GDPR: бисквитки, формуляри и политика за поверителност

Модул 9: Имейл, видимост в търсачките, GDPR, поддръжка и преместване · Време за четене: 10 минути

Учебна цел: След този урок ще можете да приведете основите на GDPR за Вашия уебсайт на WordPress в ред: ще знаете какви лични данни обработвате, ще уредите правилно бисквитките и външното съдържание, ще настроите формулярите правилно и ще съставите политика за поверителност.

Ключови понятия: лични данни, обработване, правно основание, задължение за информиране, политика за поверителност, правилото за бисквитките (директивата ePrivacy), съгласие, функционални и аналитични бисквитки, бисквитки за проследяване, банер за бисквитки, външно съдържание, формуляри, срок на съхранение, обработващ лични данни, договор за обработване на лични данни, нарушение на сигурността на данните

Този урок е общо разяснение, не е правен съвет. За Вашата конкретна ситуация прочетете информацията на Комисията за защита на личните данни (КЗЛД) или попитайте специалист.

Какво общо има GDPR с Вашия уебсайт

GDPR (Общ регламент относно защитата на данните) се отнася до личните данни: всичко, с което дадено лице може да бъде разпознато пряко или непряко. На един уебсайт това е повече, отколкото си мислите: име и имейл адрес от формуляр, поръчка, профил, но също и IP адрес и бисквитка с уникален номер.

Почти всеки уебсайт на WordPress обработва лични данни: във формуляри, коментари, профили, поръчки, логове на сървъра, резервни копия, логове на поща (урок 9.1) и в това, което Вашият сайт изпраща към други страни. За това важат, наред с другото, следните правила:

• За всяко обработване Ви трябва правно основание (член 6 от GDPR), например: необходимо за изпълнение на договор (поръчка), съгласие (бюлетин) или законен интерес.
• Не обработвате повече данни, отколкото е необходимо, и не ги съхранявате по-дълго от необходимото.
• Вие информирате хората какво правите (член 13 от GDPR): това става чрез Вашата политика за поверителност.
• Вие защитавате данните по подходящ начин (https, актуализации, резервни копия: вижте останалата част от този курс).
• Ако оставите друга страна да обработва данни вместо Вас (Вашият хостинг доставчик, услуга за поща, разширение с облачна услуга), това е обработващ лични данни и сключвате договор за обработване на лични данни (член 28 от GDPR). Хостинг доставчиците и големите услуги обикновено имат такъв готов за ползване.
• Ако нещо се обърка (хакване, изтекло резервно копие), това е нарушение на сигурността на данните, което понякога трябва да се докладва (урок 7.5).

Бисквитки: директивата ePrivacy

За бисквитките (и подобни техники като local storage и тракинг пиксели) важи освен това правилото за бисквитките от европейската директива ePrivacy (в България: Законът за електронните съобщения; в Нидерландия: член 11.7a от Telecommunicatiewet). Накратко, както го обяснява нидерландският орган за защита на данните:

• Функционалните бисквитки, необходими за работата на сайта (бисквитка за вход, пазарска количка, запомняне на самия избор за бисквитки): могат без съгласие. Все пак трябва да информирате за тях.
• Аналитичните бисквитки с никакво или минимално влияние върху поверителността: могат без съгласие, ако отговарят на определени условия. Например статистика, която водите сами, или която е настроена по начин, щадящ поверителността (без споделяне на данни, съкратени IP адреси, без проследяване в други сайтове).
• Бисквитките за проследяване и всичко, което следи посетителите или изгражда профили (реклами, социални мрежи, повечето вградени услуги на големи платформи): само след съгласие, и следователно се зареждат едва след като посетителят е казал „да“.

Банерът за бисквитки иска това съгласие. Нидерландският орган за защита на данните посочва, наред с друго: обяснете кои бисквитки използвате и за какво, отказът трябва да е също толкова лесен колкото приемането, и без предварително отметнати квадратчета. Банер, който предлага само „OK“, или който вече зарежда кода за проследяване преди да е направен избор, не отговаря на изискванията. Съществуват много разширения за бисквитки за WordPress; изберете такова, което наистина блокира скриптовете до получаване на съгласие, и проверете това (задачата от този урок помага).

Външно съдържание: какво изпраща Вашият сайт към други

Дори без бисквитки Вашият сайт изпраща данни към други страни, щом дадена страница зареди нещо от тях. Браузърът на Вашия посетител тогава го извлича от тази страна, която вижда поне IP адреса. Примери:

В Германия съд (LG München I, януари 2022) постанови, че зареждането на шрифтове от външна услуга без съгласие е в нарушение на GDPR, защото при това се предава IP адресът на посетителя. Това не е нидерландско решение, но показва каква е същината: трябва да можете да обясните всеки външен източник.

