GDPR и бисквитки на малък сайт: практичен списък
Повечето малки сайтове събират лични данни, без собственикът им да се замисля: формуляр за контакт, статистика за посещенията, вградена карта или видео. Това не е проблем само по себе си, но изисква малко ред. По-долу е списък, който можете да преминете за един следобед. Той не е правен съвет — при съмнение или по-сложна дейност се консултирайте с юрист.
Двата документа, които стоят зад правилата
GDPR (Регламент (ЕС) 2016/679) се прилага от 25 май 2018 г. и урежда обработването на лични данни: кой ги събира, защо, колко дълго ги пази и какви права има човекът.
Правилото за бисквитките идва от друг акт — Директивата за правото на неприкосновеност на личния живот и електронните комуникации (2002/58/ЕО, т.нар. ePrivacy), чл. 5, ал. 3. Според нея за съхраняване или четене на информация на устройството на потребителя е нужно съгласие, освен ако то не е строго необходимо за услугата, която той изрично е поискал.
В България надзорният орган за личните данни е Комисията за защита на личните данни (КЗЛД). На сайта ѝ има насоки и образци, които си струва да прегледате.
Стъпка 1: опис на всичко, което сайтът зарежда
Не можете да опишете в политиката нещо, за което не знаете. Отворете сайта в браузър с инструментите за разработчици (F12) и вижте раздела с бисквитки и мрежовите заявки. Направете таблица:
- Статистика — Google Analytics, Matomo и подобни.
- Вградени карти и видео — Google Maps, YouTube, Vimeo. Те често поставят бисквитки още при зареждане на страницата.
- Чат прозорци и бутони на социални мрежи.
- Шрифтове и скриптове от чужди сървъри — при зареждането им IP адресът на посетителя се изпраща на трети лица.
- Реклама и ремаркетинг — пиксели и рекламни мрежи.
- Собствени бисквитки — вход, кошница, език.
За всеки ред запишете: кой е доставчикът, за какво служи, какви данни отиват при него и колко дълго се пазят.
Стъпка 2: съгласие преди ненужните бисквитки
Строго необходимите бисквитки (за вход, кошница, запомняне на избора за бисквитки) не изискват съгласие. Всичко останало — статистика, реклама, повечето вградени услуги — трябва да се зарежда едва след като човекът се съгласи.
- Бутонът „Откажи“ трябва да е толкова лесен, колкото „Приемам“ — на същото ниво, без да се крие в настройки.
- Без предварително отметнати полета.
- Съгласието се дава поотделно по цели (статистика, реклама).
- Отказът не бива да спира достъпа до съдържанието на обикновен информационен сайт.
- Човекът трябва да може лесно да промени избора си по-късно.
- Проверете на практика: след отказ в мрежовите заявки не трябва да има аналитични или рекламни скриптове.
Карти и видео може да се заменят със статично изображение и бутон „Зареди картата“, който зарежда услугата само при клик.
Стъпка 3: политика за поверителност, която казва истината
Политиката трябва да е написана разбираемо и да отговаря на това, което сайтът наистина прави. Минималното съдържание:
- Кой е администраторът: име на фирмата, ЕИК, адрес, имейл за връзка.
- Какви данни събирате и от къде (формуляр, бисквитки, поръчки).
- За каква цел и на какво правно основание.
- Колко дълго ги пазите.
- На кого ги предавате (хостинг, имейл услуга, аналитика) и дали излизат извън ЕС.
- Какви права има човекът и как да ги упражни.
- Правото на жалба до КЗЛД.
- Списък на бисквитките с доставчик, цел и срок.
Стъпка 4: формулярите за контакт
- Искайте само нужното: за обратна връзка обикновено стигат име, имейл и съобщение. Телефон и адрес — само ако наистина ви трябват.
- Под формуляра напишете кратко за какво ще използвате данните и сложете връзка към политиката.
- Определете срок за пазене, например да изтривате запитванията, които не са станали клиенти, след определен период.
- Ако искате да изпращате бюлетин, поискайте отделно, изрично съгласие — не го свързвайте с изпращането на запитване.
- Сайтът трябва да работи през HTTPS, за да се предават данните криптирано.
Стъпка 5: обработващи, искания и пробиви
Хостингът, имейл услугата, CRM системата и аналитиката обикновено са обработващи — те пазят данни от ваше име. С тях трябва да има договор за обработване на данни; при големите доставчици той често е част от общите условия и може да се приеме от профила.
Хората имат право да поискат достъп до данните си, поправка или изтриване. Подгответе си прост ред: кой следи имейла, къде се търсят данните и как се отговаря. Отговорът по правило се дава до един месец.
При пробив в сигурността — изтекла база, хакнат профил — GDPR изисква уведомяване на надзорния орган до 72 часа, когато има риск за хората. Запишете си предварително какво ще направите, за да не търсите информация в паника.
Сигурността е тясно свързана със защитата на данните. Вижте и основи на архивите и хостинга.
Кратък списък за проверка
- Описах всички бисквитки и външни услуги на сайта.
- Ненужните бисквитки се зареждат само след съгласие.
- „Откажи“ е толкова лесно, колкото „Приемам“.
- Политиката за поверителност отговаря на реалността и е лесна за намиране.
- Формулярите искат само нужните данни и имат срок за пазене.
- Имам договори с обработващите.
- Знам как да отговоря на искане и какво да направя при пробив.
- Преглеждам всичко отново при всяка нова услуга или реклама.
Ако правите нов сайт, най-лесно е тези неща да се заложат от началото. Можете да се свържете с нас, ако искате да ги обсъдим за вашия проект.