GDPR: súbory cookies, formuláre a zásady ochrany osobných údajov

Modul 9: E-mail, vyhľadateľnosť, GDPR, údržba a presťahovanie · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete uviesť do poriadku základy GDPR na WordPress stránke: budete vedieť, aké osobné údaje spracúvate, ako správne nastaviť cookies a externý obsah, ako poriadne nastaviť formuláre a ako vytvoriť zásady ochrany osobných údajov.

Kľúčové pojmy: osobné údaje, spracúvanie, právny základ, informačná povinnosť, zásady ochrany osobných údajov, pravidlo o cookies (smernica ePrivacy), súhlas, funkčné a analytické cookies, sledovacie (trackingové) cookies, cookie lišta, externý obsah, formuláre, lehota uchovávania, sprostredkovateľ, zmluva o spracúvaní osobných údajov, únik údajov

Táto lekcia je všeobecné vysvetlenie, nie právne poradenstvo. Pre vašu konkrétnu situáciu si prečítajte informácie od úradu na ochranu osobných údajov vo vašej krajine alebo sa obráťte na odborníka.

Čo má GDPR spoločné s vašou webovou stránkou

GDPR (Všeobecné nariadenie o ochrane osobných údajov) sa týka osobných údajov: všetkého, čím možno niekoho priamo alebo nepriamo identifikovať. Na webovej stránke je toho viac, než si myslíte: meno a e-mailová adresa z formulára, objednávka, účet, ale aj IP adresa a cookie s jedinečným číslom.

Takmer každá WordPress stránka teda spracúva osobné údaje: vo formulároch, komentároch, účtoch, objednávkach, logoch servera, zálohách, maillogoch (lekcia 9.1) a v tom, čo vaša stránka posiela iným stranám. Okrem iného platia tieto pravidlá:

• Pre každé spracúvanie potrebujete právny základ (článok 6 GDPR), napríklad: nevyhnutné na plnenie zmluvy (objednávka), súhlas (newsletter) alebo oprávnený záujem.
• Spracúvate len to, čo je potrebné, a neuchovávate dlhšie, než je potrebné.
• Informujete ľudí o tom, čo robíte (článok 13 GDPR): to robíte vo svojich zásadách ochrany osobných údajov.
• Zabezpečujete údaje primeraným spôsobom (https, aktualizácie, zálohy: zvyšok tohto kurzu).
• Ak necháte spracúvať údaje inú stranu (vášho hostera, e-mailovú službu, plugin s cloudovou službou), ide o sprostredkovateľa a uzatvárate zmluvu o spracúvaní osobných údajov (článok 28 GDPR). Hostingové a veľké služby ju majú zvyčajne pripravenú štandardne.
• Ak sa niečo pokazí (hack, uniknutá záloha), ide o únik údajov, ktorý niekedy musíte nahlásiť (lekcia 7.5).

Cookies: smernica ePrivacy

Pre cookies (a podobné techniky ako local storage a sledovacie pixely) navyše platí pravidlo o cookies z európskej smernice ePrivacy (na Slovensku: zákon č. 452/2021 Z. z. o elektronických komunikáciách; v Holandsku: článok 11.7a Telecommunicatiewet). V skratke, ako to vysvetľuje holandský úrad na ochranu osobných údajov (Autoriteit Persoonsgegevens):

• Funkčné cookies, ktoré sú potrebné na fungovanie stránky (prihlasovacia cookie, nákupný košík, zapamätanie si samotnej voľby ohľadom cookies): možno použiť bez súhlasu. Musíte o nich však informovať.
• Analytické cookies s žiadnym alebo malým vplyvom na súkromie: môžu sa použiť bez súhlasu, ak spĺňajú podmienky. Myslite napríklad na štatistiky, ktoré si vediete sami, alebo ktoré sú nastavené spôsobom šetrným k súkromiu (žiadne zdieľanie údajov, skrátené IP adresy, žiadne sledovanie naprieč inými stránkami).
• Sledovacie (trackingové) cookies a všetko, čo sleduje návštevníkov alebo vytvára profily (reklamy, sociálne siete, väčšina vložených služieb veľkých platforiem): len po súhlase, a teda sa smú načítať až potom, čo návštevník povedal „áno“.

