GDPR vo webovej aplikácii: Čo navrhnúť pred prvou databázou

01Zmapujte údaje a zodpovednosti

Tento návod vychádza z GDPR EÚ a z bežnej firemnej aplikácie. Osobitné pravidlá odvetvia a konkrétne právne základy potvrďte s osobou zodpovednou za ochranu údajov. Pri britskom trhu posudzujte samostatne UK GDPR. Preklad zásad do angličtiny neurčuje použiteľné právo.

Nakreslite cestu jedného dopytu: formulár, server, databáza, e-mail, CRM, záloha a podpora. Pri každom mieste uveďte účel, príjemcu a dobu uchovávania. Nezabudnite na fronty správ, vyhľadávacie indexy, exporty a hlásenia chýb. Práve vedľajšie kópie sa v zadaní ľahko stratia.

Podľa GDPR prevádzkovateľ určuje účely a prostriedky spracúvania a sprostredkovateľ koná v jeho mene. Autor kódu nie je automaticky sprostredkovateľom. Rozhoduje skutočná práca s osobnými údajmi. Zapíšte, kto schvaľuje pravidlá a kto k údajom pristupuje pri údržbe.

02Zdôvodnite účel každého údaja

Pri každom poli sa pýtajte, ktorý krok bez neho nedokážete vykonať. Na doručenie digitálneho návodu pravdepodobne nepotrebujete adresu bydliska. Voľná poznámka zase môže priniesť informácie, ktoré nechcete zhromažďovať. Vysvetlite jej účel a zvážte obmedzenie rozsahu.

EDPB vysvetľuje ochranu údajov už pri návrhu a štandardne. Pre vývojový tím z toho odporúčame vytvoriť opakovanú kontrolu každej novej tabuľky, udalosti a integrácie. Povinný údaj ukrytý v API zostáva zbieraným údajom, hoci ho používateľ nevidí vo formulári.

Táto tabuľka je pomôcka k zadaniu, nie hotový právny rozbor. Vyplňte ju podľa reálnej aplikácie. Pri odpovedi „pre istotu“ vyžiadajte od zadávateľa konkrétne rozhodnutie.

03Súhlas nie je riešením každého účelu

Každému účelu priraďte vhodný právny základ. EDPB rozlišuje napríklad zmluvu, zákonnú povinnosť, súhlas a oprávnený záujem. Nevyhnutné spracovanie vyžiadanej ponuky môže vychádzať z predzmluvných krokov. Marketing posudzujte samostatne, nepripájajte ho automaticky k plneniu zmluvy.

Ak spracúvanie stojí na súhlase, pripravte jeho preukázateľné udelenie a jednoduché odvolanie. Prakticky odporúčame evidovať účel, verziu vysvetlenia, čas a spôsob voľby. Zmena v zákazníckom profile musí doputovať aj do prepojených systémov. Políčko „Súhlasím s GDPR“ tento postup neurčuje.

Informácie pre používateľa majú opisovať skutočnú prevádzku: kto spracúva údaje, prečo, komu ich odovzdáva a ako sa uplatňujú práva. Primerané vysvetlenie umiestnite aj pri zbere. Účel spätne neprepisujte len preto, aby zahŕňal už dokončenú integráciu.

04Oprávnenie overujte pri konkrétnom zázname

Zostavte maticu rolí: zákazník, pracovník podpory, správca firmy a technický správca. Určte povolené operácie. Ak aplikáciu používa viac firiem, overujte aj príslušnosť záznamu k firme. Platí to pre exporty, prílohy aj vyhľadávanie.

Skryté tlačidlo nezabezpečí prístup. Požiadavku musí overiť server. Pri preberaní aplikácie skúste cudzí identifikátor a odkaz po odobratí oprávnenia. Mimoriadny zásah podpory riešte obmedzeným prístupom s dohľadateľným dôvodom. Trvalo zdieľané správcovské heslo vám s tým nepomôže.

EDPB vyžaduje zabezpečenie primerané riziku. Opatrenia preto vyberajte podľa následkov úniku, zmeny alebo straty údajov. Šifrovanie prenosu, správa kľúčov, obnova záloh a aktualizácie potrebujú konkrétneho vlastníka, nie iba poznámku v dokumentácii.

05Vymazávanie patrí do dátového modelu

Pre kategórie údajov určte odôvodnené lehoty aj udalosť, od ktorej začínajú plynúť. Rozpracovaný formulár a účtovný doklad s povinnou archiváciou majú odlišné potreby. Jedna všeobecná lehota pre všetky údaje v každej webovej aplikácii neexistuje.

