GDPR за сайт: бисквитки, форма и поверителност

Кратък отговор: ако сайтът ти има контактна форма, статистика или реклами, той събира лични данни и GDPR се отнася и за теб, колкото и малък да е бизнесът. На практика това значи три неща. Първо, политика за поверителност, която казва кой си, какво събираш, защо и колко дълго го пазиш [2]. Второ, банер, който пита преди всяка бисквитка, която не е строго необходима [4]. Трето, ред за данните от формата: кой ги вижда, къде стоят и кога ги триеш [3].

Това е обща информация, а не правен съвет. Целта е да знаеш какво да провериш и какво да питаш. За твоя конкретен случай се посъветвай с юрист.

Кое от сайта ти попада под GDPR

Повечето малки сайтове събират данни на по-малко места, отколкото собственикът мисли, но и на повече, отколкото личи на пръв поглед. Ето обичайните:

Защо формата не иска отметка „съгласен съм“, а бюлетинът иска? Европейският комитет по защита на данните (EDPB) обяснява, че когато човек сам поиска оферта, можеш да обработиш данните му, за да му отговориш, без отделно съгласие [1]. Маркетингът е друга цел и за него трябва друго основание, най-често съгласие [1]. Затова при бюлетина има отметка, а при „Изпрати запитване“ обикновено няма нужда от нея.

Бисквитки: кои искат съгласие и кои не

Бисквитката е малко парче данни, което сайтът оставя в браузъра, за да го „помни“ при следващо зареждане [6]. Ползват се за три неща: вход и количка, настройки като езика и проследяване на поведението [6].

Според портала на ЕС Your Europe сайтът трябва да поиска съгласие, преди да сложи бисквитка [4]. Не е достатъчно само да съобщи, че ползва бисквитки, или да обясни как да ги изключиш [4]. Човекът трябва да знае за какво се ползват и да може да оттегли съгласието си [4].

Има и изключение. Бисквитки, които са строго необходими за услуга, поискана от самия човек, например при попълване на форма или при количка в магазин, не искат съгласие [4]. Статистиката и рекламите не влизат тук.

Банер, който само казва „ползваме бисквитки“, не е съгласие. Човекът трябва да може да каже „не“ и сайтът да продължи да работи.

EDPB описва какво прави съгласието валидно [1]:

• Свободно: човекът може да откаже без последици и да се откаже по всяко време, толкова лесно, колкото се е съгласил.
• Конкретно: за всяка цел отделно; статистика и реклама не са едно и също.
• Информирано: ясно и простичко написано за какво е.
• Недвусмислено: с активно действие, без предварително отметнати полета.

И още нещо практично: на телефон банерът заема голяма част от екрана. Направи го кратък и лесен за затваряне, иначе гони хората, както пише в адаптивен сайт за телефон.

Статистика и реклами: как да чакат съгласието

Самият банер не спира скриптовете. Трябва и кодът на сайта да слуша избора на човека. За инструментите на Google има consent mode [5]. Google пише ясно, че ти отговаряш да получиш съгласието, а consent mode само предава избора към техните тагове [5].

Има два варианта [5]:

1. Основен: таговете на Google не се зареждат, докато човекът не избере нещо в банера. Дотогава към Google не се изпраща нищо, а при отказ не се изпраща нищо и после.
2. Разширен: таговете се зареждат веднага, по подразбиране с „отказано“. Докато е така, изпращат измервания без бисквитки, а Google ги ползва за по-подробна оценка на липсващите данни.

Кой вариант е подходящ за теб, реши със специалиста, който ти помага с GDPR. Основният е по-лесен за проверка: отваряш сайта, отказваш и нищо не тръгва. За Meta логиката е същата; виж как пикселът чака съгласие в Meta Pixel: какво е.

