GDPR d'Fhorbróirí Bogearraí | Cad a Chaithfidh Tú a Chur i bhFeidhm i ndáiríre

Tá GDPR i bhfeidhm ó 2018, ach díríonn an chuid is mó de threorach forbróirí fós ar an teoiric dhlíthiúil. Tá an treoir seo difriúil. Clúdaíonn sí na ceanglais theicniúla, an cód a chaithfidh tú a scríobh, agus na cinntí ailtireachta a dhéanann comhlíonadh praiticiúil in ionad pianmhar.

Má stórálann, próiseálann, nó bíonn do bhogearraí i dteagmháil le sonraí pearsanta daoine san AE, baineann sé seo leat. Is cuma cá bhfuil do chuideachta bunaithe.

Forbhreathnú GDPR d’Fhorbróirí

Scipeáil na 99 airteagal. Seo a chiallaíonn GDPR do do bhonn cóid:

1. Ná bailigh ach an méid a theastaíonn. Ná stóráil sonraí “ar eagla na heagla.”
2. Inis d’úsáideoirí cad atá á dhéanamh agat lena sonraí. Agus faigh a gcead nuair is gá.
3. Lig d’úsáideoirí a sonraí a rochtain, a easpórtáil, agus a scriosadh. Teastaíonn críochphointí API uait dó seo.
4. Coinnigh sonraí slán. Criptiú, rialtáin rochtana, logaí iniúchta.
5. Tuairiscigh sáruithe go tapa. Tá 72 uair an chloig agat chun na húdaráis a chur ar an eolas tar éis sárú a fhionnachtain.
6. Doiciméadaigh gach rud. Do ghníomhaíochtaí próiseála, do bhearta slándála, do shreafaí sonraí.

Sin an achoimre phraiticiúil. Taispeánann an chuid eile den treoir seo duit conas gach ceanglas a chur i bhfeidhm.

Na 7 bPríomhcheanglas Theicniúla

1. Bainistíocht Toilithe

Caithfidh toiliú a bheith tugtha go saor, sonrach, feasach, agus gan athbhríoch. Ní áirítear boscaí réamh-thiceáilte. Ní áirítear toiliú bundaithe (“aontaigh le gach rud”). Caithfidh tarraingt siar a bheith chomh héasca le toiliú a thabhairt.

Cad ba cheart a Thógáil

Teastaíonn trí chomhpháirt ó chóras toilithe:

• Stóras taifead toilithe. Do gach úsáideoir, rianaigh cad ar thoiligh siad, cathain, agus conas.
• Meicníocht seiceála toilithe. Sula bpróiseálann tú sonraí chun críche sonraí, fíoraigh go bhfuil toiliú gníomhach ag an úsáideoir.
• Meicníocht tarraingt siar. Lig d’úsáideoirí toiliú a chúlghairm trí do UI, agus stop ag próiseáil láithreach.

Scéimre Bunachar Sonraí

CREATE TABLE user_consents (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL REFERENCES users(id),
  consent_type VARCHAR(100) NOT NULL,
  granted BOOLEAN NOT NULL,
  granted_at TIMESTAMPTZ,
  revoked_at TIMESTAMPTZ,
  ip_address INET,
  user_agent TEXT,
  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
);

CREATE INDEX idx_user_consents_lookup
  ON user_consents (user_id, consent_type, granted);

Stóráil an stair iomlán. Ná scrios ná ná forscríobh taifid toilithe riamh. Nuair a chúlghairíonn úsáideoir toiliú, cuir sraith nua isteach le granted = false agus socraigh revoked_at. Tugann sé seo rian iniúchta duit.

