Uzņēmuma mājaslapa var apstrādāt personas datus arī tad, ja tajā nav internetveikala vai klientu kontu. Pietiek ar kontaktformu, jaunumu abonēšanu, apmeklējuma analītiku vai servera žurnālfailiem. Tāpēc privātuma politika nav tikai formāla saite lapas apakšā. Tā palīdz apmeklētājam saprast, kādus datus uzņēmums izmanto, kāpēc tas nepieciešams un kā cilvēks var īstenot savas tiesības.

Vispārīgā datu aizsardzības regula jeb GDPR nosaka personas datu apstrādes pamatprincipus. Taču dokumenta publicēšana pati par sevi nenodrošina atbilstību: mājaslapas iestatījumiem un uzņēmuma ikdienas darbībām jāatbilst politikā rakstītajam. Šis ceļvedis palīdzēs sakārtot galvenos jautājumus; sarežģītās situācijās nepieciešams individuāls juridisks izvērtējums.

1. Noskaidrojiet, kādi personas dati nonāk uzņēmumā

Sāciet nevis ar privātuma politikas paraugu, bet ar mājaslapas pārbaudi. Personas dati ir informācija, kas attiecas uz identificētu vai identificējamu cilvēku. Tie var būt vārds, personiska vai darbiniekam piesaistīta e-pasta adrese, tālruņa numurs, IP adrese un informācija, ko apmeklētājs ieraksta brīvā teksta laukā.

Izveidojiet vienkāršu datu plūsmas karti: kur dati rodas, kur tiek glabāti, kam ir piekļuve un kad tos dzēš. Pārbaudiet ne tikai redzamās formas, bet arī pievienotos ārējos pakalpojumus. Iegults video, karte vai rezervēšanas rīks var nodot informāciju citam pakalpojuma sniedzējam.

• Kontaktformas: kādi lauki ir obligāti un uz kuru sistēmu nonāk iesniegtais saturs?
• Jaunumu abonēšana: kur glabājas abonentu saraksts un piekrišanas pierādījumi?
• Analītika un reklāma: kādi identifikatori tiek izmantoti un kad rīki sāk darboties?
• Čats un MI rīki: vai sarunas saglabājas un kurš tās var apskatīt?
• Tehniskā infrastruktūra: kādi dati ir žurnālfailos un rezerves kopijās?

Praktisks princips: neprasiet informāciju tikai tāpēc, ka to ļauj formas veidne. Ja atbildei pietiek ar e-pastu, obligāts tālruņa numurs vai personas kods parasti nav nepieciešams. Mazāks datu apjoms nozīmē arī mazāk aizsargājamas informācijas.

2. Katram nolūkam izvēlieties atbilstošu tiesisko pamatu

GDPR neprasa piekrišanu pilnīgi visai personas datu apstrādei. Tiesiskais pamats jānosaka katram konkrētam nolūkam. Piemēram, piedāvājuma sagatavošana pēc cilvēka pieprasījuma var būt nepieciešama darbībām pirms līguma noslēgšanas, bet rēķinu glabāšanu var pamatot juridisks pienākums.

Atsevišķos gadījumos apstrādi var balstīt uz leģitīmajām interesēm, piemēram, noteiktiem mājaslapas drošības pasākumiem. Tomēr ar frāzi «mūsu leģitīmās intereses» nepietiek. Jāizvērtē apstrādes nepieciešamība, samērīgums un ietekme uz cilvēka tiesībām, kā arī šis izvērtējums jādokumentē.

Kontaktforma nav automātiska piekrišana reklāmai

Ja cilvēks nosūta jautājumu par pakalpojumu, tas nenozīmē, ka viņš vēlas saņemt regulārus reklāmas e-pastus. Atbildēšana uz pieprasījumu un jaunumu sūtīšana ir atšķirīgi nolūki. Elektroniskajiem komerciālajiem paziņojumiem papildus GDPR jāņem vērā arī speciālie noteikumi.

Ja izmantojat piekrišanu, tai jābūt brīvi sniegtai, konkrētai, informētai un nepārprotamai. Izvēles rūtiņas nedrīkst būt iepriekš atzīmētas. Saglabājiet informāciju par to, kad un kam cilvēks piekritis, un nodrošiniet tikpat vienkāršu atsaukšanu. Pie kontaktformas labāk sniegt īsu skaidrojumu un saiti uz politiku, nevis prasīt vispārīgu «piekrišanu GDPR».

3. Uzrakstiet privātuma politiku par savu mājaslapu

Labs privātuma politikas teksts ir konkrēts un saprotams. Cita uzņēmuma dokumenta kopēšana var radīt nepareizu priekšstatu par izmantotajiem rīkiem, datu saņēmējiem un glabāšanas termiņiem. Politikai jāatspoguļo faktiskā situācija, nevis iecerēta nākotnes sistēma.

Ja datus iegūstat tieši no cilvēka, informācija par apstrādi jāsniedz datu iegūšanas brīdī. Tāpēc saitei jābūt ne tikai kājenē, bet arī pie formas vai abonēšanas lauka. Ja dati iegūti no citiem avotiem, piemērojamās informēšanas prasības un termiņi jāvērtē atsevišķi.

