Mely szolgáltatások tartoznak az adatvédelmi tájékoztatóba?

Minden beágyazott, személyes adatot feldolgozó harmadik fél szolgáltatását — analitika, hirdetés, betűk, térképek, chat, CDN, tárhely — meg kell nevezni az adatvédelmi tájékoztatóban.

Az adatvédelmi tájékoztató és a hozzájárulási sáv két különböző kérdésre válaszol. A sáv azt szabályozza, hogy egy szolgáltatás egyáltalán betölthet-e (hozzájárulás a TDDDG 25. §-a szerint). Az adatvédelmi tájékoztató a GDPR 13. cikke szerinti tájékoztatási kötelezettséget teljesíti — meg kell neveznie azokat a szolgáltatásokat is, amelyek a hozzájáruláson kívüli más alapon működnek: tárhely, CDN, szerveroldali spamszűrő, a betűtípusok kiszolgálása. Egy szolgáltatás, amelynek nincs szüksége sávra, mégis az adatvédelmi tájékoztatóba tartozhat.

A szolgáltatásonkénti adatok rögzített sémát követnek: a szolgáltató neve és címe, az adatkezelés célja, a jogalap (hozzájárulás, szerződés, jogos érdek), a kezelt adatok kategóriái, a tárolás időtartama, hogy továbbítanak-e adatokat harmadik országba és hová, valamint milyen alapon, továbbá az érintett jogai, beleértve a visszavonást. Ha ezen pontok valamelyike hiányzik, a tájékoztató annyiban hiányos — és ez önálló, bírsággal sújtható jogsértés, függetlenül attól, hogy maga a beépítés megengedett volt-e.

A leggyakoribb hiba az elavult lista. Szolgáltatások bővítmények, a Tag Manager vagy egy sablonfrissítés révén kerülnek be anélkül, hogy az adatvédelmi tájékoztatót utánavezetnék. Fordítva, ott gyakran még olyan eszközök állnak, amelyeket rég eltávolítottak. Gyakorlatias összevetés: töltse be az oldalt privát ablakban, a „Hálózat“ fülön jegyezze fel az összes idegen gazdagépet, és vesse össze az adatvédelmi tájékoztatóval — legalább minden nagyobb weboldal-változás után.

Kockázat ez?

A GDPR 13. cikke adatokat követel a célról, a jogalapról, a címzettekről, a tárolási időről és a harmadik országokba történő továbbításról. A hiányos adatvédelmi tájékoztató önálló jogsértés — függetlenül attól, hogy maga a beágyazás megengedett-e.

Mit tehet

• Készítsen teljes listát minden beágyazott szolgáltatásról (azokról is, amelyek bővítményen vagy címkekezelőn keresztül érkeznek).
• Minden szolgáltatáshoz: adja meg a szolgáltatót, a célt, a jogalapot, a tárolási időt, a címzett országát.
• Tartsa karban az adatvédelmi tájékoztatót minden oldalmódosításnál.
• Rendszeresen egyeztesse, hogy a ténylegesen betöltött szolgáltatások megfelelnek-e az adatvédelmi tájékoztatónak.

Gyakori kérdések

Be kell írnom az adatvédelmi tájékoztatóba a tárhelyet és a CDN-t is?

Igen. A tárhelyszolgáltató és a CDN feldolgozza a látogatók IP-címét, és a GDPR 13. cikke szerinti címzettek. Nincs ugyan szükségük hozzájárulási sávra, de céllal, jogalappal és adott esetben harmadik országba történő továbbítással a tájékoztatóba tartoznak.

Elég egy adatvédelmi tájékoztató generátor?

Kiindulópontnak igen. A generált szövegek lefedik a szabványos szolgáltatásokat, de a ténylegesen használt eszközökhöz kell igazítani és naprakészen tartani. A generátor sem a leltárt, sem a jogi vizsgálatot nem helyettesíti.

Mi történik hiányos adatvédelmi tájékoztató esetén?

Ez a GDPR 13. cikke szerinti önálló jogsértés, amelyet a felügyeleti hatóságok bírsággal sújthatnak — akkor is, ha maga az adatkezelés jogszerű. A gyakorlatban eleinte a figyelmeztetések és felszólítások állnak előtérben.

Milyen gyakran kell ellenőriznem az adatvédelmi tájékoztatót?

Minden olyan változás után, amely szolgáltatásokat épít be vagy távolít el, továbbá rögzített ciklusban (pl. félévente). A rutinellenőrzéshez elég a „Hálózat“ fülön betöltött idegen gazdagépek rövid összevetése a tájékoztatóval.

Hogyan segít a consentglass

Az ingyenes ellenőrzés megvizsgálja a kiszolgált HTML-t, és megmutatja, mely szolgáltatások vannak beágyazva, felismerhető-e a sütisáv, és megvannak-e az adatvédelmi és impresszumhivatkozások — minden megállapításnál besorolással. Nem helyettesíti a jogi tanácsadást.