Integritetspolicy: håll listan över tjänster aktuell

Vad dataskyddsförordningen kräver

När du samlar in personuppgifter från en person räknar artikel 13.1 i dataskyddsförordningen upp vad du måste berätta för hen vid den tidpunkten. Led e är ”eventuella mottagare eller kategorier av mottagare av personuppgifterna”. En mottagare är enligt artikel 4.9 en person, myndighet, institution eller ett annat organ till vilket personuppgifterna lämnas ut, vare sig det är en tredje part eller inte. Led f lägger i förekommande fall till information om överföring till ett tredjeland. Artikel 12.1 kräver den här informationen i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med ett klart och tydligt språk.

Dataskyddsförordningen tillåter kategorier av mottagare. Om en kategori som ”analysleverantörer” räcker i ditt fall, eller om du bör ange varje tjänst, är en juridisk fråga som den här guiden inte avgör. Om din integritetspolicy anger enskilda tjänster måste den listan stämma med webbplatsen.

Varför listan glider isär

Webbplatsen ändras oftare än integritetspolicyn. Ett nytt plugin, ett nytt tema, en video i ett blogginlägg, ett byte till ett annat nyhetsbrevsverktyg: vart och ett av dessa kan lägga till eller ta bort en mottagare. Ofta arbetar flera personer med samma webbplats, och varje ändring ser liten ut. Ingen uppdaterar policyn, eftersom ändringen inte såg ut som en dataskyddsfråga. Efter ett år kan policyn beskriva en webbplats som inte längre finns.

Typiska luckor

• Ett plugin eller tema laddar ett typsnitt, en karta eller ett skript från en extern server, och ingen märkte det.
• En tagghanterare lägger till ett nytt verktyg utan någon ändring i webbplatsens kod.
• En redaktör bäddar in en video eller ett inlägg från sociala medier i en enskild artikel.
• Ett verktyg togs bort för flera månader sedan men nämns fortfarande i policyn.
• Du bytte leverantör, till exempel för nyhetsbrevet eller chatten, och policyn nämner fortfarande den gamla.
• En mall eller en textgenerator lade till tjänster som din webbplats aldrig har använt.

Så bygger du den verkliga listan

1. 1Kontrollera vad webbplatsen laddar: öppna de viktigaste sidorna i ett privat fönster med webbläsarens utvecklarverktyg, eller använd en skanning. Skriv ner varje extern server och tjänsten bakom den.
2. 2Kontrollera vad som är installerat: plugin och tillägg i ditt publiceringssystem, taggarna i din tagghanterare och inbäddningarna i ditt innehåll.
3. 3Kontrollera vem mer som tar emot uppgifter: gå igenom avtal och fakturor från dina tjänsteleverantörer, även de som aldrig syns på webbplatsen.
4. 4Jämför den här listan med integritetspolicyn, tjänst för tjänst: anges den, med rätt företag, syftet och, där det gäller, överföringen till ett tredjeland?
5. 5Jämför den också med din samtyckesbanner. Bannern har en egen lista över tjänster, och den ska beskriva samma verklighet.

Samtyckesbannern är en andra lista

För att lagra eller läsa information på besökarens enhet, till exempel cookies, kräver § 25 TDDDG i Tyskland samtycke på grundval av tydlig och heltäckande information. I Polen kräver artikel 399 i den polska lagen om elektronisk kommunikation att användaren först informeras, bland annat om syftet, och sedan samtycker. Båda bestämmelserna har undantag för det som är strikt nödvändigt eller nödvändigt för en begärd tjänst. Om en tjänst saknas i bannern kan besökaren inte ta ställning till den. Om en borttagen tjänst fortfarande står med beskriver bannern något som inte händer.

En rutin för översyn

För en kort anteckning om varje översyn: datumet, sidorna du kontrollerade, vad du hittade och vad du ändrade i policyn eller bannern. Då kan du senare se vad som kontrollerades och när. Utse en person som ansvarar för översynen, så att den inte hänger på slumpen. Det är en vana vi föreslår, inte en regel i lagen.

Arbeta med Do4U

Kontroll av integritetspolicy jämför din integritetspolicy med din webbplats. Du anger startsidan, om du vill några fler sidor på samma webbplats, och adressen till eller texten i din integritetspolicy. Do4U läser sidorna och hittar de tredjepartstjänster som de laddar. Do4U:s AI läser integritetspolicyn och listar varje tjänst och mottagare som den nämner, var och en med ett citat. Koden kontrollerar att varje citat står ordagrant i policyn och gör själva jämförelsen. Du får tre listor: inbäddad men inte angiven, angiven men inte hittad, och hittad och angiven. Kontrollen är statisk: den kör inte JavaScript och läser bara de sidor du anger.

Do4U hittar ledtrådar, du kontrollerar och bestämmer. ”Angiven men inte hittad” kan betyda att en tjänst laddas senare, på andra sidor eller utanför webbplatsen. Resultatet säger inte om din integritetspolicy är fullständig eller korrekt.