Zaštita osobnih podataka na web stranici ne počinje objavom politike privatnosti niti završava postavljanjem obavijesti o kolačićima. Počinje već prilikom planiranja web stranice i odlukama o tome koje podatke prikupljamo, zašto ih prikupljamo, kako ih obrađujemo, kome ih prosljeđujemo i koliko dugo ih čuvamo.
Kontakt forme, newsletteri, korisnički računi, analitički alati i različiti vanjski servisi mogu uključivati obradu osobnih podataka. Zato vlasnik web stranice treba razumjeti koje se obrade provode i zašto, dok developer treba osigurati da ih tehničko rješenje može provesti na siguran i odgovarajući način. Kod složenijih obrada potrebno je uključiti i odgovarajuće stručnjake za zaštitu podataka ili pravne stručnjake.
Koje osobne podatke vaša web stranica prikuplja?
Čak i jednostavna web stranica može obrađivati osobne podatke na više mjesta nego što je njezin vlasnik svjestan. Osobni podatak nije samo ime, prezime ili adresa e-pošte, nego svaka informacija koja se odnosi na identificiranu osobu ili osobu koju je moguće identificirati.
Kontakt forme mogu prikupljati ime, e-mail adresu, broj telefona i sadržaj poruke. Webshop dodatno obrađuje podatke potrebne za narudžbu, plaćanje, dostavu i izdavanje računa, dok korisnički računi, newsletteri i različite web aplikacije mogu prikupljati druge podatke ovisno o svojoj svrsi.
Osobni podaci mogu se obrađivati i manje očitim putem. IP adrese, serverski zapisi, analitički alati, kolačići i servisi trećih strana također mogu uključivati obradu podataka povezanih s korisnikom ili njegovim uređajem.
Zato prvi korak ne bi trebao biti pisanje politike privatnosti, nego jednostavno pitanje:
Koje podatke naša web stranica prikuplja, gdje ih prikuplja i što se s njima događa nakon toga?
Odgovor bi trebao obuhvatiti cijeli put podataka — od trenutka kada ih korisnik unese ili se automatski zabilježe, preko njihove pohrane i eventualnog prosljeđivanja drugim servisima, do trenutka kada više nisu potrebni.
To nam onda prirodno otvara sljedeće poglavlje:
Tko je odgovoran za obradu osobnih podataka?
Kod poslovne web stranice ili webshopa odgovornost za obradu osobnih podataka u pravilu nije na developeru samo zato što je on tehnički izradio web stranicu. Prema GDPR-u, voditelj obrade je onaj tko određuje svrhu i način obrade osobnih podataka, dok izvršitelj obrade obrađuje podatke u njegovo ime.
U praksi to najčešće znači da vlasnik webshopa odlučuje koje podatke treba prikupiti za narudžbu, koje podatke traži kontakt forma, hoće li se slati newsletter, koristiti analitika ili određeni marketinški alati. Developer može savjetovati i tehnički implementirati ta rješenja, ali poslovna odluka o tome zašto se podaci obrađuju pripada vlasniku poslovanja.
U obradi mogu sudjelovati i druge tvrtke — primjerice hosting provider, servis za slanje e-mailova, newsletter platforma ili cloud servis. Zato prilikom razvoja nije dovoljno pitati samo koje funkcionalnosti web stranica treba imati. Potrebno je znati i koje će servise koristiti, koji podaci kroz njih prolaze i tko tim podacima može pristupiti.
Jednostavan primjer
Kod kontakt forme vlasnik poslovanja može odrediti da su mu za odgovor na upit potrebni ime, e-mail adresa i poruka. Developer može izraditi formu, zaštititi je, povezati sa servisom za slanje e-mailova i definirati način tehničke pohrane.
Developer ne bi trebao samoinicijativno odlučiti da se dodatno prikupljaju podaci koji poslovanju nisu potrebni, niti bi vlasnik trebao zahtijevati prikupljanje podataka bez jasnog razloga samo zato što ih je tehnički moguće prikupiti.
