GDPR: cookies, formuláře a zásady ochrany osobních údajů

Modul 9: E-mail, dohledatelnost, GDPR, údržba a přestěhování · Doba čtení: 10 minut

Cíl lekce: Po této lekci budete umět uvést do pořádku základ GDPR na webu postaveném na WordPressu: víte, jaké osobní údaje zpracováváte, umíte správně nastavit cookies a externí obsah, pořádně připravit formuláře a sepsat zásady ochrany osobních údajů.

Klíčové pojmy: osobní údaje, zpracování, právní základ, informační povinnost, zásady ochrany osobních údajů, pravidlo o cookies (směrnice ePrivacy), souhlas, funkční a analytické cookies, sledovací cookies, cookie lišta, externí obsah, formuláře, doba uchování, zpracovatel, zpracovatelská smlouva, únik dat

Tato lekce je obecné vysvětlení, nikoli právní poradenství. Pro Vaši konkrétní situaci si přečtěte informace úřadu pro ochranu osobních údajů ve Vaší zemi (v Česku: Úřad pro ochranu osobních údajů, ÚOOÚ) nebo se obraťte na odborníka.

Co má GDPR společného s Vaším webem

GDPR (Obecné nařízení o ochraně osobních údajů) se týká osobních údajů: všeho, čím lze osobu přímo nebo nepřímo identifikovat. Na webu je toho víc, než si možná myslíte: jméno a e-mailová adresa z formuláře, objednávka, účet, ale také IP adresa a cookie s jedinečným číslem.

Téměř každý web na WordPressu tedy zpracovává osobní údaje: ve formulářích, komentářích, účtech, objednávkách, protokolech serveru, zálohách, protokolech e-mailů (lekce 9.1) a ve všem, co Váš web posílá dalším stranám. Mimo jiné platí tato pravidla:

• Pro každé zpracování potřebujete právní základ (článek 6 GDPR), například: je nezbytné pro plnění smlouvy (objednávka), souhlas (newsletter), nebo oprávněný zájem.
• Zpracováváte pouze to, co je nezbytné, a neuchováváte to déle, než je nutné.
• Lidi informujete o tom, co děláte (článek 13 GDPR): k tomu slouží Vaše zásady ochrany osobních údajů.
• Údaje přiměřeně zabezpečujete (https, aktualizace, zálohy: o tom pojednává zbytek tohoto kurzu).
• Pokud za Vás údaje zpracovává jiná strana (Váš poskytovatel hostingu, e-mailová služba, plugin s cloudovou službou), jde o zpracovatele a uzavíráte s ním zpracovatelskou smlouvu (článek 28 GDPR). Poskytovatelé hostingu a velké služby ji obvykle mají standardně připravenou.
• Pokud se něco pokazí (hacknutí, unikla záloha), jde o únik dat, který je někdy nutné nahlásit (lekce 7.5).

Cookies: směrnice ePrivacy

Pro cookies (a podobné technologie jako local storage a sledovací pixely) navíc platí pravidlo o cookies z evropské směrnice ePrivacy (v Česku: § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích; v Nizozemsku: článek 11.7a Telecommunicatiewet). Stručně, jak to vysvětluje nizozemský úřad pro ochranu osobních údajů (AP):

• Funkční cookies, které jsou nutné k tomu, aby web fungoval (přihlašovací cookie, nákupní košík, uchování volby ohledně samotných cookies): lze použít bez souhlasu. O jejich použití je ale nutné informovat.
• Analytické cookies s žádným nebo jen malým dopadem na soukromí: lze použít bez souhlasu, pokud splňují podmínky. Jde například o statistiky, které si vedete sami, nebo které jsou nastaveny s ohledem na soukromí (žádné sdílení údajů, zkrácené IP adresy, žádné sledování napříč jinými weby).
• Sledovací cookies a cokoli, co sleduje návštěvníky nebo vytváří profily (reklamy, sociální sítě, většina vložených služeb velkých platforem): pouze po souhlasu, tedy se smí načíst až poté, co návštěvník řekne „ano“.

Cookie lišta si tento souhlas vyžádá. AP mimo jiné uvádí: vysvětlete, jaké cookies používáte a k čemu, odmítnutí musí být stejně snadné jako přijetí a žádná předem zaškrtnutá políčka. Lišta, která nabízí pouze „OK“, nebo která sledovací kód načte ještě předtím, než je učiněna volba, těmto požadavkům nevyhovuje. Pro WordPress existuje mnoho pluginů na cookies; vyberte takový, který skutečně zablokuje skripty, dokud není udělen souhlas, a to si ověřte (pomůže Vám úkol této lekce).

Externí obsah: co Váš web posílá ostatním

I bez cookies posílá Váš web údaje dalším stranám, jakmile stránka od nich něco načte. Prohlížeč Vašeho návštěvníka si to pak vyžádá u dané strany, a ta vidí přinejmenším IP adresu. Příklady:

V Německu soud (zemský soud LG München I, leden 2022) rozhodl, že načítání písem od externí služby bez souhlasu bylo v rozporu s GDPR, protože tím docházelo k předání IP adresy návštěvníka. Nejde o nizozemské rozhodnutí, ale ukazuje to podstatu věci: u každého externího zdroje byste měli umět vysvětlit, proč ho používáte.

