GDPR: kolačići, obrasci i pravila privatnosti

Modul 9: E-pošta, vidljivost na tražilicama (SEO), GDPR, održavanje i preseljenje · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete urediti GDPR osnove WordPress web-stranice: znat ćete koje osobne podatke obrađujete, kako ispravno postaviti kolačiće i vanjski sadržaj, kako urediti obrasce i kako sastaviti pravila privatnosti.

Ključni pojmovi: osobni podaci, obrada, pravna osnova, obveza informiranja, pravila privatnosti, pravilo o kolačićima (Direktiva o e-privatnosti), privola, funkcionalni i analitički kolačići, kolačići za praćenje, traka za kolačiće (cookie banner), vanjski sadržaj, obrasci, rok čuvanja, izvršitelj obrade, ugovor o obradi podataka, povreda osobnih podataka

Ova lekcija je opća uputa, a ne pravni savjet. Za Vašu konkretnu situaciju pročitajte informacije tijela za zaštitu podataka u Vašoj zemlji (u Hrvatskoj: AZOP, Agencija za zaštitu osobnih podataka) ili se obratite stručnjaku; u Hrvatskoj se za pitanja i pritužbe možete obratiti AZOP-u (Agencija za zaštitu osobnih podataka).

Što GDPR ima veze s Vašom web-stranicom

GDPR (Opća uredba o zaštiti podataka, u Hrvatskoj poznata i kao OUZP) odnosi se na osobne podatke: sve pomoću čega možete izravno ili neizravno prepoznati osobu. Na web-stranici je toga više nego što mislite: ime i e-mail adresa iz obrasca, narudžba, korisnički račun, ali i IP adresa te kolačić s jedinstvenim brojem.

Gotovo svaka WordPress web-stranica dakle obrađuje osobne podatke: u obrascima, komentarima, korisničkim računima, narudžbama, zapisnicima poslužitelja, sigurnosnim kopijama, zapisnicima e-pošte (lekcija 9.1) te u onome što Vaša web-stranica šalje drugim stranama. Za to vrijede, među ostalim, sljedeća pravila:

• Za svaku obradu potrebna Vam je pravna osnova (članak 6 GDPR-a), primjerice: nužno za izvršenje ugovora (narudžba), privola (newsletter) ili legitimni interes.
• Ne obrađujete više podataka nego što je potrebno i ne čuvate ih dulje nego što je potrebno.
• Osobe informirate o tome što radite (članak 13 GDPR-a): to činite u svojim pravilima privatnosti.
• Podatke primjereno štitite (https, ažuriranja, sigurnosne kopije: ostatak ovog tečaja).
• Ako drugoj strani prepuštate obradu podataka za Vas (Vašem hosting pružatelju, usluzi e-pošte, dodatku s uslugom u oblaku), riječ je o izvršitelju obrade i s njim sklapate ugovor o obradi podataka (članak 28 GDPR-a). Hosting pružatelji i velike usluge obično ga imaju spremnog kao standard.
• Ako nešto pođe po zlu (hakerski napad, procurjela sigurnosna kopija), riječ je o povredi osobnih podataka koju ponekad morate prijaviti AZOP-u (lekcija 7.5).

Kolačići: Direktiva o e-privatnosti

Za kolačiće (i slične tehnike poput local storage i piksela za praćenje) vrijedi dodatno pravilo o kolačićima iz europske Direktive o e-privatnosti (ePrivacy) (u Hrvatskoj: Zakon o elektroničkim komunikacijama; u Nizozemskoj: članak 11.7a Telecommunicatiewet). Ukratko, kako to objašnjava nizozemsko tijelo za zaštitu podataka (Autoriteit Persoonsgegevens):