Middleware Seiceála Toilithe

Seo middleware Express a sheiceálann toiliú sula bpróiseálann iarratas:

import { Request, Response, NextFunction } from "express";
import { db } from "./database";

interface ConsentRequirement {
  type: string;
  required: boolean;
}

function requireConsent(consentType: string) {
  return async (req: Request, res: Response, next: NextFunction) => {
    const userId = req.user?.id;

    if (!userId) {
      return res.status(401).json({ error: "Authentication required" });
    }

    const consent = await db.query(
      `SELECT granted FROM user_consents
       WHERE user_id = $1 AND consent_type = $2
       ORDER BY created_at DESC
       LIMIT 1`,
      [userId, consentType]
    );

    if (!consent.rows[0]?.granted) {
      return res.status(403).json({
        error: "Consent required",
        consentType,
        message: `You must grant "${consentType}" consent to use this feature.`,
        consentUrl: `/settings/privacy`,
      });
    }

    next();
  };
}

// Usage
app.post(
  "/api/newsletter/subscribe",
  requireConsent("marketing_emails"),
  subscribeHandler
);

app.post(
  "/api/analytics/track",
  requireConsent("usage_analytics"),
  trackHandler
);

2. Rochtain ar Shonraí agus Easpórtáil (Ceart Rochtana)

Tá an ceart ag úsáideoirí cóip de gach sonraí pearsanta atá agat fúthu a iarraidh. Caithfidh tú é a chur ar fáil i bhformáid choitianta, inléite ag meaisín. Oibríonn JSON nó CSV go maith.

Cad ba cheart a Thógáil

Críochphointe a bhailíonn gach sonraí pearsanta d’úsáideoir ar fud gach tábla agus seirbhíse, ansin a phacáistíonn isteach i gcomhad iníchoideáilte.

interface DataExport {
  exportedAt: string;
  user: {
    profile: Record<string, unknown>;
    activity: Record<string, unknown>[];
    consents: Record<string, unknown>[];
    communications: Record<string, unknown>[];
  };
}

app.get("/api/me/data-export", authenticate, async (req, res) => {
  const userId = req.user.id;

  const [profile, activity, consents, communications] = await Promise.all([
    db.query("SELECT id, email, name, created_at FROM users WHERE id = $1", [
      userId,
    ]),
    db.query(
      "SELECT action, metadata, created_at FROM user_activity WHERE user_id = $1 ORDER BY created_at DESC",
      [userId]
    ),
    db.query(
      "SELECT consent_type, granted, granted_at, revoked_at FROM user_consents WHERE user_id = $1 ORDER BY created_at DESC",
      [userId]
    ),
    db.query(
      "SELECT type, sent_at, subject FROM communications WHERE user_id = $1 ORDER BY sent_at DESC",
      [userId]
    ),
  ]);

  const exportData: DataExport = {
    exportedAt: new Date().toISOString(),
    user: {
      profile: profile.rows[0],
      activity: activity.rows,
      consents: consents.rows,
      communications: communications.rows,
    },
  };

  res.setHeader("Content-Type", "application/json");
  res.setHeader(
    "Content-Disposition",
    `attachment; filename="data-export-${userId}.json"`
  );
  res.json(exportData);
});

Caithfidh an críochphointe seo gach tábla a chlúdach ina bhfuil sonraí úsáideora. Déan iniúchadh go cúramach ar do scéimre. Ciallaíonn tábla ar iarraidh easpórtáil neamhiomlán, rud atá ina theip chomhlíonta.

3. Ceart chun Scriosadh (Ceart Dearmaid)

Is féidir le húsáideoirí iarraidh go scriosfá a sonraí pearsanta go léir. Caithfidh tú géilleadh mura bhfuil oibleagáid dhlíthiúil ort iad a choinneáil (cosúil le taifid chánach nó cosc calaoise).

