Politika zasebnosti: seznam storitev naj bo ažuren

Kaj zahteva GDPR

Ko od osebe zbiraš osebne podatke, člen 13(1) GDPR našteva, kaj ji moraš takrat sporočiti. Točka (e) so »uporabniki ali kategorije uporabnikov osebnih podatkov, če obstajajo« – uredba prejemnike imenuje uporabniki. Prejemnik je po členu 4(9) oseba, javni organ, agencija ali drug subjekt, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Točka (f) doda, kadar je primerno, informacije o prenosu v tretjo državo. Člen 12(1) zahteva te informacije v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku.

GDPR dovoljuje kategorije prejemnikov. Ali je kategorija, kot je »ponudniki analitike«, v tvojem primeru dovolj ali pa naj navedeš vsako storitev posebej, je pravno vprašanje, ki ga ta vodnik ne odloča. Če tvoja politika zasebnosti navaja posamezne storitve, se mora ta seznam ujemati s spletnim mestom.

Zakaj se seznam oddalji

Spletno mesto se spreminja pogosteje kot politika zasebnosti. Nov vtičnik, nova tema, video v objavi na blogu, prehod na drugo orodje za novičnik: vsaka od teh sprememb lahko doda ali odstrani prejemnika. Pogosto na enem spletnem mestu dela več ljudi in vsaka sprememba se zdi majhna. Politike nihče ne posodobi, ker sprememba ni bila videti kot vprašanje varstva podatkov. Po enem letu lahko politika opisuje spletno mesto, ki ga ni več.

Tipične vrzeli

• Vtičnik ali tema naloži pisavo, zemljevid ali skript z zunanjega strežnika, pa tega nihče ni opazil.
• Upravljalnik oznak (tag manager) doda novo orodje, ne da bi se koda spletnega mesta kakor koli spremenila.
• Urednik v posamezen članek vgradi video ali objavo z družbenega omrežja.
• Orodje je bilo odstranjeno pred meseci, v politiki pa je še vedno navedeno.
• Zamenjal si ponudnika, na primer za novičnik ali klepet, politika pa še vedno navaja starega.
• Predloga ali generator besedil je dodal storitve, ki jih tvoje spletno mesto nikoli ni uporabljalo.

Kako sestaviš pravi seznam

1. 1Preveri, kaj spletno mesto naloži: glavne strani odpri v zasebnem oknu z orodji za razvijalce v brskalniku ali uporabi orodje za skeniranje. Zapiši si vsak zunanji strežnik in storitev za njim.
2. 2Preveri, kaj je nameščeno: vtičnike in razširitve v sistemu za upravljanje vsebin, oznake v upravljalniku oznak in vgrajene elemente v vsebini.
3. 3Preveri, kdo še prejema podatke: preglej pogodbe in račune svojih ponudnikov storitev, tudi tistih, ki se na spletnem mestu nikoli ne pojavijo.
4. 4Ta seznam primerjaj s politiko zasebnosti, storitev za storitvijo: ali je navedena, s pravim podjetjem, namenom in, kadar velja, prenosom v tretjo državo?
5. 5Primerjaj ga tudi s pasico za privolitev. Pasica ima svoj seznam storitev in naj opisuje isto resničnost.

Pasica za privolitev je drugi seznam

Za shranjevanje informacij v napravi obiskovalca ali branje iz nje, na primer piškotkov, § 25 TDDDG v Nemčiji zahteva privolitev na podlagi jasnih in izčrpnih informacij. Na Poljskem člen 399 zakona o elektronskih komunikacijah zahteva, da je uporabnik najprej obveščen, med drugim o namenu, in se nato strinja. Obe določbi imata izjeme za to, kar je nujno potrebno ali potrebno za zahtevano storitev. Če storitev v pasici manjka, obiskovalec o njej ne more odločiti. Če je odstranjena storitev še navedena, pasica opisuje nekaj, kar se ne zgodi.

Rutina pregleda

O vsakem pregledu si zapiši kratko opombo: datum, strani, ki si jih preveril, kaj si našel in kaj si spremenil v politiki ali pasici. Tako lahko pozneje vidiš, kaj je bilo preverjeno in kdaj. Določi eno osebo, ki je odgovorna za pregled, da ta ni odvisen od naključja. To je navada, ki jo predlagamo, ne pravilo iz zakona.

Delo z Do4U

Preverjanje politike zasebnosti primerja tvojo politiko zasebnosti s tvojim spletnim mestom. Vneseš začetno stran, po želji še nekaj strani istega spletnega mesta ter naslov ali besedilo svoje politike zasebnosti. Do4U prebere strani in najde storitve tretjih oseb, ki jih nalagajo. UI Do4U prebere politiko zasebnosti in navede vsako storitev in vsakega prejemnika, ki ga omenja, vsakega s citatom. Koda preveri, da je vsak citat v politiki dobesedno, in sama opravi primerjavo. Dobiš tri sezname: vgrajeno, a ne navedeno; navedeno, a ne najdeno; ter najdeno in navedeno. Preverjanje je statično: ne izvaja JavaScripta in bere samo strani, ki jih vneseš.

Do4U najde namige, ti preveriš in odločiš. »Navedeno, a ne najdeno« lahko pomeni, da se storitev naloži pozneje, na drugih straneh ali zunaj spletnega mesta. Rezultat ne pove, ali je tvoja politika zasebnosti popolna ali pravilna.