Un site de conținut intră sub regulile GDPR atunci când colectează sau folosește date care pot identifica direct ori indirect o persoană. Adresa de email, numele, adresa IP, contul de utilizator și identificatorii publicitari pot reprezenta date personale. Chiar și un blog fără magazin online poate prelucra asemenea informații prin formulare, newslettere, comentarii, statistici și reclame.
Pentru conformitate nu este suficient să copiezi o politică de confidențialitate de pe alt site. Documentele și setările trebuie să reflecte instrumentele folosite în realitate. Cititorul trebuie să afle cine administrează site-ul, ce date sunt colectate, în ce scop, cât timp sunt păstrate și cum își poate exercita drepturile. În paralel, operatorul trebuie să limiteze colectarea și să protejeze informațiile împotriva accesului neautorizat.
Politica de confidențialitate și datele operatorului
Politica de confidențialitate este documentul principal prin care explici modul în care sunt folosite datele personale. Ea trebuie să fie ușor de găsit, scrisă într-un limbaj simplu și adaptată site-ului.
La început, identifică operatorul. Menționează numele persoanei sau al entității care administrează site-ul, datele de contact și adresa la care pot fi trimise solicitările privind datele personale.
Politica trebuie să explice ce categorii de informații sunt colectate. Pentru un site de conținut pot apărea:
- numele și adresa de email;
- datele introduse în formulare;
- comentariile publicate;
- adresa IP;
- informațiile despre dispozitiv și browser;
- paginile accesate;
- preferințele privind cookie-urile;
- datele asociate contului de utilizator;
- istoricul abonamentelor și plăților.
Pentru fiecare categorie trebuie precizat scopul. O adresă de email poate fi folosită pentru trimiterea newsletterului, răspunsul la o solicitare sau administrarea unui abonament. Nu folosi automat aceeași adresă pentru toate aceste activități.
Menționează temeiul pe care se bazează fiecare prelucrare. Acesta poate fi consimțământul, executarea unui contract, îndeplinirea unei obligații legale sau interesul legitim. Interesul legitim nu poate fi invocat mecanic pentru orice instrument instalat pe site.
Politica trebuie să arate cui îi sunt transmise datele. Furnizorul de găzduire, serviciul de newsletter, platforma de analiză și procesatorul de plăți pot prelucra informații în numele site-ului.
Explică și perioada de păstrare. Formularea păstrăm datele atât timp cât este necesar este prea generală dacă poți stabili termene mai concrete. Definește perioade diferite pentru formulare, newslettere, conturi și documente fiscale.
Bannerul pentru cookie-uri și instrumentele de analiză
Cookie-urile strict necesare pot funcționa fără acordul utilizatorului atunci când sunt esențiale pentru securitate, autentificare sau păstrarea unei alegeri solicitate. Cookie-urile de analiză, profilare și publicitate necesită o evaluare separată și, în multe situații, consimțământ.
Bannerul trebuie să ofere o alegere reală. Butonul de refuz trebuie să fie la fel de ușor de găsit ca cel de acceptare. Căsuțele pentru categoriile opționale nu trebuie bifate înainte ca vizitatorul să decidă.
Un mecanism corect ar trebui să permită:
- acceptarea tuturor categoriilor;
- refuzarea celor opționale;
- alegerea separată pe categorii;
- consultarea scopului fiecărei categorii;
- schimbarea ulterioară a opțiunii;
- retragerea acordului la fel de simplu ca acordarea.
Scripturile opționale nu trebuie încărcate înainte de exprimarea consimțământului. Un banner care doar anunță existența cookie-urilor, după ce toate instrumentele au fost deja activate, nu oferă control efectiv.
Politica privind cookie-urile trebuie să enumere categoriile folosite, scopul, durata și furnizorii externi. Lista trebuie actualizată când instalezi o extensie, schimbi sistemul publicitar sau adaugi un nou instrument de analiză.