• Pārzinis un kontakti: uzņēmuma identitāte, kontaktinformācija un datu aizsardzības speciālista kontakti, ja tāds ir iecelts.
• Nolūki un tiesiskie pamati: ko darāt ar datiem un uz kāda pamata; leģitīmo interešu gadījumā arī attiecīgās intereses.
• Datu saņēmēji: kam informāciju nododat vai kādas saņēmēju kategorijas izmantojat.
• Starptautiska nosūtīšana: vai dati nonāk ārpus Eiropas Ekonomikas zonas un kādi aizsardzības mehānismi tiek piemēroti.
• Glabāšana: termiņi vai saprotami kritēriji to noteikšanai.
• Cilvēka tiesības: kā iesniegt pieprasījumu, atsaukt piekrišanu un sūdzēties Datu valsts inspekcijā.
• Papildu apstākļi: vai datu sniegšana ir obligāta, kādas ir nesniegšanas sekas un vai notiek automatizēta lēmumu pieņemšana, tostarp profilēšana, par kuru regula prasa informēt.

Izvairieties no solījuma «datus nekad nenododam trešajām personām», ja izmantojat ārēju hostingu, e-pasta platformu vai citus pakalpojumus. Labāk precīzi aprakstīt to lomu. Norādiet arī politikas atjaunināšanas datumu un pārskatiet tekstu pēc būtiskām izmaiņām.

4. Saskaņojiet sīkdatņu paziņojumu ar reālo darbību

Sīkdatņu josla nav nepieciešama vienīgi dekoratīvai piekrišanas iegūšanai. Vispirms jāsaprot, kādas sīkdatnes un līdzīgas tehnoloģijas mājaslapa izmanto. Tehnoloģijām, kas ir stingri nepieciešamas lietotāja pieprasītā pakalpojuma nodrošināšanai, iepriekšēja piekrišana parasti nav vajadzīga, taču informēšanas pienākums saglabājas.

Reklāmas izsekošanai un daudzām analītikas konfigurācijām vajadzīga iepriekšēja piekrišana. Nevajadzīgie skripti nedrīkst ielādēties jau pirms izvēles. Uzraksts «turpinot pārlūkot, jūs piekrītat» nav derīgs aktīvas piekrišanas aizvietotājs.

1. Apkopojiet izmantoto tehnoloģiju nolūkus, nodrošinātājus un darbības ilgumu.
2. Nodrošiniet saprotamu iespēju pieņemt vai noraidīt nebūtiskās sīkdatnes bez maldinoša dizaina.
3. Ļaujiet izvēlēties atsevišķas nolūku kategorijas un vēlāk viegli mainīt izvēli.
4. Pārbaudiet, vai pēc noraidīšanas analītikas un reklāmas rīki tiešām neaktivizējas.

Pārbaudi veiciet jaunā pārlūka sesijā, arī mobilajā ierīcē. Īpaši pievērsiet uzmanību iegultiem ārējiem elementiem: dažkārt tie sāk datu apmaiņu vēl pirms apmeklētājs uz tiem noklikšķina. Vajadzības gadījumā izmantojiet risinājumu, kas saturu ielādē tikai pēc attiecīgās izvēles.

5. Nodrošiniet tiesību īstenošanu un sakārtotu glabāšanu

Privātuma politikā norādītajai saziņas adresei jābūt reāli uzraudzītai. Uzņēmumā nosakiet, kurš atbild uz pieprasījumiem par piekļuvi datiem, labošanu, dzēšanu, apstrādes ierobežošanu, pārnesamību vai iebildumiem. Šīs tiesības nav absolūtas un piemērojamas atkarībā no apstrādes apstākļiem.

Uz pieprasījumu parasti jāreaģē viena mēneša laikā. Sarežģītos gadījumos termiņu var pagarināt atbilstoši regulas nosacījumiem, par pagarinājumu un tā iemesliem savlaicīgi informējot cilvēku. Identitāti pārbaudiet samērīgi: nevajag automātiski pieprasīt personu apliecinoša dokumenta kopiju katram jautājumam.

Arī dzēšanai jābūt pārdomātai. Kontaktformas ziņa, neīstenots piedāvājums un grāmatvedības dokuments nav jāglabā vienādi ilgi. Nosakiet termiņus pēc nolūka un normatīvajām prasībām, paredzot arī rezerves kopiju aprites kārtību. Formulējums «glabājam tik ilgi, cik nepieciešams» bez papildu skaidrojuma bieži ir pārāk neskaidrs.

Pārbaudiet līgumus ar datu apstrādātājiem un piekļuves tiesības. Darbiniekam jāredz tikai darbam vajadzīgā informācija. Ja izmantojat MI čatu, brīdiniet apmeklētājus neievadīt nevajadzīgus sensitīvus datus un izvērtējiet sarunu glabāšanu, izmantošanu un pakalpojuma sniedzēja noteikumus.

6. Pirms publicēšanas pārbaudiet visu apmeklētāja ceļu

Izmēģiniet mājaslapu kā jauns apmeklētājs: atveriet politiku, noraidiet nebūtiskās sīkdatnes, nosūtiet testa pieprasījumu un pārbaudiet, kur tas nonāk. Pārliecinieties, ka katram datu ievākšanas punktam ir skaidrs nolūks un atbildīgais. Šādu pārbaudi atkārtojiet pēc jauna spraudņa, čata vai mārketinga rīka pievienošanas.

99web.lv piedāvā profesionālu mājaslapu par 9,99 €/mēn. ar PVN, iekļaujot hostingu, SSL, uzturēšanu un MI rediģēšanas kredītus. Lapu var būvēt pats ar MI vai izvēlēties no kataloga, un projektu vadītājs ir pieejams jebkurā brīdī. Tehniskais risinājums neatceļ uzņēmuma pienākumu izvērtēt datu apstrādi un sagatavot tai atbilstošu privātuma politiku.

Sāciet ar pārskatāmu mājaslapu, minimālu datu ievākšanu un saprotamu informāciju apmeklētājiem. Izmēģiniet 99web.lv un reģistrēties, lai sāktu savas mājaslapas izveidi. Jautājumus par platformu sūtiet uz 99web.lv pieteikuma formu.