Jak zbierać dane użytkowników. Właściciel strony vs RODO

27 Lut 2020

Yaroslav Shatkevich
Yaroslav Shatkevich
Programista z 17-letnim doświadczeniem. Współzałożyciel i CTO The Story. Fascynat planowania prac programistycznych, autor licznych specyfikacji IT i DevOps. Wyróżniany przez Awwwards, nagrodzony iF Design Award 2018. Na co dzień pracuje w technologiach Python, PHP, React, JavaScript. Stworzył ponad 90 aplikacji webowych i mobilnych oraz systemów dedykowanych.

Wraz z wejściem w życie RODO, na właścicieli stron internetowych spadła większa odpowiedzialność za dane użytkowników. Lecz można uniknąć tego brzemienia poprzez korzystanie z usług zewnętrznych firm – o wiele bardziej wyspecjalizowanych od nas, zapewniających duże bezpieczeństwo i spełniających wymagania Ogólnego rozporządzenia o ochronie danych.

Tworząc stronę internetową, od początku procesu konieczne jest myślenie w kategorii przechowywania danych osobowych. Witryna powinna powstawać zgodnie z ideą secure by design”. Chodzi o tworzenie strony www tak, żeby była bezpieczna już w fazie projektu.

Tymczasem często spotykam się z projektantami prostych stron firmowych, którzy zapominają o aspekcie przechowywania danych.

Prawnik klienta – o ile w ogóle – ogląda efekt prac nad stroną dopiero po jej opublikowaniu. Może się wówczas okazać, że formularz kontaktowy czy newslettera nie spełniają określonych wymagań, o których mówi RODO.

RODO narzuca obowiązek informacyjny w razie wycieku danych.
W RODO chodzi przede wszystkim o obowiązek informacyjny, ponieważ ataki hakerskie są dziś czymś powszechnym i zawsze może dojść do wycieku danych.

RODO a swoboda w dobieraniu zabezpieczeń

Dodam, że RODO nie określa, jakie warunki organizacyjne i techniczne w kwestii przetwarzania danych powinny zostać spełnione. Byłoby to zresztą niepraktyczne, biorąc pod uwagę różnice w przedsiębiorstwach, jak i szybko zmieniające się rozwiązania technologiczne.


W The Story robimy cholernie dobre strony. Sprawdź!


Dlatego mamy sporą swobodę. Choć naszym zadaniem jest zaoferowanie systemu, w którym dane są przetwarzane zgodnie z przepisami i zabezpieczone przed przypadkowym usunięciem lub modyfikacją.

Ostatnią zaś rzeczą, którą musimy zagwarantować, jest to, że do danych nie powinny mieć dostępu osoby postronne.

Dochodzi do tego jeszcze aspekt wyrażenia przez użytkownika świadomej zgody na przetwarzanie danych osobowych. Możemy wyrazić zgodę słownie czy poprzez zaznaczenie odpowiedniego pola w formularzu.

Lecz użytkownik musi zostać poinformowany, jakie podmioty będą przetwarzały dane oraz w jakim celu będzie się to odbywać. Jeśli więc nie wyrazimy bezpośredniej zgody na przetwarzanie danych osobowych, firma nie ma prawa ich wykorzystać.

RODO a kwestia techniczna

Patrząc na problem RODO od strony technicznej, sprawa jest bardziej skomplikowana. Wyobraźmy sobie, że użytkownik naszego serwisu podaje szereg danych, takich jak imię i nazwisko, mail itd. oraz dodaje wiadomość z prośbą o pomoc. Tak dane zostają zapisane w naszej bazie bądź wysłane na wskazany mail.

Dane powinny być tymczasem odpowiednio zabezpieczone i nadzorowane.

MailChimp jest pomocny przy rozsyłaniu newsletterów.
MailChimp ułatwia m.in. rozsyłanie newsletterów.

