Tips til udvikling af GDPR-kompatible apps

Indførelse af europæisk lovgivning vedr online databeskyttelse vil have vigtige konsekvenser i måden, hvorpå organisationer behandler deres brugeres personlige data i form af hjemmesider og applikationer, uanset om det er Android eller IOS. Denne nye lov rejser spørgsmål for organisationer, der regelmæssigt håndterer personlige data om europæiske indbyggere.

Hvilken indvirkning har lovgivning på online webapplikationer og drift?

Generelt sikrer denne lov, at en person har kontrol over deres data. Det betyder, at når en organisation anmoder om personlige oplysninger online, skal den fortælle kunden, hvad der sker med deres data.

De vigtigste aspekter af denne nye lovgivning er følgende:

  • Lettere adgang til dine egne data. Brugeren har flere oplysninger om, hvordan deres data bruges. Disse oplysninger skal gøres tilgængelige på en klar måde.
  • Evne til at flytte data. Det skulle være nemmere at overføre dine personlige data til en anden tjenesteudbyder.
  • Mulighed for at slette dine data. Hvis du ikke længere ønsker, at dine data skal bruges, og der er en gyldig grund til det, skal du slette dine personoplysninger.
  • Ved, hvornår dine data er blevet hacket. I det øjeblik en organisation er blevet hacket, skal du informere den relevante myndighed om denne begivenhed så hurtigt som muligt. På denne måde kan brugerne tage målingerne.

Så hvordan implementerer du en kompatibel applikation? GDPR og giver brugeren kontrol over deres personlige data? Her er flere tips til at anvende det.

Tips til udvikling af GDPR-kompatible apps

Afgør, om appen har brug for alle de personlige data, den anmoder om

Den ideelle privatlivsimplementering til overholde GDPR er at indsamle så få personlige data som muligt. Med persondata kan du tænke på: navn, fødselsdato, bopæl mv. Dette er naturligvis ikke muligt i alle situationer, da disse oplysninger nogle gange er nødvendige. Det er vigtigt i enhver situation, at ledelsen og udviklerne bestemmer, hvad der er den mest nødvendige information at indsamle.

Krypter alle personlige oplysninger

Hvis en applikation skal gemme følsomme personlige oplysninger, er det vigtigt at kryptere disse data korrekt ved hjælp af stærke krypteringsalgoritmer, inklusive hashing. I tilfældet med Ashley Madisons databrud var alle oplysninger tilgængelige i almindelig tekst.

Dette har haft vigtige konsekvenser for dets brugere. Det skal udtrykkeligt oplyses, at alle personlige data er krypteret, så disse data kan ikke bruges i tilfælde af, at webapplikationen bliver hacket. Dette omfatter også oplysninger om: adresse, telefonnumre og bopæl.

Tænk OAUTH for at overføre data

Med OAuth kan brugere oprette en konto ved blot at bruge en anden konto. Disse protokoller giver en enkelt log-on og hjælper ikke med at indsamle flere oplysninger end nødvendigt.

Brug sikker kommunikation over HTTPS

Mange organisationer bruger ikke HTTPS til deres hjemmesider, fordi det menes, at det ikke er nødvendigt. For eksempel, hvis en applikation ikke kræver nogen form for godkendelse, synes HTTPS måske ikke nødvendigt. Det er dog nemt at gå glip af noget. Nogle applikationer indsamler personlige oplysninger via formularen "Kontakt os".

Hvis disse oplysninger sendes i klartekst, vil de være synlige på internettet. Det bør du også sørge for SSL certifikater anvendes korrekt og er ikke modtagelige for farer relateret til SSL-protokoller.

Fortæl brugerne, hvordan du håndterer "kontakt os"-oplysninger

Apps indsamler ikke kun oplysninger gennem godkendelse eller abonnementer. Data indsamles også via kontaktformularer. Dette er normalt personlige oplysninger såsom: telefonnummer, bopæl og e-mailadresse. Den informerer brugerne om, hvor længe og hvordan disse data opbevares. Det anbefales kraftigt at bruge god sikkerhed til at opbevare disse oplysninger.

