GDPR ve KVKK bir web sitesinden gerçekte ne istiyor

Bant en küçük parça, ve genelde yanlış olan parça

Onay bandı ekleyen sitelerin neredeyse tamamı yanlış ekliyor: bant görünüyor, analitik script'i çoktan çalışmış oluyor ve onay, engellemesi gereken şeyden sonra alınıyor. Bu, bant hiç olmamasından daha kötüdür; çünkü ihlali belgelemiş olursunuz.

Kural basit ve tasarımla değil sırayla ilgili. Kesinlikle gerekli olmayan hiçbir şey ziyaretçi kabul etmeden çalışamaz. Tag manager'ınız head'de yükleniyorsa, dünyadaki hiçbir bant onu hukuka uygun hale getirmez.

İnsanların unuttuğu üçüncü bir seçenek var: hiçbir şey toplamayın. Analitiği, pikseli ve üçüncü taraf script'i olmayan bir sitenin banda hiç ihtiyacı olmaz, çünkü onaylanacak bir şey yoktur.

İki yasanın gerçekte istediği şey

GDPR ve KVKK farklı düzenleyicileri olan ayrı yasalardır, ama gerektirdikleri mühendislik işi neredeyse tamamen örtüşür. İkisinin daha katı olanına göre kurarsanız her ikisini de karşılamış olursunuz.

• Tuttuğunuz her kişisel veri için, toplamadan önce yazılı bir hukuki dayanak.
• Veri minimizasyonu: talebi yanıtlamak için telefon numarası gerekmiyorsa istemeyin.
• Veri türü başına saklama süresi ve süre dolduğunda gerçekten silen bir mekanizma.
• Talep üzerine bir ay içinde, ücret almadan dışa aktarma ve silme.
• Veriye dokunan her üçüncü tarafla veri işleyen sözleşmesi: barındırma sağlayıcınız, e-posta sağlayıcınız, CRM'iniz.
• 72 saat içinde ihlal bildirimi: ki bu, bir ihlalin olduğunu anlayabiliyor olmanız gerektiği anlamına gelir.

Geç kalırsanız paraya mal olan kısım

Canınızı yakacak ikisi saklama ve silmedir. Silmeyi hiç öngörmemiş bir şema, tek satırlık bir hukuki talebi göç projesine çevirir: siparişlerin referans verdiği satırlar, yedeklerdeki kopyalar, kimsenin kurduğunu hatırlamadığı türetilmiş analitik tabloları.

Baştan tasarlarsanız bir `deleted_at` sütunu, zamanlanmış bir iş ve belgelenmiş bir yedek penceresidir. İki yıllık üretim verisinden sonra eklerseniz, görünür hiçbir özellik üretmeyen bir çeyreklik iştir.

En işe yarar tek çıktı bir tablodur: hangi veri, neden, nerede duruyor, ne kadar kalıyor. O tablo çıktığı anda uyum işinin çoğu kendiliğinden netleşir, ve bir denetçinin ilk isteyeceği şey de odur.

Bunun mühendislik olmaktan çıktığı yer

Yukarıdakilerin hepsi kurulabilir ve test edilebilir; bir projede uyguladığımız da budur. Hiçbirinin yerine geçmediği şey ise sektörünüzü ve yargı çevrenizi bilen bir hukukçudur: özellikle sağlık verisi, finansal veri ya da çocuklara dair herhangi bir şey işliyorsanız. Bunlar her iki yasanın da en katı kategorisindedir ve hiçbir iyi mimarinin ortadan kaldıramayacağı yükümlülükler taşır.

Teknik önlemleri taban kabul edin. Gereklidirler, sonradan eklenmesi pahalı olan kısımdırlar ve işin tamamı değildirler.