Τι γίνεται με τα προσωπικά δεδομένα των διαιτώμενών μου;

Δεν είναι στοιχεία πελάτη

Βάρος, σύσταση σώματος, ιατρικοί δείκτες, φαρμακευτική αγωγή, παθήσεις, διατροφικές συνήθειες, σημειώσεις συνεδρίας... όλα αυτά είναι δεδομένα υγείας και υπάγονται στην ειδική κατηγορία του άρθρου 9 του GDPR — αυτήν που ο κανονισμός προστατεύει αυστηρότερα από κάθε άλλη.

Δεν είναι το ίδιο με ένα email σε μία λίστα newsletter. Η επεξεργασία τους απαιτεί ειδική νομική βάση, ενισχυμένα μέτρα ασφαλείας και υπευθυνότητα. Το γεγονός ότι τα καταχωρείς σε ένα πρόγραμμα αντί για ένα ντοσιέ δεν αλλάζει τίποτα από αυτά — απλώς αλλάζει τα μέτρα προστασίας που πρέπει να λάβεις.

Υπεύθυνος επεξεργασίας είσαι εσύ

Αυτό είναι το σημείο που παρεξηγείται περισσότερο. Για τα δεδομένα των διαιτώμενών σου, υπεύθυνος επεξεργασίας είσαι – και πρέπει να είσαι – εσύ, όχι ο πάροχος του λογισμικού. Εσύ αποφασίζεις ποια δεδομένα θα συλλέξεις, για ποιον σκοπό και για πόσο καιρό.

Σε μία πλατφόρμα τύπου Website As A Service, όλα τα δεδομένα αποθηκεύονται σε κάποιον server. Αυτό σημαίνει πως τα δεδομένα ναι μεν ανήκουν σε εσένα, αλλά όχι μόνο σε εσένα. Ο πάροχος γίνεται εκτελών την επεξεργασία για λογαριασμό σου, κάτι που δημιουργεί μια αλυσίδα υποχρεώσεων και για τις δύο πλευρές.

Τι μπορεί να πάει στραβά;

Η κεντρική ιδέα του Νόμου του Μέρφι είναι πως κάτι που μπορεί να πάει στραβά, θα πάει. Ας υποθέσουμε λοιπόν το χειρότερο σενάριο: διαρροή, μη εξουσιοδοτημένη πρόσβαση, απώλεια δεδομένων. Εσύ θα πρέπει να εξηγήσεις στον διαιτώμενο τι έχει συμβεί και ο διαιτώμενος θα ζητήσει εξηγήσεις από εσένα.

Ένα λιγότερο κακό σενάριο

Το ζήτημα δεν είναι μόνο τι γίνεται αν κάτι στραβώσει, αλλά και το τι γίνεται στην καθημερινότητα.

Αν για παράδειγμα πέσει ο server που χρησιμοποιεί ο πάροχος της πλατφόρμας, εσύ δε μπορείς καν να δεις τον φάκελο του διαιτώμενου που κάθεται απέναντί σου. Αυτό δεν είναι κάτι θεωρητικό — είναι κάτι που μπορεί να συμβεί μία φορά στην πενταετία, αλλά θα συμβεί.

Αν πάλι αποφασίσεις κάποια στιγμή να αλλάξεις λογισμικό, τότε ίσως συνειδητοποιήσεις με τον πιο άσχημο τρόπο πώς είναι να περιμένεις να λάβεις αντίγραφο των δεδομένων των πελατών σου, σε μορφή που δεν επιλέγεις εσύ, μέσα σε προθεσμία που δεν ορίζεις εσύ.

Με άλλα λόγια, όσο περισσότερο απομακρύνονται τα δεδομένα από εσένα, τόσο λιγότερος έλεγχος σου μένει — και τόσο περισσότερες υποχρεώσεις τεκμηρίωσης αναλαμβάνεις για να καλύψεις αυτή την απόσταση.