Cad ba cheart a Thógáil

Críochphointe scriosadh a bhaineann nó a ainimnigh sonraí úsáideora ar fud gach tábla. Tá sé seo níos deacra ná mar a fhuaimeann sé mar gheall ar shrianta eochracha eachtracha agus sonraí a mbraitheann córais eile orthu.

app.delete("/api/me/account", authenticate, async (req, res) => {
  const userId = req.user.id;
  const client = await db.getClient();

  try {
    await client.query("BEGIN");

    // Anonymize data that must be retained for business records
    await client.query(
      `UPDATE orders
       SET customer_name = 'deleted', customer_email = 'deleted'
       WHERE user_id = $1`,
      [userId]
    );

    // Delete data that can be fully removed
    await client.query("DELETE FROM user_activity WHERE user_id = $1", [
      userId,
    ]);
    await client.query("DELETE FROM user_consents WHERE user_id = $1", [
      userId,
    ]);
    await client.query("DELETE FROM communications WHERE user_id = $1", [
      userId,
    ]);
    await client.query("DELETE FROM sessions WHERE user_id = $1", [userId]);

    // Anonymize the user record instead of deleting
    // This preserves referential integrity
    await client.query(
      `UPDATE users SET
        email = 'deleted-' || id || '@removed.invalid',
        name = 'Deleted User',
        phone = NULL,
        address = NULL,
        deleted_at = NOW()
       WHERE id = $1`,
      [userId]
    );

    await client.query("COMMIT");

    // Trigger deletion in external systems
    await Promise.allSettled([
      emailService.deleteSubscriber(userId),
      analyticsService.deleteUser(userId),
      searchIndex.removeUser(userId),
    ]);

    res.json({ message: "Account and personal data deleted" });
  } catch (error) {
    await client.query("ROLLBACK");
    throw error;
  } finally {
    client.release();
  }
});

Príomhchinntí:

• Scrios vs. ainimnigh. Ba cheart taifid a theastaíonn le haghaidh cuntasaíochta (orduithe, sonraisc) a ainimnigh. Scrios gach rud eile.
• Córais sheachtracha. Caithfidh sonraí a seoladh chuig seirbhísí tríú páirtí a scriosadh ansin freisin.
• Uainiú. Deir GDPR “gan moill mhíchuí.” Cuir scriosadh iomlán i gcrích laistigh de 30 lá. Ar an gcuid is mó córas, déan láithreach é.

4. Íoslaghdú Sonraí

Ná bailigh agus ná stóráil ach na sonraí a theastaíonn uait i ndáiríre chun críche luaite. Má iarrann tú uimhir ghutháin ach nach nglaíonn tú ar úsáideoirí riamh, níor cheart duit é a bhailiú.

Rialacha Praiticiúla

• Iniúchaigh gach réimse foirme. Do gach réimse, fiafraigh: “Cén ghné shonrach a bhriseann má bhainimid é seo?” Mura rud é aon rud, bain.
• Socraigh tréimhsí coinneála. Ná coinnigh sonraí go deo. Sainigh cé chomh fada a theastaíonn gach cineál sonraí, ansin uathscriosadh iad.
• Íoslaghdaigh logáil. Bain sonraí pearsanta as iontrálacha logaí. Logáil aitheantais úsáideora, ní ainmneacha nó ríomhphoist.

-- Automatic data retention with PostgreSQL
-- Run this as a scheduled job (e.g., pg_cron)
DELETE FROM user_activity
WHERE created_at < NOW() - INTERVAL '2 years';

DELETE FROM session_logs
WHERE created_at < NOW() - INTERVAL '90 days';

DELETE FROM password_reset_tokens
WHERE created_at < NOW() - INTERVAL '24 hours';

5. Criptiú

Éilíonn GDPR “bearta teicniúla iomchuí” chun sonraí pearsanta a chosaint. Is é criptiú an ceann is tábhachtaí.

Ag Suaimhneas

• Crioptaigh diosca do bhunachar sonraí. Tacaíonn gach mór-sholáthróir néil leis seo. Cumasaigh é agus fíoraigh.
• Le haghaidh réimsí an-íogaire (SSNanna, sonraí sláinte), cuir criptiú leibhéal feidhmchláir ar bharr.
• Crioptaigh cúltacaí. Is sárú ag fanacht le tarlú é cúltaca neamhchriptithe.

