GDPR och forum

[Swedie]

Hej, jag har mina idéer för hur GDPR ska lösas för Sporthoj.com, men jag undrar hur ni själva resonerar vad som är rimligt / intresseavvägning för att ett forum ska efterfölja GDPR. Jag vet vissa stänger ner helt (för de inte vet vad de ska göra, eller forumet är litet och inte värt driva vidare med riskerna det kan innnebära) och vissa som stänger att kunna göra inlägg öht.

En hel del här vet jag jobbar själva inom IT och är säkert sysselsatt med detta i detta nu.

Vad är era åsikter för att ett forum som SH ska hålla sig inom GDPR:s regler?

Så här tänker jag just nu.

Rätten till rättelse
Du kan logga in på SH och korrigera dina "personuppgifter" (epost och profilinfo)
Notering: gäller ej inlägg på forumet då de har en tidsgräns på 2 minuter att redigeras. De ska annars "rapporteras" i enlighet med reglerna.

Rätten till radering / att bli glömd
Inga hinder här. Kontot raderas fysiskt från databasen. Inget behålls.
Notering: inlägg i forumet blir kvar i enlighet med registreringsavtalet när man registrerade sig.
Obs, jag tar dock bort inlägg om man har en väl grundad anledning. Bara att höra av sig. Funkat i alla år.

Övrigt du bidragit med tillfaller sajten i enlighet med sajtens regler som man godkänner vid registrering. Reglerna i sig uppdaterade jag i dag med information om just GDPR och inlägg:

https://www.sporthoj.com/forum/showthread.php?249128

Dataportabilitet
Vad forumet har som kan klassas som personuppgifter är vad man själv angivit i sin profil. T.ex epost, hoj, etc.

Det jag ej kommer ta med är foruminlägg, då dessa ej kan klassas som personuppgifter.


Jag har haft många vändor inom GDPR och det har varierat från att tolka saker extremt, till att tolka saker rimligt och en hel del hamnar under intresseavvägningar.



Vad säger ni? Har gärna en diskussion om vad jag sagt, men även en allmän diskussion om GDPR. Jag tror själv dock vi inte kommer veta hur exakt vi ska tolka saker förrän domstolarna har fått sina första fall.

 

[Swedie]

Tack tack jodå. Man följer en hel del inom techsfären nu runt GDPR, men det är fortfarande en hel del tolkningar men det börjar dras mer och mer åt ett "rimligare" håll från att från början handla om att "internet kommer stängas ner", i princip.

Vad gäller säkerheten på Sporthoj så är den nog rätt rimlig. Endast SSH-åtkomst med privat nyckel för att komma åt själva servern. Sen såklart kan ju mjukvara i sig hackas och forumets databas läcker ut. Jag håller versioner uppdaterade för att begränsa och därmed hålla säkerheten så hög den går.

 

[Mr Woland]

Nu har jag inte örnkoll på GDPR, men framför allt är det personuppgifter som kan kopplas till en faktisk fysisk person som man får ha lite koll på. En forumprofil eller inlägg i sig torde sällan utgöra nåt problem.

Har du bra säkerhet på medlemmarnas mailadresser, de som använder sina riktiga namn själva väljer att göra det, du vid begäran kan lämna ut de uppgifter till användarna om de själva och radera alla personuppgifter från användare bör du vara hemma.

Så fasligt farligt är inte GDPR, man behöver bara ha lite bättre koll på de personuppgifter man har

 

[L. Mäkinen]

Hur är det med andras mailadresser som skickas i pm via forum? Där är ju en personuppgift lagrad om tredje person och som det står hos datainspektionen "Om en person skickar e-post till er och nämner en tredje person så kan ni behöva informera den tredje personen om att ni behandlar personuppgifter om hen".

 

[Steffo_b]

Hur är det med andras mailadresser som skickas i pm via forum? Där är ju en personuppgift lagrad om tredje person och som det står hos datainspektionen "Om en person skickar e-post till er och nämner en tredje person så kan ni behöva informera den tredje personen om att ni behandlar personuppgifter om hen".

Jag misstänker att det inte faller under GDPR faktiskt.
Anledningen är att forumadmin inte utan vidare kan hålla koll på och styra vad enskilda medlemmar skickar i PM till varandra. Det är heller inte något som registreras i en i en regelrätt sökbar databas i den mening som jag tror lagen avser.

Det hamnar ju lite i en gråzon eftersom det visserligen är något som sker inom ett forum och därmed hela tiden ligger inom forumägarens system men samtidigt är det frågan om privat kommunikation mellan två privatpersoner och det har ju inte forumägaren någon direkt bestämmanderätt över. Privatpersoner omfattas väl såvitt jag förstår inte av GDPR. Dvs PM borde vara utanför scopet för lagen.

 

[Swedie]

Hur är det med andras mailadresser som skickas i pm via forum? Där är ju en personuppgift lagrad om tredje person och som det står hos datainspektionen "Om en person skickar e-post till er och nämner en tredje person så kan ni behöva informera den tredje personen om att ni behandlar personuppgifter om hen".

GDPR gäller bara företag <-> privatperson. Ej person <-> person eller företag <-> företag.

Så mig veterligen borde en privat diskussion ej omfattas av samtyckeskrav. Det är inte rimligt och det finns även viss rimlighetstolkning inom GDPR.

Sedan specifikt det du nämner så GDPR ger också rätten till intresseavvägning. Vilket innebär att vi kan tolka enskilda fall och om vi anser inte behovet att informera är stort nog så behövs det inte.

Jag kan anse att "rätten till rättelse" löser en hel del runt personer som omnämns i det publika. Ser en privatperson att ens epostadress, ens namn osv, offentligt uppgetts i ett inlägg och vill ha det raderat, då raderas det. Det har jag alltid gjort faktiskt när någon sett ens personuppgifter omnämnas utan deras godkännande eller om de känner sig "kränkta". Det har förr fallit under det här med att en privatperson inte ska omdiskuteras utan möjligheten att försvara sig.

 

[L. Mäkinen]

Forumet är väl en del av ett företag och det är i forumets databas personuppgifterna finns, tänker jag.
Just hanteringen kring e-post och meddelanden som man inte har kontroll över hur de transporteras verkar ställa till en del i GDPR.

 

[Swedie]

Forumet är väl en del av ett företag och det är i forumets databas personuppgifterna finns, tänker jag.
Just hanteringen kring e-post och meddelanden som man inte har kontroll över hur de transporteras verkar ställa till en del i GDPR.

Privat kommunikation på en "företagsplatform" som används för något som är privat <-> privat måste rimligen ej vara inkluderat. Så är min tolkning tills jag vore överbevisad om annat.

Det finns sen ingen funktion på SH som skannar privata meddelanden, eller databasen i sig, efter epostadresser / personuppgifter.