Які сервіси належать до політики конфіденційності?

Кожен вбудований сторонній сервіс, який обробляє персональні дані — аналітика, реклама, шрифти, карти, чат, CDN, хостинг — має бути зазначений у політиці конфіденційності.

Політика конфіденційності та банер згоди відповідають на два різні питання. Банер регулює, чи взагалі можна завантажувати службу (згода за § 25 TDDDG). Політика конфіденційності виконує обов'язок інформування за ст. 13 GDPR — вона має назвати й служби, що працюють на іншій підставі, ніж згода: хостинг, CDN, серверний спам-фільтр, доставку шрифтів. Служба, якій банер не потрібен, все одно може належати до політики конфіденційності.

Відомості щодо кожної служби відповідають фіксованій схемі: назва та адреса постачальника, мета опрацювання, правова підстава (згода, договір, законний інтерес), категорії опрацьовуваних даних, строк зберігання, чи передаються дані до третьої країни і куди та на якій підставі, а також права суб'єкта даних, включно з відкликанням. Якщо одного з цих пунктів бракує, політика в цій частині неповна — і це самостійне порушення, за яке накладається штраф, незалежно від того, чи було допустиме саме вбудовування.

Найчастіша помилка — застарілий перелік. Служби додаються через плагіни, Tag Manager або оновлення теми без відповідного оновлення політики конфіденційності. І навпаки, там часто ще стоять інструменти, давно видалені. Прагматичне звіряння: завантажте сторінку в приватному вікні, занотуйте на вкладці «Мережа» всі сторонні хости й звірте їх із політикою конфіденційності — принаймні після кожної більшої зміни сайту.

Це ризик?

Ст. 13 GDPR вимагає відомостей про мету, правову підставу, одержувачів, строк зберігання та передавання до третіх країн. Неповна політика конфіденційності є самостійним порушенням — незалежно від того, чи дозволене саме вбудовування.

Що ви можете зробити

• Складіть повний перелік усіх вбудованих сервісів (у тому числі тих, що надходять через плагін чи менеджер тегів).
• Для кожного сервісу: додайте постачальника, мету, правову підставу, строк зберігання, країну одержувача.
• Підтримуйте політику конфіденційності в актуальному стані за кожної зміни сайту.
• Регулярно звіряйте, чи відповідають фактично завантажені сервіси політиці конфіденційності.

Поширені запитання

Чи потрібно вказувати в політиці конфіденційності також хостинг і CDN?

Так. Хостинг-провайдер і CDN опрацьовують IP-адреси відвідувачів і є отримувачами у розумінні ст. 13 GDPR. Банер згоди їм не потрібен, але вони належать до політики із зазначенням мети, правової підстави та за потреби передавання до третьої країни.

Чи достатньо генератора політики конфіденційності?

Як відправна точка — так. Згенеровані тексти охоплюють стандартні служби, але їх потрібно адаптувати до фактично використовуваних інструментів і підтримувати актуальними. Генератор не замінює ні інвентаризацію, ні юридичну перевірку.

Що відбувається за неповної політики конфіденційності?

Це самостійне порушення GDPR за ст. 13, за яке наглядові органи можуть накласти штраф — навіть якщо саме опрацювання даних є законним. На практиці спершу на першому плані вказівки та вимоги про усунення.

Як часто потрібно перевіряти політику конфіденційності?

Після кожної зміни, що додає або вилучає служби, і додатково з фіксованою періодичністю (напр., раз на півроку). Для рутинної перевірки достатньо короткого звіряння сторонніх хостів, завантажених на вкладці «Мережа», з політикою.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.