GDPR: piškotki, obrazci in pravilnik o zasebnosti

Modul 9: E-pošta, najdljivost (SEO), GDPR, vzdrževanje in selitev · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste znali urediti GDPR-osnove WordPress spletnega mesta: vedeli boste, katere osebne podatke obdelujete, pravilno uredili piškotke in zunanjo vsebino, ustrezno pripravili obrazce in sestavili pravilnik o zasebnosti.

Ključni pojmi: osebni podatki, obdelava, pravna podlaga, obveznost obveščanja, pravilnik o zasebnosti, pravilo o piškotkih (direktiva o e-zasebnosti), privolitev, funkcionalni in analitični piškotki, sledilni piškotki, pasica za piškotke, zunanja vsebina, obrazci, rok hrambe, obdelovalec, pogodba o obdelavi podatkov, kršitev varstva podatkov

Ta lekcija je splošna razlaga in ne pravni nasvet. Za Vašo konkretno situacijo preberite informacije Informacijskega pooblaščenca ali se posvetujte s strokovnjakom oziroma preverite pravila, ki veljajo v Vaši državi.

Kaj ima GDPR opraviti z Vašim spletnim mestom

GDPR (splošna uredba o varstvu podatkov) ureja osebne podatke: vse, s čimer je mogoče nekoga neposredno ali posredno prepoznati. Na spletnem mestu je tega več, kot si mislite: ime in e-poštni naslov iz obrazca, naročilo, uporabniški račun, pa tudi IP-naslov in piškotek z edinstveno številko.

Skoraj vsako WordPress spletno mesto torej obdeluje osebne podatke: v obrazcih, komentarjih, uporabniških računih, naročilih, dnevnikih strežnika, varnostnih kopijah, dnevnikih pošte (lekcija 9.1) in v tem, kar Vaše spletno mesto pošilja drugim ponudnikom. Za to med drugim veljajo ta pravila:

• Za vsako obdelavo potrebujete pravno podlago (člen 6 GDPR), na primer: potrebno za izvedbo pogodbe (naročilo), privolitev (e-novice) ali zakoniti interes.
• Ne obdelujete več podatkov, kot je potrebno, in jih ne hranite dlje, kot je potrebno.
• Ljudi obveščate o tem, kaj počnete (člen 13 GDPR): to storite v svojem pravilniku o zasebnosti.
• Podatke ustrezno zavarujete (https, posodobitve, varnostne kopije: preostanek tega tečaja).
• Če za Vas podatke obdeluje druga stranka (Vaš ponudnik gostovanja, poštna storitev, vtičnik z oblačno storitvijo), gre za obdelovalca in z njim skleneta pogodbo o obdelavi podatkov (člen 28 GDPR). Ponudniki gostovanja in večje storitve imajo to običajno že pripravljeno.
• Če gre kaj narobe (vdor, uhajanje varnostne kopije), gre za kršitev varstva podatkov, ki jo je v nekaterih primerih treba prijaviti (lekcija 7.5).

Piškotki: direktiva o e-zasebnosti

Za piškotke (in podobne tehnike, kot sta lokalna shramba in sledilni piksli) poleg tega velja pravilo o piškotkih iz evropske direktive o e-zasebnosti (ePrivacy) (v Sloveniji: Zakon o elektronskih komunikacijah, ZEKom-2; na Nizozemskem: člen 11.7a Telecommunicatiewet). Na kratko, kot to razlaga nizozemski organ za varstvo podatkov:

• Funkcionalni piškotki, ki so potrebni za delovanje spletnega mesta (piškotek za prijavo, nakupovalna košarica, zapomnitev izbire glede piškotkov): dovoljeni so brez privolitve. O njih pa morate kljub temu obvestiti.
• Analitični piškotki z majhnim ali nobenim vplivom na zasebnost: dovoljeni so brez privolitve, če izpolnjujejo določene pogoje. Mislite na statistiko, ki jo vodite sami ali je nastavljena na način, prijazen do zasebnosti (brez deljenja podatkov, skrajšani IP-naslovi, brez sledenja prek drugih spletnih mest).
• Sledilni piškotki in vse, kar sledi obiskovalcem ali ustvarja profile (oglasi, družbena omrežja, večina vdelanih storitev velikih platform): samo po privolitvi, kar pomeni, da se naložijo šele potem, ko obiskovalec reče "da".

