GDPR

Nu aveam de gand sa scriu nimic despre GDPR. Am tot evitat sa fac asta, asa, in ideea de “sa vedem ce se intampla daca nimeni nu zice nimic”.

Da’ pula mea, ce mi-e ca scriu azi, ce mi-e ca scriu in Mai, cum planuiam.

Despre GDPR puteti citi pe internet. Sunt ceva sute de pagini, dar partile relevante ar fi astea:

– nu se aplica doar pentru EU, ci si pentru companiile care proceseaza datele vizitatorilor/cumparatorilor din EU. Astfel, daca eu imi fac un site pe .cc, dupa care il hostez in US, dar am vizitatori din EU, se aplica. Asta asa, ca sa clarificam faptul ca nu merge cu “imi tin site-ul in Rusia si ma doare-n pula”.

– amenzile sunt de 4% din turnover sau 20 de milioane – whichever is GREATER. Deci nu merge cu “am o cifra de afaceri de 10000 pe an, mi se rupe pula de 4%”. Ca atunci esti amendat cu 20 de milioane. Asa, scurt.

– prin “date personale” se intelege orice poate fi folosit pentru a identifica o persoana – direct sau indirect. Cateva exemple sunt date in GDPR FAQ, astfel:

Any information related to a natural person or ‘Data Subject’, that can be used to directly or indirectly identify the person. It can be anything from a name, a photo, an email address, bank details, posts on social networking websites, medical information, or a computer IP address.

E important sa intelegem chestia asta, pentru ca unii oameni pot crede ca “dom’le, dar nu ne priveste pe noi, ca noi nu stocam date herpaderp, nu suntem o organizatie de-aia”. Fals. 100% fals. Ai loguri de apache/nginx? Surpriza – contin IP-uri si informatii legate de browser si OS. Rulezi wordpress? Surpriza, in baza de date ai date personale. Hai sa va arat doua exemple, ca sa nu existe confuzii.

– nu mai merge nici cu harneli de spam long-term, pentru ca nu mai e permisa mizeria aia odioasa cu “avem emailul tau de undeva, nu mai stim de unde, credem ca ai fost de acord sa iti trimitem acest spam jegos”. Cu citat:

Explicit consent is required only for processing sensitive personal data – in this context, nothing short of “opt in” will suffice. However, for non-sensitive data, “unambiguous” consent will suffice.

In acest sens, haideti sa va arat panica din online din UK.

Da. Exact. Nu mai merge cu “avem noi detaliile tale de undeva, deci ia de-aici acest spam jegos in fiecare saptamana, indiferent de ce faci”. Nu mai merge cu “ia de-aici acest buton de unsubscribe care nu functioneaza”. Nu mai merge cu nimic. O fac in continuare simpaticii astia? Reclamatie direct la DPA si pac, 20 de milioane amenda. Sanatate si muie – ti se duce afacerea pe pula in timp record.

– nu mai merge nici cu “youtube, canalu’ de retarzi de 15 ani”, pentru ca:

Parental consent will be required to process the personal data of children under the age of 16 for online services; member states may legislate for a lower age of consent but this will not be below the age of 13.

Hai, succes cu de-astea cand trebuie acordul parintilor. Suuuuucces.

– o alta parte interesanta tine de data encryption. OK, ai datele utilizatorilor, dar trebuie sa iei masuri pentru a te asigura ca, in caz ca-s furate, nu vor identifica o persoana. Astfel, datele personale trebuie sa fie ori criptate, ori sa foloseasca pseudonymisation, ori whatever. Iar daca nu faci asta, pac – amenda de-aia simpatica.

Ia, stiti pe cineva care foloseste pseudonymisation? Ca eu stiu fix O AFACERE care face asta. Stiti pe cineva care stocheaza datele criptat? Trebuie sa dai cu tunul pentru a gasi o afacere care foloseste macar at rest encryption, ce sa mai vorbim de non-deterministic sau criptare asimetrica a datelor in tranzit (si nu ma refer la visitor -> webserver, ci la webserver -> backend) sau orice altceva.

– ultima chestie despre care o sa scriu pe tema asta (ca plm, se apropie ora 9 si tre’ sa incep sa mimez munca) tine tot de criptarea datelor in tranzit – in speta de https. Hai, viteza cu https-ul ala. Poate-ati observat ca si opencube foloseste acum https. Dar luati alte site-uri random si veti vedea ca ori nu folosesc https (exemplu relativ popular in Romania), ori il folosesc, da’ e pe jumatate nefunctional – cum ar fi astia:

In fine, motivul pentru care scriu despre asta e ca e amuzant sa vad in fiecare zi zeci de afaceri care au o componenta online si dorm in front fara a face nimic pe tema, chit ca mai sunt 4 luni pana explodeaza mamaliga. Acum, daca era vorba de site-urile personale ale unora, OK, nu comentam nimic, treaba lor, aia dau site-ul jos si apoi reinstaleaza corect si-i doare-n pula de downtime. Da’ stiti cat dureaza intr-o companie planificarea si implementarea unui proiect de genul asta? Pfai de pula mea…Asta-i tot ce-o sa spun.

Impresia mea e ca cei mai multi nici nu stiu de asta, desi e “pe vine” de doi ani.

O sa fie interesant de vazut cum schimba asta peisajul online. Deocamdata, e loc de mancat o paine in domeniul asta si, la prima vedere, baietii si fetele cu spam o vor lua in falci la foc automat. Sa vedem.

Mai sunt si alte chestii de mentionat (right to be forgotten) da’ nu am nici timp, nici chef de continuat pe tema asta. Ah, ai o afacere si acum auzi pentru prima data de asta?

Succes, lol – discuta cu IT manageru’ si intreaba-l ce-a facut in ultimii doi ani.

In alta ordine de idei:

– sa vedeti acum meciuri intre IT si Legal daca sunteti corporatisti
– e loc sa manance si gura hecarilor nitel. Asa, pe sistemul “boss, am gasit datele astea pe serverul tau, dai si tu acolo 100 de btc sau le trimit la DPA si le dai lor 20 de milioane?”. Pofta buna!

PS …si, daca v-a suparat vreo afacere online cu ceva, din Mai 2018 stiti ce-aveti de facut, daaaa? Wink-wink

PPS Daca n-are cine, stiu eu un baiat care te poate ajuta, bo$$ – pentru un cadou simbolic de cateva zeci de mii de lire <3