Страница за поверителност на сайта — какво трябва да съдържа

Страницата за поверителност на малък сайт трябва да назовава кой обработва данните, защо, на какво основание, колко дълго и как човек упражнява правата си; списъкът идва от чл. 13 на Общия регламент за защита на данните (GDPR) (gdpr-info.eu). Информацията се дава в момента на събиране, тоест преди посетителят да изпрати формата или да се абонира (Европейски комитет по защита на данните (EDPB)). Подгответе текста за около час, ако знаете какви данни събира сайтът Ви.

Не е нужно да пишете юридически трактат. Регламентът иска кратък, прозрачен и разбираем текст, написан на прост език (gdpr-info.eu).

Какви реквизити изисква чл. 13 от GDPR

Член 13 разделя съдържанието на две части. Първата обхваща самоличността и данните за връзка с администратора, контакта с длъжностното лице по защита на данните (ако има такова), целите и правното основание, легитимните интереси, получателите и евентуалното предаване извън ЕС (gdpr-info.eu).

Втората част добавя срока на съхранение или критериите за него, правата на достъп, поправка, изтриване, ограничаване, възражение и преносимост, правото да се оттегли съгласие и правото на жалба до надзорен орган (gdpr-info.eu). Трябва да се каже и дали предоставянето на данните е задължително и какво следва при отказ. Автоматизираното вземане на решения и профилирането се описват само ако ги има.

Администратор е Вашата фирма или Вие като физическо лице с блог, който събира данни. Наш извод: ако хостингът, пощенската услуга и системата за бюлетин получават данни от формите, те са „получатели“ и ги изброявате поне по категории.

Какво да съберете преди да пишете

Разпишете всяка форма и всеки инструмент на сайта: контактна форма, коментари, абонамент, поръчки, статистика. За всяка дейност отбележете целта, категориите данни, получателите и срока на съхранение, защото същите елементи влизат в регистъра на дейностите по обработване (Европейски комитет по защита на данните (EDPB)).

Регистърът се води писмено, включително електронно, и се показва на надзорния орган при поискване (Европейски комитет по защита на данните (EDPB)). Така страницата за поверителност става преглед на вече изготвения регистър, а не отделна задача.

Как да построите текста за посетителя

Основното трябва да се вижда веднага: кой е администраторът, защо събира данните, кои са получателите и какви са правата на човека (Европейски комитет по защита на данните (EDPB)). По-подробната информация по чл. 13 и 14 може да стои отделно, достъпна през връзка. Удобен формат е кратка таблица в началото на страницата.

Пишете според аудиторията. Ако сайтът е за деца или тийнейджъри, формулировките се съобразяват с тях (Европейски комитет по защита на данните (EDPB)).

Поставете връзка към страницата във футъра и до всяка форма. Върху формата за контакт добавете и кратка бележка към пълния текст.

Източник: КЗЛД, страницата с нейната политика за поверителност (КЗЛД (cpdp.bg))

Таблицата показва как институцията на практика различава срокове по цел, а не една обща цифра (КЗЛД (cpdp.bg)). Вашите срокове ще са други; важното е да са различни за различните цели и да можете да ги обосновете. Срок „докато е необходимо“ без критерии е твърде неясен.

В какъв срок отговаряте на искания на хора

Когато човек поиска достъп, поправка или изтриване, отговорете до един месец от получаването на искането (Европейски комитет по защита на данните (EDPB), gdpr-info.eu). При сложно или множествено искане срокът се удължава с още два месеца, но трябва да уведомите човека още през първия месец и да посочите причината. Ако няма да изпълните искането, кажете му това в същия едномесечен срок и му посочете, че може да се оплаче пред надзорния орган и да потърси съдебна защита.

Упражняването на правата е безплатно (gdpr-info.eu). Изключение са явно неоснователни или прекомерни искания, при които можете да поискате разумна такса или да откажете, но тежестта да докажете това е Ваша (Европейски комитет по защита на данните (EDPB)).

Затова сложете на страницата отделен адрес за такива искания и го проверявайте редовно. Ако ползвате адрес на собствен домейн, вижте имейл на собствен домейн с SPF, DKIM и DMARC, за да не губите писма.

Какво пише в политика на държавна институция

Политиката на КЗЛД показва пълния набор: администратор с адрес и контакти, длъжностно лице в отделен раздел, списък на целите, срокове, права по членове 15–22 от GDPR и проверка на самоличността на заявителя (КЗЛД (cpdp.bg)). Правно основание е посочено само в един от случаите, а за останалите целите са изброени без основание.

Това е пример за добра практика и за пропуск, който не бива да повтаряте: чл. 13 изисква основание за всяка цел (gdpr-info.eu). Наш извод: най-лесно е да добавите колона „основание“ към таблицата с целите.

Чести грешки на малките сайтове

• Копиране на чужда политика със заварени имена, цели и срокове, които не отговарят на Вашия сайт.
• Липса на данни за връзка с администратора или на указание за правото на жалба (gdpr-info.eu).
• Страница, която съществува, но няма връзка от формите, макар информацията да се дава при събирането.
• Обещание за изтриване в определен срок без реален процес зад него.

Проверете резултата така: отворете сайта като нов посетител, попълнете всяка форма и се уверете, че преди изпращането виждате връзка към текста. После сверете страницата с точките на чл. 13 едно по едно (gdpr-info.eu). За повече контекст вижте GDPR за собственици на сайтове, а ако текстът е дълъг, прегледайте и достъпността на сайта, за да е четим за всички.

Преди промени в обработването, например нова система за бюлетин, уведомете хората предварително, преди промяната да влезе в сила (Европейски комитет по защита на данните (EDPB)).