Millised teenused kuuluvad privaatsuspoliitikasse?

Iga manustatud kolmanda osapoole teenus, mis töötleb isikuandmeid — analüüs, reklaam, fondid, kaardid, vestlus, CDN, hosting — peab olema privaatsuspoliitikas nimetatud.

Privaatsuspoliitika ja nõusolekubänner vastavad kahele erinevale küsimusele. Bänner reguleerib, kas teenus tohib üldse laadida (nõusolek TDDDG § 25 järgi). Privaatsuspoliitika täidab teavitamiskohustuse GDPR artikli 13 järgi — see peab nimetama ka teenused, mis toimivad muul alusel kui nõusolek: hostimine, CDN, serveripoolne rämpspostifilter, kirjatüüpide edastamine. Teenus, mis bännerit ei vaja, võib siiski kuuluda privaatsuspoliitikasse.

Andmed iga teenuse kohta järgivad kindlat skeemi: pakkuja nimi ja aadress, töötlemise eesmärk, õiguslik alus (nõusolek, leping, õigustatud huvi), töödeldavate andmete kategooriad, säilitamise aeg, kas ja kuhu andmeid kolmandasse riiki edastatakse ja millisel alusel, samuti andmesubjekti õigused koos tagasivõtmisega. Kui mõni neist punktidest puudub, on poliitika selles osas puudulik — ja see on eraldiseisev, trahviga karistatav rikkumine, sõltumata sellest, kas lisamine ise oli lubatud.

Kõige sagedasem viga on aegunud loend. Teenused lisanduvad pistikprogrammide, Tag Manageri või teemauuenduse kaudu, ilma et privaatsuspoliitikat järele täiendataks. Vastupidi, seal on sageli veel tööriistu, mis on ammu eemaldatud. Pragmaatiline võrdlus: laadige leht privaataknas, märkige vahekaardil „Võrk“ üles kõik võõrad hostid ja võrrelge neid privaatsuspoliitikaga — vähemalt pärast iga suuremat veebisaidi muudatust.

Kas see on risk?

GDPR art 13 nõuab andmeid eesmärgi, õigusliku aluse, vastuvõtjate, säilitamisaja ja kolmandatesse riikidesse edastamise kohta. Puudulik privaatsuspoliitika on iseseisev rikkumine — sõltumata sellest, kas manustamine ise on lubatud.

Mida saate teha

• Koostage täielik nimekiri kõigist manustatud teenustest (ka nendest, mis tulevad pistikprogrammi või sildihalduri kaudu).
• Iga teenuse kohta: lisage pakkuja, eesmärk, õiguslik alus, säilitamisaeg, vastuvõtja riik.
• Hoidke privaatsuspoliitikat ajakohasena iga saidimuudatuse korral.
• Võrrelge regulaarselt, kas tegelikult laaditud teenused vastavad privaatsuspoliitikale.

Korduma kippuvad küsimused

Kas ma pean privaatsuspoliitikasse kirjutama ka hostimise ja CDN-i?

Jah. Host ja CDN töötlevad külastajate IP-aadresse ja on vastuvõtjad GDPR artikli 13 mõttes. Nad ei vaja küll nõusolekubännerit, kuid kuuluvad poliitikasse koos eesmärgi, õigusliku aluse ja vajaduse korral kolmandasse riiki edastamisega.

Kas privaatsuspoliitika generaatorist piisab?

Lähtepunktina jah. Loodud tekstid katavad standardteenused, kuid neid tuleb kohandada tegelikult kasutatavate tööriistadega ja hoida ajakohasena. Generaator ei asenda ei inventuuri ega õiguslikku kontrolli.

Mis juhtub puuduliku privaatsuspoliitika korral?

See on eraldiseisev GDPR-i rikkumine artikli 13 järgi, mille järelevalveasutused võivad trahviga karistada — ka siis, kui andmetöötlus ise on õiguspärane. Praktikas on esialgu esiplaanil juhised ja nõuded.

Kui sageli pean privaatsuspoliitikat kontrollima?

Pärast iga muudatust, mis lisab või eemaldab teenuseid, ja lisaks kindla intervalliga (nt kord poolaastas). Rutiinseks kontrolliks piisab vahekaardil „Võrk“ laaditud võõraste hostide lühikesest võrdlemisest poliitikaga.

Kuidas consentglass aitab

Tasuta kontroll analüüsib edastatud HTML-i ja näitab, millised teenused on manustatud, kas küpsiseriba on tuvastatud ning kas lingid privaatsusele ja kontaktandmetele on olemas — klassifikatsiooniga iga leiu juures. Ei asenda õigusnõustamist.