Политика за поверителност за сайт — какво да съдържа по GDPR

Политиката за поверителност за сайт трябва да даде на посетителя 12 групи сведения, изброени в член 13 от GDPR: шест в първия параграф и шест във втория (gdpr-info.eu (Intersoft Consulting)). Информацията се показва в момента, в който данните се събират, например при подаване на форма за контакт. Текстът е кратък, разбираем и на ясен език (Европейска комисия).

Накратко:

• Политиката назовава администратора, целите, правното основание и получателите на данните (gdpr-info.eu (Intersoft Consulting)).
• Задължително е да се посочи срокът на съхранение или критерият за него.
• Посетителят трябва да научи, че може да подаде жалба до надзорен орган, а у нас това е КЗЛД (Комисия за защита на личните данни).
• WordPress от версия 4.9.6 има инструмент за страница с политика, но отговорността за съдържанието остава ваша (WordPress.org).
• Връзката към политиката се слага навсякъде, където се събират данни (Hunton Andrews Kurth).

Какво е задължително в политиката за поверителност

Регламентът не иска „общи условия“ с юридически език. Иска конкретни сведения, подредени така, че човек без специално образование да ги прочете (Европейска комисия). За малкия сайт те са два вида: онова, което се казва за вас като администратор, и онова, което се казва за правата на посетителя.

В първия параграф на член 13 влизат самоличността и данните за контакт на администратора, контактите на длъжностно лице по защита на данните (ако имате такова), целите и правното основание, легитимните интереси (когато на тях се опира обработването), получателите и евентуалното предаване извън ЕС (gdpr-info.eu (Intersoft Consulting)). Във втория са срокът на съхранение, правата на човека, правото да оттегли съгласието, правото на жалба, дали данните се дават по закон или договор, и автоматизираното вземане на решения.

Страницата на Европейската комисия добавя още нещо, което се забравя: да се посочат и категориите данни, които събирате (Европейска комисия). Това е практичното допълнение към списъка.

Какво да напише малкият сайт във всяка точка

Повечето малки сайтове нямат длъжностно лице по защита на данните и не взимат автоматизирани решения. Тогава тези две точки се пропускат или се казва с едно изречение, че няма такива. По наше мнение така читателят не остава с впечатление, че е забравено нещо.

Източник: Член 13 от GDPR по gdpr-info.eu и страницата на Европейската комисия за информацията към лицата (gdpr-info.eu (Intersoft Consulting), Европейска комисия).

Редът в таблицата е нашият. Регламентът не налага последователност, само съдържание.

Срокът на съхранение и другите пропуснати редове

Най-често липсва срокът. Фразата „съхраняваме данните, докато е нужно“ не дава на човека нищо, а регламентът иска срок или критерий за определянето му (gdpr-info.eu (Intersoft Consulting)). Критерият може да е прост: съобщенията от формата за контакт се пазят, докато въпросът е решен, и още определен период, който сте записали.

Втората пропусната точка е предаването извън ЕС. Ако ползвате услуга с доставчик в трета държава, политиката го казва и посочва какви гаранции има (gdpr-info.eu (Intersoft Consulting)). Комисията поставя същото изискване в списъка си (Европейска комисия).

Третата е правото да се оттегли съгласието. Нужно е само когато обработването се опира на съгласие, например за бюлетин (gdpr-info.eu (Intersoft Consulting)).

Как да поставите страницата във WordPress

Инструментът за поверителност идва с WordPress 4.9.6 (WordPress.org). Отворете Settings -> Privacy в администрацията, после изберете Create New Page или посочете съществуваща страница и натиснете Use This Page. Новата страница се отваря като шаблон със заглавие „Privacy Policy“, който редактирате и публикувате с Publish.

Шаблонът носи подсказки, но документацията предупреждава, че сте длъжни сами да дадете нужната информация и да я поддържате вярна и актуална (WordPress.org). Страницата се вижда на входа и в регистрацията, а линк към нея във всяка страница трябва да сложите сами или чрез темата. Преди да редактирате, направете резервно копие на сайта. Общо въведение в платформата има в материала за основите на WordPress.

Къде се слага връзката и как се казва за промени

Насоките на работната група по член 29 препоръчват за уебсайтове електронно подредена политика на слоеве: първият слой дава преглед и сочи към подробностите (Hunton Andrews Kurth). Там е добре да се отбележи обработването, което засяга хората най-много или което най-малко очакват. Връзка към политиката стои навсякъде, където се събират данни.

За малкия сайт това означава линк във футъра и втори линк до всяка форма: за контакт, за коментар, за бюлетин. Двата са достатъчни, а политиката остава един текст.

Промените се съобщават. Задълженията за прозрачност траят през целия живот на обработването, затова хората се уведомяват за по-късни промени в политиката и за това как те ги засягат (Hunton Andrews Kurth). Ако смените доставчика на бюлетина или добавите нова услуга за анализ, редактирайте политиката в същия ден и сложете видима дата на последната промяна.

Как да проверите, че политиката работи

Минете като посетител. Отворете сайта в прозорец без запазени данни, намерете връзката във футъра и отворете формата за контакт: линкът до политиката трябва да е видим, преди да натиснете „Изпрати“. Сверете текста със списъка по-горе и отбележете всяка точка, която не намирате. Ако събирате данни от трети страни, прегледайте и GDPR за собственици на сайтове за останалите задължения.

Честите грешки са три. Копиран чужд шаблон с чужд администратор. Липсващ срок на съхранение. Липсваща информация за правото на жалба.

Жалба до КЗЛД и какво остава извън този списък

Политиката трябва да сочи, че човек може да се оплаче пред надзорен орган (gdpr-info.eu (Intersoft Consulting)). За България това е КЗЛД, която приема жалби и сигнали на хартия, по пощата, по електронна поща с квалифициран електронен подпис и през Системата за сигурно електронно връчване (Комисия за защита на личните данни). Непотписани сканирани или снимани документи по имейл не се разглеждат. Адресът за жалби се взема от страницата на комисията, а не се преписва от шаблон.

Данните не позволяват да се каже кой точно образец КЗЛД би приела за готов за малък сайт: на разгледаните страници на комисията такъв образец не се споменава. Това ще покаже раздел „Насоки“ на cpdp.bg, ако комисията публикува текст там, а срок за такова издание няма обявен.