BDAR: slapukai, formos ir privatumo politika

9 modulis: El. paštas, matomumas paieškoje, BDAR, priežiūra ir perkėlimas · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite sutvarkyti WordPress svetainės BDAR pagrindus: žinosite, kokius asmens duomenis tvarkote, tinkamai sureguliuosite slapukus ir išorinį turinį, tvarkingai įrengsite formas ir parengsite privatumo politiką.

Pagrindinės sąvokos: asmens duomenys, tvarkymas, teisinis pagrindas, informavimo pareiga, privatumo politika, slapukų taisyklė (e. privatumo direktyva), sutikimas, funkciniai ir analitiniai slapukai, stebėjimo (tracking) slapukai, slapukų juosta, išorinis turinys, formos, saugojimo terminas, duomenų tvarkytojas, duomenų tvarkymo sutartis, duomenų saugumo pažeidimas

Ši pamoka yra bendro pobūdžio paaiškinimas, ne teisinė konsultacija. Dėl Jūsų konkrečios situacijos skaitykite Valstybinės duomenų apsaugos inspekcijos (VDAI) informaciją arba kreipkitės į specialistą.

Kuo BDAR susijęs su Jūsų svetaine

BDAR (Bendrasis duomenų apsaugos reglamentas) reglamentuoja asmens duomenis: viską, kas leidžia asmenį tiesiogiai ar netiesiogiai identifikuoti. Svetainėje to yra daugiau, nei galima pagalvoti: vardas ir el. pašto adresas iš formos, užsakymas, paskyra, taip pat IP adresas ir slapukas su unikaliu numeriu.

Beveik kiekviena WordPress svetainė taigi tvarko asmens duomenis: formose, komentaruose, paskyrose, užsakymuose, serverio žurnaluose, atsarginėse kopijose, el. laiškų žurnaluose (9.1 pamoka) ir visame, ką Jūsų svetainė siunčia kitoms šalims. Tam galioja, be kita ko, šios taisyklės:

• Kiekvienam duomenų tvarkymui reikia teisinio pagrindo (BDAR 6 straipsnis), pavyzdžiui: būtina sutarties vykdymui (užsakymas), sutikimas (naujienlaiškis) arba teisėtas interesas.
• Netvarkote daugiau duomenų, nei būtina, ir nesaugote jų ilgiau, nei būtina.
• Informuojate žmones, ką darote (BDAR 13 straipsnis): tai darote savo privatumo politikoje.
• Tinkamai apsaugote duomenis (https, atnaujinimai, atsarginės kopijos: visa likusi šio kurso dalis).
• Jei duomenis už Jus tvarko kita šalis (Jūsų talpinimo paslaugų teikėjas, el. pašto paslauga, įskiepis su debesijos paslauga), tai yra duomenų tvarkytojas, su kuriuo sudarote duomenų tvarkymo sutartį (BDAR 28 straipsnis). Talpinimo paslaugų teikėjai ir didelės paslaugos dažniausiai jau turi paruoštą standartinę sutartį.
• Jei įvyksta incidentas (įsilaužimas, nutekėjusi atsarginė kopija), tai yra duomenų saugumo pažeidimas, apie kurį kartais reikia pranešti (7.5 pamoka).

Slapukai: e. privatumo direktyva

Slapukams (ir panašioms technologijoms, tokioms kaip local storage ir stebėjimo pikseliai) papildomai galioja slapukų taisyklė iš Europos e. privatumo direktyvos (ePrivacy) (Lietuvoje: Elektroninių ryšių įstatymas; Nyderlanduose: Telecommunicatiewet 11.7a straipsnis). Trumpai tariant, kaip tai paaiškina Nyderlandų duomenų apsaugos institucija (Autoriteit Persoonsgegevens):

• Funkciniai slapukai, kurie būtini svetainės veikimui (prisijungimo slapukas, pirkinių krepšelis, paties slapukų pasirinkimo įsiminimas): galima be sutikimo. Tačiau apie juos reikia informuoti.
• Analitiniai slapukai, kurie neturi arba turi nedidelį poveikį privatumui: galimi be sutikimo, jei atitinka sąlygas. Pavyzdžiui, statistika, kurią renkate patys arba kuri sukonfigūruota privatumui palankiai (duomenys nesidalijama, IP adresai sutrumpinti, nesekama kitose svetainėse).
• Stebėjimo (tracking) slapukai ir viskas, kas seka lankytojus ar kuria profilius (reklama, socialiniai tinklai, dauguma didelių platformų įterptų paslaugų): tik gavus sutikimą, taigi gali būti įkeliami tik po to, kai lankytojas atsakė „taip“.

