Questão:
Posso armazenar a localização do usuário?
Sergi Mascaró
2019-03-28 21:27:36 UTC
view on stackexchange narkive permalink

Eu sei que pode soar muito ruim. Mas aqui eu explico toda a situação.

Estou desenvolvendo um aplicativo móvel baseado em visitas a diferentes lugares. E eu armazenaria em algum banco de dados (certamente AWS) todos os locais diferentes em que cada usuário esteve. Por local, não quero dizer que armazenaria coordenadas, apenas todas as cidades em que ele / ela fez o check-in (na verdade, nenhuma coordenada seria armazenado).

Disseram-me para ser muito cauteloso com isso por causa da recente lei GDPR.

Mas, para ser honesto, não sei quase nada sobre lei e sua interpretação.

Minha dúvida é se posso armazenar esse tipo de informação (já que não são dados realmente precisos) e se devo pedir o consentimento explícito do usuário.

FWIW, você pode ler a lei real online, bem como as interpretações da organização que a criou!
Você pode até estar no Facebook sob o GDPR. :)
Um responda:
David Siegel
2019-03-28 21:40:58 UTC
view on stackexchange narkive permalink

Parece claro que se trata de informações pessoais de acordo com o GDPR. Se você estiver sujeito ao GDPR, precisará ter uma "base legal" para armazenar ou processar essas informações. (Você está sujeito ao GDPR se estiver localizado na UE ou se seus usuários estiverem. Meu entendimento é que o que importa é a localização no momento em que o aplicativo é acessado, não a cidadania do usuário. Não estou totalmente certo disso , no entanto. A menos que seu aplicativo seja limitado a acesso fora da UE, provavelmente é mais seguro cumprir o GDPR)

O grau de precisão dos seus dados de localização não importa - uma cidade específica é suficiente para torná-los dados pessoais, se puderem ser vinculados a uma pessoa específica.

Existem várias bases legais nas quais podemos confiar para processamento e armazenamento, mas o consentimento explícito é provavelmente aquele com a maior aplicabilidade.

Para usar o consentimento como base legal, você deve apresentar uma decisão de OPT-IN ao usuário e registrar os resultados. Se o usuário não fizer nada, o resultado deve registrar a falta de consentimento. Você não pode usar uma caixa de consentimento pré-marcada ou outro mecanismo que tenha o efeito de uma opção de cancelamento. Você deve deixar claro quais informações serão armazenadas e como serão ou podem ser usadas.

Você também precisará considerar como seu aplicativo funcionará para aqueles que não consentem e como lidar com as solicitações para retirar o consentimento.

Portanto, se um aplicativo obtiver o consentimento do usuário para armazenar dados de localização em conformidade com o GDPR, ele poderá armazenar dados de localização do usuário. O consentimento deve tornar claros os possíveis usos dos dados. Se os dados forem compartilhados, o consentimento deve deixar claro o possível grau de compartilhamento.

Algumas perguntas e respostas anteriores aqui na lei.se lidar com o consentimento do GDPR que parecem possivelmente relevantes:

Então, para deixar as coisas claras como água, se o usuário der consentimento eu posso guardar a localização dele, certo? E acho que também deveria deixá-los revogar o consentimento dado e apagar todos os seus dados. Obrigado! (Após esta resposta aceitarei sua resposta)
@Sergi Mascaró Certo. Veja minha edição acima. Pode haver motivos válidos para reter dados, mesmo se o consentimento for revogado de acordo com o GDPR, mas se você não precisar retê-lo, permitir a exclusão é provavelmente o mais simples. Caso contrário, você terá que determinar se alguma outra base legal se aplica
O que você quer dizer com "de uma maneira que esteja em conformidade com o GDPR"?
@Sergi: David deu um exemplo de uma forma de obter consentimento que * não * está em conformidade com o GDPR: uma caixa de consentimento pré-marcada, como "Concordo em ter minha localização armazenada" ao lado de uma caixa que já tem uma marca antes o usuário faz qualquer coisa. O próprio GDPR explica a conformidade, mas provavelmente este não é o lugar para descartar toda a legislação.
Os princípios básicos do IIRC são que o usuário deve realizar uma ação específica para dar consentimento; deve ser tão fácil retirar o consentimento posteriormente quanto foi concedê-lo inicialmente; e o consentimento não pode ser exigido como condição para algo que não exija o consentimento dos dados. Então, por exemplo, você não pode transmitir música para alguém em troca de permissão para armazenar sua localização. Você pode, como requisito para habilitar serviços baseados em localização, exigir consentimento para armazenar dados de localização * necessários para fornecer esses serviços *.
Infelizmente, as empresas parecem "resolver" o problema do consentimento fazendo com que você tenha que passar por 1 clique para aceitar e 10 para rejeitar ...
A exclusão do @SergiMascaró no GDPR fica confusa porque os backups podem reter dados e não é viável reescrever todos os seus backups sempre que alguém pede a exclusão. O GDPR exige que os dados sejam colocados fora de uso, por exemplo, mantendo uma lista separada de registros para excluir após a recuperação do backup.
@SteveJessop Na verdade, se você precisa dos dados para fornecer o serviço, o consentimento é provavelmente a base errada.


ⓘ
Estas perguntas e respostas foram traduzidas automaticamente do idioma inglês.O conteúdo original está disponível em stackexchange, que agradecemos pela licença cc by-sa 4.0 sob a qual é distribuído.
Loading...