Zaštita podataka počinje tijekom razvoja — Privacy by Design
Zaštita osobnih podataka ne bi se trebala dodavati web stranici tek nakon završetka razvoja. GDPR zahtijeva da se odgovarajuće mjere zaštite razmatraju već prilikom određivanja načina obrade i tijekom same obrade, što je temelj načela Privacy by Design and by Default.
U praksi to znači da već tijekom planiranja web stranice ili webshopa treba razmišljati o tome koji su podaci zaista potrebni, gdje će se čuvati, tko će im imati pristup, koliko dugo će se čuvati i kojim će se vanjskim servisima eventualno prosljeđivati. AZOP1 posebno naglašava da zaštita podataka treba biti ugrađena u samu arhitekturu sustava, a ne dodana nakon što je sustav već razvijen.
Jedno od temeljnih načela je smanjenje količine podataka (data minimisation). Ako je za odgovor na kontaktni upit dovoljno ime, e-mail adresa i poruka, nema razloga tražiti datum rođenja, adresu ili druge podatke koji za tu svrhu nisu potrebni. Isto vrijedi za registracije korisnika, newslettere, webshopove i druge funkcionalnosti.
Važne su i zadane postavke. Sustav bi prema zadanim postavkama trebao obrađivati samo podatke potrebne za konkretnu svrhu, ograničiti njihovu dostupnost te ih ne čuvati dulje nego što je potrebno. GDPR upravo količinu podataka, opseg obrade, razdoblje pohrane i dostupnost izričito povezuje sa zaštitom podataka po zadanim postavkama.
Za developera to može značiti pravilno postavljene ovlasti pristupa, sigurnu komunikaciju, odgovarajuću zaštitu baze podataka, kontrolu pohrane podataka iz formi, mogućnost njihovog brisanja te izbjegavanje nepotrebnog slanja podataka vanjskim servisima.
Politika privatnosti može objasniti kako se osobni podaci obrađuju, ali ne može ispraviti loše osmišljenu obradu. Ako web stranica bez potrebe prikuplja previše podataka, čuva ih neograničeno ili ih nepotrebno šalje trećim stranama, problem je u načinu na koji je sustav osmišljen, a ne samo u tekstu politike privatnosti.
Kontakt forme, registracije i newsletteri
Kontakt forme, registracije korisnika i prijave na newsletter među najčešćim su mjestima na kojima web stranica izravno prikuplja osobne podatke. Iako tehnički mogu izgledati kao jednostavne funkcionalnosti, svaka od njih treba imati jasno definiranu svrhu prikupljanja podataka i odgovarajući pravni temelj za njihovu obradu. AZOP naglašava da obrada mora imati barem jednu odgovarajuću pravnu osnovu te da se ona razlikuje ovisno o konkretnoj svrsi.
Kod kontakt forme treba prikupljati samo podatke koji su stvarno potrebni za obradu upita. Ako je za odgovor dovoljno ime, e-mail adresa i poruka, nije opravdano automatski zahtijevati dodatne podatke samo zato što ih forma tehnički može prikupiti.
Korisniku također treba jasno objasniti tko obrađuje njegove podatke, u koju svrhu, na kojoj pravnoj osnovi, koliko dugo se podaci čuvaju, kome se eventualno prosljeđuju te koja prava korisnik ima. Te informacije mogu biti dostupne kroz politiku privatnosti, ali trebaju biti predstavljene jasno i lako dostupno u trenutku prikupljanja podataka.
Kontakt upit nije automatski privola za marketing
Ako korisnik ostavi e-mail adresu kako bi zatražio ponudu ili postavio pitanje, to samo po sebi ne znači da je pristao primati newsletter ili druge marketinške poruke.