Cookie lišta žiada o tento súhlas. Holandský úrad na ochranu osobných údajov okrem iného uvádza: vysvetlite, aké cookies používate a na čo, odmietnutie musí byť rovnako jednoduché ako prijatie a žiadne vopred zaškrtnuté políčka. Lišta, ktorá ponúka len „OK“, alebo ktorá už načíta sledovací kód ešte pred výberom, nevyhovuje. Pre WordPress existuje mnoho pluginov na cookies; vyberte si taký, ktorý skutočne zablokuje skripty, kým nie je udelený súhlas, a overte si to (úloha tejto lekcie vám s tým pomôže).

Externý obsah: čo vaša stránka posiela iným

Aj bez cookies posiela vaša stránka údaje iným stranám, hneď ako stránka načíta niečo od nich. Prehliadač vášho návštevníka si to vtedy vyžiada od tejto strany, ktorá vidí prinajmenšom IP adresu. Príklady:

V Nemecku súd (LG München I, január 2022) rozhodol, že načítanie typov písma z externej služby bez súhlasu je v rozpore s GDPR, pretože sa tým odovzdáva IP adresa návštevníka. Nejde o holandské rozhodnutie, ale ukazuje, o čo tu ide: pri každom externom zdroji musíte vedieť vysvetliť, prečo ho používate.

Formuláre

Formulár je spracúvanie údajov. Dávajte pozor na toto:

• Pýtajte sa len na to, čo potrebujete. Na žiadosť o spätné zavolanie potrebujete meno a telefónne číslo, nie adresu a dátum narodenia.
• Cez https (lekcia 3.1), inak putujú údaje internetom nešifrované.
• Kde zostávajú údaje? Mnohé pluginy na formuláre ukladajú každé odoslanie aj do databázy, popri e-maile. Po rokoch tam tak zostanú tisíce odoslaní. Nastavte lehotu uchovávania alebo ukladanie vypnite, ak e-mail stačí. Aj maillog vášho SMTP pluginu (lekcia 9.1) ich obsahuje.
• Súhlas s odberom newslettra je samostatné, vopred nezaškrtnuté políčko. Kontaktný formulár nie je prihlásenie na odber newslettra.
• Ochrana proti spamu: pozrite tabuľku vyššie.

Zásady ochrany osobných údajov

WordPress pri inštalácii vytvorí návrh stránky Zásady ochrany osobných údajov a v sekcii Nastavenia > Súkromie ponúka pomôcku s ukážkovými textami; pluginy, ktoré spracúvajú údaje, tam môžu dopĺňať vlastný text. Toto je len začiatok, nie hotový výsledok. Zásady ochrany osobných údajov podľa článku 13 GDPR okrem iného opisujú:

• kto ste a ako vás môžu ľudia kontaktovať;
• aké osobné údaje spracúvate, na aký účel a na akom právnom základe;
• s kým ich zdieľate (sprostredkovatelia, iné strany) a či idú mimo EÚ;
• ako dlho ich uchovávate;
• aké práva ľudia majú (prístup, oprava, vymazanie, námietka) a že môžu podať sťažnosť na úrade na ochranu osobných údajov;
• aké cookies a externé služby vaša stránka používa.

Umiestnite odkaz na zásady ochrany osobných údajov do pätičky (lekcia 4.3), aby bol dostupný na každej stránke, a pri každom formulári.

WordPress má v sekcii Nástroje aj funkcie na export osobných údajov a vymazanie na žiadosť používateľa. Hodí sa to pri žiadosti o prístup alebo vymazanie, nájdu sa tým však len údaje z WordPressu a z pluginov, ktoré sa na tieto funkcie napájajú.

