GDPR за сайт не се изчерпва с политика за поверителност и банер за бисквитки. Нужно е описаното в документите да съответства на това, което сайтът действително прави: какви данни събира, към кои системи ги изпраща, кой има достъп и кога се активират незадължителните технологии.
Техническата проверка може да покаже реалното поведение на формите, бисквитките, външните услуги, профилите и поръчките. Тя не може сама да определи правилното правно основание, срока за съхранение или текста на политиката за конкретния бизнес. Тези решения се вземат от администратора с подходящ правен съвет, а разработчикът ги реализира и тества.
Този материал помага на собственици, управители и маркетинг ръководители да подготвят проверимо задание за сайт или онлайн магазин. Той не е правна консултация и не удостоверява съответствие с GDPR.
Бизнесът определя защо са нужни данните и как ще се използват. Правният специалист оценява основанията, информацията към хората, сроковете, договорите и конкретните рискове. Разработчикът настройва сайта според одобрените изисквания и проверява дали те работят на практика.
| Задача | Кой взема решението | Какво може да се провери технически |
|---|---|---|
| Цел и правно основание | Администраторът с правен съвет | Къде и кога се събират данните |
| Политика за поверителност и текстове | Администраторът и правният специалист | Дали текстовете са достъпни на правилните места |
| Срок за съхранение | Администраторът с правен съвет | Дали системата позволява изтриване или ограничаване според зададения срок |
| Бисквитки и незадължителни технологии | Администраторът определя целите, правният специалист оценява изискванията | Дали кодът се блокира, активира и спира според избора |
| Достъпи и защита | Администраторът одобрява ролите и риска | Профили, права, журнал, архиви и защитни настройки |
| Външни доставчици | Администраторът и правният специалист определят ролите и условията | Към кои домейни и системи се изпращат данни |
Разработчикът не трябва да попълва липсващи правни решения по предположение. Правният текст също не е достатъчен, ако техническата конфигурация изпраща други данни или активира услуга по различен начин.
Първата полезна стъпка е списък на всички места, в които сайтът получава, записва или изпраща информация. Лични данни могат да бъдат не само име, телефон и имейл, а и онлайн идентификатор, IP адрес, клиентски номер, адрес за доставка или история на поръчки, когато информацията позволява човек да бъде разпознат пряко или косвено.
Картата може да започне с кратка таблица:
| Процес | Какви данни участват | Къде отиват | Какво решение липсва | Какво се тества |
|---|---|---|---|---|
| Контактна форма | Контакти и съдържание на запитването | Имейл, WordPress, система за клиенти | Цел, основание и срок | Полета, получатели и запазени копия |
| Бюлетин | Имейл и запис на избора | Платформа за имейл маркетинг | Условия за записване и отписване | Отделен избор, потвърждение и отписване |
| Аналитика и реклама | Онлайн идентификатори и действия | Аналитична или рекламна платформа | Необходимост, основание и срок | Заявки преди избор, при отказ и след оттегляне |
| Поръчка | Контакти, адрес, продукти и плащане | Магазин, куриер, платежен оператор, счетоводство | Получатели, срокове и роли | Полета, предаване, профили и архиви |
| Външно съдържание | IP адрес, устройство и посетена страница | Доставчик на карта, видео, чат или социален елемент | Нужно ли е автоматично зареждане | Външни заявки преди действие или избор |
GDPR в EUR-Lex изисква данните да са подходящи, свързани с целта и ограничени до необходимото. На практика това означава всяко поле, получател и запазено копие да има конкретна причина.
Картата на данните не доказва съответствие. Тя показва какво трябва да бъде оценено от бизнеса и правния специалист и какво трябва да бъде реализирано или поправено технически.
Не всяко обработване се основава на съгласие. Член 6 от GDPR предвижда няколко възможни основания, сред които съгласие, изпълнение на договор, законово задължение и легитимен интерес. Кое основание е приложимо зависи от конкретната цел и обстоятелствата.
