GDPR na web stranici: što stvarno morate imati
GDPR na web stranici najčešće se svede na traku s kolačićima koja se pojavi pri prvom posjetu. Klikne se "Prihvaćam" i time je stvar riješena.
Nije. Uredba se odnosi na svaku obradu osobnih podataka, a web stranica ih prikuplja i kad na to ne mislite — kroz obrazac, analitiku, sustav za novosti i ugrađene sadržaje s drugih platformi.
Što se smatra osobnim podatkom
Širi je pojam nego što se pretpostavlja.
Osobni podatak je svaki podatak koji vodi do određene osobe. Ime i e-adresa su očiti primjeri. IP adresa, identifikator kolačića i podaci o uređaju također ulaze u tu kategoriju, iako sami po sebi ne izgledaju kao nečije ime.
Zato analitika, oglasni pikseli i ugrađeni videozapisi ulaze u opseg uredbe. Svaki od njih prikuplja podatke prije nego što je posjetitelj išta učinio.
Gdje se najčešće griješi kod kolačića
Traka s kolačićima postoji na gotovo svakoj stranici. Postavljena je ispravno na manjini.
Najčešća pogreška je da se skripte pokreću prije privole. Analitika se učita čim se stranica otvori, a traka se pojavi tek zatim. Time je podatak već prikupljen i privola nema učinka.
Druga je izostanak mogućnosti odbijanja. Ako traka nudi samo "Prihvaćam", odbijanje nije jednako dostupno kao pristanak, što uredba izričito traži. Gumb za odbijanje mora biti na istoj razini i jednako vidljiv.
Treća je unaprijed označen pristanak. Kvačica koja već stoji ne predstavlja privolu, jer izostanak radnje nije pristanak.
Uz to, od 2024. Google traži usklađenost s načinom rada privola za korisnike iz Europskog gospodarskog prostora. Bez toga podaci u analitici i oglasnim kampanjama postaju nepotpuni.
Kontakt obrasci i GDPR na web stranici
Obrazac je najizravniji način prikupljanja podataka i najlakše ga je urediti.
Uz njega treba stajati jasna informacija tko prikuplja podatke, u koju svrhu i koliko se čuvaju. Polje za privolu ne smije biti unaprijed označeno, a tekst uz njega mora biti razumljiv, s poveznicom na politiku privatnosti.
Prikupljajte samo ono što Vam treba. Ako za odgovor na upit trebate ime i e-adresu, polje za datum rođenja nema opravdanja.
Vodite računa i o tome kamo poruke stižu. Ako se pohranjuju u bazi stranice, dostupne su svakome tko dođe do sustava — vraćamo se na sigurnost.
Što mora sadržavati politika privatnosti
Ovo je dokument koji se najčešće prepisuje s tuđe stranice, a najmanje odgovara stvarnom stanju.
Mora navesti tko je voditelj obrade s kontakt podacima, koje se kategorije podataka prikupljaju i u koju svrhu, na kojoj pravnoj osnovi te koliko dugo se čuvaju. Uz to treba popisati primatelje podataka — hosting, pružatelja pošte, analitiku, oglasne platforme — i prava koja posjetitelj ima, uključujući pristup, ispravak, brisanje i prigovor.
Ako se podaci prenose izvan Europskog gospodarskog prostora, to se mora navesti zajedno sa zaštitnim mjerama.
Ugovori s pružateljima usluga
Dio koji se gotovo uvijek preskoči.
Svatko tko obrađuje podatke u Vaše ime — hosting, sustav za novosti, platforma za rezervacije — smatra se izvršiteljem obrade. S njima je potreban ugovor koji uređuje tu obradu. Većina ozbiljnih pružatelja ima ga pripremljenog i dovoljno ga je prihvatiti u postavkama računa.
Koliki je stvarni rizik
Uredba predviđa visoke kazne, ali one se u praksi izriču u težim slučajevima.
Realniji scenarij za manju tvrtku je prijava nezadovoljnog posjetitelja ili konkurenta nadzornom tijelu, nakon čega slijedi zahtjev za očitovanje. Tada se traže dokazi o prikupljenim privolama i uvid u to kako je stranica postavljena.
Drugi rizik je poslovni. Sve više naručitelja, osobito iz javnog sektora i iz inozemstva, usklađenost provjerava prije suradnje.
Kako uskladiti GDPR na web stranici
Postupak je izvediv u nekoliko koraka.
Popišite sve što na stranici prikuplja podatke, uključujući ugrađene sadržaje. Postavite sustav privola koji skripte zaista blokira do pristanka i koji bilježi dane privole. Uredite obrasce i dodajte polje za privolu. Napišite politiku privatnosti prema stvarnom stanju, ne prema predlošku. Provjerite ugovore s pružateljima usluga. Uvedite postupak za slučaj da netko zatraži brisanje svojih podataka.
Napominjemo da ovo nije pravni savjet. Za složenije situacije, osobito kod obrade osjetljivih podataka, uputno je konzultirati stručnjaka za zaštitu podataka.
Naš pristup
Osnovnu usklađenost postavljamo na svakoj web stranici koju izrađujemo: sustav privola koji blokira skripte do pristanka, uređene obrasce i predložak politike privatnosti prilagođen Vašoj djelatnosti.
