10 zasad RODO w procesie tworzenia aplikacji

Każda aplikacja mobilna, która ma zostać udostępniona do publicznego użytku, powinna spełniać obowiązujące normy prawne. Dotyczy to w szczególności przepisów regulujących wykorzystywanie cudzych danych osobowych. Na jakie przepisy RODO w procesie tworzenia aplikacji należy zwrócić szczególną uwagę?

Aplikacja mobilna a prawo

Każdy może stworzyć dowolną aplikację mobilną, o ile nie będzie ona naruszała powszechnie obowiązujących przepisów. Zakazane jest więc tworzenie aplikacji, które miałyby służyć popełnieniu przestępstwa lub w inny sposób łamałyby prawo. Aplikacje mobilne mogą być udostępniane zarówno odpłatnie, jak i za darmo. Ostateczną decyzję w tym zakresie podejmuje oczywiście jej twórca.

Aplikacja mobilna jest utworem w rozumieniu Ustawy o prawie autorskim i prawach pokrewnych, co oznacza, że podlega pełnej ochronie prawnej. Dla twórcy takiego oprogramowania jest to dobra wiadomość, ponieważ może on skutecznie bronić się przed naruszaniem jego praw autorskich do tego specyficznego dzieła. Z drugiej strony każda aplikacja mobilna musi być zgodna z regulacją odnoszącą się do kwestii danych osobowych oraz RODO. Najlepszym rozwiązaniem w tym zakresie jest stworzenie aplikacji tak, aby już od podstaw była zgodna z ww. przepisami. Późniejsze aktualizacje oprogramowania lub jego poprawki zajmują więcej czasu niż pierwotne sprawdzenie jego zgodności z RODO.

RODO w procesie tworzenia aplikacji mobilnej

RODO to skrót Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Ww. akt prawny obowiązuje w Unii Europejskiej bezpośrednio od 25 maja 2018 roku i dotyczy szeroko rozumianej kwestii prawidłowego przetwarzania danych osobowych, takich jak m.in. imię, nazwisko, adres zamieszkania, PESEL, NIP itd. RODO jest o tyle ważnym aktem prawnym, że w przypadku naruszenia przepisów tego rozporządzenia naruszający musi liczyć się z naprawdę wysokimi karami pieniężnymi liczonymi nawet w dziesiątkach tysięcy euro. Nic więc dziwnego, że od chwili wejścia w życie tych szczególnych przepisów wielu przedsiębiorców musiało nauczyć się prawidłowego gromadzenia i przetwarzania z danych osobowych swoich klientów i kontrahentów.

Aplikacje mobilne również podlegają pod przepisy RODO, ponieważ korzystanie z takiego oprogramowania w zasadzie zawsze wymaga podania choćby minimalnych danych osobowych przez użytkownika. Jest to szczególnie widoczne w przypadku odpłatnych aplikacji, przy których dodatkowo dochodzi obowiązek jednorazowej lub cyklicznej płatności za korzystanie z oprogramowania. Tworząc aplikację mobilną zgodną z RODO, zabezpieczamy się nie tylko przed wysokimi karami finansowymi, ale także roszczeniami o charakterze odszkodowawczym ze strony użytkowników naszego oprogramowania.

Zgodnie z art. 25 ust. 2 RODO administrator wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Obowiązek ten odnosi się do liczby zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych.

Aby aplikacja mobilna była zgodna z RODO, należy zwrócić szczególną uwagę na następujące zagadnienia:

