku a zda se údaje nevracejí uživateli, který je nemá vidět.

06Licence mapových dat není licence každé služby kolem mapy

Při výběru poskytovatele oddělte mapová data, jejich zobrazení, vyhledávání adres, trasování a případný provoz bez připojení. Pro každou službu ověřte podmínky komerčního použití, povinné uvedení zdroje, ukládání výsledků a kombinování s jiným poskytovatelem. To, že se mapa technicky zobrazí, ještě neznamená, že takto smíte používat všechny získané údaje.

Podmínky Google Geocoding API řeší například ukládání výsledků a uvedení zdroje. Zároveň upozorňují na odlišné smluvní podmínky pro zákazníky s fakturační adresou v Evropském hospodářském prostoru. Česká firma proto musí číst podmínky svého účtu a konkrétní služby, ne bez ověření převzít návod pro jiný region.

U OpenStreetMap odlišujte otevřená data od veřejného serveru s mapovými dlaždicemi. Dlaždice jsou malé díly zobrazené mapy. Oficiální pravidla veřejného tile serveru vyžadují viditelné uvedení zdroje, omezují hromadné stahování a neposkytují garantovanou dostupnost. Vlastní nebo komerční služba nad daty OSM může mít jiné provozní podmínky.

Také veřejné hledání adres má samostatná pravidla. Nominatim na nominatim.openstreetmap.org nepovoluje klientské našeptávání a stanoví maximum jeden požadavek za sekundu pro celou aplikaci. Politika také žádá neposílat osobní ani důvěrné údaje. Nejde o pravidlo všech instalací Nominatim ani všech služeb nad OSM. Pro větší provoz vybírejte poskytovatele odpovídajícího potřebám aplikace.

Při předání chtějte seznam používaných služeb a podmínek, na kterých řešení stojí. Domluvte i postup výměny poskytovatele. Pokud jsou jeho identifikátory a datové formáty rozptýlené po celé aplikaci, budoucí změna bude náročnější než výměna jedné mapové komponenty.

07Chraňte API klíče a měřte to, co se skutečně účtuje

Mapový klíč pro webové zobrazení může být v klientské aplikaci viditelný. Jeho ochrana proto nespočívá jen ve skrytí názvu proměnné. Google doporučuje omezit klíče podle aplikace a povolených API, například na určené weby či serverové adresy. Serverové klíče a podpisová tajemství mají odlišný režim a nesmějí se omylem dostat do veřejného kódu.

Oddělte produkci od testování a používejte jen služby, které funkce potřebuje. Po změně omezení ověřte všechny používané cesty, aby ochrana neodstavila legitimní provoz. Firma má mít kontrolu nad účtem, klíči i fakturací také po předání aplikace.

Náklady odhadujte z účtovaných operací. Google Geocoding API účtuje požadavky podle příslušné položky ceníku, nikoli jednoduše podle počtu vašich zákazníků. Sledujte skutečný provoz každé služby a otestujte chování při nedostupnosti nebo překročení kvóty. Opakované volání stejného dotazu omezujte jen způsobem, který dovolují podmínky poskytovatele.

Nastavte kvóty a upozornění s odpovědným příjemcem. Samotný rozpočtový alert náklady nezastaví, jak výslovně uvádí dokumentace Google Cloud pro alerts-only budgets. Možnosti skutečného zastropování ověřte pro danou službu. Pokud se požadavky zastaví, aplikace musí nabídnout srozumitelnou zprávu nebo jinou cestu dokončení úkolu.

08Co otestovat před spuštěním polohové funkce

Zkoušejte celou pracovní cestu v reálných podmínkách, včetně slabého připojení a odmítnuté polohy. Samostatný test modrého bodu nestačí. Polohový údaj může být starý, nepřesný nebo nedostupný; rozhodnutí s dopadem na člověka nemá stát jen na tom, že bod leží uvnitř nakreslené oblasti.

• Zamítnuté, jednorázové a později odebrané oprávnění; ruční alternativa tam, kde je použitelná.
• Přibližná poloha, staré měření, slabý signál a rozdíl mezi bodem na mapě a skutečným místem předání.
• Zamčený telefon, přechod aplikace na pozadí a ukončení sdílení po skončení úkolu.
• Výpadek mapové služby, omezení kvót a chybné údaje při hledání adresy.
• České adresy s diakritikou, čísla popisná a orientační, více podobných názvů a ruční potvrzení vybraného místa.
• Přístupy k cizí zakázce, veřejné sdílení odkazu, obsah logů a síťové požadavky všech vložených knihoven.
• Mazání po stanovené době, vyřízení odvolaného souhlasu a postup pro údaje v zálohách.

Kontroly oprávnění, přístupů a provozu doplňte podle checklistu bezpečnosti webové aplikace. U mobilní verze ověřte i aktuální podmínky distribučních obchodů. Funkční technické oprávnění samo nezaručuje schválení aplikace ani soulad zpracování údajů.

09Časté otázky k mapám a geolokaci