Формуляри

Формулярът е обработване на данни. Обърнете внимание на следното:

• Искайте само това, което Ви е необходимо. За заявка за обратно обаждане Ви трябват име и телефонен номер, не адрес и дата на раждане.
• Чрез https (урок 3.1), иначе данните преминават през интернет некриптирани.
• Къде остават данните? Много разширения за формуляри съхраняват всяко изпратено съобщение и в базата данни, освен в имейла. След години там се натрупват хиляди записи. Задайте срок на съхранение или изключете запазването, ако имейлът е достатъчен. Логът на пощата на Вашето SMTP разширение (урок 9.1) също ги съдържа.
• Съгласие за бюлетин е отделно, непредварително отметнато квадратче. Контактна форма не е записване за бюлетин.
• Защита от спам: вижте таблицата по-горе.

Политиката за поверителност

WordPress създава при инсталацията чернова на страница Поверителност и има при Настройки > Сигурност помощник с примерни текстове; разширенията, които обработват данни, могат да добавят текст там. Това е начало, не краен резултат. Политиката за поверителност описва съгласно член 13 от GDPR, наред с друго:

• кой сте и как хората могат да се свържат с Вас;
• какви лични данни обработвате, за какво и на какво правно основание;
• с кого ги споделяте (обработващи лични данни, други страни) и дали напускат ЕС;
• колко дълго ги съхранявате;
• какви права имат хората (достъп, корекция, изтриване, възражение) и че могат да подадат жалба до Комисията за защита на личните данни (КЗЛД);
• какви бисквитки и външни услуги използва Вашият сайт.

Поставете връзка към политиката за поверителност във футъра (урок 4.3), за да може да бъде намерена на всяка страница, и при всеки формуляр.

WordPress има при Инструменти и функции за експортиране на лични данни и за изтриване по заявка на потребител. Полезно при заявка за достъп или изтриване, но те намират само данни от WordPress и от разширения, които са свързани с тях.

Прост план за действие

1. Направете списък на всички обработвания на Вашия сайт: формуляри, профили, поръчки, коментари, статистика, бюлетин, логове, резервни копия.
2. Прегледайте какво изпраща Вашият сайт към други страни при зареждане (задачата от този урок).
3. Премахнете това, което не е необходимо; заменете това, което може да бъде по-щадящо за поверителността.
4. Уредете съгласие за това, което остава и наистина се нуждае от съгласие, с банер, който блокира скриптовете.
5. Сключете договори за обработване на лични данни и напишете (или пренапишете) политиката си за поверителност.
6. Преглеждайте го всяка година отново (урок 9.4), и след всяко ново разширение, което обработва данни.

Обобщение

• Почти всеки уебсайт на WordPress обработва лични данни: формуляри, профили, IP адреси, логове, резервни копия.
• Функционалните и ограничените аналитични бисквитки могат без съгласие; проследяването едва след съгласие, и тогава едва се зарежда.
• Външното съдържание (шрифтове, видеоклипове, карти, captcha) изпраща данни към други; направете го локално или го заредете едва след клик.
• Искайте във формулярите само необходимото, не съхранявайте изпратените данни безкрайно, отметката за бюлетин отделно и не предварително отметната.
• Политика за поверителност съгласно член 13 от GDPR, намираема на всяка страница; договори за обработване на лични данни с Вашия хостинг доставчик и услуги.

Тест

Задача

Задача A9.3: Какво изпраща Вашият сайт към други? Въведете адреса на Вашия сайт. Програмата зарежда началната страница така, както я вижда нов посетител без бисквитки и без съгласие, и показва преглед: кои бисквитки сървърът поставя веднага (само имената), и от кои други домейни страницата зарежда скриптове, шрифтове, iframes или изображения. Известни услуги за статистика, реклами, социални мрежи, шрифтове и видео се докладват по име (оранжево: „проверете дали това се зарежда едва след съгласие, или го заменете“). Освен това се проверява дали на началната страница има връзка към политика за поверителност.

Задача D9.3: Вашият списък с обработки и политика за поверителност. Направете списък на всички обработвания на Вашия сайт (формуляри, профили, поръчки, коментари, статистика, бюлетин, логове, резервни копия) с за всяко обработване: кои данни, за какво, правно основание, къде се съхраняват, за колко дълго, и кой е обработващият. Сравнете този списък с Вашата политика за поверителност и отметнете какво е включено в нея. Запишете какво добавяте или премахвате, и кои външни услуги от задача A9.3 заменяте или поставяте зад съгласие.

Допълнително четене

Тези статии се отнасят за самия WebOké; разясненията за Вашия собствен сайт ще намерите при Комисията за защита на личните данни (КЗЛД).

• Бисквитки в WebOké: как да прегледате или промените избора си
• Бисквитки (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Бисквитки и Вашата организация: погрижете се за добра политика (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Ясни банери за бисквитки (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Право на информация (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Нарушения на сигурността на данните (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Поверителност в WordPress (wordpress.org, на английски): https://wordpress.org/documentation/article/settings-privacy-screen/