Πολιτική απορρήτου: ενημερωμένη λίστα υπηρεσιών

Τι ζητά ο ΓΚΠΔ

Όταν συλλέγεις δεδομένα προσωπικού χαρακτήρα από ένα πρόσωπο, το άρθρο 13(1) του ΓΚΠΔ απαριθμεί τι πρέπει να του πεις εκείνη τη στιγμή. Το στοιχείο (ε) είναι «οι αποδέκτες ή οι κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν». Αποδέκτης, σύμφωνα με το άρθρο 4(9), είναι ένα πρόσωπο, μια αρχή, μια υπηρεσία ή άλλος φορέας στον οποίο κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτο είτε όχι. Το στοιχείο (στ) προσθέτει, όπου ισχύει, πληροφορίες για διαβίβαση σε τρίτη χώρα. Το άρθρο 12(1) ζητά αυτές τις πληροφορίες σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, με σαφή και απλή διατύπωση.

Ο ΓΚΠΔ επιτρέπει κατηγορίες αποδεκτών. Αν μια κατηγορία όπως «πάροχοι αναλυτικών στοιχείων» αρκεί στη δική σου περίπτωση ή αν πρέπει να αναφέρεις κάθε υπηρεσία χωριστά, είναι νομικό ερώτημα που αυτός ο οδηγός δεν απαντά. Αν η πολιτική απορρήτου σου αναφέρει μεμονωμένες υπηρεσίες, η λίστα αυτή πρέπει να ταιριάζει με τον ιστότοπο.

Γιατί η λίστα ξεφεύγει

Ο ιστότοπος αλλάζει πιο συχνά από την πολιτική απορρήτου. Ένα νέο πρόσθετο, ένα νέο θέμα, ένα βίντεο σε ένα άρθρο του blog, η μετάβαση σε άλλο εργαλείο newsletter: καθένα από αυτά μπορεί να προσθέσει ή να αφαιρέσει έναν αποδέκτη. Συχνά πολλοί άνθρωποι δουλεύουν σε έναν ιστότοπο, και κάθε αλλαγή φαίνεται μικρή. Κανείς δεν ενημερώνει την πολιτική, γιατί η αλλαγή δεν έμοιαζε με θέμα προστασίας δεδομένων. Μετά από έναν χρόνο, η πολιτική μπορεί να περιγράφει έναν ιστότοπο που δεν υπάρχει πια.

Συνηθισμένα κενά

• Ένα πρόσθετο ή ένα θέμα φορτώνει μια γραμματοσειρά, έναν χάρτη ή ένα script από εξωτερικό διακομιστή, και δεν το πρόσεξε κανείς.
• Ένας tag manager προσθέτει ένα νέο εργαλείο χωρίς καμία αλλαγή στον κώδικα του ιστότοπου.
• Ένας συντάκτης ενσωματώνει ένα βίντεο ή μια ανάρτηση μέσων κοινωνικής δικτύωσης σε ένα μόνο άρθρο.
• Ένα εργαλείο αφαιρέθηκε πριν από μήνες, αλλά αναφέρεται ακόμη στην πολιτική.
• Άλλαξες πάροχο, για παράδειγμα για το newsletter ή το chat, και η πολιτική αναφέρει ακόμη τον παλιό.
• Ένα πρότυπο ή μια γεννήτρια κειμένων πρόσθεσε υπηρεσίες που ο ιστότοπός σου δεν χρησιμοποίησε ποτέ.

Πώς φτιάχνεις την πραγματική λίστα

1. 1Έλεγξε τι φορτώνει ο ιστότοπος: άνοιξε τις κύριες σελίδες σε ιδιωτικό παράθυρο με τα εργαλεία προγραμματιστή του προγράμματος περιήγησής σου ή χρησιμοποίησε μια σάρωση. Σημείωσε κάθε εξωτερικό διακομιστή και την υπηρεσία πίσω από αυτόν.
2. 2Έλεγξε τι είναι εγκατεστημένο: τα πρόσθετα και τις επεκτάσεις στο σύστημα διαχείρισης περιεχομένου σου, τα tags στον tag manager σου και τις ενσωματώσεις στο περιεχόμενό σου.
3. 3Έλεγξε ποιος άλλος λαμβάνει δεδομένα: πέρασε τις συμβάσεις και τα τιμολόγια των παρόχων υπηρεσιών σου, και εκείνων που δεν εμφανίζονται ποτέ στον ιστότοπο.
4. 4Σύγκρινε αυτή τη λίστα με την πολιτική απορρήτου, υπηρεσία προς υπηρεσία: αναφέρεται, με τη σωστή εταιρεία, τον σκοπό και, όπου ισχύει, τη διαβίβαση σε τρίτη χώρα;
5. 5Σύγκρινέ τη και με το banner συναίνεσης. Το banner έχει τη δική του λίστα υπηρεσιών και πρέπει να περιγράφει την ίδια πραγματικότητα.