Modelový príklad: zákazník zruší účet. Prihlasovanie sa zastaví, nepotrebný profil sa vymaže a doklady s povinnosťou uchovania zostanú oddelene s obmedzeným prístupom. Presné rozdelenie si potvrďte pre vlastnú prevádzku. Právo na výmaz má výnimky. Musíte vedieť vysvetliť, čo zostáva a z akého dôvodu.

Zahrňte repliky, indexy a dodávateľov. Pri zálohách určte cyklus uchovávania a postup po obnove, aby sa vymazané údaje bez kontroly nevrátili do aktívnej databázy. Príznak „vymazané“ nie je fyzický výmaz. Ani pseudonymizované údaje sa automaticky nestávajú anonymnými.

06Práva ľudí potrebujú fungujúci proces

Pripravte prijatie žiadosti, primerané overenie totožnosti, dohľadanie údajov a bezpečné doručenie odpovede. EDPB uvádza základnú lehotu jedného mesiaca. Ak sú splnené podmienky na predĺženie, človeka treba včas informovať. Prvú skutočnú žiadosť nevyužívajte na zisťovanie, kde všade máte kópie.

Vyskúšajte prístup, opravu, výmaz a obmedzenie spracúvania na relevantných príkladoch. Prenosnosť sa nevzťahuje automaticky na každý údaj. Používateľský export nesmie obsahovať cudzie kontakty, heslové hashe ani interné tajomstvá. Samotné stiahnutie databázového riadka ešte nemusí správne vybaviť žiadosť.

07Dodávateľov kontrolujte podľa tokov údajov

Pri hostingu, e-mailoch, monitoringu a AI službe zistite, čo dostávajú, ako dlho údaje uchovávajú a koho ďalšieho zapájajú. Ak ide o vzťah prevádzkovateľa a sprostredkovateľa, riešte zmluvu podľa článku 28 GDPR. Označenie „GDPR ready“ neurčuje vhodnú konfiguráciu pre váš účel.

Prenosy mimo EHP podliehajú ďalším pravidlám. Overte príslušný mechanizmus prenosu a potrebné dodatočné opatrenia. Európsky región servera nestačí, ak údaje ďalšiemu príjemcovi mimo EHP sprístupňuje podpora alebo iná služba. Pri návrhu integrácií zmapujte aj takéto prístupy.

08Osobitne preverte cookies, logy a testy

Súhlas s ukladaním cookies a právny základ následného spracúvania sú dve odlišné otázky. Pre české nasadenie ÚOOÚ vysvetľuje výnimku pre nevyhnutné technické cookies a jednoduché odmietnutie ostatných. Národné pravidlá posudzujte podľa cieľového trhu; české stanovisko nenahrádza posúdenie slovenského práva. Overte sieťové požiadavky pred voľbou aj po odvolaní.

Do logov neukladajte heslá, tokeny a zbytočný obsah formulárov. Osobné údaje neposielajte v URL. Ak nepotrebujete iný odôvodnený postup, testujte so syntetickými dátami. Produkčná databáza na notebooku dodávateľa nie je neškodná preto, že sa volá „test“. Skontrolujte aj nahrávanie obrazovky v podpore.

09Pripravte reakciu na incident

Určte kontakt na zodpovednú osobu, zachovanie dôkazov a spôsob zistenia rozsahu. EDPB rozlišuje povinnosti pri porušení ochrany údajov. Prevádzkovateľ oznamuje porušenie úradu bez zbytočného odkladu, podľa možnosti do 72 hodín od zistenia, ak nie je nepravdepodobné riziko pre práva a slobody. Sprostredkovateľ informuje prevádzkovateľa bez zbytočného odkladu.

Dotknuté osoby sa informujú bez zbytočného odkladu pri pravdepodobnom vysokom riziku, s výnimkami podľa GDPR. Porušenia zdokumentujte. Už pri návrhu posúďte aj potrebu DPIA, teda posúdenia vplyvu, pri pravdepodobnom vysokom riziku spracúvania. Malá firma nie je automaticky oslobodená od všetkých evidenčných povinností.

10Časté otázky

Prejdime si ochranu údajov pri návrhu aplikácie. Konkrétne pravidlá sa zavádzajú jednoduchšie pred spustením než dodatočne v hotovej prevádzke.