Τι γίνεται με τα προσωπικά δεδομένα των διαιτώμενών μου;

Δεν είναι «στοιχεία πελάτη»

Βάρος, σύσταση σώματος, ιατρικοί δείκτες, φαρμακευτική αγωγή, παθήσεις, διατροφικές συνήθειες, σημειώσεις συνεδρίας. Όλα αυτά είναι δεδομένα υγείας και ανήκουν στην ειδική κατηγορία του άρθρου 9 του GDPR — αυτήν που ο κανονισμός προστατεύει αυστηρότερα από κάθε άλλη.

Δεν είναι το ίδιο με ένα email σε μία λίστα newsletter. Η επεξεργασία τους απαιτεί ειδική νομική βάση, ενισχυμένα μέτρα ασφαλείας και υπευθυνότητα. Το γεγονός ότι τα καταχωρείς σε ένα πρόγραμμα αντί για ένα ντοσιέ δεν αλλάζει τίποτα από αυτά — απλώς αλλάζει τα μέτρα που πρέπει να πάρεις.

Υπεύθυνος επεξεργασίας είσαι εσύ

Αυτό είναι το σημείο που παρεξηγείται περισσότερο. Για τα δεδομένα των διαιτώμενών σου, υπεύθυνος επεξεργασίας είσαι – και πρέπει να είσαι – εσύ, όχι ο πάροχος του λογισμικού. Εσύ αποφασίζεις ποια δεδομένα θα συλλέξεις, για ποιον σκοπό και για πόσο.

Σε μία πλατφόρμα τύπου Website As A Service, όλα τα δεδομένα αποθηκεύονται στον server που χρησιμοποιεί ο πάροχος. Αυτό σημαίνει πως τα δεδομένα ναι μεν ανήκουν σε εσένα, αλλά όχι μόνο σε εσένα: ο πάροχος γίνεται εκτελών την επεξεργασία για λογαριασμό σου, κάτι που δημιουργεί μια αλυσίδα υποχρεώσεων και για τις δύο πλευρές.

Τι μπορεί να πάει στραβά;

Η κεντρική ιδέα του Νόμου του Μέρφι είναι πως κάτι που μπορεί να πάει στραβά, θα πάει. Ας υποθέσουμε λοιπόν το χειρότερο σενάριο: διαρροή, μη εξουσιοδοτημένη πρόσβαση, απώλεια δεδομένων. Εσύ θα πρέπει να εξηγήσεις στον διαιτώμενο τι έχει συμβεί, και ο διαιτώμενος θα ζητήσει εξηγήσεις από εσένα.

Ένα λιγότερο κακό σενάριο

Το ζήτημα δεν είναι μόνο τι γίνεται αν κάτι στραβώσει. Είναι και τι γίνεται στην καθημερινότητα.

Αν για παράδειγμα πέσει ο server που χρησιμοποιεί ο πάροχος της πλατφόρμας, εσύ δε μπορείς καν να δεις τον φάκελο του διαιτώμενου που κάθεται απέναντί σου. Δεν είναι θεωρητικό — είναι μια πραγματική συνεδρία που πρέπει κάπως να τη βγάλεις.

Αν πάλι αποφασίσεις κάποια στιγμή να αλλάξεις εργαλείο, τότε ίσως συνειδητοποιήσεις με τον πιο άσχημο τρόπο τη σημασία του ερωτήματος: περιμένοντας να λάβεις αντίγραφο των δεδομένων των πελατών σου, σε μορφή που δεν επιλέγεις εσύ, μέσα σε προθεσμία που δεν ορίζεις εσύ.

Με άλλα λόγια, όσο περισσότερο απομακρύνονται τα δεδομένα από εσένα, τόσο λιγότερος έλεγχος σου μένει — και τόσο περισσότερες υποχρεώσεις τεκμηρίωσης αναλαμβάνεις για να καλύψεις αυτή την απόσταση.

