Kuri pakalpojumi ietilpst privātuma politikā?

Katrs iegults trešās puses pakalpojums, kas apstrādā personas datus — analīze, reklāma, fonti, kartes, tērzēšana, CDN, mitināšana — jānorāda privātuma politikā.

Privātuma politika un piekrišanas baneris atbild uz diviem dažādiem jautājumiem. Baneris regulē, vai pakalpojumu vispār drīkst ielādēt (piekrišana saskaņā ar TDDDG 25. pantu). Privātuma politika izpilda informēšanas pienākumu saskaņā ar VDAR 13. pantu — tajā jānorāda arī pakalpojumi, kas darbojas uz cita pamata, nevis piekrišanas: hostings, CDN, servera puses mēstuļu filtrs, fontu piegāde. Pakalpojums, kam baneris nav vajadzīgs, tomēr var piederēt privātuma politikai.

Ziņas par katru pakalpojumu atbilst noteiktai shēmai: sniedzēja nosaukums un adrese, apstrādes nolūks, juridiskais pamats (piekrišana, līgums, leģitīmas intereses), apstrādāto datu kategorijas, glabāšanas ilgums, vai un uz kurieni dati tiek pārsūtīti uz trešo valsti un uz kāda pamata, kā arī datu subjekta tiesības, ieskaitot atsaukšanu. Ja kāda no šīm sadaļām trūkst, politika šajā daļā ir nepilnīga — un tas ir patstāvīgs, ar naudas sodu sodāms pārkāpums neatkarīgi no tā, vai pati iekļaušana bija pieļaujama.

Visbiežākā kļūda ir novecojis saraksts. Pakalpojumi tiek pievienoti caur spraudņiem, Tag Manager vai motīva atjauninājumu, neatjauninot privātuma politiku. Otrādi, tur bieži vēl ir norādīti rīki, kas jau sen ir noņemti. Pragmatisks salīdzinājums: ielādējiet lapu privātā logā, cilnē „Tīkls“ pierakstiet visus svešos resursdatorus un salīdziniet tos ar privātuma politiku — vismaz pēc katras lielākas tīmekļa vietnes izmaiņas.

Vai tas ir risks?

GDPR 13. pants prasa datus par mērķi, juridisko pamatu, saņēmējiem, glabāšanas ilgumu un nodošanu trešajām valstīm. Nepilnīga privātuma politika ir patstāvīgs pārkāpums — neatkarīgi no tā, vai pati iegulšana ir atļauta.

Ko jūs varat darīt

• Sastādiet pilnu sarakstu ar visiem iegultajiem pakalpojumiem (arī tiem, kas nāk caur spraudni vai tagu pārvaldnieku).
• Katram pakalpojumam: pievienojiet sniedzēju, mērķi, juridisko pamatu, glabāšanas ilgumu, saņēmēja valsti.
• Uzturiet privātuma politiku aktuālu pie katras vietnes izmaiņas.
• Regulāri salīdziniet, vai faktiski ielādētie pakalpojumi atbilst privātuma politikai.

Biežāk uzdotie jautājumi

Vai privātuma politikā jāieraksta arī hostings un CDN?

Jā. Hostinga pakalpojumu sniedzējs un CDN apstrādā apmeklētāju IP adreses un ir saņēmēji VDAR 13. panta izpratnē. Piekrišanas baneris tiem gan nav vajadzīgs, taču tie pieder politikai ar nolūku, juridisko pamatu un vajadzības gadījumā pārsūtīšanu uz trešo valsti.

Vai pietiek ar privātuma politikas ģeneratoru?

Kā sākumpunkts — jā. Ģenerētie teksti aptver standarta pakalpojumus, bet tie jāpielāgo faktiski izmantotajiem rīkiem un jāuztur aktuāli. Ģenerators neaizstāj ne inventarizāciju, ne juridisko pārbaudi.

Kas notiek nepilnīgas privātuma politikas gadījumā?

Tas ir patstāvīgs VDAR pārkāpums saskaņā ar 13. pantu, par kuru uzraudzības iestādes var uzlikt naudas sodu — arī tad, ja pati datu apstrāde ir likumīga. Praksē sākotnēji priekšplānā ir norādījumi un aicinājumi.

Cik bieži man jāpārbauda privātuma politika?

Pēc katras izmaiņas, kas pievieno vai noņem pakalpojumus, un papildus noteiktā ciklā (piem., reizi pusgadā). Rutīnas pārbaudei pietiek ar īsu cilnē „Tīkls“ ielādēto svešo resursdatoru salīdzināšanu ar politiku.

Kā palīdz consentglass

Bezmaksas pārbaude analizē piegādāto HTML un parāda, kuri pakalpojumi ir iegulti, vai ir atpazīta sīkdatņu josla un vai ir saites uz privātumu un kontaktinformāciju — ar klasifikāciju pie katra atklājuma. Neaizstāj juridisku konsultāciju.