gdpr, data

Ако притежавате сайт,  то е възможно да събирате лични данни по някой от следните начини: коментари, потребителски профил (когато се изисква регистрация), данни за поръчки или регистрация за събития (когато сайтът се използва се продажба на стоки и услуги), други регистрационни форми (вкл. анкети, тестове), абонати на нюзлетър или известяване за промоции.

В допълнение към тези действия, които компанията или администаторът на сайта са предприели съзнателно, всеки един сайт или мобилно приложение може да предава данни на трети страни – например, чрез инсталираните плъгини на социални мрежи. Доскоро това беше тъмна материя. Едва през последните два месеца, благодарение на GDPR, започнаха да излизат подробости за начина, покойто големите технологични компании, третират личните данни.

Повечето от тях обявяват мерките си в последния момент, което означава, че малкият бизнес може да се наложи да сменя доставчик на платежна услуга или да се откаже от услуги на трети страни, включително социални медии в 12 без 5.

Това е голямо предизвикателство за собствениците на сайтове. Надяваме се, че следващите препоръки ще помогнат. С цел максимална конкретност, те са ориентирани към най-популярната платформа – WordPress. Компании, които имат собствена CMS система, трябва да се обърнат към разработчиците. Тези съвети не заместват необходимостта от правен съвет, особено в случаи на мащабно  обработване на лични данни или ако дейността по обработване предпоставя висок риск – например, ако се извършва профилиране или се обработват данни на лица под 14 години.

Първото, което се предполага, че вече е направено, а да опишите какви данни се обработват, къде се съхраняват, какъв е техният поток. Както стана дума, това може да са всякакви данни, за които дори не подозирате – бисквитки, данни за местоположение, данни, събирани от услуги на трети страни.

Трябва да се уверите, че разпологате с основание за обработката на тези данни. Това може да е изрично съгласие за определената цел, легитимен интерес, преддоговорни отношения и т.н.

Почти сигурно ще се нуждаете от потвърждаване на съгласието, ако желаете да продължите да изпращате промоциални материали. Това трябва да се направи преди 25 май.

Ако обработвате данни на основание легитимен интерес, най-малкото, което трябва да направите, е да информирате потребителите, вкл. за целите на обработване, срока на съхранение, получателите на данни, ако има такива. Ако промените Декларацията за поверителност (а това е задължително), също трябва да ги информирате.

За всяко събиране на данни оттук насетне трябва да имате готовност за документирано получаване на съгласие, за предоставяне на уведомление за защитата на лични данни.

Не можете да имате регистрационна форма без квадратче за изразяване на съгласие. Има специални изисквания за това съгласие. Едно от тях е отказът от съгласие да не води до неблагоприятни условия за лицето, например, по-висока цена на услуга. Не се приема досегашната практика да се декларира съгласие с Правилата на сайта, които никой не чете.

Трябва да сте готови да отговорите на исканията на физическите лица. GDPR им дава правото да искат достъп до личните си данни, да искат корекция или допълване на данни, както и изтриване. За да можете да отговаряте на подобни искания, трябва да знаете всички места, на които се съхраняват данни, така че да можете да обработвате тези искания.

Едно от новите права на лицата, които може да затрудняват собствениците на малки сайтове е изискването на чл. 20 да се осигури преносимост на данните, ако е налице автоматично обработване. Тогава данните за всяко едно лице, трябва да могат да се свалят в машинночетим файл (.csv или .xml), което ще изисква допълнително програмиране.

Следващото затруднение е проверката на софтуера и услугите на трети лица. Ако използвате WordPress трябва да проверите освен темата, също и инсталираните плъгините и API. С някои от тях може да се наложи да се разделите. Задачата се усложнява от това, че самият WordPress сравнително късно започна подготовка за GDPR.

Най-малкото, което можете да направите, е да анонимизирате коментарите. От настройките на темата можете да зададете да не се записва име и имейл адрес. Но WordPress винаги записва IP адрес, затова е необходимо да се редактира файла functions.php на темата. Освен това се използват бисквитки при попълването на коментари с цел запазване на името и имейла на коментиращия, за да не се попълвят отново. Това трябва да е с изрично съгласие.  Препоръчваме да се свържете с WordPress разработчик.

Второ, изтрийте всички данни, които са събрани автоматично и не са нужни – IP адреси, бисквитки и пр.

Проверете дали пазите данни, които не са ви необходими повече с оглед на целите, за които са били събрани – например, имена и адреси на лица с изтекъл абонамент.

На следващо място трябва да добавите чексбокс към формата за контакт или други форми, чрез които събирате лични данни и да гарантирате документиране на получените съгласия.

На тези потребители, с които искате да запазите контакт, изпратете писмо, с което ги молите да разрешат да им пишете. Не им обещавайте отстъпки в замяна. Тези, които не отговорят, трябва също да бъдат изтрити.

Пето, проверете дали използвани плъгини и услуги изпращат информация към вашия имейл адрес.

Шесто, проверете дали плъгините, които използвате, изпращат данни извън ЕС. Това например, се отнася до много плъгини за бекъп. Препоръчваме да се свържете с хостинг доставчика си за съдействие.

В отделни случаи решението е още плъгини, но досега няма такъв, който да предлага пълно съответствие.

Тези плъгини, които са в процес на разработване, вмъкват форми за съгласие или съдействат за изпълнение на задълженията на администраторите да гарантират правата на потребителите (например, правото на достъп до личните данни на всяко лице):

По-долу прилагаме информация за някои от популярните плъгини и услуги на трети лица и техните описания на предприетите мерки в изпълнение на GDPR.

Плъгини за контактни форми

Плъгини за бекъп

UpdraftPlus GDPR ;(намира се във Великобритания)

Емайл маркетинг

Обърнете внимание, че Mailchimp, най-популярната услуга на email marketing съхранява данните извън ЕС, така че ще е необходимо съгласие на потребителите, за да продължите да им изпращате писма чрез нея.

Анализи и проследяване на потребителите

Освен очевидното – Google Analytics, това може да са услуги за ремаркетинг или проследяване на потребителите чрез т. няр. heatmaps.

През април Google въведе настройки за зaпазване на данните  в Google Analytics, с които потребителите могат да зададат по-кратки срокове за съхранение. Възможно е анонимизиране на GA, но при това се лишавате от доста информация.

Услуги за онлайн магазини

Всяко едно решение за електронна търговия събира данни за потребителите, за да извърши доставката на стоки и услуги, а освен това може да разчита на информация с платежни системи.

От страна PayPal все още няма официална позиция за това какви мерки са взети, за да се осигури съответствие с GDPR. Компанията твърди, че ще бъде готова преди 25 май.

API-та на трети страни

Те също събират лични данни, например, Google Fonts, като част от темата.

В някои случаи данните, които се събират чрез API, са необходими за мрежовата и информационна сигурност, тоест налице е легитимен интерес (Съображение 49 от Регламента)