Czy samodzielne przechowywanie danych to dobry pomysł

Mając wewnętrzną bazę danych, jesteśmy jeszcze w stanie w jakimś stopniu nad wszystkim zapanować możemy sprawdzić, że dana osoba właśnie zalogowała się, przejrzała dany wpis czy go wyeksportowała.

Lecz kiedy to wszystko trafia na wskazany mail, zostajemy pozbawieni kontroli. Nie wiemy, kiedy taki mail zostanie przekazany, co więcej, bardzo trudno zarejestrować tego rodzaju zbiór danych, a następnie nim zarządzać.

System CRM – system informatyczny, który automatyzuje i wspomaga procesy na styku klient-organizacja w zakresie pozyskania, jak i utrzymania klienta.

Dlatego w The Story korzystamy z innego podejścia. W wypadku typowych stron internetowych, gdzie mamy formularz kontaktowy czy zapis do newslettera, staramy się nie przechowywać danych osobowych w naszej infrastrukturze.

API (Application Programming Interface) – mechanizm, który umożliwia wymianę danych między niezależnymi systemami IT.

Jest to możliwe dzięki zastosowaniu zewnętrznego narzędzia. Chodzi o oprogramowanie CRM w postaci HubSpot, choć wiele firm korzysta z Salesforce czy Bullhorn; jest mnóstwo CRM-ów dostępnych w chmurze, które udostępniają publiczne API.

I to właśnie dzięki temu API jesteśmy w stanie całkowicie pominąć etap przechowywania danych w naszym systemie. Nasza strona udostępnia wyłącznie formularz kontaktowy, podczas gdy za całą resztę odpowiada zewnętrzne oprogramowanie.

Formularz kontaktowy

Zobrazuję problem na przykładzie formularza kontaktowego. Internauta wypełnia go, a następnie klika przycisk „Wyślij”. W tradycyjnym podejściu zapisalibyśmy to w naszej bazie lub wysłalibyśmy dane z formularza na listę wskazanych maili.

W wypadku The Story nie zapisujemy niczego w obrębie własnej bazy oraz nie przekazujemy tradycyjnym mailem, tylko za pomocą publicznego API zapisujemy dane bezpośrednio do CRM.

Takie rozwiązania, jak HubSpot czy Salesforce, spełniają wszystkie wymagania związane z przechowywaniem danych zgodnie z RODO, jak i innymi regulacjami.

Pamiętajmy, że regulacja RODO obowiązuje tylko na terenie UE. Mamy zaś wiele innych regulacji (np. w Rosji, USA czy Chinach), do których najwięksi gracze, tacy jak HubSpot i Salesforce, dostosowują się.

Dlatego rutynę związaną z nadzorem zbiorem naszych danych osobowych przerzucamy całkowicie do np. HubSpot. I dopiero z poziomu takiego narzędzia zarządzamy danymi osobowymi naszych klientów.

Aby uporać się z problemem RODO, warto skorzystać z zewnętrznych narzędzi.

Zapis do newslettera

Analogicznie jest w wypadku zapisu do newslettera już dawno odeszliśmy od podejścia, w którym piszemy własne systemy wysyłania maili do klientów. Wiązałoby się to z wieloma komplikacjami z dostarczalnością takich wiadomości (można trafić np. na spam listę), a także brakiem monitoringu kampanii wysyłkowych, statystyki i analizy zachowania odbiorców.

W takiej sytuacji z pomocą przychodzi np. MailChimp. Jest to globalny gracz, który poważnie podchodzi do problemu spamu i przechowywania danych osobowych.

Dlatego, podobnie jak w wypadku formularza kontaktowego, zalecam, by przesłane dane nie trafiały do naszego wewnętrznego systemu i bazy, nie były też przesyłane na firmową skrzynkę pocztową, tylko dzięki publicznemu API zostały skierowane do konkretnego systemu, który będzie później odpowiadał za mailingi, jak MailChimp, Freshmail, Salesforce czy HubSpot.