Odgovaranje na korisnikov upit i korištenje njegovih podataka u marketinške svrhe dvije su različite svrhe obrade.
Isto tako, GDPR ne znači da uz svaku kontakt formu automatski mora postojati obvezni checkbox „Slažem se s obradom osobnih podataka”. Privola je samo jedna od mogućih pravnih osnova za obradu.
Važnije je da korisnik zna što će se dogoditi s podacima koje šalje i da se oni ne koriste za neku novu, nepovezanu svrhu bez odgovarajuće pravne osnove.
Politika privatnosti treba odgovarati stvarnoj web stranici
Politika privatnosti nije samo formalni dokument koji treba postaviti u footer web stranice. Njezina je svrha korisniku jasno i razumljivo objasniti tko obrađuje njegove osobne podatke, koje podatke obrađuje, zašto ih obrađuje i što se s njima događa.
Jedna od čestih pogrešaka je korištenje generičkog predloška ili politike privatnosti preuzete s druge web stranice.
Tekst politike privatnosti mora odgovarati onome što web stranica i poslovanje zaista rade.
Ako se naknadno uvede novi newsletter servis, CRM, sustav za rezervacije ili druga funkcionalnost koja mijenja način obrade osobnih podataka, potrebno je ponovno procijeniti obradu i prema potrebi ažurirati informacije koje se pružaju korisnicima.
Jednostavno pravilo je: ono što piše u dokumentaciji i ono što web stranica tehnički radi moraju odgovarati jedno drugome.
Vanjski servisi također mogu obrađivati podatke
Moderne web stranice često koriste servise za slanje e-mailova, newslettere, analitiku, video sadržaj, karte, društvene mreže ili cloud usluge. Takve integracije mogu značiti da određeni podaci korisnika postaju dostupni trećoj strani.
Prije implementacije vanjskog servisa zato treba razumjeti koje podatke prima, zašto nam je potreban i kakvu ulogu ima u obradi podataka.
Vrijedi primijeniti i jednostavno načelo: ako neki servis nema jasnu poslovnu ili funkcionalnu svrhu, možda nam uopće nije potreban.
Manje nepotrebnih vanjskih ovisnosti može značiti jednostavniju kontrolu podataka, lakše održavanje i jednostavniju sigurnost web stranice.
Osobne podatke potrebno je i zaštititi
Zaštita podataka ne završava pravilnim prikupljanjem i odgovarajućom pravnom osnovom. Potrebno ih je i tehnički zaštititi.
To može uključivati kontrolu pristupa, sigurnost aplikacije i poslužitelja, ažuriranje softvera, zaštitu baze podataka, sigurnosne kopije i mogućnost oporavka nakon incidenta. Konkretne mjere trebaju odgovarati vrsti podataka, načinu obrade i stvarnom riziku.
Kod složenijih obrada ili obrade koja može predstavljati visok rizik potrebno je dodatno procijeniti rizike i, kada je potrebno, uključiti stručnjaka za zaštitu podataka ili pravnog stručnjaka.
Zaključak
Zaštita osobnih podataka na web stranici ili webshopu nije samo pitanje GDPR dokumentacije, politike privatnosti ili cookie bannera. Ona počinje razumijevanjem podataka koje prikupljamo i treba biti dio planiranja, razvoja, poslovnih procesa, sigurnosti i održavanja web rješenja.
Vlasnik poslovanja najbolje poznaje svrhu zbog koje su mu određeni podaci potrebni, developer može osigurati odgovarajuću tehničku implementaciju, a kod složenijih pravnih pitanja potrebno je uključiti stručnjake za zaštitu podataka. Najbolja rješenja nastaju kada su poslovni zahtjevi, pravne obveze i tehnologija međusobno usklađeni.
Ako planirate novu web stranicu ili webshop, ili želite provjeriti može li se postojeće rješenje tehnički unaprijediti u području privatnosti i zaštite podataka, započnimo razgovor.