Sørg for, at sessioner og cookies udløber

til overholde GDPR, skal brugerne være opmærksomme på, hvordan applikationen bruger cookies. Brugeren skal informeres om, at applikationen anvender cookies og tilbydes mulighed for at afvise cookies. Sørg for, at cookies slettes korrekt, hvis nogen logger ud eller ikke længere er aktive.

Spor ikke brugere for business intelligence

Mange e-handelsapps sporer brugere for at se, hvad de leder efter, ved hjælp af søgeresultater og de produkter, de køber. Virksomheder som Netflix og Amazon bruger ofte disse oplysninger til at vise foreslåede produkter. Da disse oplysninger opbevares til kommercielle formål, skal brugeren have mulighed for at acceptere dem eller ej.

Hvis der efterfølgende gives samtykke til at opbevare disse oplysninger, skal brugeren informeres om, hvordan disse oplysninger opbevares og hvor længe. Alle personlige oplysninger skal naturligvis være krypteret.

Informer brugeren om registreringerne

Mange applikationer bruger lokationer eller IP-adresser til at godkende et login. Disse oplysninger gemmes i tilfælde af, at nogen forsøger at omgå denne godkendelse. Meddeler brugerne, at disse oplysninger vil blive gemt og hvor længe. Gem ikke følsomme oplysninger i logfiler, ligesom adgangskoden.

Sikkerhedsspørgsmål

Mange applikationer bruger sikkerhedsspørgsmål til at bekræfte en brugers identitet. Prøv at sikre dig, at disse oplysninger ikke indeholder nogen personlige data, såsom navnet på brugerens mor og ikke engang yndlingsfarven. Når det er muligt, så prøv at bruge to-faktor-godkendelse. Hvis det ikke er muligt, så lad brugeren stille deres egne spørgsmål og advare om, at det indeholder personlige oplysninger. Personoplysninger skal opbevares krypteret.

Lav klare vilkår og betingelser

Forsøg ikke at skjule dine vilkår og betingelser. For at være i overensstemmelse med GDPR under den nye EU-lovgivning om beskyttelse af personlige oplysninger, skal vilkårene og betingelserne være tilgængelige på landingssiden. Derudover skal vilkårene og betingelserne være klare og tilgængelige til enhver tid, når brugeren gennemser applikationen.

Brugere skal acceptere vilkårene og betingelserne, før de kan få adgang til appen. Dette gælder især, når de generelle vilkår og betingelser er blevet ændret. Det siger sig selv, at vilkårene og betingelserne er tilgængelige på et sprog, som alle kan forstå.

Deling af data med andre parter

Hvis din organisation deler persondata med andre parter, skal dette fremgå af de generelle vilkår og betingelser. Dette kan være gennem tilknyttede selskaber, offentlige myndigheder eller tredjeparts plugins.

Sæt klare retningslinjer, hvis din app er hacket

Et af de vigtigste aspekter af europæisk lovgivning er, at brugere skal have besked, hvis en app er blevet hacket. Organisationer bør etablere klare retningslinjer for at beskrive opgaven og de skridt, organisationen vil tage. Husk, at brugeren bliver informeret rettidigt.

Slet data for brugere, der stopper tjenesten

Mange webapplikationer angiver ikke klart, hvad der sker med personlige oplysninger, når en konto slettes, eller nogen annullerer. Med den nye lovgivning skal virksomheder slette alle personoplysninger. Det skal forstås, at nogen kan stoppe med at bruge tjenesten, og så vil deres oplysninger blive slettet. Organisationer, der behandler en slettet konto som inaktiv, kan være i strid med loven.

Fjern sårbarheder

En af de største privatlivsrisici opstår, fordi appen er sårbar. Dette er altid en risiko, når et system håndterer følsomme brugeroplysninger. En applikation, der ikke er udviklet til at opdage risici i tide, er mere tilbøjelige til at blive hacket. Sørg for, at din organisation har et program til at opdage cyberrisici og udføre sikkerhedstests.


Vær den første til at kommentere

Efterlad din kommentar

Din e-mailadresse vil ikke blive offentliggjort. Obligatoriske felter er markeret med *

*

*