Formuláře

Formulář představuje zpracování osobních údajů. Dejte pozor na:

• Ptejte se pouze na to, co potřebujete. Pro žádost o zpětné zavolání potřebujete jméno a telefonní číslo, nikoli adresu a datum narození.
• Přes https (lekce 3.1), jinak údaje putují internetem nešifrovaně.
• Kde údaje zůstávají? Mnoho pluginů pro formuláře ukládá každé odeslání i do databáze, kromě e-mailu. Po letech tam pak máte tisíce záznamů. Nastavte dobu uchování nebo ukládání vypněte, pokud Vám e-mail stačí. Obsahuje je i protokol e-mailů Vašeho SMTP pluginu (lekce 9.1).
• Souhlas s odběrem newsletteru je samostatné, předem nezaškrtnuté políčko. Kontaktní formulář není přihláška k odběru newsletteru.
• Ochrana proti spamu: viz tabulka výše.

Zásady ochrany osobních údajů

WordPress při instalaci vytvoří návrh stránky Zásady ochrany osobních údajů a v sekci Nastavení > Soukromí nabízí nápovědu se vzorovými texty; pluginy, které zpracovávají údaje, do ní mohou doplnit vlastní text. Je to začátek, nikoli hotový výsledek. Zásady ochrany osobních údajů podle článku 13 GDPR mimo jiné popisují:

• kdo jste a jak Vás lidé mohou kontaktovat;
• jaké osobní údaje zpracováváte, k čemu a na jakém právním základě;
• s kým je sdílíte (zpracovatelé, další strany) a zda putují mimo EU;
• jak dlouho je uchováváte;
• jaká práva lidé mají (přístup, oprava, výmaz, námitka) a že mohou podat stížnost u dozorového úřadu (v Česku ÚOOÚ);
• jaké cookies a externí služby Váš web používá.

Umístěte odkaz na zásady ochrany osobních údajů do patičky (lekce 4.3), aby byl dohledatelný na každé stránce, a u každého formuláře.

WordPress má v sekci Nástroje také funkce pro export osobních údajů a jejich smazání na žádost uživatele. Hodí se při žádosti o přístup nebo výmaz, ale najdou pouze údaje z WordPressu a z pluginů, které se na tyto funkce napojují.

Jednoduchý plán kroků

1. Sestavte si seznam všech zpracování na Vašem webu: formuláře, účty, objednávky, komentáře, statistiky, newsletter, protokoly, zálohy.
2. Podívejte se, co Váš web při načtení posílá dalším stranám (úkol této lekce).
3. Odstraňte, co není nutné; nahraďte, co lze udělat šetrněji k soukromí.
4. Zajistěte souhlas pro to, co zůstává a skutečně souhlas vyžaduje, pomocí lišty, která zablokuje skripty.
5. Uzavřete zpracovatelské smlouvy a napište (nebo přepište) své zásady ochrany osobních údajů.
6. Projděte si to znovu každý rok (lekce 9.4) a po každém novém pluginu, který zpracovává údaje.

Shrnutí

• Téměř každý web na WordPressu zpracovává osobní údaje: formuláře, účty, IP adresy, protokoly, zálohy.
• Funkční a omezené analytické cookies lze použít bez souhlasu; sledování až po souhlasu, a teprve poté se smí načíst.
• Externí obsah (písma, videa, mapy, captchy) posílá údaje dalším stranám; udělejte to lokálně nebo to načtěte až po kliknutí.
• Ve formulářích se ptejte pouze na to, co je nutné, neuchovávejte odeslané údaje donekonečna, políčko pro newsletter mějte samostatně a nezaškrtnuté předem.
• Zásady ochrany osobních údajů podle článku 13 GDPR, dohledatelné na každé stránce; zpracovatelské smlouvy s Vaším poskytovatelem hostingu a dalšími službami.

Kvíz

Úkol

Úkol A9.3: Co Váš web posílá ostatním? Zadejte adresu svého webu. Program načte domovskou stránku tak, jako by to dělal nový návštěvník bez cookies a bez souhlasu, a vytvoří přehled: jaké cookies server umístí ihned (pouze názvy), a z jakých dalších domén stránka načítá skripty, písma, rámce (iframe) nebo obrázky. Známé služby pro statistiky, reklamu, sociální sítě, písma a video se uvedou jmenovitě (oranžově: „ověřte, zda se to načítá až po souhlasu, nebo to nahraďte“). Kromě toho se zkontroluje, zda je na domovské stránce odkaz na zásady ochrany osobních údajů.

Úkol D9.3: Váš seznam zpracování a zásady ochrany osobních údajů. Sestavte seznam všech zpracování na Vašem webu (formuláře, účty, objednávky, komentáře, statistiky, newsletter, protokoly, zálohy) a u každého zpracování uveďte: jaké údaje, k čemu, právní základ, kde jsou uloženy, jak dlouho a kdo je zpracovatelem. Porovnejte tento seznam se svými zásadami ochrany osobních údajů a zaškrtněte, co už v nich je. Poznamenejte si, co doplníte nebo odstraníte, a které externí služby z úkolu A9.3 nahradíte nebo podmíníte souhlasem.

Doporučená literatura

Tyto články se týkají samotného WebOké; vysvětlení pro Váš vlastní web najdete u úřadu pro ochranu osobních údajů ve Vaší zemi (v Česku: ÚOOÚ).

• Cookies na WebOké: zobrazení nebo změna vaší volby
• Cookies (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies a Vaše organizace: zajistěte si dobrou politiku (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Přehledné cookie lišty (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Právo na informace (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Úniky dat (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Soukromí ve WordPressu (wordpress.org, anglicky): https://wordpress.org/documentation/article/settings-privacy-screen/