Το banner συναίνεσης είναι μια δεύτερη λίστα

Για την αποθήκευση ή την ανάγνωση πληροφοριών στη συσκευή του επισκέπτη, όπως τα cookies, το § 25 του TDDDG (γερμανικός νόμος για την προστασία της ιδιωτικότητας στον τερματικό εξοπλισμό) απαιτεί στη Γερμανία συναίνεση με βάση σαφή και πλήρη ενημέρωση. Στην Πολωνία, το άρθρο 399 του Prawo komunikacji elektronicznej (πολωνικός νόμος για τις ηλεκτρονικές επικοινωνίες) απαιτεί ο χρήστης να ενημερώνεται πρώτα, μεταξύ άλλων για τον σκοπό, και έπειτα να συναινεί. Και οι δύο διατάξεις έχουν εξαιρέσεις για ό,τι είναι απολύτως απαραίτητο ή απαραίτητο για μια υπηρεσία που ζητήθηκε. Αν μια υπηρεσία λείπει από το banner, ο επισκέπτης δεν μπορεί να αποφασίσει γι’ αυτήν. Αν μια υπηρεσία που αφαιρέθηκε εξακολουθεί να αναφέρεται, το banner περιγράφει κάτι που δεν συμβαίνει.

Μια ρουτίνα ελέγχου

Κράτα μια σύντομη σημείωση για κάθε έλεγχο: την ημερομηνία, τις σελίδες που έλεγξες, τι βρήκες και τι άλλαξες στην πολιτική ή στο banner. Έτσι βλέπεις αργότερα τι ελέγχθηκε και πότε. Όρισε ένα άτομο υπεύθυνο για τον έλεγχο, ώστε να μην εξαρτάται από την τύχη. Αυτή είναι μια συνήθεια που προτείνουμε, όχι κανόνας του νόμου.

Δούλεψε με το Do4U

Το εργαλείο «Έλεγχος πολιτικής απορρήτου» συγκρίνει την πολιτική απορρήτου σου με τον ιστότοπό σου. Δίνεις την αρχική σελίδα, αν θέλεις μερικές ακόμη σελίδες του ίδιου ιστότοπου, και τη διεύθυνση ιστού ή το κείμενο της πολιτικής απορρήτου σου. Το Do4U διαβάζει τις σελίδες και βρίσκει τις υπηρεσίες τρίτων που φορτώνουν. Η ΤΝ του Do4U διαβάζει την πολιτική απορρήτου και καταγράφει κάθε υπηρεσία και κάθε αποδέκτη που αναφέρει, τον καθένα με ένα παράθεμα. Ο κώδικας ελέγχει ότι κάθε παράθεμα υπάρχει αυτολεξεί στην πολιτική και κάνει ο ίδιος τη σύγκριση. Παίρνεις τρεις λίστες: ενσωματωμένες αλλά όχι αναφερόμενες, αναφερόμενες αλλά όχι εντοπισμένες, και εντοπισμένες και αναφερόμενες. Ο έλεγχος είναι στατικός: δεν εκτελεί JavaScript και διαβάζει μόνο τις σελίδες που δίνεις.

Το Do4U βρίσκει ενδείξεις, εσύ ελέγχεις και αποφασίζεις. Το «αναφέρεται αλλά δεν εντοπίστηκε» μπορεί να σημαίνει ότι μια υπηρεσία φορτώνει αργότερα, σε άλλες σελίδες ή έξω από τον ιστότοπο. Το αποτέλεσμα δεν λέει αν η πολιτική απορρήτου σου είναι πλήρης ή σωστή.