Kokios paslaugos priklauso privatumo politikai?

Kiekviena įterpta trečiosios šalies paslauga, kuri tvarko asmens duomenis — analizė, reklama, šriftai, žemėlapiai, pokalbiai, CDN, talpinimas — turi būti nurodyta privatumo politikoje.

Privatumo politika ir sutikimo juosta atsako į du skirtingus klausimus. Juosta reguliuoja, ar paslauga apskritai gali būti įkelta (sutikimas pagal TDDDG 25 straipsnį). Privatumo politika vykdo informavimo pareigą pagal BDAR 13 straipsnį — joje turi būti nurodytos ir paslaugos, veikiančios kitu nei sutikimo pagrindu: priegloba, CDN, serverio pusės šlamšto filtras, šriftų teikimas. Paslauga, kuriai juostos nereikia, vis tiek gali priklausyti privatumo politikai.

Kiekvienos paslaugos duomenys atitinka fiksuotą schemą: teikėjo pavadinimas ir adresas, tvarkymo tikslas, teisinis pagrindas (sutikimas, sutartis, teisėtas interesas), tvarkomų duomenų kategorijos, saugojimo trukmė, ar ir kur duomenys perduodami į trečiąją šalį bei kokiu pagrindu, taip pat duomenų subjekto teisės, įskaitant atšaukimą. Jei kurio nors iš šių punktų trūksta, politika ta apimtimi yra neišsami — ir tai yra savarankiškas, bauda baudžiamas pažeidimas, nepaisant to, ar pats įterpimas buvo leistinas.

Dažniausia klaida yra pasenęs sąrašas. Paslaugos pridedamos per papildinius, „Tag Manager“ arba temos naujinį, neatnaujinant privatumo politikos. Priešingai, ten dažnai vis dar nurodyti įrankiai, kurie jau seniai pašalinti. Pragmatiškas palyginimas: įkelkite puslapį privačiame lange, skirtuke „Tinklas“ užsirašykite visus svetimus serverius ir palyginkite juos su privatumo politika — bent po kiekvieno didesnio svetainės pakeitimo.

Ar tai rizika?

GDPR 13 str. reikalauja duomenų apie tikslą, teisinį pagrindą, gavėjus, saugojimo trukmę ir perdavimą į trečiąsias šalis. Nepilna privatumo politika yra savarankiškas pažeidimas — nepriklausomai nuo to, ar pats įterpimas leidžiamas.

Ką galite padaryti

• Sudarykite pilną visų įterptų paslaugų sąrašą (taip pat tų, kurios ateina per papildinį ar žymų tvarkyklę).
• Kiekvienai paslaugai: pridėkite teikėją, tikslą, teisinį pagrindą, saugojimo trukmę, gavėjo šalį.
• Atnaujinkite privatumo politiką prie kiekvieno svetainės pakeitimo.
• Reguliariai palyginkite, ar tikrai įkeltos paslaugos atitinka privatumo politiką.

Dažni klausimai

Ar į privatumo politiką turiu įrašyti ir prieglobą bei CDN?

Taip. Prieglobos teikėjas ir CDN tvarko lankytojų IP adresus ir yra gavėjai pagal BDAR 13 straipsnį. Sutikimo juostos jiems nereikia, bet jie priklauso politikai su tikslu, teisiniu pagrindu ir prireikus perdavimu į trečiąją šalį.

Ar pakanka privatumo politikos generatoriaus?

Kaip atspirties taškas — taip. Sugeneruoti tekstai apima standartines paslaugas, bet juos reikia pritaikyti faktiškai naudojamiems įrankiams ir nuolat atnaujinti. Generatorius nepakeičia nei inventorizacijos, nei teisinės patikros.

Kas atsitinka esant neišsamiai privatumo politikai?

Tai savarankiškas BDAR pažeidimas pagal 13 straipsnį, už kurį priežiūros institucijos gali skirti baudą — net jei pats duomenų tvarkymas yra teisėtas. Praktikoje iš pradžių pirmiausia pateikiami nurodymai ir raginimai.

Kaip dažnai turiu tikrinti privatumo politiką?

Po kiekvieno pakeitimo, kuris prideda ar pašalina paslaugas, ir papildomai fiksuotu ciklu (pvz., kas pusmetį). Įprastai patikrai pakanka trumpo skirtuke „Tinklas“ įkeltų svetimų serverių palyginimo su politika.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.