Atenție la conținutul încorporat. Clipurile, hărțile, postările sociale și fonturile externe pot transmite date către alte companii. Aceste elemente trebuie incluse în analiza site-ului și blocate până la acord, dacă funcționarea lor presupune tehnologii opționale.
Formulare, newslettere și comentarii
Fiecare formular trebuie să ceară doar informațiile necesare. Pentru trimiterea unui newsletter sunt suficiente, de regulă, adresa de email și eventual prenumele. Data nașterii, numărul de telefon sau adresa completă nu trebuie solicitate fără un motiv real.
În apropierea formularului, explică scopul colectării și oferă acces la politica de confidențialitate. Dacă datele vor fi folosite pentru marketing, acordul trebuie exprimat printr-o acțiune clară.
Nu combina acceptarea termenilor cu abonarea la comunicări comerciale. O persoană poate trimite un mesaj prin formular fără să fie obligată să primească ulterior newslettere.
Pentru newsletter, păstrează dovada înscrierii. Un proces cu mesaj de confirmare trimis pe email poate reduce înscrierile false și ajută la demonstrarea acordului. Fiecare mesaj trebuie să conțină o opțiune vizibilă de dezabonare.
Comentariile pot colecta numele, adresa de email, IP-ul și conținutul mesajului. Informează utilizatorul despre aceste date și stabilește o perioadă de păstrare. Nu afișa public adresa de email.
Dacă permiți crearea unui cont, oferă acces la setările de confidențialitate și o modalitate de închidere a contului. Ștergerea nu se aplică întotdeauna imediat tuturor datelor, deoarece unele informații pot trebui păstrate pentru obligații legale sau apărarea unor drepturi.
În cazul minorilor, colectarea datelor necesită măsuri suplimentare. Evită formularele care cer informații sensibile despre copii dacă acestea nu sunt esențiale pentru serviciu.
Drepturile utilizatorilor și securitatea datelor
Politica trebuie să prezinte drepturile persoanei într-un limbaj ușor de înțeles. Acestea pot include accesul la date, corectarea, ștergerea, restricționarea prelucrării, opoziția, portabilitatea și retragerea consimțământului.
Publică o adresă dedicată solicitărilor și stabilește un proces intern. Verifică identitatea persoanei fără să ceri mai multe date decât este necesar. În mod obișnuit, solicitarea trebuie soluționată în cel mult o lună, cu posibilitatea prelungirii în situații complexe.
Operatorul trebuie să poată demonstra ce face cu datele. Păstrează o evidență a instrumentelor instalate, furnizorilor, scopurilor, temeiurilor și perioadelor de stocare.
Încheie documentele necesare cu furnizorii care prelucrează date în numele tău. Verifică și unde sunt stocate informațiile, mai ales când serviciul folosit transferă date în afara Spațiului Economic European.
Măsurile minime de securitate includ:
- conexiune criptată;
- parole unice și puternice;
- autentificare în doi pași;
- actualizarea platformei și extensiilor;
- copii de siguranță;
- acces limitat pentru colaboratori;
- eliminarea conturilor nefolosite;
- protecție împotriva mesajelor automate;
- verificarea periodică a vulnerabilităților.
Pregătește o procedură pentru incidente. Dacă datele sunt pierdute, publicate accidental sau accesate fără drept, trebuie analizat rapid riscul. În anumite situații, incidentul trebuie notificat autorității competente în cel mult 72 de ore, iar persoanele afectate trebuie informate.
Nu păstra date doar pentru că ar putea fi utile cândva. Ștergerea periodică reduce riscul și simplifică administrarea.
Un site conform nu se rezumă la câteva pagini juridice. Politica de confidențialitate, bannerul de consimțământ și formularele trebuie să corespundă modului real în care funcționează platforma. Când colectarea este limitată, alegerile utilizatorului sunt respectate, iar datele sunt protejate, conformitatea devine parte firească din administrarea site-ului.