• Funkcionalni kolačići koji su potrebni da bi web-stranica radila (kolačić za prijavu, košarica, pamćenje samog izbora kolačića): dopušteni su bez privole. Ipak o njima morate informirati.
• Analitički kolačići s malim ili nikakvim utjecajem na privatnost: dopušteni su bez privole ako ispunjavaju određene uvjete. Primjerice statistike koje sami vodite ili koje su podešene na način prilagođen privatnosti (bez dijeljenja podataka, skraćene IP adrese, bez praćenja na drugim stranicama).
• Kolačići za praćenje i sve što prati posjetitelje ili stvara profile (oglašavanje, društvene mreže, većina ugrađenih usluga velikih platformi): tek nakon privole, dakle učitavaju se tek nakon što je posjetitelj rekao "da".

Traka za kolačiće (cookie banner) traži tu privolu. Nizozemsko tijelo za zaštitu podataka navodi, među ostalim: objasnite koje kolačiće koristite i u koju svrhu, odbijanje mora biti jednako jednostavno kao prihvaćanje, te nema unaprijed označenih kućica. Traka koja ima samo gumb "OK", ili koja već učitava kod za praćenje prije nego što je izbor napravljen, ne zadovoljava uvjete. Postoji mnogo dodataka za kolačiće za WordPress; odaberite onaj koji doista blokira skripte dok privola nije dana, i to provjerite (zadatak ove lekcije pomaže).

Vanjski sadržaj: što Vaša web-stranica šalje drugima

I bez kolačića Vaša web-stranica šalje podatke drugim stranama čim stranica od njih nešto učita. Preglednik Vašeg posjetitelja tada to dohvaća od te strane, a ona vidi barem IP adresu. Primjeri:

U Njemačkoj je sud (LG München I, siječanj 2022.) presudio da je učitavanje fontova vanjske usluge bez privole u suprotnosti s GDPR-om, jer se time prosljeđuje IP adresa posjetitelja. To nije nizozemska presuda, ali pokazuje o čemu je riječ: za svaki vanjski izvor morate moći objasniti zašto se koristi.

Obrasci

Obrazac je obrada podataka. Obratite pozornost na sljedeće:

• Tražite samo ono što Vam je potrebno. Za zahtjev za povratni poziv potrebni su Vam ime i telefonski broj, a ne adresa i datum rođenja.
• Putem https (lekcija 3.1), inače podaci putuju internetom nešifrirano.
• Gdje ostaju podaci? Mnogi dodaci za obrasce spremaju svaku prijavu i u bazu podataka, uz e-poštu. Nakon nekoliko godina ondje se nakupe tisuće prijava. Postavite rok čuvanja ili isključite spremanje ako je e-pošta dovoljna. I zapisnik e-pošte Vašeg SMTP dodatka (lekcija 9.1) sadrži te podatke.
• Privola za newsletter je zasebna kućica koja nije unaprijed označena. Kontaktni obrazac nije prijava na newsletter.
• Zaštita od neželjene pošte: pogledajte tablicu iznad.

Pravila privatnosti

WordPress pri instalaciji izrađuje nacrt stranice Pravila privatnosti i pod Postavke > Privatnost nudi pomoć s primjerima tekstova; dodaci koji obrađuju podatke mogu tamo dodati tekst. To je početak, a ne konačan rezultat. Pravila privatnosti prema članku 13 GDPR-a opisuju, među ostalim:

• tko ste i kako Vas ljudi mogu kontaktirati;
• koje osobne podatke obrađujete, u koju svrhu i na kojoj pravnoj osnovi;
• s kim ih dijelite (izvršitelji obrade, druge strane) i idu li izvan EU;
• koliko dugo ih čuvate;
• koja prava osobe imaju (uvid, ispravak, brisanje, prigovor) i da mogu podnijeti pritužbu nadzornom tijelu (u Hrvatskoj: AZOP);
• koje kolačiće i vanjske usluge Vaša web-stranica koristi.

Postavite poveznicu na pravila privatnosti u podnožje (lekcija 4.3), tako da bude dostupna na svakoj stranici, kao i uz svaki obrazac.

