Personvernerklæring: hold listen over tjenester oppdatert

Hva GDPR krever

Når du samler inn personopplysninger fra en person, lister personvernforordningen (GDPR) art. 13 nr. 1 opp hva du må fortelle personen på det tidspunktet. Bokstav e er «eventuelle mottakere eller kategorier av mottakere av personopplysningene». En mottaker er etter artikkel 4 nr. 9 en fysisk eller juridisk person, offentlig myndighet, institusjon eller et annet organ som personopplysninger utleveres til, enten det er en tredjepart eller ikke. Bokstav f tilføyer, der det er aktuelt, informasjon om overføring til et tredjeland. Artikkel 12 nr. 1 krever at denne informasjonen gis i en kortfattet, åpen, forståelig og lett tilgjengelig form og på et klart og enkelt språk.

GDPR tillater kategorier av mottakere. Om en kategori som «analyseleverandører» er nok i ditt tilfelle, eller om du bør nevne hver tjeneste, er et juridisk spørsmål som denne veiledningen ikke avgjør. Nevner personvernerklæringen din enkelttjenester, må listen stemme med nettstedet.

Hvorfor listen skiller lag

Nettstedet endres oftere enn personvernerklæringen. En ny utvidelse, et nytt tema, en video i et blogginnlegg, et bytte til et annet nyhetsbrevverktøy: hver av disse kan legge til eller fjerne en mottaker. Ofte arbeider flere personer på ett nettsted, og hver endring virker liten. Ingen oppdaterer erklæringen, fordi endringen ikke så ut som et personverntema. Etter et år kan erklæringen beskrive et nettsted som ikke lenger finnes.

Typiske hull

• En utvidelse eller et tema laster inn en skrift, et kart eller et skript fra en ekstern server, og ingen la merke til det.
• En tag manager legger til et nytt verktøy uten at koden til nettstedet endres.
• En redaktør bygger inn en video eller et innlegg fra sosiale medier i én enkelt artikkel.
• Et verktøy ble fjernet for flere måneder siden, men er fortsatt nevnt i erklæringen.
• Du byttet leverandør, for eksempel for nyhetsbrevet eller chatten, og erklæringen nevner fortsatt den gamle.
• En mal eller en tekstgenerator la til tjenester som nettstedet ditt aldri har brukt.

Slik lager du den virkelige listen

1. 1Sjekk hva nettstedet laster inn: åpne hovedsidene i et privat vindu med utviklerverktøyene i nettleseren din, eller bruk en skanning. Skriv ned hver ekstern server og tjenesten bak den.
2. 2Sjekk hva som er installert: utvidelsene i publiseringssystemet ditt, taggene i tag manageren og innebygd innhold i tekstene dine.
3. 3Sjekk hvem andre som mottar data: gå gjennom avtalene og fakturaene fra tjenesteleverandørene dine, også dem som aldri vises på nettstedet.
4. 4Sammenlign denne listen med personvernerklæringen, tjeneste for tjeneste: er den nevnt, med riktig selskap, formålet og, der det gjelder, overføringen til et tredjeland?
5. 5Sammenlign den også med samtykkebanneret ditt. Banneret har sin egen liste over tjenester, og det bør beskrive den samme virkeligheten.

Samtykkebanneret er en liste nummer to

For lagring av eller lesing av informasjon på den besøkendes enhet, for eksempel informasjonskapsler, krever § 25 TDDDG i Tyskland samtykke basert på klar og fullstendig informasjon. I Polen krever artikkel 399 i den polske loven om elektronisk kommunikasjon at brukeren først blir informert, blant annet om formålet, og deretter samtykker. Begge bestemmelsene har unntak for det som er strengt nødvendig eller nødvendig for en tjeneste brukeren har bedt om. Mangler en tjeneste i banneret, kan den besøkende ikke ta stilling til den. Står en fjernet tjeneste fortsatt oppført, beskriver banneret noe som ikke skjer.

En rutine for gjennomgang

Før et kort notat for hver gjennomgang: datoen, sidene du sjekket, hva du fant og hva du endret i erklæringen eller banneret. Da kan du senere se hva som ble sjekket og når. Utpek én person som har ansvaret for gjennomgangen, slik at den ikke blir overlatt til tilfeldighetene. Dette er en vane vi foreslår, ikke en regel fra loven.

Arbeid med Do4U

Sjekk av personvernerklæring sammenligner personvernerklæringen din med nettstedet ditt. Du skriver inn startsiden, om du vil noen flere sider fra det samme nettstedet, og adressen til eller teksten i personvernerklæringen din. Do4U leser sidene og finner tredjepartstjenestene de laster inn. Do4U-KI-en leser personvernerklæringen og lister opp hver tjeneste og mottaker den nevner, hver med et sitat. Koden sjekker at hvert sitat står ordrett i erklæringen, og gjør selve sammenligningen. Du får tre lister: innebygd, men ikke nevnt; nevnt, men ikke funnet; og funnet og nevnt. Sjekken er statisk: den kjører ikke JavaScript og leser bare sidene du skriver inn.

Do4U finner tips, du sjekker og bestemmer. «Nevnt, men ikke funnet» kan bety at en tjeneste lastes inn senere, på andre sider eller utenfor nettstedet. Resultatet sier ikke om personvernerklæringen din er fullstendig eller riktig.