RODO w aplikacji finansowej: kto odpowiada za Twoje dane?

Kto odpowiada za dane w aplikacji

Zapisujesz w budżecie wypłatę, ratę kredytu i przelew za wizytę u lekarza. Dla Ciebie to trzy pozycje w zestawieniu. Dla osoby, która uzyska do nich dostęp, mogą to być informacje o Twojej pracy, zobowiązaniach i zdrowiu. Dlatego przy wyborze aplikacji warto sprawdzić, kto ma te dane i na jakich zasadach z nich korzysta.

RODO nazywa administratorem tego, kto decyduje, po co i w jaki sposób przetwarza dane osobowe. Gdy jedna osoba prowadzi własną aplikację i ustala zasady działania kont użytkowników, zwykle to ona jest administratorem. Wielkość zespołu ani bezpłatny dostęp do usługi same w sobie nie zwalniają z obowiązków.

Samo napisanie kodu nie przesądza o tej roli. Programista pracujący dla innej firmy może działać z jej upoważnienia, a zewnętrzny wykonawca z dostępem do danych może być podmiotem przetwarzającym. Liczy się rzeczywisty podział decyzji i zadań. Podobnie korzystanie z chmury nie przenosi automatycznie odpowiedzialności za aplikację na jej dostawcę.

W praktyce: w polityce prywatności powinno dać się znaleźć nazwę lub imię i nazwisko administratora oraz sposób kontaktu. Informacja „dane są w chmurze” nie odpowiada na pytanie, kto odpowie na Twoją prośbę o ich usunięcie.

Czy na wszystko trzeba wyrażać zgodę

Nie. Zgoda jest jedną z sześciu podstaw przetwarzania wymienionych w art. 6 RODO. Nie jest ani z definicji słabsza, ani lepsza od pozostałych. Podstawa musi pasować do konkretnego celu. W aplikacji do budżetu można to rozróżnić tak:

• Zapis wydatków na Twoim koncie może opierać się na wykonaniu umowy o korzystanie z aplikacji, jeśli jest niezbędny do świadczenia zamówionej usługi.
• Wykrywanie prób włamania może opierać się na prawnie uzasadnionym interesie. Administrator musi jednak ocenić niezbędność takiego przetwarzania i jego wpływ na prawa użytkowników.
• Przechowywanie danych na fakturze za płatną usługę może wynikać z obowiązku prawnego, np. z przepisów podatkowych.
• Publikacja Twojej opinii ze zdjęciem może wymagać odrębnej, dobrowolnej zgody. Odmowa nie powinna odbierać dostępu do niezwiązanych z nią funkcji budżetu.

Dopisanie czynności do regulaminu nie sprawia, że staje się ona niezbędna do wykonania umowy. Z kolei potwierdzenie przeczytania polityki prywatności nie jest zgodą na dowolne wykorzystanie danych. Jeśli podstawą jest zgoda, jej wycofanie powinno być równie łatwe jak jej udzielenie.

Co zdradza historia wydatków

Saldo, wysokość pensji czy rata kredytu powiązane z możliwą do zidentyfikowania osobą są danymi osobowymi. Same informacje o finansach nie należą do szczególnych kategorii danych z art. 9 RODO. To nie znaczy, że można je słabiej chronić: ich ujawnienie może narazić kogoś choćby na oszustwo lub szantaż.

Opis transakcji może jednak ujawniać informacje objęte art. 9. Wpis „terapia depresji — wizyta” mówi o zdrowiu, a składka członkowska na rzecz partii może ujawniać poglądy polityczne. Nie każdy zakup w aptece pozwala ustalić stan zdrowia; znaczenie ma treść i kontekst danych.

Dla autora aplikacji oznacza to konieczność sprawdzenia także notatek, załączników i opisów przelewów. Jeśli usługa ma przetwarzać dane szczególnych kategorii, potrzebna jest zarówno podstawa z art. 6, jak i odpowiedni wyjątek od zakazu z art. 9 ust. 2. Szyfrowanie pomaga chronić dane, ale samo nie daje prawa do ich zbierania.

Przy zwykłym planowaniu budżetu często wystarczy wpisać „zdrowie — 200 zł”, bez nazwiska lekarza i rozpoznania. W wersji demonstracyjnej użyj całkowicie fikcyjnego wydatku. Do sprawdzenia, jak działa kategoria, nie potrzebujesz własnej dokumentacji medycznej.

Co musi przygotować autor aplikacji

Mały projekt potrzebuje zasad odpowiadających temu, co faktycznie robi z danymi. Przed udostępnieniem kont użytkownikom trzeba zadbać między innymi o:

• Informację dla użytkownika. Jakie dane są zbierane, po co, na jakiej podstawie, komu trafiają i jak długo pozostają w systemie. Polityka musi opisywać działającą usługę, w tym zewnętrzne funkcje AI, jeżeli przekazują dane dalej.
• Dostawców. Jeżeli przetwarzają dane w imieniu administratora, potrzebne są warunki powierzenia zgodne z art. 28. Trzeba też sprawdzić ewentualne przekazywanie danych poza Europejski Obszar Gospodarczy i jego podstawę.
• Ograniczenie zbieranych danych i dostępu. Aplikacja do wydatków zwykle nie potrzebuje numeru PESEL. Użytkownik nie powinien móc odczytać cudzego budżetu przez zmianę identyfikatora w żądaniu. Zabezpieczenia trzeba sprawdzać również po stronie serwera.
• Terminy usuwania. Osobno dla danych konta, korespondencji, logów i kopii zapasowych. Przechowywanie wszystkiego bezterminowo „na wszelki wypadek” trudno uzasadnić.
• Dokumentację przetwarzania. RODO nie wymaga rejestrowania się jako administrator w UODO. Rejestr czynności z art. 30 to odrębna dokumentacja. Wyjątek dla podmiotów zatrudniających mniej niż 250 osób jest ograniczony — nie obejmuje m.in. przetwarzania, które nie jest sporadyczne, więc mała liczba pracowników nie wystarczy przy stałej obsłudze kont.