WordPress pod Alati ima i funkcije za izvoz osobnih podataka i brisanje na zahtjev korisnika. Korisno kod zahtjeva za uvid ili brisanje, ali pronalaze samo podatke iz WordPressa i dodataka koji se na to nadovezuju.

Jednostavan plan koraka

1. Napravite popis svih obrada na Vašoj web-stranici: obrasci, korisnički računi, narudžbe, komentari, statistike, newsletter, zapisnici, sigurnosne kopije.
2. Provjerite što Vaša web-stranica pri učitavanju šalje drugim stranama (zadatak ove lekcije).
3. Uklonite što nije potrebno; zamijenite ono što može biti prilagođenije privatnosti.
4. Riješite privolu za ono što ostane i što stvarno zahtijeva privolu, s trakom koja blokira skripte.
5. Sklopite ugovore o obradi podataka i napišite (ili prepravite) svoja pravila privatnosti.
6. Provjerite sve to svake godine iznova (lekcija 9.4), kao i nakon svakog novog dodatka koji obrađuje podatke.

Sažetak

• Gotovo svaka WordPress web-stranica obrađuje osobne podatke: obrasci, korisnički računi, IP adrese, zapisnici, sigurnosne kopije.
• Funkcionalni i ograničeni analitički kolačići dopušteni su bez privole; praćenje tek nakon privole, i tek se tada učitava.
• Vanjski sadržaj (fontovi, videozapisi, karte, captche) šalje podatke drugima; postavite ga lokalno ili ga učitajte tek nakon klika.
• U obrascima tražite samo ono što je potrebno, ne čuvajte prijave beskonačno, kućica za newsletter zasebno i nije unaprijed označena.
• Pravila privatnosti prema članku 13 GDPR-a, dostupna na svakoj stranici; ugovori o obradi podataka s Vašim hosting pružateljem i uslugama.

Kviz

Zadatak

Zadatak A9.3: Što Vaša web-stranica šalje drugima? Unesite adresu svoje web-stranice. Program učitava naslovnu stranicu kao novi posjetitelj bez kolačića i bez privole, te daje pregled: koje kolačiće poslužitelj odmah postavlja (samo nazivi), i s kojih drugih domena stranica učitava skripte, fontove, iframeove ili slike. Poznate usluge za statistike, oglašavanje, društvene mreže, fontove i video prijavljuju se imenom (narančasto: "provjerite učitava li se ovo tek nakon privole, ili zamijenite to"). Osim toga, provjerava se nalazi li se na naslovnoj stranici poveznica na pravila privatnosti.

Zadatak D9.3: Vaš popis obrada i pravila privatnosti. Napravite popis svih obrada na Vašoj web-stranici (obrasci, korisnički računi, narudžbe, komentari, statistike, newsletter, zapisnici, sigurnosne kopije) s podacima za svaku obradu: koji podaci, u koju svrhu, pravna osnova, gdje se čuvaju, koliko dugo, i koji izvršitelj obrade. Usporedite taj popis sa svojim pravilima privatnosti i označite što je u njima navedeno. Zabilježite što dodajete ili uklanjate, te koje vanjske usluge iz zadatka A9.3 zamjenjujete ili stavljate iza privole.

Dodatno čitanje

Ovi članci odnose se na sam WebOké; objašnjenje za Vašu vlastitu situaciju pronaći ćete kod tijela za zaštitu podataka u Vašoj zemlji (u Hrvatskoj: AZOP).

• Kolačići na WebOké: pregled ili promjena Vašeg izbora
• Kolačići (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Kolačići i Vaša organizacija: osigurajte dobru politiku (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Jasne trake za kolačiće (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Pravo na informiranje (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Povrede osobnih podataka (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privatnost u WordPressu (wordpress.org, na engleskom): https://wordpress.org/documentation/article/settings-privacy-screen/