Fede Ratier


GDPR y el derecho a la información es

Algunas ideas de como aplicar y los aspectos que hay que tener en cuenta con la regulación de la Unión Europea que protege la información personal de cada usuario.

Privacidad

Cualquier servicio que piense operar en Europa debe cumplirlo y estar preparado para una auditoría.

¿Qué constituye información personal?

Cualquier tipo de información que pueda identificar a una persona. Incluso cuando no incluye nombre, apellido, mail o cualquier otro dato obvio. Por ejemplo: la combinación de un domicilio, edad y género ya te permitiría identificar una persona fácilmente.

¿Cuáles son los derechos de las personas?

La Transparencia es un factor clave, el usuario siempre tiene derecho a saber qué información se almacena y para qué se utiliza, de manera sencilla y no oculto en documentos imposibles de entender.

Todos tienen derecho al acceso de su información, pueden pedir una copia de TODA la información que estés almacenando. TODA.

El derecho a ser olvidado, si alguien pide eliminar su cuenta y adicionalmente todo rastro de su existencia en tu plataforma tenés la obligación de hacerlo. Si hay algo que quieras almacenar de todos modos debés contar con un propósito legítimo, por ejemplo: una deuda.

La privacidad deben ser parte de tu diseño. Cuando estás usando plataformas como Splunk, Cloudwatch o cualquier otro servicio de tercero debés estar seguro que es GDPR compliant y que aparte ofusques lo más posible la información para reducir riesgos.

La responsabilidad de la información que estás utilizando, es muy importante que sepas que guardás y por cuál razón. Si estás registrando en un log información que no sabés para que vas a usar probablemente no deberías estar almacenando en primer lugar.

Comunicar dentro de las 72hs desde el momento que detectaste que información privada pudo haber sido filtrada o robada. Si no estás seguro, debés comunicarlo igual de la mejor manera. Pero ¿qué mejor manera de evitar esto? Solo guardando la información necesaria.

Consentimiento

do you accept? Otro de los aspectos importantes a la hora de usar sistemas de rastreo como Cookies es el consentimiento. Es muy importante que darle al usuario la opción de no rastrear o, irse del sitio antes de crear una en caso que el sitio necesite utilizar cookies por razones técnicas. La única manera de empezar a coleccionar información del usuario es con consentimiento explícito. Resumiendo:

  • Consentimiento explícito debe ser dado antes de activar cualquier tipo de cookie.
  • El consentimiento debe ser granular, por ejemplo poder activar aquellas que son necesarias para el correcto funcionamiento del sitio pero no las de publicidad. Y no forzar un todas o ninguna.
  • El consentimiento debe ser dado, no forzado.
  • La elección debe poder cambiarse de manera fácil.
  • Es recomendable guardar en algún lado este consentimiento con fecha.
  • El consentimiento debe ser renovado anualmente (por ello es importante lo anterior).

Recomendaciones técnicas

Para hacer un poco más fácil el inicio de adaptar tu servicio a ser compliant con GDPR voy a listar algunas implementaciones que debés tener:

  • Derecho de acceso a la información. Si tenés un monolito o microservicios, cualquiera sea el caso, lo mejor es tener un endpoint o un script que te permita recolectar toda la información de un ID de usuario de manera fácil. No necesariamente tiene que ser algo que corra en el momento, lo mejor es tener un servicio aparte que coordine la recolección de esta información.
  • Derecho a ser olvidado. Si, debés estar listo para eliminar TODO de un usuario. Para facilidad, podés combinar esto en el mismo servicio de consentimiento que utilizarías para recolectar la información de un usuario. Servicio de consentimiento ¿Hay algo que debés mantener? Podes, siempre y cuando no permita identificar a una persona. Por ejemplo supongamos que cobrás por un servicio, por una cuestión contable seguramente quieras guardar que vendiste X de un servicio y cobraste por ello una Y cantidad de dinero, podés almacenar estas ventas pero no pueden mantener un ID de usuario que permita armar un patrón identificable.
  • Ante la duda no almacenes. En serio, te ahorrás un problema.
  • Cuando tenés muchos servicios respondiendo a una petición, a menos que necesités información del usuario, no re envies el ID del usuario para todos lados. Como usar un ID de correlación Usá un ID de correlación que generás en el inicio de la primera petición.