Slapukų juosta prašo šio sutikimo. Nyderlandų duomenų apsaugos institucija nurodo, be kita ko: paaiškinkite, kokius slapukus naudojate ir kam, atsisakyti turi būti taip pat lengva, kaip sutikti, ir jokių iš anksto pažymėtų langelių. Juosta, kurioje yra tik mygtukas „Gerai“, arba kuri stebėjimo kodą įkelia dar prieš pasirenkant, reikalavimų neatitinka. WordPress yra daug slapukų įskiepių; pasirinkite tokį, kuris tikrai sustabdo scenarijus, kol negautas sutikimas, ir tai patikrinkite (šios pamokos užduotis padės).

Išorinis turinys: ką Jūsų svetainė siunčia kitiems

Net ir be slapukų Jūsų svetainė siunčia duomenis kitoms šalims, kai tik puslapis iš jų ką nors įkelia. Jūsų lankytojo naršyklė tuomet tai parsisiunčia iš tos šalies, o ši mato bent jau IP adresą. Pavyzdžiai:

Vokietijoje teismas (LG München I, 2022 m. sausio mėn.) nusprendė, kad šriftų įkėlimas iš išorinės paslaugos be sutikimo pažeidė BDAR, nes tai perdavė lankytojo IP adresą. Tai nėra Nyderlandų sprendimas, tačiau jis parodo esmę: turite galėti paaiškinti kiekvieną išorinį šaltinį.

Formos

Forma yra duomenų tvarkymas. Atkreipkite dėmesį:

• Klauskite tik to, ko reikia. Perskambinimo užklausai reikia vardo ir telefono numerio, o ne adreso ir gimimo datos.
• Per https (3.1 pamoka), kitaip duomenys internetu keliauja neužšifruoti.
• Kur lieka duomenys? Daugelis formų įskiepių kiekvieną pateiktą formą taip pat išsaugo duomenų bazėje, be el. laiško. Po kelerių metų ten susikaupia tūkstančiai įrašų. Nustatykite saugojimo terminą arba išjunkite saugojimą, jei pakanka el. laiško. Juos taip pat saugo Jūsų SMTP įskiepio el. laiškų žurnalas (9.1 pamoka).
• Sutikimas naujienlaiškiui turi būti atskiras, iš anksto nepažymėtas langelis. Kontaktinė forma nėra prenumerata naujienlaiškiui.
• Apsauga nuo šlamšto: žr. lentelę aukščiau.

Privatumo politika

Diegimo metu WordPress sukuria juodraštinį puslapį Privatumo politika, o skiltyje Nustatymai > Privatumas yra pagalbinė priemonė su pavyzdiniais tekstais; duomenis tvarkantys įskiepiai gali prie jo pridėti tekstą. Tai tik pradžia, ne galutinis rezultatas. Privatumo politika pagal BDAR 13 straipsnį turi aprašyti, be kita ko:

• kas Jūs esate ir kaip su Jumis susisiekti;
• kokius asmens duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu;
• su kuo jais dalijatės (duomenų tvarkytojai, kitos šalys) ir ar jie keliauja už ES ribų;
• kiek laiko juos saugote;
• kokias teises turi žmonės (susipažinimo, ištaisymo, ištrynimo, prieštaravimo) ir kad jie gali pateikti skundą VDAI;
• kokius slapukus ir išorines paslaugas naudoja Jūsų svetainė.

Įdėkite nuorodą į privatumo politiką poraštėje (4.3 pamoka), kad ją būtų galima rasti kiekviename puslapyje, ir prie kiekvienos formos.

Skiltyje Įrankiai WordPress taip pat turi funkcijas asmens duomenims eksportuoti ir ištrinti naudotojo prašymu. Naudinga gavus susipažinimo ar ištrynimo prašymą, tačiau jos randa tik WordPress ir prie šios funkcijos prisijungusių įskiepių duomenis.