Οι πέντε ερωτήσεις που πρέπει να κάνεις

Πριν επιλέξεις το εργαλείο της δουλειάς σου, ζήτα ξεκάθαρες απαντήσεις:

1. Πού αποθηκεύονται φυσικά τα δεδομένα των διαιτώμενών μου; Στη δική μου συσκευή ή σε server; Αν σε server, σε ποια χώρα και υπό ποιο νομικό καθεστώς;
2. Υπάρχει σύμβαση επεξεργασίας δεδομένων (ΣΕΔ); Αν ο πάροχος επεξεργάζεται δεδομένα για λογαριασμό σου, η σύμβαση του άρθρου 28 δεν είναι ευγενική παροχή — είναι υποχρέωση.
3. Ποιος έχει τεχνικά πρόσβαση; Μπορεί κάποιος υπάλληλος του παρόχου να ανοίξει τον φάκελο ενός διαιτώμενου; Καταγράφεται μία τέτοια κίνηση;
4. Είναι τα δεδομένα κρυπτογραφημένα σε κατάσταση ηρεμίας; Όχι μόνο κατά τη μεταφορά. Και ποιος κρατάει το κλειδί;
5. Πώς τα παίρνω πίσω; Σε ποια μορφή, σε πόσο χρόνο, και τι ακριβώς μένει στον πάροχο μετά;

Αν κάποια από αυτές τις απαντήσεις είναι θολή ή αόριστη, θεώρησέ την red flag. Δεν είναι δύσκολες ερωτήσεις για κάποιον που έχει σχεδιάσει σωστά το προϊόν του.

Πώς η τοπική εγκατάσταση απλοποιεί τη συζήτηση

Μία εφαρμογή που τρέχει τοπικά στον υπολογιστή σου αλλάζει τη φύση του ερωτήματος. Τα δεδομένα δε φεύγουν ποτέ από τη συσκευή σου, οπότε δεν υπάρχει τρίτος στον οποίο να τα εμπιστευτείς — και συνεπώς δεν υπάρχει τρίτος για λογαριασμό του οποίου πρέπει να λογοδοτήσεις. Μην ξεχνάς πως το υποκείμενο των προσωπικών δεδομένων δεν είσαι εσύ, αλλά οι διαιτώμενοί σου. Εσύ είσαι ο υπεύθυνος επεξεργασίας τους.

Αυτό δε σημαίνει φυσικά πως μία cloud πλατφόρμα είναι εξ ορισμού λάθος επιλογή. Σημαίνει πως, απολαμβάνοντας τις ευκολίες που σου παρέχει, αναλαμβάνεις και το βάρος να τεκμηριώσεις όλα τα παραπάνω — και ότι πρέπει να το ξέρεις από την αρχή, όχι να το ανακαλύψεις σε έναν έλεγχο, όταν κάτι στραβώσει ή όταν απλά κάποιος διαιτώμενός σου ζητήσει τα δεδομένα του.

Από τι δε σε απαλλάσσει η τοπική εγκατάσταση

Εδώ βεβαίως χρειάζεται μία ειλικρινής επισήμανση — το ότι τα δεδομένα μένουν στον υπολογιστή σου δε σε κάνει αυτόματα συμμορφούμενο. Σε κάθε περίπτωση παραμένεις υπεύθυνος επεξεργασίας και αυτό συνεπάγεται υποχρεώσεις που δεν τις αναλαμβάνει κανένα λογισμικό για λογαριασμό σου.

Ένα καλά σχεδιασμένο εργαλείο θα πρέπει να σου δίνει τα μέσα να φέρεις σε πέρας αυτές τις υποχρεώσεις εύκολα με την εξαγωγή δεδομένων με ένα κλικ, την ολοκληρωτική διαγραφή φακέλου, τα ενσωματωμένα backup κ.ο.κ..

Το συμπέρασμα

Η ερώτηση «ποιος κρατάει τα δεδομένα των πελατών μου» δεν είναι τεχνική λεπτομέρεια στο τέλος κάποιας λίστας. Είναι το ερώτημα που καθορίζει πόσο εκτεθειμένος είσαι, πόσο ελεύθερος είσαι να αλλάξεις γνώμη και τι ακριβώς υπόσχεσαι στον άνθρωπο που κάθεται απέναντί σου.