Najważniejszy obowiązek informacyjny

W przypadku RODO należy pamiętać, że nie ma stricte określonego pojęcia odpowiedzialności za przechowywanie danych. Wiemy, że systemy informatyczne są mniej lub bardziej podatne na włamania, co może wiązać się z kradzieżą danych.

Najważniejszy jest więc obowiązek informacyjny i wykazanie podjęcia wszelkich możliwych działań. Musimy jak najwcześniej wykryć wyciek i poinformować o tym wszystkie osoby, które stały się jego ofiarami.

Jeśli doszłoby do wycieku danych w HubSpocie, to raczej wszyscy korzystający z jego usług zostaną o tym szybko powiadomieni.

Dlatego firmy korzystające z HubSpota będą mogły sprawnie ostrzec swoich klientów. Prawdopodobieństwo wykrycia ataku jest zaś o wiele mniejsze, gdy prowadzimy nieduże przedsiębiorstwo i nadzorujemy samodzielnie zbiorem danych osobowych.

Symbolem MailChimp jest małpka.

Kiedy strona nie jest wyposażona w specjalne narzędzia (albo nie jest nadzorowana przez profesjonalnego DevOpsa, który ciągle monitoruje logi dostępu i integralność danych), to prawdopodobnie nie wykryjemy wycieku.

Wówczas mogą pojawić się poważne konsekwencje. Niewykryty wyciek, o ile zostanie zgłoszony do UODO przez użytkownika naszego serwisu, oznacza duże kary.

Jeśli jednak korzystamy z zewnętrznych, profesjonalnych systemów, to istnieje o wiele większe prawdopodobieństwo, że utrata danych zostanie wykryta, a tym samym nasi użytkownicy zostaną przez nas poinformowani.

Również to po stronie dostawcy CRM leży jak najszybsze załatanie dziur w bezpieczeństwie, co w wypadku mniejszych przedsiębiorstw z wewnętrznym zbiorem danych, ale bez zespołu deweloperskiego, może być kosztochłonne i nie nastąpić niezwłocznie.

HubSpot sprawdza się doskonale jako narzędzie do przechowywania danych.
HubSpot to bardzo skuteczne narzędzie do przechowywania danych.

RODO wcale nie takie straszne

SaaS (Software as a service, oprogramowanie jako usługa) – jeden z modeli chmury obliczeniowej. Działa tak, że aplikacja jest przechowywana i wykonywana na komputerach dostawcy usługi, a udostępnia się ją użytkownikom przez internet.

RODO nie jest naszym wrogiem. Jest to zbiór ogólnych wytycznych i regulacji, dzięki którym bezpieczeństwo naszych danych osobowych i danych naszych użytkowników systematycznie rośnie. Dzięki RODO rośnie też świadomość ludzi o wartości ich tożsamości – i to nie tylko w internecie.

PaaS (Platform as a service, Platforma jako usługa) – usługa polegająca na udostępnieniu przez dostawcę wirtualnego środowiska pracy.

Pamiętajmy zawsze o zasadzie secure by design i starajmy się dostarczyć rozwiązania faktycznie bezpieczne i przemyślane. W dobie SaaS i PaaS korzystajmy jak najwięcej ze sprawdzonych, profesjonalnych narzędzi, które przy niedużym wysiłku i koszcie miesięcznym zagwarantują najwyższy poziom bezpieczeństwa danych osobowych.

Fot. główna: elhombredenegro / Flickr.com / Bit.ly/382zmh8 / CC BY 2.0


Dzięki za lekturę! Podziel się za pomocą poniższych przycisków.

Yaroslav Shatkevich
Yaroslav Shatkevich
Programista z 17-letnim doświadczeniem. Współzałożyciel i CTO The Story. Fascynat planowania prac programistycznych, autor licznych specyfikacji IT i DevOps. Wyróżniany przez Awwwards, nagrodzony iF Design Award 2018. Na co dzień pracuje w technologiach Python, PHP, React, JavaScript. Stworzył ponad 90 aplikacji webowych i mobilnych oraz systemów dedykowanych.

Tworzymy bezpieczne serwisy internetowe