Pasica za piškotke zahteva to privolitev. Nizozemski organ za varstvo podatkov med drugim navaja: pojasnite, katere piškotke uporabljate in za kaj, zavrnitev mora biti enako preprosta kot sprejem, in brez vnaprej obkljukanih polj. Pasica, ki ima samo gumb "V redu", ali ki sledilno kodo naloži še pred izbiro, ne izpolnjuje pogojev. Za WordPress obstaja veliko vtičnikov za piškotke; izberite takega, ki skripte dejansko zaustavi do pridobitve privolitve, in to preverite (naloga te lekcije Vam pri tem pomaga).

Zunanja vsebina: kaj Vaše spletno mesto pošilja drugim

Tudi brez piškotkov Vaše spletno mesto pošilja podatke drugim ponudnikom, takoj ko stran od njih naloži kaj. Brskalnik Vašega obiskovalca to nato pridobi pri tistem ponudniku, ki vidi vsaj IP-naslov. Primeri:

V Nemčiji je sodišče (LG München I, januar 2022) odločilo, da je nalaganje pisav zunanje storitve brez privolitve v nasprotju z GDPR, ker se pri tem IP-naslov obiskovalca posreduje naprej. To ni odločitev nizozemskega sodišča, vendar pokaže, za kaj gre: vsak zunanji vir morate znati pojasniti.

Obrazci

Obrazec pomeni obdelavo podatkov. Bodite pozorni na naslednje:

• Vprašajte samo za tisto, kar potrebujete. Za zahtevo za povratni klic potrebujete ime in telefonsko številko, ne naslova in datuma rojstva.
• Prek https (lekcija 3.1), sicer gredo podatki po internetu nešifrirano.
• Kje ostanejo podatki? Mnogi vtičniki za obrazce vsak vnos poleg e-pošte shranijo tudi v podatkovno bazo. Po nekaj letih je tam na tisoče vnosov. Nastavite rok hrambe ali izklopite shranjevanje, če e-pošta zadošča. Podatke vsebuje tudi dnevnik pošte Vašega SMTP vtičnika (lekcija 9.1).
• Privolitev za e-novice je ločeno polje, ki ni vnaprej obkljukano. Kontaktni obrazec ni prijava na e-novice.
• Zaščita pred neželeno pošto: glejte zgornjo tabelo.

Pravilnik o zasebnosti

WordPress ob namestitvi ustvari osnutek strani Pravilnik o zasebnosti in ima pri Nastavitve > Zasebnost pomoč z vzorčnimi besedili; vtičniki, ki obdelujejo podatke, lahko tam dodajo besedilo. To je začetek, ne končni rezultat. Pravilnik o zasebnosti po členu 13 GDPR med drugim opisuje:

• kdo ste in kako Vas ljudje lahko dosežejo;
• katere osebne podatke obdelujete, za kaj in na kakšni pravni podlagi;
• s kom jih delite (obdelovalci, druge stranke) in ali gredo zunaj EU;
• kako dolgo jih hranite;
• katere pravice imajo ljudje (vpogled, popravek, izbris, ugovor) in da lahko vložijo pritožbo pri pristojnem nadzornem organu;
• katere piškotke in zunanje storitve uporablja Vaše spletno mesto.

Povezavo do pravilnika o zasebnosti postavite v nogo strani (lekcija 4.3), tako da je najdljiva na vsaki strani, in pri vsakem obrazcu.

