GDPR за собственици на сайтове: задълженията, които засягат всеки сайт

Общият регламент относно защитата на данните (GDPR, на български ОРЗД) се прилага от 25 май 2018 г. Той засяга и малкия сайт с формуляр за контакт, не само големите онлайн магазини. Тук събираме задълженията, които най-често засягат собственика на сайт, с номерата на членовете, за да можете да проверите текста сами. Надзорният орган в България е Комисията за защита на личните данни (КЗЛД), а националните правила са в Закона за защита на личните данни.

Кои данни на сайта са лични

Лични са всички данни, по които може да се установи конкретен човек. На един обикновен сайт това са:

• имената, имейлите и съобщенията от формуляра за контакт;
• коментарите и профилите на потребителите;
• абонатите за бюлетин;
• поръчките и адресите за доставка в онлайн магазин;
• данните, които събират статистиката и рекламите.

Съображение 30 от регламента изрично посочва, че хората могат да бъдат свързани с онлайн идентификатори като IP адреси и бисквитки. Затова и регистрите на сървъра, и статистиката на посещенията могат да съдържат лични данни.

На какво основание

Член 6 изброява шест основания. Обработването е законно само ако е налице поне едно от тях. За сайтовете най-чести са:

Съгласието трябва да е доброволно и да може да се оттегли толкова лесно, колкото е дадено. Как се отнася това към банера за бисквитки, обясняваме в статията за бисквитките и съгласието.

Какво да пише в политиката за поверителност

Член 13 изисква при събиране на данните да дадете на човека информация. Най-важното от списъка:

• кой е администраторът на данните и как да се свържат с него;
• координатите на длъжностното лице по защита на данните, ако има такова;
• целите и правното основание за всяко обработване;
• законния интерес, когато основанието е такъв;
• получателите на данните, например хостинг, услуга за бюлетини, статистика;
• дали данните се предават извън ЕС и на какво основание;
• колко дълго се пазят;
• правата на човека, включително да подаде жалба до надзорния орган (член 77).

Политиката трябва да описва това, което сайтът наистина прави. Ако добавите нова услуга за статистика или чат, обновете текста. Като пример за структура можете да видите нашата политика за поверителност.

Хостингът и другите услуги

Когато хостинг доставчикът, услугата за бюлетини или облачното хранилище обработват данни от ваше име, те са „обработващи лични данни“. Член 28 изисква да използвате само обработващи, които дават достатъчни гаранции, и отношенията ви да са уредени с договор или друг правен акт. При повечето доставчици това е стандартно споразумение за обработване на данни, което приемате с условията. Проверете, че го има.

Сигурност и регистър на дейностите

Член 32 изисква технически и организационни мерки, съобразени с риска: при нужда криптиране, способност за възстановяване на данните след инцидент и редовна проверка на мерките. За сайта това значи обновена система, HTTPS, силни пароли и работещи резервни копия. Вижте статиите за сигурността на WordPress и за резервните копия.

Задължението да се води регистър на дейностите по обработване (член 30) не важи за предприятия с по-малко от 250 служители. Изключението отпада, ако обработването може да породи риск за правата на хората, ако не е спорадично или ако включва специални категории данни. Обработването на данните от формуляр, който работи постоянно, трудно може да се нарече спорадично, затова краткият регистър е добра идея и за малкия сайт.

Длъжностно лице по защита на данните

Член 37 изисква длъжностно лице в три случая: обработването се извършва от публичен орган; основната дейност включва редовно и систематично наблюдение на хора в голям мащаб; или основната дейност е мащабно обработване на специални категории данни или данни за присъди. Обикновеният фирмен сайт или блог обикновено не попада в тях.

При пробив: 72 часа

Ако сайтът бъде пробит и личните данни изтекат, бъдат изтрити или станат достъпни за неупълномощени лица, член 33 изисква да уведомите надзорния орган без ненужно забавяне и когато е осъществимо до 72 часа, след като сте разбрали за нарушението. Изключение има само ако няма вероятност нарушението да доведе до риск за правата на хората. КЗЛД публикува формуляр за уведомлението и начините за подаването му на страницата си за уведомления по член 33.

Глоби

Нарушенията на основните принципи, на условията за съгласие и на правата на хората могат да доведат до глоба до 20 милиона евро или, за предприятие, до 4% от общия годишен световен оборот за предходната година, която от двете суми е по-висока (член 83). По-важното за малкия сайт е, че всеки посетител може да подаде жалба до КЗЛД.

Откъде да започнете

КЗЛД предлага безплатен инструмент за самооценка за малки и средни предприятия на български и английски. Той минава през въпроси за обхвата на регламента, видовете данни, основанията и правата на хората и насочва към конкретните задължения.