1. Stworzenie przejrzystych informacji o tym, kto i na jakich zasadach będzie przetwarzał dane osobowe użytkowników aplikacji. Im mniejsza liczba twórców, tym efektywniej dochodzi do przestrzegania zasad RODO.
2. Aplikacja musi poinformować użytkownika w sposób jasny i jak najbardziej precyzyjny o wyrażeniu przez niego dobrowolnej, konkretnej, świadomej i jednoznacznej zgody, aby mógł z niej w ogóle korzystać. Odmowa udzielenia takiej zgody jest równoznaczna z brakiem możliwości korzystania z oprogramowania, o czym użytkownik również musi pamiętać.
3. Aplikacja mobilna i serwery, na których się ona znajduje, muszą być należycie zabezpieczone przed ewentualnym wyciekiem danych osobowych użytkowników. Chodzi tu przede wszystkim o zabezpieczenia natury cyfrowej, tj. chroniące dane przed atakami ze strony hakerów lub przed powszechnym dostępem do nich przez osoby trzecie. Niedostateczne zabezpieczenia zwiększają ryzyko naruszenia ochrony danych osobowych.
4. Twórca aplikacji musi stworzyć i następnie wdrożyć regulamin zbierania oraz przetwarzania danych osobowych użytkowników, a także politykę prywatności oprogramowania.
5. Twórcy aplikacji powinni zbierać i przetwarzać dane osobowe tylko i wyłącznie w zakresie niezbędnym do działania oprogramowania. Innymi słowy, zbieranie i przetwarzanie danych nadmiarowych może być uznane za naruszenie RODO. Zbierajmy więc tylko te dane, które są naprawdę niezbędne dla potrzeb prawidłowego działania aplikacji mobilnej.
6. Aplikacja powinna przechowywać dane osobowe tylko tak długo, jak będzie to niezbędne dla celów jej poprawnego funkcjonowania. Jeśli jakieś informacje dotyczące użytkownika nie będą potrzebne, należy je usunąć. W tym zakresie warto pomyśleć o ustawieniu czasów usuwania zebranych danych.
7. Autor aplikacji mobilnej musi zwrócić szczególną uwagę na stworzenie zasad udostępniania zebranych danych osobowych innym podmiotom, np. firmom współpracującym z daną aplikacją lub ją rozpowszechniającym. Dotyczy to także wszelkiego rodzaju reklamodawców, usługodawców, twórców innych powiązanych aplikacji, a nawet organów nadzoru. Pamiętajmy, że w przypadku sądów i organów ścigania zasady RODO doznają w większości wyłączenia, stąd też instytucje te mogą żądać udostępnienia zgromadzonych danych na potrzeby prowadzonego postępowania.
8. Zbieranie i przetwarzanie danych przez aplikację mobilną powinno być dokumentowane przez twórcę oprogramowania. Dotyczy to także rejestracji korzystania z aplikacji przez każdego użytkownika. Twórca musi wiedzieć kto, gdzie, kiedy i jak długo korzystał z jego aplikacji.
9. Aplikacje mobilne, które będą powiązane z portalami społecznościowymi, muszą informować użytkowników o tym, że ich dane mogą być przetwarzane i analizowane dla różnych potrzeb np. dla celów reklamowych lub do rozwoju innych portali internetowych.
10. Twórcy aplikacji muszą w szczególności zadbać na uprawnienia dostępu do funkcji urządzenia mobilnego, na którym będzie wykorzystywane dane oprogramowanie. Chodzi tutaj oczywiście o kamerę, mikrofon, kontakty, opcję lokalizacji, a nawet czytniki linii papilarnych lub skanery siatkówek oka. Aplikacje, które będą mogły korzystać z takich narzędzi, muszą zapytać użytkownika o pozwolenie na dostęp.

Aplikacja mobilna - strategie projektowania prywatności

Aby jeszcze bardziej przybliżyć zagadnienie prawidłowego projektowania aplikacji mobilnych, posłużmy się raportem Agencji UE ds. Cyberbezpieczeństwa „Privacy and data protection in mobile applications” z listopada 2017 roku, w którym zwrócono uwagę na 8 kluczowych strategii projektowania prywatności w tego rodzaju aplikacjach:

1. Minimalizuj, czyli ogranicz dostęp aplikacji mobilnej do sensorów urządzenia.
2. Ukrywaj, czyli chroń dane użytkowników przed upublicznieniem lub nieuprawnionym dostępem.
3. Separuj, czyli zapobiegaj korelacji danych poprzez ich separację fizyczną lub logiczną.
4. Abstrahuj, czyli minimalizuj szczegóły dotyczące przetwarzanych danych poprzez ich grupowanie lub podsumowanie.
5. Informuj, czyli informuj użytkowników o przetwarzaniu ich danych.
6. Kontroluj, czyli umożliwiaj użytkownikom wyrażanie i wycofywanie zgody, wyboru, jakie dane mają być przetwarzane, aktualizowane lub usuwane.
7. Egzekwuj, czyli twórz, utrzymuj i egzekwuj politykę prywatności dla aplikacji mobilnej.
8. Demonstruj, czyli pokaż użytkownikowi, że masz adekwatne środki techniczne i organizacyjne.

Podsumowując, decydując się na stworzenie aplikacji mobilnej, już na samym początku warto zadbać nie tylko o jej pełną funkcjonalność, ale także o zgodność z przepisami RODO. Każda aplikacja mobilna udostępniana odpłatnie lub za darmo musi zabezpieczać w należyty sposób dane osobowe przyszłych użytkowników. Odpowiednie przygotowania i wdrożenie procedur ochronnych uchroni twórcę aplikacji przed odpowiedzialnością finansową za naruszenie zasad RODO oraz odszkodowawczą względem użytkowników.