Ar Bhealach

• TLS i ngach áit. Gach nasc idir seirbhísí, bunachair shonraí, agus úsáideoirí. Gan eisceachtaí.
• Forfheidhmigh HTTPS. Atreoraigh HTTP. Socraigh ceanntásca HSTS.
• Úsáid TLS le haghaidh nascanna bunachar sonraí. Tacaíonn PostgreSQL leis seo go dúchasach.

// PostgreSQL connection with TLS
import { Pool } from "pg";

const pool = new Pool({
  host: process.env.DB_HOST,
  port: 5432,
  database: process.env.DB_NAME,
  user: process.env.DB_USER,
  password: process.env.DB_PASSWORD,
  ssl: {
    rejectUnauthorized: true,
    ca: fs.readFileSync("/path/to/server-ca.pem").toString(),
  },
});

6. Fógra Sáraithe

Má tá sonraí pearsanta curtha i gcontúirt, caithfidh tú an tÚdarás Cosanta Sonraí ábhartha a chur ar an eolas laistigh de 72 uair an chloig. Má chuireann an sárú riosca ard ar dhaoine aonair, caithfidh tú na húsáideoirí atá buailte a chur ar an eolas freisin.

Cad ba cheart a Thógáil

• Logáil iniúchta. Rianaigh gach rochtain ar shonraí pearsanta. Cé a rochtain iad, cathain, agus cá háit.
• Brath anormálaíochta. Foláireamh ar phatrúin rochtana neamhghnácha (easpórtálacha sonraí ar an mórchóir, rochtain ó IPanna nua, rochtain lasmuigh d’uaireanta gnó).
• Plean freagartha teagmhais. Doiciméadaigh cé a dhéanann cad nuair a bhraitear sárú. Ní cód é seo. Is seicliosta é a chleachtann d’fhoireann.

CREATE TABLE data_access_log (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  user_id UUID NOT NULL,
  accessed_by UUID NOT NULL,
  access_type VARCHAR(50) NOT NULL,
  resource_type VARCHAR(100) NOT NULL,
  resource_id UUID,
  ip_address INET,
  user_agent TEXT,
  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
);

CREATE INDEX idx_data_access_log_user
  ON data_access_log (user_id, created_at);

CREATE INDEX idx_data_access_log_accessor
  ON data_access_log (accessed_by, created_at);

7. Príobháideachas trí Dhearadh

Deir GDPR gur cheart príobháideachas a thógáil isteach i gcórais ón tús, ní a bheith boltáilte ar ina dhiaidh. Go praiticiúil, ciallaíonn sé seo príobháideachas a dhéanamh mar réamhshocrú.

• Réamhshocraigh go príobháideach. Ba cheart do ghnéithe nua sonraí íosta a bhailiú agus roghnú isteach a éileamh d’aon rud thar an gcroí-fheidhm.
• Réamhshocraíonn socruithe an rogha is príobháidí. Ba cheart go mbeadh an chosaint phríobháideachais is airde ag úsáideoirí nach mbaineann riamh lena socruithe.
• Deighil ábhair imní. Ná measc sonraí anailísíochta le sonraí feidhmiúla. Ná athúsáid comharthaí auth le haghaidh rianú.

Ainimnigh vs. Ainm Bréige

Ní hionann iad seo, agus tá an t-idirdhealú tábhachtach.

• Athsholáthraíonn ainm bréige faisnéis aitheantais le comhartha inaisteach. Sampla: seoltaí ríomhphoist a haiseáil. Má tá an fheidhm haiseála agus an bunríomhphost agat, is féidir leat an duine a ath-aithint. Baineann GDPR fós toisc go bhfuil ath-aithint indéanta.
• Baineann ainimnigh faisnéis aitheantais go buan. Sampla: anailísíocht chomhiomlánaithe (“thug 1,247 úsáideoir cuairt ar an leathanach praghsála”) gan aon bhealach chun na húsáideoirí a aithint. Ní bhaineann GDPR le sonraí fíor-ainimnigh.

