Které služby patří do zásad ochrany osobních údajů?

Každá vložená služba třetí strany, která zpracovává osobní údaje — analytika, reklama, písma, mapy, chat, CDN, hosting — musí být v zásadách ochrany osobních údajů uvedena.

Zásady ochrany osobních údajů a souhlasný banner odpovídají na dvě různé otázky. Banner upravuje, zda se služba vůbec smí načíst (souhlas podle § 25 TDDDG). Zásady ochrany osobních údajů plní informační povinnost podle čl. 13 GDPR — musí uvést i služby, které běží na jiném základě než na souhlasu: hosting, CDN, serverový spamový filtr, doručování písem. Služba, která nepotřebuje banner, může přesto patřit do zásad ochrany osobních údajů.

Údaje o každé službě sledují pevné schéma: název a adresa poskytovatele, účel zpracování, právní základ (souhlas, smlouva, oprávněný zájem), kategorie zpracovávaných údajů, doba uložení, zda a kam se údaje předávají do třetí země a na jakém základě, jakož i práva subjektů údajů včetně odvolání. Chybí-li některý z těchto bodů, jsou zásady v tomto rozsahu neúplné — a to je samostatné porušení postihované pokutou, bez ohledu na to, zda bylo samotné zapojení přípustné.

Nejčastější chybou je zastaralý seznam. Služby přibývají přes pluginy, Tag Manager nebo aktualizaci šablony, aniž by se zásady ochrany osobních údajů doplnily. Naopak tam často ještě zůstávají nástroje, které byly dávno odstraněny. Pragmatické srovnání: načíst stránku v anonymním okně, na kartě „Síť“ si poznamenat všechny cizí hostitele a porovnat je se zásadami ochrany osobních údajů — alespoň po každé větší změně webu.

Je to riziko?

Čl. 13 GDPR vyžaduje údaje o účelu, právním základu, příjemcích, době uložení a přenosu do třetích zemí. Neúplné zásady ochrany osobních údajů jsou samostatným porušením — nezávisle na tom, zda je samotné vložení přípustné.

Co můžete udělat

• Vytvořte úplný seznam všech vložených služeb (i těch, které přicházejí přes plugin nebo správce značek).
• U každé služby: doplňte poskytovatele, účel, právní základ, dobu uložení, zemi příjemce.
• Udržujte zásady ochrany osobních údajů při každé změně webu.
• Pravidelně porovnávejte, zda skutečně načítané služby odpovídají zásadám ochrany osobních údajů.

Časté dotazy

Musím do zásad ochrany osobních údajů napsat i hosting a CDN?

Ano. Hostitel a CDN zpracovávají IP adresy návštěvníků a jsou příjemci ve smyslu čl. 13 GDPR. Nepotřebují sice souhlasný banner, ale patří do zásad s účelem, právním základem a případně předáním do třetí země.

Stačí generátor zásad ochrany osobních údajů?

Jako výchozí bod ano. Vygenerované texty pokrývají standardní služby, musí se však přizpůsobit skutečně používaným nástrojům a udržovat aktuální. Generátor nenahrazuje ani inventuru, ani právní přezkoumání.

Co se stane při neúplných zásadách ochrany osobních údajů?

Je to samostatné porušení GDPR podle čl. 13, které mohou dozorové úřady postihnout pokutou — i když je samotné zpracování údajů zákonné. V praxi jsou zpočátku v popředí upozornění a výzvy.

Jak často musím zásady ochrany osobních údajů kontrolovat?

Po každé změně, která přidává nebo odebírá služby, a navíc v pevném intervalu (např. jednou za půl roku). Pro rutinní kontrolu stačí krátké porovnání cizích hostitelů načtených na kartě „Síť“ se zásadami.

Jak pomáhá consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, které služby jsou vložené, zda je rozpoznána cookie lišta a zda jsou odkazy na soukromí a tiráž — se zařazením u každého zjištění. Nenahrazuje právní poradenství.