Ktoré služby patria do zásad ochrany osobných údajov?

Každá vložená služba tretej strany, ktorá spracúva osobné údaje — analytika, reklama, písma, mapy, chat, CDN, hosting — musí byť v zásadách ochrany osobných údajov uvedená.

Zásady ochrany osobných údajov a súhlasný banner odpovedajú na dve rôzne otázky. Banner upravuje, či sa služba vôbec smie načítať (súhlas podľa § 25 TDDDG). Zásady ochrany osobných údajov plnia informačnú povinnosť podľa čl. 13 GDPR — musia uviesť aj služby, ktoré bežia na inom základe než na súhlase: hosting, CDN, serverový spamový filter, doručovanie písem. Služba, ktorá nepotrebuje banner, môže napriek tomu patriť do zásad ochrany osobných údajov.

Údaje o každej službe sledujú pevnú schému: názov a adresa poskytovateľa, účel spracúvania, právny základ (súhlas, zmluva, oprávnený záujem), kategórie spracúvaných údajov, doba uchovávania, či a kam sa údaje prenášajú do tretej krajiny a na akom základe, ako aj práva dotknutej osoby vrátane odvolania. Ak niektorý z týchto bodov chýba, zásady sú v tomto rozsahu neúplné — a to je samostatné, pokutou postihnuteľné porušenie bez ohľadu na to, či bolo samotné zapojenie prípustné.

Najčastejšou chybou je zastaraný zoznam. Služby pribúdajú cez pluginy, Tag Manager alebo aktualizáciu šablóny bez toho, aby sa zásady ochrany osobných údajov doplnili. Naopak, často tam ešte stoja nástroje, ktoré boli dávno odstránené. Pragmatické porovnanie: načítajte stránku v súkromnom okne, na karte „Sieť“ si poznamenajte všetkých cudzích hostiteľov a porovnajte ich so zásadami ochrany osobných údajov — aspoň po každej väčšej zmene webu.

Je to riziko?

Čl. 13 GDPR vyžaduje údaje o účele, právnom základe, príjemcoch, dobe uloženia a prenose do tretích krajín. Neúplné zásady ochrany osobných údajov sú samostatným porušením — nezávisle od toho, či je samotné vloženie prípustné.

Čo môžete urobiť

• Vytvorte úplný zoznam všetkých vložených služieb (aj tých, ktoré prichádzajú cez plugin alebo správcu značiek).
• Pri každej službe: doplňte poskytovateľa, účel, právny základ, dobu uloženia, krajinu príjemcu.
• Udržiavajte zásady ochrany osobných údajov pri každej zmene webu.
• Pravidelne porovnávajte, či skutočne načítavané služby zodpovedajú zásadám ochrany osobných údajov.

Časté otázky

Musím do zásad ochrany osobných údajov napísať aj hosting a CDN?

Áno. Hostiteľ a CDN spracúvajú IP adresy návštevníkov a sú príjemcami v zmysle čl. 13 GDPR. Nepotrebujú síce súhlasný banner, ale patria do zásad s účelom, právnym základom a prípadne prenosom do tretej krajiny.

Stačí generátor zásad ochrany osobných údajov?

Ako východiskový bod áno. Vygenerované texty pokrývajú štandardné služby, musia sa však prispôsobiť skutočne používaným nástrojom a udržiavať aktuálne. Generátor nenahrádza ani inventúru, ani právne preskúmanie.

Čo sa stane pri neúplných zásadách ochrany osobných údajov?

Je to samostatné porušenie GDPR podľa čl. 13, ktoré môžu dozorné úrady postihnúť pokutou — aj keď je samotné spracúvanie údajov zákonné. V praxi sú spočiatku v popredí upozornenia a výzvy.

Ako často musím kontrolovať zásady ochrany osobných údajov?

Po každej zmene, ktorá pridáva alebo odstraňuje služby, a navyše v pevnom cykle (napr. polročne). Na rutinnú kontrolu stačí krátke porovnanie cudzích hostiteľov načítaných na karte „Sieť“ so zásadami.

Ako pomáha consentglass

Bezplatný sken kontroluje dodané HTML a ukazuje, ktoré služby sú vložené, či je rozpoznaná cookie lišta a či sú odkazy na súkromie a tiráž — so zaradením pri každom zistení. Nenahrádza právne poradenstvo.