Katere storitve sodijo v politiko zasebnosti?

Vsaka vgrajena storitev tretje osebe, ki obdeluje osebne podatke — analitika, oglaševanje, pisave, zemljevidi, klepet, CDN, gostovanje — mora biti navedena v politiki zasebnosti.

Izjava o varstvu podatkov in pasica za privolitev odgovarjata na dve različni vprašanji. Pasica ureja, ali se storitev sploh sme naložiti (privolitev po § 25 TDDDG). Izjava o varstvu podatkov izpolnjuje obveznost obveščanja po členu 13 GDPR — navesti mora tudi storitve, ki delujejo na drugi podlagi kot privolitev: gostovanje, CDN, strežniški filter neželene pošte, dostavo pisav. Storitev, ki pasice ne potrebuje, lahko kljub temu sodi v izjavo o varstvu podatkov.

Navedbe za vsako storitev sledijo stalni shemi: ime in naslov ponudnika, namen obdelave, pravna podlaga (privolitev, pogodba, zakoniti interes), kategorije obdelanih podatkov, čas hrambe, ali in kam se podatki prenašajo v tretjo državo ter na kateri podlagi, pa tudi pravice posameznika, na katerega se nanašajo osebni podatki, vključno s preklicem. Če katera od teh točk manjka, je izjava v tem obsegu nepopolna — in to je samostojna, z globo kaznovana kršitev, ne glede na to, ali je bila sama vključitev dopustna.

Najpogostejša napaka je zastarel seznam. Storitve se dodajajo prek vtičnikov, Tag Managerja ali posodobitve teme, ne da bi se izjava o varstvu podatkov ustrezno posodobila. Nasprotno pa tam pogosto še vedno stojijo orodja, ki so bila že zdavnaj odstranjena. Pragmatična primerjava: naložite stran v zasebnem oknu, na zavihku „Omrežje“ zabeležite vse tuje gostitelje in jih preverite glede na izjavo o varstvu podatkov — vsaj po vsaki večji spremembi spletnega mesta.

Je to tveganje?

Čl. 13 GDPR zahteva navedbe o namenu, pravni podlagi, prejemnikih, obdobju hrambe in prenosu v tretje države. Nepopolna politika zasebnosti je samostojna kršitev — ne glede na to, ali je sama vgradnja dopustna.

Kaj lahko storite

• Sestavite popoln seznam vseh vgrajenih storitev (tudi tistih, ki pridejo prek vtičnika ali upravitelja oznak).
• Za vsako storitev: dodajte ponudnika, namen, pravno podlago, obdobje hrambe, državo prejemnico.
• Politiko zasebnosti vzdržujte ob vsaki spremembi spletnega mesta.
• Redno preverjajte, ali dejansko naložene storitve ustrezajo politiki zasebnosti.

Pogosta vprašanja

Ali moram v izjavo o varstvu podatkov zapisati tudi gostovanje in CDN?

Da. Ponudnik gostovanja in CDN obdelujeta naslove IP obiskovalcev in sta prejemnika v smislu člena 13 GDPR. Pasice za privolitev sicer ne potrebujeta, vendar sodita v izjavo z namenom, pravno podlago in po potrebi prenosom v tretjo državo.

Ali zadostuje generator izjave o varstvu podatkov?

Kot izhodišče da. Ustvarjena besedila pokrivajo standardne storitve, vendar jih je treba prilagoditi dejansko uporabljenim orodjem in redno posodabljati. Generator ne nadomešča niti popisa niti pravne preveritve.

Kaj se zgodi pri nepopolni izjavi o varstvu podatkov?

To je samostojna kršitev GDPR po členu 13, ki jo nadzorni organi lahko kaznujejo z globo — tudi če je sama obdelava podatkov zakonita. V praksi so sprva v ospredju napotki in pozivi.

Kako pogosto moram pregledati izjavo o varstvu podatkov?

Po vsaki spremembi, ki doda ali odstrani storitve, in dodatno v stalnem ciklu (npr. vsakih šest mesecev). Za rutinsko preverjanje zadostuje kratka primerjava tujih gostiteljev, naloženih na zavihku „Omrežje“, z izjavo.

Kako pomaga consentglass

Brezplačno skeniranje preveri dostavljeni HTML in prikaže, katere storitve so vgrajene, ali je zaznana pasica za piškotke ter ali sta povezavi na zasebnost in kolofon prisotni — z umestitvijo pri vsaki ugotovitvi. Ne nadomešča pravnega svetovanja.