Jednoduchý plán krokov

1. Vytvorte zoznam všetkých spracúvaní na vašej stránke: formuláre, účty, objednávky, komentáre, štatistiky, newsletter, logy, zálohy.
2. Pozrite sa, čo vaša stránka pri načítaní posiela iným stranám (úloha tejto lekcie).
3. Odstráňte, čo nie je potrebné; nahraďte, čo sa dá urobiť spôsobom šetrnejším k súkromiu.
4. Zabezpečte súhlas pre to, čo zostáva a skutočne vyžaduje súhlas, pomocou lišty, ktorá blokuje skripty.
5. Uzatvorte zmluvy o spracúvaní osobných údajov a napíšte (alebo prepíšte) svoje zásady ochrany osobných údajov.
6. Prehodnoťte to každý rok znova (lekcia 9.4) a po každom novom pluginu, ktorý spracúva údaje.

Zhrnutie

• Takmer každá WordPress stránka spracúva osobné údaje: formuláre, účty, IP adresy, logy, zálohy.
• Funkčné a obmedzené analytické cookies možno použiť bez súhlasu; sledovanie až po súhlase, a až vtedy sa smie načítať.
• Externý obsah (typy písma, videá, mapy, captcha) posiela údaje iným; riešte to lokálne alebo načítajte až po kliknutí.
• Vo formulároch sa pýtajte len na to, čo je potrebné, neuchovávajte odoslania donekonečna, políčko pre newsletter oddelene a vopred nezaškrtnuté.
• Zásady ochrany osobných údajov podľa článku 13 GDPR, dostupné na každej stránke; zmluvy o spracúvaní osobných údajov s vaším hosterom a službami.

Kvíz

Úloha

Úloha A9.3: Čo vaša stránka posiela ostatným? Zadajte adresu svojej stránky. Program načíta domovskú stránku tak, ako ju vidí nový návštevník bez cookies a bez súhlasu, a zobrazí prehľad: ktoré cookies server umiestni hneď (len názvy) a z ktorých ďalších domén stránka načítava skripty, typy písma, iframy alebo obrázky. Známe služby pre štatistiky, reklamu, sociálne siete, typy písma a video sa nahlásia menovite (oranžovo: „skontrolujte, či sa toto načíta až po súhlase, alebo to nahraďte“). Okrem toho sa skontroluje, či sa na domovskej stránke nachádza odkaz na zásady ochrany osobných údajov.

Úloha D9.3: Váš zoznam spracúvaní a zásady ochrany osobných údajov. Vytvorte zoznam všetkých spracúvaní na vašej stránke (formuláre, účty, objednávky, komentáre, štatistiky, newsletter, logy, zálohy) s údajmi pre každé spracúvanie: aké údaje, na čo, právny základ, kde sú uložené, ako dlho a ktorý sprostredkovateľ. Porovnajte tento zoznam so svojimi zásadami ochrany osobných údajov a zaškrtnite, čo je v nich uvedené. Zapíšte si, čo doplníte alebo odstránite, a ktoré externé služby z úlohy A9.3 nahradíte alebo zaviažete súhlasom.

Ďalšie čítanie

Tieto články sa týkajú samotného WebOké; vysvetlenie pre vašu vlastnú stránku nájdete u úradu na ochranu osobných údajov vo vašej krajine.

• Súbory cookie na WebOké: ako zobraziť alebo zmeniť váš výber
• Cookies (holandský úrad na ochranu osobných údajov, Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies a vaša organizácia: zabezpečte si dobrú politiku (holandský úrad na ochranu osobných údajov): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Prehľadné cookie lišty (holandský úrad na ochranu osobných údajov): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Právo na informácie (holandský úrad na ochranu osobných údajov): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Úniky údajov (holandský úrad na ochranu osobných údajov): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Súkromie vo WordPresse (wordpress.org, anglicky): https://wordpress.org/documentation/article/settings-privacy-screen/