Koje usluge spadaju u politiku privatnosti?

Svaka ugrađena usluga treće strane koja obrađuje osobne podatke — analitika, oglašavanje, fontovi, karte, chat, CDN, hosting — mora biti navedena u politici privatnosti.

Izjava o zaštiti podataka i baner privole odgovaraju na dva različita pitanja. Baner uređuje smije li se usluga uopće učitati (privola prema § 25 TDDDG). Izjava o zaštiti podataka ispunjava obvezu informiranja prema čl. 13. GDPR-a — mora navesti i usluge koje rade na osnovi različitoj od privole: hosting, CDN, poslužiteljski filtar neželjene pošte, isporuku fontova. Usluga kojoj baner ne treba ipak može pripadati u izjavu o zaštiti podataka.

Podaci za svaku uslugu slijede utvrđeni obrazac: naziv i adresa pružatelja, svrha obrade, pravna osnova (privola, ugovor, legitimni interes), kategorije obrađivanih podataka, razdoblje pohrane, prenose li se podaci u treću zemlju i kamo te na kojoj osnovi, kao i prava ispitanika uključujući povlačenje. Nedostaje li koja od tih točaka, izjava je u tom dijelu nepotpuna — a to je samostalna povreda za koju se izriče novčana kazna, neovisno o tome je li samo ugrađivanje bilo dopušteno.

Najčešća pogreška je zastarjeli popis. Usluge se dodaju putem dodataka, Tag Managera ili ažuriranja teme, a da se izjava o zaštiti podataka ne nadopuni. Obrnuto, ondje često još stoje alati koji su odavno uklonjeni. Pragmatična usporedba: učitajte stranicu u privatnom prozoru, na kartici „Mreža“ zabilježite sve strane poslužitelje i provjerite ih prema izjavi o zaštiti podataka — barem nakon svake veće promjene web-mjesta.

Je li ovo rizik?

Čl. 13 GDPR-a zahtijeva navode o svrsi, pravnoj osnovi, primateljima, razdoblju pohrane i prijenosu u treće zemlje. Nepotpuna politika privatnosti samostalna je povreda — neovisno o tome je li sama ugradnja dopuštena.

Što možete učiniti

• Sastavite potpuni popis svih ugrađenih usluga (i onih koje dolaze putem dodatka ili upravitelja oznaka).
• Za svaku uslugu: dodajte pružatelja, svrhu, pravnu osnovu, razdoblje pohrane, zemlju primateljicu.
• Održavajte politiku privatnosti pri svakoj promjeni stranice.
• Redovito usklađujte odgovaraju li stvarno učitane usluge politici privatnosti.

Česta pitanja

Moram li u izjavu o zaštiti podataka upisati i hosting i CDN?

Da. Hosting i CDN obrađuju IP adrese posjetitelja i primatelji su u smislu čl. 13. GDPR-a. Ne trebaju baner privole, ali pripadaju u izjavu sa svrhom, pravnom osnovom i eventualno prijenosom u treću zemlju.

Je li dovoljan generator izjave o zaštiti podataka?

Kao polazište da. Generirani tekstovi pokrivaju standardne usluge, ali se moraju prilagoditi stvarno korištenim alatima i održavati aktualnima. Generator ne zamjenjuje ni popis stanja ni pravnu provjeru.

Što se događa kod nepotpune izjave o zaštiti podataka?

To je samostalna povreda GDPR-a prema čl. 13. koju nadzorna tijela mogu kazniti novčanom kaznom — čak i kad je sama obrada podataka zakonita. U praksi su isprva u prvom planu upute i pozivi.

Koliko često moram provjeravati izjavu o zaštiti podataka?

Nakon svake promjene koja dodaje ili uklanja usluge te dodatno u utvrđenom ciklusu (npr. svakih šest mjeseci). Za rutinsku provjeru dovoljna je kratka usporedba stranih poslužitelja učitanih na kartici „Mreža“ s izjavom.

Kako pomaže consentglass

Besplatno skeniranje provjerava isporučeni HTML i pokazuje koje su usluge ugrađene, je li otkrivena traka za kolačiće te jesu li poveznice na privatnost i impresum prisutne — s razvrstavanjem uz svako otkriće. Ne zamjenjuje pravni savjet.