RODO w aplikacji mobilnej: co musisz wiedzieć o danych użytkowników

Aplikacja, która pyta o uprawnienia, przetwarza dane osobowe

Lokalizacja, zdjęcia, kontakty, mikrofon: każde uprawnienie, o które aplikacja prosi przy pierwszym uruchomieniu, otwiera dostęp do danych osobowych użytkownika, nie tylko do funkcji telefonu. RODO traktuje to przetwarzanie tak samo, jak przetwarzanie danych w dowolnym innym systemie: potrzebna jest podstawa prawna z art. 6, najczęściej zgoda użytkownika albo konieczność wykonania umowy, a zakres zbieranych danych musi być ograniczony do tego, co aplikacja faktycznie potrzebuje do działania, zgodnie z zasadą minimalizacji danych z art. 5 ust. 1 lit. c.

Problem w praktyce pojawia się tam, gdzie aplikacja prosi o uprawnienie „na wszelki wypadek”, bo przyda się przy przyszłej funkcji, której jeszcze nie zbudowano. Uprawnienie bez konkretnego, aktualnego celu jest trudne do obrony podczas kontroli, niezależnie od tego, czy użytkownik faktycznie je zaakceptował.

Apple: etykieta prywatności obowiązkowa przy każdej wysyłce

Apple wymaga podania informacji o praktykach prywatności aplikacji w App Store Connect przed każdą nową wersją i każdą aktualizacją (dokumentacja Apple'a). Odpowiedzi trafiają na kartę aplikacji w App Store jako etykieta prywatności, widoczna dla każdego przed instalacją, i muszą obejmować też dane zbierane przez biblioteki firm trzecich wbudowane w aplikację, nie tylko kod napisany przez wykonawcę. Zmiana w tym, jakie dane aplikacja zbiera, wymaga aktualizacji tych odpowiedzi niezależnie od tego, czy akurat wychodzi nowa wersja aplikacji.

Śledzenie między aplikacjami wymaga osobnego okna na ekranie

Od wersji 14.5 systemu iOS (kwiecień 2021) aplikacja, która chce łączyć dane użytkownika z danymi z innych aplikacji albo stron, na przykład żeby pokazywać reklamy dopasowane na podstawie aktywności poza samą aplikacją, musi najpierw wyświetlić systemowe okno z pytaniem o zgodę na śledzenie (App Tracking Transparency). Bez zgody aplikacja nie dostaje identyfikatora reklamowego urządzenia i nie może budować profilu użytkownika z innych źródeł. Apple zakazuje też omijania tego wymogu innymi identyfikatorami i blokowania funkcji aplikacji dla osób, które odmówiły, a naruszenie tej zasady jest podstawą do odrzucenia aplikacji z przeglądu.

Google Play: formularz o bezpieczeństwie danych, za który odpowiada wydawca

Google wymaga od każdego wydawcy wypełnienia sekcji „Bezpieczeństwo danych” w Play Console: jakie dane aplikacja zbiera, do czego je wykorzystuje i czy są szyfrowane podczas przesyłania (wytyczne Google Play). Deklaracja musi zgadzać się z tym, co aplikacja faktycznie robi, i z jej polityką prywatności, a Google wprost zastrzega, że to wydawca, nie Google, odpowiada za poprawność tych informacji. Niezgodność wykryta po publikacji kończy się wymogiem poprawki, zablokowaniem aktualizacji albo usunięciem aplikacji z Google Play, nie tylko ostrzeżeniem.

Błąd w zgodzie to kwestia prawna, nie techniczna

Formularze u Apple'a i Google'a nie zastępują zgody wymaganej przez RODO: to deklaracje wobec platformy, nie podstawa prawna przetwarzania wobec użytkownika. Aplikacja może mieć poprawnie wypełnioną etykietę prywatności i jednocześnie przetwarzać dane bez właściwej podstawy prawnej, jeśli zgoda w samej aplikacji jest źle sformułowana albo domyślnie zaznaczona. To, co aplikacja faktycznie robi z danymi, co mówi o tym użytkownikowi na ekranie i co deklaruje w sklepie, powinno być tym samym opisem powtórzonym trzy razy, nie trzema osobnymi tekstami napisanymi w różnym czasie przez różne osoby.

Sprawdź, czy Twoja aplikacja to ma

• Czy każde uprawnienie, o które prosi aplikacja, ma konkretny, aktualny cel, nie tylko „przyda się później”.
• Czy etykieta prywatności w App Store Connect i formularz bezpieczeństwa danych w Google Play zgadzają się z tym, co aplikacja faktycznie zbiera, włącznie z bibliotekami firm trzecich.
• Czy aplikacja pyta o zgodę na śledzenie przez systemowe okno iOS, zanim zacznie łączyć dane z innymi firmami, nie przy pierwszej reklamie.
• Czy zgoda na przetwarzanie danych w samej aplikacji jest wyraźna i nie jest domyślnie zaznaczona.
• Czy ktoś w firmie wie, które biblioteki i wtyczki w aplikacji wysyłają dane gdzie indziej, nie tylko co robi własny kod.

Co przejmujemy

W ramach aplikacji mobilnych projektujemy zgody i ekrany uprawnień zgodne z RODO, wypełniamy etykietę prywatności w App Store Connect i formularz bezpieczeństwa danych w Google Play tak, żeby zgadzały się z tym, co aplikacja faktycznie robi, i wdrażamy okno zgody na śledzenie tam, gdzie jest wymagane. Zadzwoń pod 697 004 905 albo napisz na kontakt@apkarze.pl. Powiedz, jakie dane ma zbierać Twoja aplikacja, a sprawdzimy, czego wymaga po stronie prawnej i obu sklepów.