Paprastas veiksmų planas

1. Sudarykite visų savo svetainės duomenų tvarkymo atvejų sąrašą: formos, paskyros, užsakymai, komentarai, statistika, naujienlaiškis, žurnalai, atsarginės kopijos.
2. Peržiūrėkite, ką Jūsų svetainė, įkeliant puslapį, siunčia kitoms šalims (šios pamokos užduotis).
3. Pašalinkite, kas nereikalinga; pakeiskite, kas gali būti privatumui palankiau.
4. Sutvarkykite sutikimą tam, kas lieka ir tikrai reikalauja sutikimo, naudodami juostą, kuri sustabdo scenarijus.
5. Sudarykite duomenų tvarkymo sutartis ir parašykite (arba perrašykite) savo privatumo politiką.
6. Peržiūrėkite tai kasmet iš naujo (9.4 pamoka) ir po kiekvieno naujo duomenis tvarkančio įskiepio.

Santrauka

• Beveik kiekviena WordPress svetainė tvarko asmens duomenis: formos, paskyros, IP adresai, žurnalai, atsarginės kopijos.
• Funkciniai ir riboti analitiniai slapukai leidžiami be sutikimo; stebėjimas tik gavus sutikimą, ir tik tada įkeliamas.
• Išorinis turinys (šriftai, vaizdo įrašai, žemėlapiai, captcha) siunčia duomenis kitiems; padarykite jį vietinį arba įkelkite tik po paspaudimo.
• Formose klauskite tik to, ko reikia, neišsaugokite pateiktų duomenų amžinai, naujienlaiškio langelis atskirai ir iš anksto nepažymėtas.
• Privatumo politika pagal BDAR 13 straipsnį, randama kiekviename puslapyje; duomenų tvarkymo sutartys su Jūsų talpinimo paslaugų teikėju ir paslaugomis.

Testas (quiz)

Užduotis

Užduotis A9.3: Ką Jūsų svetainė siunčia kitiems? Įveskite savo svetainės adresą. Programa įkels pradinį puslapį taip, kaip jį matytų naujas lankytojas be slapukų ir be sutikimo, ir pateiks apžvalgą: kokius slapukus serveris nustato iš karto (tik pavadinimus), ir iš kokių kitų domenų puslapis įkelia scenarijus, šriftus, iframes ar vaizdus. Žinomos statistikos, reklamos, socialinių tinklų, šriftų ir vaizdo įrašų paslaugos nurodomos vardu (oranžinė spalva: „patikrinkite, ar tai įkeliama tik gavus sutikimą, arba pakeiskite“). Be to, patikrinama, ar pradiniame puslapyje yra nuoroda į privatumo politiką.

Užduotis D9.3: Jūsų duomenų tvarkymo sąrašas ir privatumo politika. Sudarykite visų savo svetainės duomenų tvarkymo atvejų sąrašą (formos, paskyros, užsakymai, komentarai, statistika, naujienlaiškis, žurnalai, atsarginės kopijos), kiekvienam atvejui nurodydami: kokie duomenys, kokiu tikslu, teisinis pagrindas, kur saugomi, kiek laiko ir kuris duomenų tvarkytojas. Palyginkite šį sąrašą su savo privatumo politika ir pažymėkite, kas joje jau yra. Užrašykite, ką pridedate ar pašalinate, ir kurias išorines paslaugas iš A9.3 užduoties pakeičiate arba paslepiate už sutikimo.

Papildoma literatūra

Šie straipsniai yra apie patį WebOké; paaiškinimų, aktualių Jūsų pačių svetainei, ieškokite Valstybinės duomenų apsaugos inspekcijos (VDAI) arba Nyderlandų duomenų apsaugos institucijos puslapiuose.

• Slapukai WebOké svetainėje: kaip peržiūrėti ar pakeisti pasirinkimą
• Slapukai (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Slapukai ir Jūsų organizacija: pasirūpinkite gera politika (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Aiškios slapukų juostos (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Teisė į informaciją (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Duomenų saugumo pažeidimai (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privatumas WordPress sistemoje (wordpress.org, anglų k.): https://wordpress.org/documentation/article/settings-privacy-screen/