Tá fíor-ainimnigh deacair. Má áiríonn do thacar sonraí “anaithnid” stampa ama, cathair, agus cineál gléis, d’fhéadfadh an meascán sin duine a aithint go huathúil. Bí coimeádach.

Toiliú Fianán

Má úsáideann do shuíomh gréasáin fianáin thar a bhfuil riachtanach go dian, teastaíonn toiliú sula socrú iad.

Teastaíonn toiliú: fianáin anailísíochta, picteilíní fógraíochta, giuirléidí meáin shóisialta, aon script rianaithe tríú páirtí.

Ní theastaíonn toiliú: fianáin seisiúin, fianáin tralaí siopadóireachta, comharthaí CSRF, an fianán rogha toilithe fianán féin.

Ba cheart do do mheirge toilithe fianáin neamhriachtanacha a bhlocáil go dtí go dtugtar toiliú, roghanna grinn a thairiscint, agus “diúltaigh gach rud” a dhéanamh chomh héasca le “glac le gach rud.” Ná tóg é seo ón tús. Láimhseálann uirlisí cosúil le Cookiebot an chastacht. An príomhriail: ní lasann aon scripteanna rianaithe roimh thoiliú a thabhairt.

Próiseálaithe Sonraí Tríú Páirtí

Is “próiseálaí sonraí” faoi GDPR gach seirbhís tríú páirtí a láimhseálann sonraí d’úsáideoirí. Tá tú freagrach as a gcomhlíonadh.

Cad ba cheart a Sheiceáil

Sula gcomhtháthóidh tú aon seirbhís tríú páirtí a bhaineann le sonraí pearsanta:

1. An bhfuil DPA acu? Tá Comhaontú Próiseála Sonraí éigeantach. Foilsíonn formhór na soláthróirí SaaS a gcuid go poiblí.
2. Cá stóráileann siad sonraí? Más lasmuigh den AE, fíoraigh an bunús dlí don aistriú.
3. Cé na sonraí a rochtaineann siad? Íoslaghdaigh a seolann tú. Mura dteastaíonn ón tseirbhís ach ríomhphost, ná seol an próifíl iomlán.
4. An féidir leat sonraí a scriosadh óna gcórais? Caithfidh iarratais scriosadh úsáideora scaipeadh i ngach áit.
5. Conas a láimhseálann siad sáruithe? Ba cheart go sonródh a DPA amlínte fógra.

Próiseálaithe Coitianta Tríú Páirtí le hAthbhreithniú

• Seirbhísí ríomhphoist (Resend, SendGrid, Mailchimp)
• Anailísíocht (Google Analytics, Mixpanel, Amplitude)
• Rianú earráidí (Sentry, Bugsnag)
• Próiseáil íocaíochtaí (Stripe, Adyen)
• Óstáil néil (AWS, Google Cloud, Vercel)
• Uirlisí tacaíochta custaiméirí (Intercom, Zendesk)
• APIanna AI (OpenAI, Anthropic, Google AI)

Cothabháil liosta de gach próiseálaí. Athbhreithnigh go ráithiúil.

Beartais Coinneála Sonraí

Ná coinnigh sonraí pearsanta níos faide ná mar is gá. Sainigh tréimhsí coinneála do gach cineál sonraí.

Cineál Sonraí	Coinneáil Molta	Cúis
Sonraí cuntas úsáideora	Go dtí go n-iarrtar scriosadh	Teastaíonn don tseirbhís
Logaí seisiúin	90 lá	Slándáil agus dífhabhtú
Logaí gníomhaíochta úsáideora	1-2 bhliain	Anailísíocht táirge
Ticéid tacaíochta	3 bliana	Cáilíocht seirbhíse
Taifid airgeadais	7 mbliana	Oibleagáidí cánach/dlíthiúla
Comharthaí athshocraithe pasfhocal	24 uair an chloig	Slándáil
Iarratais logáil isteach theipthe	90 lá	Monatóireacht slándála

Cuir poist ghlanadh uathoibrithe i bhfeidhm. Ná bí ag brath ar dhuine éigin chun cuimhneamh script a rith.

