Кои услуги спадат към политиката за поверителност?

Всяка вградена услуга на трета страна, която обработва лични данни — анализ, реклама, шрифтове, карти, чат, CDN, хостинг — трябва да бъде посочена в политиката за поверителност.

Декларацията за поверителност и банерът за съгласие отговарят на два различни въпроса. Банерът урежда дали дадена услуга изобщо може да се зареди (съгласие по § 25 TDDDG). Декларацията за поверителност изпълнява задължението за информиране по чл. 13 GDPR — тя трябва да посочи и услугите, които работят на основание, различно от съгласието: хостинг, CDN, сървърен спам филтър, доставката на шрифтове. Услуга, която не се нуждае от банер, все пак може да е част от декларацията за поверителност.

Данните за всяка услуга следват фиксиран образец: име и адрес на доставчика, цел на обработването, правно основание (съгласие, договор, законен интерес), категории на обработваните данни, срок на съхранение, дали и накъде се предават данни в трета държава и на какво основание, както и правата на субектите на данни, включително оттегляне. Ако липсва някоя от тези точки, декларацията е в тази част непълна — и това е самостоятелно нарушение, санкционирано с глоба, независимо дали самото вграждане е било допустимо.

Най-честата грешка е остарелият списък. Услуги се добавят чрез приставки, Tag Manager или актуализация на темата, без декларацията за поверителност да бъде осъвременена. Обратно, там често още стоят инструменти, отдавна премахнати. Прагматична проверка: заредете страницата в частен прозорец, запишете в раздела „Мрежа“ всички чужди хостове и ги сверете с декларацията за поверителност — поне след всяка по-голяма промяна на уебсайта.

Това риск ли е?

Чл. 13 GDPR изисква данни за целта, правното основание, получателите, срока на съхранение и трансфера към трети държави. Непълната политика за поверителност е самостоятелно нарушение — независимо дали самото вграждане е допустимо.

Какво можете да направите

• Съставете пълен списък на всички вградени услуги (включително тези, които идват чрез плъгин или таг мениджър).
• За всяка услуга: добавете доставчика, целта, правното основание, срока на съхранение, държавата на получателя.
• Поддържайте политиката за поверителност при всяка промяна на сайта.
• Редовно съгласувайте дали действително заредените услуги отговарят на политиката за поверителност.

Често задавани въпроси

Трябва ли да впиша в декларацията за поверителност и хостинга и CDN?

Да. Хостинг доставчикът и CDN обработват IP адресите на посетителите и са получатели по смисъла на чл. 13 GDPR. Те наистина не се нуждаят от банер за съгласие, но трябва да фигурират в декларацията с цел, правно основание и евентуален трансфер към трета държава.

Достатъчен ли е генератор на декларации за поверителност?

Като отправна точка — да. Генерираните текстове покриват стандартните услуги, но трябва да се адаптират към действително използваните инструменти и да се поддържат актуални. Генераторът не замества нито инвентаризацията, нито правната проверка.

Какво се случва при непълна декларация за поверителност?

Това е самостоятелно нарушение на GDPR по чл. 13, което надзорните органи могат да санкционират с глоба — дори когато самото обработване на данни е законосъобразно. На практика на преден план първо излизат указания и покани за отстраняване.

Колко често трябва да проверявам декларацията за поверителност?

След всяка промяна, която добавя или премахва услуги, и допълнително през фиксиран интервал (напр. на всеки шест месеца). Кратко сверяване на заредените в раздела „Мрежа“ чужди хостове с декларацията е достатъчно за рутинната проверка.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.