Privatlivspolitik: hold listen over tjenester opdateret

Hvad GDPR kræver

Når du indsamler personoplysninger fra en person, oplister artikel 13, stk. 1, i GDPR, hvad du skal fortælle personen på det tidspunkt. Litra e er “modtagerne eller kategorierne af modtagere af personoplysningerne, hvis sådanne findes”. En modtager er ifølge artikel 4, nr. 9, en fysisk eller juridisk person, en offentlig myndighed, et agentur eller et andet organ, som personoplysninger videregives til, uanset om det er en tredjemand eller ej. Litra f tilføjer, hvor det er relevant, oplysninger om en overførsel til et tredjeland. Artikel 12, stk. 1, kræver disse oplysninger i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.

GDPR tillader kategorier af modtagere. Om en kategori som “analyseudbydere” er nok i dit tilfælde, eller om du bør nævne hver tjeneste, er et juridisk spørgsmål, som denne guide ikke afgør. Hvis din privatlivspolitik nævner enkelte tjenester, skal den liste passe med websitet.

Hvorfor listen glider

Websitet ændrer sig oftere end privatlivspolitikken. Et nyt plugin, et nyt tema, en video i et blogindlæg, et skifte til et andet nyhedsbrevsværktøj: Hver af disse ændringer kan tilføje eller fjerne en modtager. Ofte arbejder flere personer på ét website, og hver ændring ser lille ud. Ingen opdaterer politikken, fordi ændringen ikke lignede et databeskyttelsesemne. Efter et år beskriver politikken måske et website, der ikke findes længere.

Typiske huller

• Et plugin eller tema henter en skrifttype, et kort eller et script fra en ekstern server, og ingen har opdaget det.
• En tag manager tilføjer et nyt værktøj uden nogen ændring i websitets kode.
• En redaktør indlejrer en video eller et opslag fra sociale medier i en enkelt artikel.
• Et værktøj blev fjernet for flere måneder siden, men står stadig i politikken.
• Du har skiftet udbyder, for eksempel til nyhedsbrevet eller chatten, og politikken nævner stadig den gamle.
• En skabelon eller en tekstgenerator har tilføjet tjenester, som dit website aldrig har brugt.

Sådan laver du den rigtige liste

1. 1Tjek, hvad websitet henter: Åbn de vigtigste sider i et privat vindue med browserens udviklerværktøjer, eller brug en scanning. Skriv hver ekstern server og tjenesten bag den ned.
2. 2Tjek, hvad der er installeret: plugins og udvidelser i dit CMS, tags i din tag manager og indlejringer i dit indhold.
3. 3Tjek, hvem der ellers modtager data: Gå kontrakter og fakturaer fra dine tjenesteudbydere igennem, også dem, der aldrig dukker op på websitet.
4. 4Sammenlign listen med privatlivspolitikken, tjeneste for tjeneste: Er den nævnt, med det rigtige firma, formålet og, hvor det gælder, overførslen til et tredjeland?
5. 5Sammenlign den også med dit cookie-banner. Banneret har sin egen liste over tjenester, og det bør beskrive den samme virkelighed.

Cookie-banneret er en anden liste

For at gemme eller læse oplysninger på den besøgendes enhed, for eksempel cookies, kræver § 25 TDDDG (den tyske lov om databeskyttelse i telekommunikation og digitale tjenester) i Tyskland samtykke på grundlag af klare og fyldestgørende oplysninger. I Polen kræver artikel 399 i Prawo komunikacji elektronicznej (den polske lov om elektronisk kommunikation), at brugeren først bliver informeret, blandt andet om formålet, og derefter giver samtykke. Begge bestemmelser har undtagelser for det, der er strengt nødvendigt eller nødvendigt for en tjeneste, brugeren har bedt om. Mangler en tjeneste i banneret, kan den besøgende ikke tage stilling til den. Står en fjernet tjeneste der stadig, beskriver banneret noget, der ikke sker.

En rutine for gennemgang

Skriv en kort note om hver gennemgang: datoen, de sider, du har tjekket, hvad du fandt, og hvad du ændrede i politikken eller banneret. Så kan du senere se, hvad der blev tjekket og hvornår. Udpeg én person, der har ansvaret for gennemgangen, så den ikke afhænger af tilfældigheder. Det er en vane, vi foreslår, ikke en regel fra loven.

Arbejd med Do4U

Tjek af privatlivspolitik sammenligner din privatlivspolitik med dit website. Du indtaster forsiden, eventuelt nogle flere sider fra samme website og adressen på eller teksten i din privatlivspolitik. Do4U læser siderne og finder de tredjepartstjenester, de henter. Do4U's AI læser privatlivspolitikken og oplister hver tjeneste og modtager, den nævner, hver med et citat. Koden tjekker, at hvert citat står ordret i politikken, og laver selv sammenligningen. Du får tre lister: indlejret, men ikke nævnt; nævnt, men ikke fundet; og fundet og nævnt. Tjekket er statisk: Det kører ikke JavaScript og læser kun de sider, du indtaster.

Do4U finder hints, du tjekker og beslutter. “Nævnt, men ikke fundet” kan betyde, at en tjeneste hentes senere, på andre sider eller uden for websitet. Resultatet siger ikke, om din privatlivspolitik er komplet eller korrekt.