Tietosuojaseloste: pidä palveluluettelo ajan tasalla

Mitä GDPR edellyttää

Kun keräät henkilötietoja henkilöltä, GDPR:n 13 artiklan 1 kohta luettelee, mitä sinun on kerrottava hänelle tuolloin. Alakohta e koskee ”henkilötietojen vastaanottajat tai vastaanottajaryhmät, jos sellaisia on”. Vastaanottaja on 4 artiklan 9 alakohdan mukaan luonnollinen henkilö, viranomainen, virasto tai muu elin, jolle henkilötietoja luovutetaan, oli kyseessä kolmas osapuoli tai ei. Alakohta f lisää tarvittaessa tiedot siirrosta kolmanteen maahan. 12 artiklan 1 kohta edellyttää näitä tietoja tiiviissä, läpinäkyvässä, ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä.

GDPR sallii vastaanottajaryhmät. Riittääkö sinun tapauksessasi ryhmä kuten ”analytiikkapalvelujen tarjoajat”, vai pitäisikö sinun nimetä jokainen palvelu, on oikeudellinen kysymys, jota tämä opas ei ratkaise. Jos tietosuojaselosteesi nimeää yksittäisiä palveluja, luettelon on vastattava verkkosivustoa.

Miksi luettelo erkanee

Verkkosivusto muuttuu useammin kuin tietosuojaseloste. Uusi lisäosa, uusi teema, video blogikirjoituksessa, siirtyminen toiseen uutiskirjetyökaluun: jokainen näistä voi lisätä tai poistaa vastaanottajan. Usein yhden sivuston parissa työskentelee useita ihmisiä, ja jokainen muutos näyttää pieneltä. Kukaan ei päivitä selostetta, koska muutos ei näyttänyt tietosuoja-asialta. Vuoden kuluttua seloste saattaa kuvata verkkosivustoa, jota ei enää ole.

Tyypilliset aukot

• Lisäosa tai teema lataa fontin, kartan tai skriptin ulkoiselta palvelimelta, eikä kukaan huomannut.
• Tagien hallintatyökalu lisää uuden työkalun ilman, että sivuston koodiin tehdään muutosta.
• Toimittaja upottaa videon tai somejulkaisun yksittäiseen artikkeliin.
• Työkalu poistettiin kuukausia sitten, mutta se mainitaan yhä selosteessa.
• Vaihdoit palveluntarjoajaa, esimerkiksi uutiskirjeen tai chatin, ja seloste nimeää yhä vanhan.
• Malli tai tekstigeneraattori lisäsi palveluja, joita verkkosivustosi ei koskaan käyttänyt.

Miten laadit todellisen luettelon

1. 1Tarkista, mitä sivusto lataa: avaa pääsivut yksityisessä ikkunassa selaimesi kehittäjätyökaluilla tai käytä skannausta. Kirjaa jokainen ulkoinen palvelin ja sen takana oleva palvelu.
2. 2Tarkista, mitä on asennettu: sisällönhallintajärjestelmäsi lisäosat ja laajennukset, tagien hallintatyökalusi tagit ja sisältösi upotukset.
3. 3Tarkista, kuka muu saa tietoja: käy läpi palveluntarjoajiesi sopimukset ja laskut, myös niiden, jotka eivät koskaan näy sivustolla.
4. 4Vertaa tätä luetteloa tietosuojaselosteeseen palvelu kerrallaan: onko se nimetty, oikean yrityksen, tarkoituksen ja tarvittaessa kolmanteen maahan siirron kera?
5. 5Vertaa sitä myös evästebanneriisi. Bannerissa on oma palveluluettelonsa, ja sen pitäisi kuvata samaa todellisuutta.

Evästebanneri on toinen luettelo

Kun tietoja tallennetaan kävijän laitteelle tai luetaan sieltä, kuten evästeitä, Saksassa TDDDG:n (päätelaitteiden yksityisyyden suojaa koskeva laki) § 25 edellyttää suostumusta, joka perustuu selkeisiin ja kattaviin tietoihin. Puolassa sähköisen viestinnän lain 399 artikla edellyttää, että käyttäjälle kerrotaan ensin muun muassa tarkoituksesta ja että hän sitten antaa suostumuksensa. Molemmissa säännöksissä on poikkeuksia sille, mikä on ehdottoman välttämätöntä tai välttämätöntä pyydetyn palvelun kannalta. Jos palvelu puuttuu bannerista, kävijä ei voi päättää siitä. Jos poistettu palvelu on yhä luettelossa, banneri kuvaa jotain, mitä ei tapahdu.

Tarkastusrutiini

Kirjaa jokaisesta tarkastuksesta lyhyt muistiinpano: päivämäärä, tarkistamasi sivut, mitä löysit ja mitä muutit selosteeseen tai banneriin. Silloin näet myöhemmin, mitä tarkistettiin ja milloin. Nimeä yksi henkilö, joka vastaa tarkastuksesta, jotta se ei jää sattuman varaan. Tämä on tapa, jota suosittelemme, ei lain sääntö.

Työskentele Do4U:lla

Tietosuojaselosteen tarkistus vertaa tietosuojaselostettasi verkkosivustoosi. Syötät aloitussivun, halutessasi muutaman muun saman sivuston sivun sekä tietosuojaselosteesi osoitteen tai tekstin. Do4U lukee sivut ja löytää niiden lataamat kolmansien osapuolten palvelut. Do4U:n tekoäly lukee tietosuojaselosteen ja luettelee jokaisen siinä nimetyn palvelun ja vastaanottajan, kunkin lainauksen kera. Koodi tarkistaa, että jokainen lainaus on selosteessa sanasta sanaan, ja tekee vertailun itse. Saat kolme luetteloa: upotettu mutta ei nimetty, nimetty mutta ei löydetty sekä löydetty ja nimetty. Tarkistus on staattinen: se ei suorita JavaScriptiä ja lukee vain syöttämäsi sivut.

Do4U löytää vihjeitä, sinä tarkistat ja päätät. ”Nimetty mutta ei löydetty” voi tarkoittaa, että palvelu latautuu myöhemmin, muilla sivuilla tai sivuston ulkopuolella. Tulos ei kerro, onko tietosuojaselosteesi täydellinen tai oikea.