Ще виждаш по-малко посещения в отчетите, защото част от хората отказват. Това е нормално. Запитванията и обажданията остават най-точната мярка: как да измериш какво ти носи сайтът. А всеки скрипт по-малко прави и сайта по-бърз (защо сайтът ми е бавен).

Политика за поверителност: какво да пише

EDPB съветва информацията да е на два етажа [2]. Кратко обяснение там, където човекът дава данните, например под формата, и връзка към пълния текст [2]. Под формата стига нещо като: „Използваме името и телефона ти само за да отговорим на запитването. Повече в политиката за поверителност.“

Пълната политика, на прост език, отговаря на тези въпроси [2], [1]:

• Кой си: името на фирмата и как да се свържат с теб за данните им.
• Какви данни събираш и за какво.
• На какво основание: отговор на запитване, договор, съгласие.
• Кой още ги вижда: хостинг, имейл услуга, система за резервации.
• Колко дълго ги пазиш или как решаваш това.
• Какви права има човекът: да види, поправи или изтрие данните си, да ограничи обработката, да ги получи, да възрази.
• Че може да подаде жалба до органа по защита на данните. В България това е Комисията за защита на личните данни (КЗЛД).

Ако някой поиска да види или изтрие данните си, EDPB пише, че отговорът трябва да е до един месец и по правило безплатно [2]. Отбележи си заявката и отговора.

Данните от формата: кой ги вижда и колко ги пазиш

По GDPR ти си „администратор“: решаваш защо и как се обработват данните [3]. Фирмите, които ги обработват от твое име, като хостинг, имейл услуга или CRM, са „обработващи“ [3]. С тях трябва да има договор, в който пише, че работят само по твоите указания, пазят данните и ги връщат или трият, когато спрете да работите [3]. Провери в условията на всеки доставчик дали има такъв договор (често се казва Data Processing Agreement, DPA).

Още три навика, които пазят и теб, и клиентите:

1. Питай само за нужното. EDPB съветва да събираш най-малкото количество данни, без което не можеш [1]. За обратно обаждане стигат име и телефон.
2. Пращай формата по защитена връзка. Сайтът трябва да е на HTTPS, с SSL сертификат.
3. Определи срок и чисти. Старо запитване, което не е станало клиент, няма нужда да стои години в пощата.

Контролен списък за копиране

1. Имаш политика за поверителност, линкната от долния край на всяка страница и под всяка форма.
2. Под формата има едно-две изречения за какво ползваш данните.
3. Формата пита само за нужното.
4. Статистиката и рекламните кодове не тръгват преди съгласие. Провери: отвори сайта в режим „инкогнито“, откажи и виж дали тръгват.
5. Банерът има ясен бутон за отказ и няма предварително отметнати полета.
6. Съгласието може да се оттегли лесно, например с връзка „Настройки за бисквитки“ в долния край.
7. Знаеш кои външни услуги виждат данните и имаш условията им за обработка.
8. Знаеш как ще отговориш, ако някой поиска да види или изтрие данните си.

Тези точки влизат и в контролния списък преди пускане на сайт. Ако поръчваш нов сайт, запиши в договора кой подготвя политиката и банера.

В Studio V1 сайтът е 50 € на месец с ДДС, с дизайн, хостинг, поддръжка и реален човек насреща, когото можеш да попиташ кои скриптове зарежда сайтът ти. Ако искаш да го обсъдим, пиши ни.

Източници

1. European Data Protection Board. "Process personal data lawfully." edpb.europa.eu/sme-data-protection-guide
2. European Data Protection Board. "Respect individuals' rights." edpb.europa.eu/sme-data-protection-guide
3. European Data Protection Board. "Data controller or data processor." edpb.europa.eu/sme-data-protection-guide
4. European Union, Your Europe. "Data protection and online privacy." europa.eu/youreurope
5. Google for Developers. "Consent mode overview." developers.google.com/tag-platform
6. MDN Web Docs. "Using HTTP cookies." developer.mozilla.org/docs/Web/HTTP