Polityka prywatności: aktualna lista usług i odbiorców

Czego wymaga RODO

Gdy zbierasz dane osobowe od danej osoby, art. 13 ust. 1 RODO wymienia, co musisz jej wtedy przekazać. Litera e to „informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją”. Odbiorca to według art. 4 pkt 9 osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Litera f dodaje, gdy ma to zastosowanie, informacje o przekazaniu danych do państwa trzeciego. Art. 12 ust. 1 wymaga, aby te informacje były podane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

RODO dopuszcza kategorie odbiorców. Czy kategoria taka jak „dostawcy usług analitycznych” wystarcza w twoim przypadku, czy lepiej wymienić każdą usługę, to pytanie prawne, którego ten poradnik nie rozstrzyga. Jeśli twoja polityka prywatności wymienia poszczególne usługi, ta lista musi pasować do strony.

Dlaczego lista się rozjeżdża

Strona zmienia się częściej niż polityka prywatności. Nowa wtyczka, nowy motyw, film we wpisie na blogu, przejście na inne narzędzie do newslettera: każda z tych zmian może dodać albo usunąć odbiorcę. Często nad jedną stroną pracuje kilka osób, a każda zmiana wydaje się drobna. Nikt nie poprawia polityki, bo zmiana nie wyglądała na temat związany z ochroną danych. Po roku polityka może opisywać stronę, której już nie ma.

Typowe luki

• Wtyczka lub motyw ładuje czcionkę, mapę albo skrypt z obcego serwera i nikt tego nie zauważył.
• Menedżer tagów dodaje nowe narzędzie bez żadnej zmiany w kodzie strony.
• Ktoś osadza w pojedynczym artykule film albo post z mediów społecznościowych.
• Narzędzie usunięto kilka miesięcy temu, ale nadal jest wymienione w polityce.
• Zmieniłeś dostawcę, na przykład newslettera albo czatu, a polityka wciąż wymienia poprzedniego.
• Szablon lub generator tekstów dopisał usługi, których twoja strona nigdy nie używała.

Jak zbudować prawdziwą listę

1. 1Sprawdź, co ładuje strona: otwórz najważniejsze podstrony w oknie prywatnym z narzędziami deweloperskimi przeglądarki albo użyj skanowania. Zapisz każdy obcy serwer i usługę, która za nim stoi.
2. 2Sprawdź, co jest zainstalowane: wtyczki i rozszerzenia w systemie zarządzania treścią, tagi w menedżerze tagów i osadzenia w treściach.
3. 3Sprawdź, kto jeszcze otrzymuje dane: przejrzyj umowy i faktury usługodawców, także tych, którzy nigdy nie pojawiają się na stronie.
4. 4Porównaj tę listę z polityką prywatności, usługa po usłudze: czy jest wymieniona, z właściwą firmą, celem i, gdy ma to zastosowanie, przekazaniem do państwa trzeciego?
5. 5Porównaj ją też z banerem cookie. Baner ma własną listę usług i powinna ona opisywać tę samą rzeczywistość.

Baner cookie to druga lista

W przypadku przechowywania informacji na urządzeniu odwiedzającego lub dostępu do nich, na przykład plików cookie, § 25 TDDDG w Niemczech wymaga zgody wyrażonej na podstawie jasnych i wyczerpujących informacji. W Polsce art. 399 ustawy – Prawo komunikacji elektronicznej wymaga, aby użytkownik został uprzednio poinformowany, między innymi o celu, i wyraził zgodę. Oba przepisy przewidują wyjątki dla tego, co jest ściśle niezbędne albo konieczne do świadczenia żądanej usługi. Jeśli usługi brakuje w banerze, odwiedzający nie może o niej zdecydować. Jeśli usunięta usługa nadal jest na liście, baner opisuje coś, co się nie dzieje.

Stały rytm przeglądów

Krótko zapisuj każdy przegląd: datę, sprawdzone podstrony, co znalazłeś i co zmieniłeś w polityce lub banerze. Dzięki temu później widać, co i kiedy zostało sprawdzone. Wyznacz jedną osobę odpowiedzialną za przegląd, żeby nie zależał od przypadku. To nawyk, który proponujemy, a nie wymóg z przepisów.

Praca z Do4U

Porównanie z polityką prywatności zestawia twoją politykę prywatności z twoją stroną. Podajesz stronę startową, jeśli chcesz kilka kolejnych podstron tej samej witryny, oraz adres albo tekst polityki prywatności. Do4U czyta podstrony i znajduje usługi zewnętrzne, które ładują. AI Do4U czyta politykę prywatności i wypisuje każdą usługę i każdego odbiorcę, których wymienia, zawsze z cytatem. Kod sprawdza, czy każdy cytat występuje w polityce słowo w słowo, i sam wykonuje porównanie. Dostajesz trzy listy: osadzone, ale niewymienione; wymienione, ale nieznalezione; znalezione i wymienione. Sprawdzanie jest statyczne: nie uruchamia JavaScriptu i czyta tylko podstrony, które podasz.

Do4U znajduje wskazówki, a ty sprawdzasz i decydujesz. „Wymienione, ale nieznalezione” może oznaczać, że usługa ładuje się później, na innych podstronach albo poza stroną. Wynik nie mówi, czy twoja polityka prywatności jest pełna lub poprawna.