Οι πέντε ερωτήσεις που πρέπει να κάνεις

Πριν επιλέξεις το εργαλείο της δουλειάς σου, ζήτα ξεκάθαρες απαντήσεις — γραπτές, όχι προφορικές:

1. Πού αποθηκεύονται φυσικά τα δεδομένα των διαιτώμενών μου; Στη δική μου συσκευή ή σε server; Αν σε server, σε ποια χώρα και υπό ποιο νομικό καθεστώς;
2. Υπάρχει σύμβαση επεξεργασίας δεδομένων (ΣΕΔ); Αν ο πάροχος επεξεργάζεται δεδομένα για λογαριασμό σου, η σύμβαση του άρθρου 28 δεν είναι ευγενική παροχή — είναι υποχρέωση.
3. Ποιος έχει τεχνικά πρόσβαση; Μπορεί κάποιος υπάλληλος του παρόχου να ανοίξει τον φάκελο ενός διαιτώμενου; Καταγράφεται μία τέτοια κίνηση;
4. Είναι τα δεδομένα κρυπτογραφημένα σε κατάσταση ηρεμίας; Όχι μόνο κατά τη μεταφορά. Και ποιος κρατάει το κλειδί;
5. Πώς τα παίρνω πίσω; Σε ποια μορφή, σε πόσο χρόνο, και τι ακριβώς μένει στον πάροχο μετά.

Αν κάποια από αυτές τις απαντήσεις είναι θολή ή αόριστη, θεώρησέ την red flag. Δεν είναι δύσκολες ερωτήσεις για κάποιον που έχει σχεδιάσει σωστά το προϊόν του.

Πώς η τοπική εγκατάσταση απλοποιεί τη συζήτηση

Μία εφαρμογή που τρέχει τοπικά στον υπολογιστή σου αλλάζει τη φύση του ερωτήματος. Τα δεδομένα δε φεύγουν ποτέ από τη συσκευή σου, οπότε δεν υπάρχει τρίτος στον οποίο να τα εμπιστευτείς — και συνεπώς δεν υπάρχει τρίτος για λογαριασμό του οποίου πρέπει να λογοδοτήσεις. Μην ξεχνάς πως το υποκείμενο των προσωπικών δεδομένων δεν είσαι εσύ, αλλά οι διαιτώμενοί σου. Εσύ είσαι ο υπεύθυνος επεξεργασίας τους.

Αυτό δε σημαίνει φυσικά πως μία cloud πλατφόρμα είναι εξ ορισμού λάθος επιλογή. Σημαίνει πως, απολαμβάνοντας τις ευκολίες που σου παρέχει, αναλαμβάνεις και το βάρος να τεκμηριώσεις όλα τα παραπάνω — και ότι πρέπει να το ξέρεις από την αρχή, όχι να το ανακαλύψεις σε έναν έλεγχο, όταν κάτι στραβώσει ή όταν απλά κάποιος διαιτώμενός σου αιτηθεί να του παρασχεθούν τα δεδομένα του.

Από τι δε σε απαλλάσσει η τοπική εγκατάσταση

Χρειάζεται και μία ειλικρινής επισήμανση: το ότι τα δεδομένα μένουν στον υπολογιστή σου δε σε κάνει αυτόματα συμμορφούμενο. Σε κάθε περίπτωση παραμένεις υπεύθυνος επεξεργασίας, και αυτό συνεπάγεται υποχρεώσεις που δεν τις αναλαμβάνει κανένα λογισμικό για λογαριασμό σου:

• Φυσική ασφάλεια της συσκευής — κρυπτογράφηση δίσκου (BitLocker), ισχυρός κωδικός Windows, κλείδωμα οθόνης
• Τακτικά αντίγραφα ασφαλείας, φυλαγμένα σε ξεχωριστό μέσο
• Ενημέρωση των διαιτωμένων κατά τα άρθρα 13-14 και εξασφάλιση νόμιμης βάσης
• Ικανοποίηση των δικαιωμάτων τους — πρόσβαση, διόρθωση, διαγραφή, φορητότητα
• Τήρηση αρχείου δραστηριοτήτων επεξεργασίας (άρθρο 30) και εκτίμηση αντικτύπου (άρθρο 35) όπου απαιτείται

Ένα καλά σχεδιασμένο εργαλείο σου δίνει τα μέσα να τα κάνεις αυτά εύκολα — εξαγωγή δεδομένων με ένα κλικ, ολοκληρωτική διαγραφή φακέλου, ενσωματωμένα backup κ.ά. Ωστόσο, κανείς δε μπορεί να τα κάνει αντί για εσένα.

Το συμπέρασμα

Η ερώτηση «ποιος κρατάει τα δεδομένα των πελατών μου» δεν είναι τεχνική λεπτομέρεια στο τέλος κάποιας λίστας. Είναι το ερώτημα που καθορίζει πόσο εκτεθειμένος είσαι, πόσο ελεύθερος είσαι να αλλάξεις γνώμη και τι ακριβώς υπόσχεσαι στον άνθρωπο που κάθεται απέναντί σου.