Данните, необходими за изпълнение на поръчка, например не трябва автоматично да се представят като незадължителен маркетингов избор. Обратно, покупката или изпращането на запитване не бива да се обвързва с приемане на персонализирана реклама или бюлетин, когато това не е необходимо за заявената услуга.
За всеки процес изяснете с правен специалист:
Политиката за поверителност трябва да описва реалните процеси. Ако в нея липсва използвана услуга или е записан инструмент, който вече не съществува, документът и сайтът си противоречат.
Проверката не трябва да се ограничава до файлове, наречени "cookies". Локално хранилище, пиксели, вградено съдържание и други технологии също могат да записват или четат информация от устройството и да изпращат данни към външни системи.
Официалната информация на Your Europe за бисквитките посочва две основни изключения от предварителното съгласие: технологии, използвани единствено за пренос на комуникация, и строго необходими технологии за онлайн услуга, която човекът изрично е поискал. Като примери са дадени количка и удостоверяване при вход.
Името на категорията в банера не решава въпроса. Технология, означена като "необходима", трябва действително да изпълнява приложимото изключение. Аналитични и рекламни инструменти не стават необходими само защото са полезни за бизнеса.
За технологии, които изискват съгласие, проверете дали:
Насоките на EDPB за съгласието обясняват изискванията за свободен, конкретен, информиран и недвусмислен избор. Докладът на EDPB за банерите за бисквитки разглежда липсващ отказ, предварително маркирани полета, подвеждащ дизайн и затруднено оттегляне.
Банерът е само интерфейсът. Техническата проверка трябва да наблюдава реалните мрежови заявки при ново посещение, приемане, отказ и оттегляне.
Всяко поле във форма трябва да има ясна функция. Ако телефонът не е нужен за отговор, той може да бъде незадължителен. Общото поле "Съгласен съм с политиката" не определя автоматично правното основание. Политиката информира, а основанието се оценява отделно за съответната цел.
При онлайн магазин проследете целия процес, а не само страницата за поръчка:
Отделете данните, нужни за покупката и доставката, от незадължителния маркетинг. Проверете и къде остават копия: в магазина, имейла, платежната система, куриерския модул, архивите и журналите.
Изтриването на клиентски профил не означава непременно изтриване на всеки свързан запис. Част от информацията може да трябва да остане заради приложимо задължение или правен иск. Точната логика се определя правно, след което системата се настройва да я изпълнява без безконтролно заличаване.
Хостингът, имейл услугата, платежният оператор, куриерът, чатът и рекламната платформа участват в различни процеси. За всеки доставчик трябва да е ясно какви данни получава, за каква цел, къде се обработват, има ли подизпълнители и какво става при прекратяване на услугата.
Правният специалист оценява ролите, договорите и международните предавания. Техническата проверка установява:
Сигурността се определя според риска. Практичната техническа основа включва актуален софтуер, индивидуални профили, силна защита на критичните достъпи, ограничени права, защитени архиви и план за реакция при инцидент. Това не е пълна оценка на киберсигурността и не замества специализирана проверка, когато рискът го изисква.
Използвайте този списък при нов сайт, нов магазин, смяна на форма, добавяне на аналитична или рекламна услуга, нов платежен метод или друга съществена промяна.
Когато липсва решение за цел, основание, срок, получател или доставчик, техническата работа трябва да спре на тази точка. Разработчикът не трябва да измисля правното изискване, а бизнесът не трябва да приема, че инсталирано разширение доказва съответствие.
Техническа проверка е нужна, когато трябва да установите как сайтът се държи в действителност: какви заявки изпраща, как работят формите, как се управлява изборът, къде се пазят записи и кой има достъп.
Правен съвет е нужен, когато трябва да се определят цели, основания, срокове, роли на доставчиците, международни предавания, текстове или отговорът при конкретно искане и инцидент. При спорен или високорисков процес техническата работа трябва да следва писмено одобрено правно изискване.
При изработка на фирмен сайт SeoWebDesign може да реализира и тества одобрени технически изисквания за форми, бисквитки, външни услуги, достъпи и свързани системи. Правната оценка и текстовете за конкретния бизнес трябва да бъдат предоставени или проверени от подходящ правен специалист.