Seicliosta GDPR d’Fhorbróirí

Úsáid é seo mar phointe tosaigh agus córas á thógáil nó á iniúchadh agat.

Bailiú Sonraí

• Tá cuspóir luaite ag gach réimse foirme
• Ní bhailítear aon sonraí neamhriachtanacha
• Tá beartas príobháideachais nasctha ó gach pointe bailithe sonraí
• Bailítear toiliú roimh phróiseáil (nuair is gá)
• Stóráiltear taifid toilithe le stampaí ama

Stóráil Sonraí

• Tá criptiú bunachar sonraí ag suaimhneas cumasaithe
• Tá TLS forfheidhmithe le haghaidh gach nasc
• Tá criptiú leibhéal feidhmchláir ag réimsí íogaire
• Tá cúltacaí criptithe
• Tá rochtain ar shonraí táirgthe srianta agus logáilte

Cearta Úsáideoirí

• Tá críochphointe easpórtála sonraí ann agus clúdaíonn gach tábla
• Tá críochphointe scriosadh cuntais ann agus láimhseálann gach sonraí
• Is féidir le húsáideoirí toiliú a fheiceáil agus a tharraingt siar ina socruithe
• Scaipeann scriosadh go seirbhísí tríú páirtí
• Freagraítear gach iarratas cearta úsáideora laistigh de 30 lá

Fianáin agus Rianú

• Tá meirge toilithe fianán curtha i bhfeidhm
• Tá fianáin neamhriachtanacha blocáilte roimh thoiliú
• Tá roghanna toilithe grinn (ní gach rud nó faic)
• Tá “diúltaigh gach rud” chomh feiceálach le “glac le gach rud”

Tríú Páirtithe

• Tá gach próiseálaí sonraí doiciméadaithe
• Tá DPAnna sínithe le gach próiseálaí
• Tá sonraí a sheoltar chuig tríú páirtithe íoslaghdaithe
• Is féidir sonraí a scriosadh ó thríú páirtithe

Slándáil

• Rianaíonn logaí iniúchta rochtain ar shonraí pearsanta
• Tá foláireamh anormálaíochta cumraithe
• Tá plean freagartha teagmhais doiciméadaithe
• Tá próiseas fógra sáraithe sainithe (sprioc 72 uair an chloig)

Coinneáil

• Tá tréimhsí coinneála sainithe do gach cineál sonraí
• Tá poist ghlanadh uathoibrithe sceidealaithe
• Tá sonraí éagtha á scriosadh i ndáiríre (fíoraigh é seo)

Smaointe Deiridh

Ní tionscadal aonuaire é comhlíonadh GDPR. Is sraith cleachtas iad atá fite isteach sa chaoi a dtógann tú bogearraí. Tá an obair theicniúil simplí: stóráil toilithe, easpórtáil sonraí, críochphointí scriosadh, criptiú, logáil iniúchta. Gnáthinnealtóireacht.

Is é an chuid dheacair ná a bheith críochnúil. Tá sé éasca dearmad a dhéanamh ar an gcomhad logaí sin, an imeacht anailísíochta sin, nó an comhtháthú tríú páirtí sin a stórálann ríomhphoist úsáideoirí. Déan iniúchadh go rialta. Tástáil do chríochphointe scriosadh. Fíoraigh go bhfuil d’easpórtálacha iomlán. Tóg príobháideachas isteach i do phróiseas ón tús.

---

An dteastaíonn cabhair chun bogearraí comhlíontach GDPR a thógáil nó do chórais atá ann a iniúchadh? Déan teagmháil linn. Tógaimid feidhmchláir príobháideachas-ar-dtús do ghnólachtaí Eorpacha agus cuideachtaí a fhreastalaíonn ar úsáideoirí AE.