GDPR dan dokumen: apa kata undang-undang tentang memuat naik PDF

Anda seret sekeping invois ke dalam alat dalam talian percuma untuk mengecilkannya. Ia ada nama pelanggan, sebuah alamat, mungkin nombor cukai. Lima saat kemudian anda dapat fail yang lebih kecil dan anda teruskan kerja. Adakah sesuatu yang berkaitan undang-undang baru sahaja berlaku?

Di bawah GDPR, besar kemungkinan ya. Dan kebanyakan orang tidak pernah memikirkannya, kerana dokumen itu kelihatan tidak berbahaya dan alat itu kelihatan percuma.

Ini bukan nasihat undang-undang. Saya bukan peguam anda dan setiap situasi ada butirannya sendiri. Tetapi bentuk peraturan ini berbaloi difahami, kerana ia mengubah cara anda sepatutnya menguruskan dokumen yang mengandungi data orang lain.

Apa yang GDPR panggil “pemprosesan”

Orang menganggap GDPR adalah tentang pangkalan data dan senarai pemasaran. Definisi sebenarnya jauh lebih luas. Pemprosesan ialah hampir apa sahaja yang anda lakukan dengan data peribadi: mengumpulnya, menyimpannya, membacanya, mengubahnya, berkongsinya, memadamnya. Peraturan itu secara harfiah menyenaraikan “rujukan” dan “penggunaan” sebagai bentuk pemprosesan.

Jadi apabila PDF anda mengandungi data peribadi (nama serta nombor telefon sudah pun memadai) dan anda melakukan sesuatu dengan fail itu, anda sedang memproses data peribadi. Memampatkannya dikira. Mencantumnya dikira. Menukarnya dikira.

Itu sahaja bukanlah masalah. Perniagaan memproses data peribadi sepanjang hari. Soalan yang ditanya GDPR ialah bagaimana anda melakukannya, dan siapa lagi yang menyentuh data itu sepanjang jalan.

Mengapa memuat naik membawa masuk “pemproses”

Di sinilah bahagian awan menjadi penting. Apabila anda memuat naik invois itu ke perkhidmatan luaran, fail itu meninggalkan kawalan anda dan mendarat di pelayan orang lain. Syarikat itu kini memproses data peribadi bagi pihak anda. GDPR ada nama untuk mereka: pemproses. Anda, orang yang memutuskan untuk melakukan ini, ialah pengawal.

Saat seorang pemproses terlibat, pengawal mendapat kewajipan yang sebenar. Yang utama ialah Perkara 28: anda perlu kontrak bertulis dengan pemproses itu, sering dipanggil Perjanjian Pemprosesan Data. Ia mesti menjelaskan apa yang boleh mereka lakukan dengan data itu, bagaimana mereka melindunginya, bila mereka memadamnya, dan sama ada mereka boleh menyerahkannya kepada sesiapa lagi.

Berhenti seketika dan fikirkan alat PDF percuma yang anda gunakan bulan lepas. Adakah anda menandatangani DPA dengan mereka? Adakah anda membaca di mana pelayan mereka terletak? Adakah anda menyemak siapa subpemproses mereka? Hampir pasti tidak. Anda memuat naik fail yang mengandungi data peribadi orang lain ke syarikat yang anda tiada apa-apa kontrak. Itulah jurangnya.

Perangkap pemindahan antarabangsa

Ia menjadi lebih rumit apabila pelayan berada di luar EU. Menghantar data peribadi kepada penyedia di negara lain ialah satu pemindahan, dan GDPR menyekatnya. Anda perlu asas undang-undang yang sah untuknya, seperti fasal kontrak standard atau keputusan kecukupan untuk negara tersebut.

Kebanyakan alat percuma tidak memberitahu anda di mana ia berjalan. Fail itu boleh diproses di pusat data di benua lain, dilalukan melalui baris gilir, disimpan dalam cache di baldi storan, dan anda tiada cara untuk tahu. Untuk gambar percutian peribadi, baiklah. Untuk kontrak yang penuh dengan data pelanggan, anda secara senyap telah membuat satu pemindahan antarabangsa yang tidak boleh anda dokumenkan.

Peminimuman, prinsip yang semua orang lupa

GDPR ada prinsip yang dipanggil peminimuman data. Anda sepatutnya hanya memproses data peribadi yang benar-benar anda perlukan, dengan cara yang paling kurang mengganggu. Ada juga prinsip sepupu: fikirkan tentang privasi semasa anda mereka bentuk sesuatu proses, bukan selepasnya.

Terapkan itu pada tugas mudah seperti memampatkan PDF. Adakah anda perlu menghantar kontrak pelanggan ke pelayan pihak ketiga untuk menjadikannya lebih kecil? Tidak. Pemampatan boleh berlaku pada mesin anda sendiri. Menghantarnya keluar menambah seorang pemproses, satu kontrak yang anda tidak ada, dan mungkin satu pemindahan yang anda tidak boleh wajarkan, semuanya hanya untuk perubahan saiz fail. Itu adalah lawan kepada peminimuman.

Mengapa pemprosesan setempat mengelak kebanyakan ini

Inilah bahagian yang menjadikan keseluruhan masalah lebih kecil. Jika fail itu tidak pernah meninggalkan peranti anda, tiada pihak ketiga yang memprosesnya. Tiada pemproses bermakna tiada kontrak Perkara 28 untuk dikejar. Tiada apa yang melintasi sempadan, jadi tiada pemindahan untuk diwajarkan. Anda masih pengawal, anda masih berhutang penjagaan biasa kepada subjek data, tetapi sebahagian besar kerja kertas itu hanya tidak terpakai, kerana tiada orang lain menyentuh data itu.

Inilah idea di sebalik alat yang berjalan sepenuhnya dalam pelayar anda. Kod itu melakukan kerja secara setempat, dalam memori komputer anda, dan PDF anda kekal di tempatnya. Begitulah cara kami membina reader.me. Apabila anda memampatkan PDF, fail itu diproses dalam pelayar anda dan tidak pernah sampai ke pelayan milik kami. Buka DevTools pelayar anda, perhatikan tab Network, dan anda boleh mengesahkan tiada apa-apa berkaitan dokumen anda yang keluar.

Langkah praktikal untuk perniagaan dan pekerja bebas

Beberapa tabiat yang mengekalkan anda di sisi yang betul:

• Anggap mana-mana dokumen yang mengandungi nama, kad pengenalan, atau butiran hubungan sebagai data peribadi. Invois, kontrak, CV, dan borang perubatan semuanya layak.
• Sebelum memuat naik apa-apa ke alat awan, tanya siapa pemprosesnya. Tiada DPA, tiada jawapan jelas tentang lokasi pelayan? Jangan hantar data pelanggan melaluinya.
• Jadikan alat setempat sebagai pilihan lalai untuk kerja rutin seperti memampat, mencantum, atau memecahkan. Jika ia boleh berjalan dalam pelayar anda, tiada pemproses untuk disaring.
• Simpan rekod ringkas tentang perkhidmatan mana yang menyentuh data peribadi. GDPR memang menjangka pengawal untuk mengetahui ini.
• Apabila anda benar-benar memerlukan perkhidmatan awan, pilih satu yang menawarkan DPA sebenar dan memberitahu anda di mana data tinggal.

Peraturan itu kedengaran berat, tetapi penyelesaian harian adalah ringan. Kebanyakan kerja PDF tidak memerlukan pelayan langsung. Kekalkan fail pada mesin anda, dan kebanyakan beban undang-undang tidak akan mendarat pada anda sejak awal lagi.