WordPress ima pri Orodja tudi funkciji za izvoz osebnih podatkov in brisanje na zahtevo uporabnika. Priročno pri zahtevi za vpogled ali izbris, vendar najdeta samo podatke WordPressa in vtičnikov, ki se nanje navezujejo.

Enostaven načrt korakov

1. Sestavite seznam vseh obdelav na Vašem spletnem mestu: obrazci, uporabniški računi, naročila, komentarji, statistika, e-novice, dnevniki, varnostne kopije.
2. Preverite, kaj Vaše spletno mesto ob nalaganju pošlje drugim ponudnikom (naloga te lekcije).
3. Odstranite, kar ni potrebno; zamenjajte, kar je mogoče urediti bolj prijazno do zasebnosti.
4. Uredite privolitev za tisto, kar ostane in dejansko potrebuje privolitev, s pasico, ki zaustavi skripte.
5. Sklenite pogodbe o obdelavi podatkov in napišite (ali prenovite) svoj pravilnik o zasebnosti.
6. Vsako leto to znova preglejte (lekcija 9.4), in po vsakem novem vtičniku, ki obdeluje podatke.

Povzetek

• Skoraj vsako WordPress spletno mesto obdeluje osebne podatke: obrazci, uporabniški računi, IP-naslovi, dnevniki, varnostne kopije.
• Funkcionalni in omejeni analitični piškotki so dovoljeni brez privolitve; sledenje šele po privolitvi, in šele takrat se naloži.
• Zunanja vsebina (pisave, videoposnetki, zemljevidi, captche) pošilja podatke drugim; naredite jo lokalno ali jo naložite šele po kliku.
• V obrazcih vprašajte samo za potrebno, vnosov ne hranite v nedogled, polje za e-novice naj bo ločeno in ne vnaprej obkljukano.
• Pravilnik o zasebnosti po členu 13 GDPR, najdljiv na vsaki strani; pogodbe o obdelavi podatkov z Vašim ponudnikom gostovanja in storitvami.

Kviz

Naloga

Naloga A9.3: Kaj Vaše spletno mesto pošilja drugim? Vnesite naslov svojega spletnega mesta. Program naloži domačo stran tako, kot bi jo nov obiskovalec videl brez piškotkov in brez privolitve, ter prikaže pregled: katere piškotke strežnik namesti takoj (samo imena), in iz katerih drugih domen stran nalaga skripte, pisave, iframe-je ali slike. Znane storitve za statistiko, oglase, družbena omrežja, pisave in video so imensko označene (oranžno: "preverite, ali se to naloži šele po privolitvi, ali ga zamenjajte"). Poleg tega preveri, ali je na domači strani povezava do pravilnika o zasebnosti.

Naloga D9.3: Vaš seznam obdelav in pravilnik o zasebnosti. Sestavite seznam vseh obdelav na Vašem spletnem mestu (obrazci, uporabniški računi, naročila, komentarji, statistika, e-novice, dnevniki, varnostne kopije) z za vsako obdelavo: katere podatke, za kaj, pravna podlaga, kje so shranjeni, za koliko časa in kateri obdelovalec. Primerjajte ta seznam s svojim pravilnikom o zasebnosti in označite, kaj je v njem že navedeno. Zapišite, kaj dodate ali odstranite, in katere zunanje storitve iz naloge A9.3 zamenjate ali postavite za privolitev.

Dodatno branje

Ti članki se nanašajo na WebOké samo; razlago za Vaše lastno spletno mesto najdete pri Informacijskem pooblaščencu ali pri pristojnem nadzornem organu v Vaši državi.

• Piškotki na WebOké: ogled ali sprememba Vaše izbire
• Piškotki (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Piškotki in Vaša organizacija: poskrbite za dobro politiko (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Jasne pasice za piškotke (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Pravica do obveščenosti (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Kršitve varstva podatkov (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Zasebnost v WordPressu (wordpress.org, v angleščini): https://wordpress.org/documentation/article/settings-privacy-screen/