Ocena skutków dla ochrony danych, czyli DPIA, jest wymagana, gdy planowane przetwarzanie może powodować wysokie ryzyko. Samo określenie „aplikacja finansowa” nie rozstrzyga tej kwestii. Podobnie inspektor ochrony danych nie jest obowiązkowy w każdej większej firmie. W prywatnej aplikacji znaczenie mają m.in. główna działalność polegająca na regularnym i systematycznym monitorowaniu osób na dużą skalę albo przetwarzaniu na dużą skalę danych z art. 9 lub danych o wyrokach i naruszeniach prawa.

Usunięcie konta i wyciek danych

Załóżmy, że kończysz testy aplikacji i prosisz o kopię swoich danych oraz usunięcie konta. Administrator powinien odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Przy skomplikowanym żądaniu lub dużej liczbie żądań może przedłużyć termin o dwa kolejne miesiące, ale musi poinformować o tym i podać przyczynę w pierwszym miesiącu.

Usunięcie nie zawsze obejmie każdy zapis. Na przykład dane wymagane do rozliczeń podatkowych mogą pozostać przez okres wynikający z prawa. Nie daje to jednak powodu do zachowania całej historii Twoich wydatków. Administrator powinien wyjaśnić, co zostaje i dlaczego. Prawo do przenoszenia danych ma z kolei własne warunki — dotyczy danych dostarczonych przez osobę, przetwarzanych automatycznie na podstawie zgody lub umowy.

Inna sytuacja: błąd w uprawnieniach ujawnia Twój budżet innemu użytkownikowi. Autor aplikacji musi zatrzymać problem, ustalić zakres naruszenia i ocenić ryzyko. Zgłoszenie Prezesowi UODO następuje bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla praw lub wolności osób jest mało prawdopodobne. Nie trzeba czekać na dowód, że ktoś wykorzystał ujawnione dane.

Wysokie ryzyko uruchamia dodatkowo obowiązek zawiadomienia osób bez zbędnej zwłoki, z wyjątkami przewidzianymi w art. 34 ust. 3. To inny próg niż przy zgłoszeniu do urzędu. Każde naruszenie trzeba udokumentować, także gdy ocena nie prowadzi do zgłoszenia.

Jak to wygląda w demo Blicca

W publicznym demo Blicca korzystasz z przygotowanej, fikcyjnej historii finansowej. Możesz sprawdzić budżet, zmienić kategorię wydatku i zobaczyć wynik bez podawania rzeczywistej pensji czy wgrywania własnych faktur. Uruchomienie demo nie wymaga e-maila.

Nadal powstaje techniczny identyfikator konta, a obsługa połączeń i zabezpieczeń wiąże się z danymi technicznymi. Identyfikatory i adresy IP mogą być danymi osobowymi, jeśli pozwalają zidentyfikować osobę. „Logowanie anonimowe” to nazwa mechanizmu dostawcy; nie jest gwarancją anonimowości w rozumieniu RODO.

Konto demo wygasa po 24 godzinach. Usuwaniem zajmuje się okresowe zadanie, więc wygaśnięcie konta i usunięcie wszystkich jego danych nie następują dokładnie w tej samej chwili. Logi oraz techniczne kopie dostawców mogą mieć osobne okresy przechowywania.

Fikcyjne dane pozwalają ograniczyć ilość prywatnych informacji potrzebnych do wypróbowania aplikacji. Obowiązki wobec osób korzystających z serwisu nadal pozostają. Zasady dla demo, zamkniętej bety i kontaktu z autorem opisuje polityka prywatności Blicca.

Źródła i przepisy

Podstawą opisu są przepisy RODO. Poniższe materiały pomagają sprawdzić poszczególne zagadnienia:

• RODO — rozporządzenie (UE) 2016/679: art. 4–7 (role, zasady i podstawy), art. 9 (szczególne kategorie), art. 12–22 (prawa osób), art. 25 i 28–37 (projektowanie usługi, dostawcy i obowiązki). Motywy 26 i 30 wyjaśniają identyfikację osób i identyfikatory internetowe.
• EROD, wytyczne 2/2019 dotyczące wykonania umowy w usługach internetowych: kiedy można powołać się na art. 6 ust. 1 lit. b.
• UODO: termin zgłoszenia naruszenia: od kiedy liczyć 72 godziny i jak postąpić, gdy nie ma jeszcze wszystkich informacji.
• Wytyczne dotyczące inspektorów ochrony danych, WP 243 rew.01: główna działalność, duża skala i regularne monitorowanie.

Artykuł wyjaśnia ogólne zasady. Przy projektowaniu konkretnej usługi zakres obowiązków trzeba ustalić na podstawie jej danych, funkcji i sposobu działania.