Ποιες υπηρεσίες ανήκουν στην πολιτική απορρήτου;

Κάθε ενσωματωμένη υπηρεσία τρίτου που επεξεργάζεται προσωπικά δεδομένα — ανάλυση, διαφήμιση, γραμματοσειρές, χάρτες, chat, CDN, φιλοξενία — πρέπει να αναφέρεται στην πολιτική απορρήτου.

Η πολιτική απορρήτου και το banner συγκατάθεσης απαντούν σε δύο διαφορετικά ερωτήματα. Το banner ρυθμίζει αν μια υπηρεσία επιτρέπεται καν να φορτώσει (συγκατάθεση κατά το άρθρο 25 TDDDG). Η πολιτική απορρήτου εκπληρώνει την υποχρέωση ενημέρωσης του άρθρου 13 ΓΚΠΔ — πρέπει να αναφέρει και τις υπηρεσίες που λειτουργούν σε άλλη βάση πλην της συγκατάθεσης: φιλοξενία, CDN, ένα φίλτρο ανεπιθύμητης αλληλογραφίας από την πλευρά του διακομιστή, την παράδοση γραμματοσειρών. Μια υπηρεσία που δεν χρειάζεται banner μπορεί παρ' όλα αυτά να ανήκει στην πολιτική απορρήτου.

Τα στοιχεία για κάθε υπηρεσία ακολουθούν ένα σταθερό πλαίσιο: όνομα και διεύθυνση του παρόχου, σκοπός της επεξεργασίας, νομική βάση (συγκατάθεση, σύμβαση, έννομο συμφέρον), κατηγορίες των δεδομένων που υφίστανται επεξεργασία, χρόνος διατήρησης, αν και προς πού διαβιβάζονται δεδομένα σε τρίτη χώρα και με ποια βάση, καθώς και τα δικαιώματα των υποκειμένων, συμπεριλαμβανομένης της ανάκλησης. Αν λείπει ένα από αυτά τα σημεία, η δήλωση είναι κατά το μέτρο αυτό ελλιπής — και αυτό αποτελεί αυτοτελή, επισύρουσα πρόστιμο παράβαση, ανεξάρτητα από το αν η ίδια η ενσωμάτωση ήταν επιτρεπτή.

Το πιο συχνό λάθος είναι η ξεπερασμένη λίστα. Υπηρεσίες προστίθενται μέσω προσθέτων, του tag manager ή μιας ενημέρωσης θέματος χωρίς να ενημερώνεται η πολιτική απορρήτου. Αντίστροφα, συχνά αναγράφονται ακόμη εργαλεία που έχουν αφαιρεθεί εδώ και καιρό. Ένας πρακτικός έλεγχος: φορτώστε τη σελίδα σε ιδιωτικό παράθυρο, σημειώστε στην καρτέλα δικτύου όλους τους εξωτερικούς κεντρικούς υπολογιστές και συγκρίνετέ τους με την πολιτική απορρήτου — τουλάχιστον μετά από κάθε μεγάλη αλλαγή του ιστότοπου.

Είναι κίνδυνος;

Το άρθρο 13 GDPR απαιτεί στοιχεία για τον σκοπό, τη νομική βάση, τους αποδέκτες, τη διάρκεια αποθήκευσης και τη διαβίβαση προς τρίτες χώρες. Μια ελλιπής πολιτική απορρήτου είναι αυτοτελής παράβαση — ανεξάρτητα από το αν η ίδια η ενσωμάτωση επιτρέπεται.

Τι μπορείτε να κάνετε

• Καταρτίστε πλήρη λίστα όλων των ενσωματωμένων υπηρεσιών (και αυτών που έρχονται μέσω προσθέτου ή tag manager).
• Για κάθε υπηρεσία: προσθέστε τον πάροχο, τον σκοπό, τη νομική βάση, τη διάρκεια αποθήκευσης, τη χώρα του αποδέκτη.
• Διατηρήστε την πολιτική απορρήτου ενημερωμένη σε κάθε αλλαγή της ιστοσελίδας.
• Ελέγχετε τακτικά αν οι πραγματικά φορτωμένες υπηρεσίες αντιστοιχούν στην πολιτική απορρήτου.

Συχνές ερωτήσεις

Πρέπει να αναφέρω στην πολιτική απορρήτου και τη φιλοξενία και το CDN;

Ναι. Οι πάροχοι φιλοξενίας και τα CDN επεξεργάζονται τις διευθύνσεις IP των επισκεπτών και είναι αποδέκτες κατά την έννοια του άρθρου 13 ΓΚΠΔ. Δεν χρειάζονται banner συγκατάθεσης, αλλά ανήκουν στην πολιτική με σκοπό, νομική βάση και ενδεχόμενη διαβίβαση σε τρίτη χώρα.

Αρκεί μια γεννήτρια πολιτικής απορρήτου;

Ως αφετηρία, ναι. Τα κείμενα που παράγονται καλύπτουν τυπικές υπηρεσίες, αλλά πρέπει να προσαρμοστούν στα εργαλεία που πράγματι χρησιμοποιούνται και να διατηρούνται ενημερωμένα. Μια γεννήτρια δεν αντικαθιστά ούτε την καταγραφή ούτε τον νομικό έλεγχο.

Τι συμβαίνει με μια ελλιπή πολιτική απορρήτου;

Είναι αυτοτελής παράβαση του ΓΚΠΔ κατά το άρθρο 13 που οι εποπτικές αρχές μπορούν να επιβάλουν πρόστιμο — ακόμη και αν η ίδια η επεξεργασία δεδομένων είναι νόμιμη. Στην πράξη, προηγούνται αρχικά υποδείξεις και οχλήσεις.

Πόσο συχνά πρέπει να ελέγχω την πολιτική απορρήτου;

Μετά από κάθε αλλαγή που προσθέτει ή αφαιρεί υπηρεσίες και επιπλέον σε σταθερό ρυθμό (π.χ. εξαμηνιαία). Για τον έλεγχο ρουτίνας αρκεί μια σύντομη σύγκριση των εξωτερικών κεντρικών υπολογιστών που φορτώνονται στην καρτέλα δικτύου με τη δήλωση.

Πώς βοηθά το consentglass

Ο δωρεάν έλεγχος αναλύει το παραδοθέν HTML και δείχνει ποιες υπηρεσίες είναι ενσωματωμένες, αν έχει εντοπιστεί η μπάρα cookies και αν υπάρχουν οι σύνδεσμοι προς απόρρητο και στοιχεία επικοινωνίας — με κατάταξη σε κάθε εύρημα. Δεν αντικαθιστά νομική συμβουλή.