Това не е правен съвет. Ние правим сайтове, не правни становища. Статията обяснява с прости думи какво изискват правилата от един типичен сайт на малък бизнес и как изглежда това на практика, за да проведете по-кратък и по-евтин разговор с юриста си. Текстовете на сайта ви трябва да бъдат одобрени от юрист, който познава бизнеса ви.
Добрата новина: за типичен сайт на кабинет, салон, кантора или къща за гости минимумът е кратък. Трябва да кажете на посетителите какво правите с данните им, да събирате само необходимото и да питате, преди да ги проследявате. Повечето проблеми, които виждаме при малките сайтове, идват от инструменти, добавени без мисъл, а не от самия бизнес.
#Два набора правила
Важат две различни правила и често се бъркат:
- GDPR (Регламент (ЕС) 2016/679, на български ОРЗД) урежда личните данни: имена, телефони, имейли, IP адреси, данни за резервации. Важи за всичко, което сайтът ви събира, със или без бисквитки.
- Правилото за бисквитките идва от член 5, параграф 3 от Директивата за правото на неприкосновеност на личния живот в електронните комуникации (2002/58/ЕО), а в България от чл. 4а от Закона за електронните съобщения. То урежда съхраняването или четенето на каквото и да е в устройството на посетителя: бисквитки, локално хранилище и подобни технологии. Важи дори когато не става дума за лични данни.
В България надзорният орган за личните данни е Комисията за защита на личните данни (КЗЛД).
#Политиката за поверителност
Когато събирате лични данни, член 13 от GDPR изисква в този момент да кажете на хората поне: кои сте и как да се свържат с вас, защо обработвате данните и на какво правно основание, кой ги получава, колко дълго ги пазите и какви права имат, включително правото да подадат жалба до надзорния орган. Политика за поверителност с връзка от футъра и от всяка форма покрива това.
Пишете я за вашия сайт, а не за някакъв общ. Политика, която изброява бюлетини, онлайн плащания и профилиране, на сайт само с форма за контакт, не е по-изрядна, а просто по-малко вярна.
#Формата за контакт
- Питайте само необходимото. Име, начин да отговорите и съобщението обикновено стигат. Всяко допълнително поле са данни, които трябва да пазите и да обосновете.
- Посочете правното основание. Отговорът на запитване, което някой ви е изпратил, обикновено се основава на самото искане или на законния ви интерес, а не на съгласие, така че може изобщо да не изисква отметка за съгласие. Кое основание да посочи политиката ви, решава юристът.
- Дръжте бюлетина отделно. Абонаментът за маркетингови съобщения изисква собствено съгласие със собствена, неотбелязана отметка.
- Решете колко дълго пазите съобщенията и ги изтривайте след това.
Данните за здравето са специална категория по GDPR. Формата за записване на един кабинет не трябва да пита за симптоми или диагнози, освен ако това наистина е нужно, а ако е, първо попитайте юриста си.
#Бисквитки: кои изискват съгласие
Бисквитките, които са строго необходими за нещо, поискано от посетителя, не изискват съгласие: количката, сесията при вход, избраният език, самият запис на избора му за бисквитките. Почти всичко останало изисква, ако се зарежда, преди посетителят да се съгласи:
- статистика, например Google Analytics;
- рекламни и ремаркетинг пиксели, например пикселът на Meta (Facebook);
- вградено съдържание от други услуги, като видеа, карти и уиджети на социални мрежи, които често слагат бисквитки или се свързват с чужди сървъри още при зареждането на страницата.
#Как изглежда валидното съгласие
- Преди, а не след. Нищо, което изисква съгласие, не се зарежда, докато посетителят не се съгласи.
- Без предварително отметнати полета. Съдът на ЕС постанови в делото Planet49 (C-673/17, 1 октомври 2019 г.), че предварително отметнато поле не е валидно съгласие.
- Истински избор. Отказът трябва да е толкова лесен, колкото приемането, без търсене из настройки.
- Лесно оттегляне. GDPR изисква оттеглянето на съгласието да е толкова лесно, колкото даването му, затова дръжте във футъра връзка като „Настройки на бисквитките“.
#Най-лекият вариант: по-малко инструменти
Най-простият банер за бисквитки е този, който не ви трябва. Сайтът на малък бизнес често ползва Google Analytics само по навик, вгражда карта там, където стига връзка, и зарежда уиджет на социална мрежа, който никой не натиска. Махнете това, което не ползвате, заменете вградените видеа и карти с преглед, който се зарежда при натискане, и въпросът с бисквитките става много по-малък. По-малко външни скриптове правят сайта и по-бърз на телефон, както показва нашият списък за бавен сайт.
#Кратък списък
- Избройте всяка форма и всеки външен инструмент на сайта.
- Махнете това, което не ви трябва.
- Напишете политиката за поверителност за това, което остава, и я свържете от футъра и от всяка форма.
- Зареждайте всичко, което изисква съгласие, само след съгласие, като отказът е толкова лесен, колкото приемането.
- Дайте текстовете на юрист за одобрение и ги преглеждайте, когато добавите инструмент.
#Как го правим ние
Всеки фирмен сайт, който правим, от 590 €, включва шаблони за поверителност и бисквитки за одобрение от вашия юрист и форма за контакт със защита от спам, която пита само необходимото. Нашият пакет за онлайн магазин добавя съгласията при поръчка и по GDPR, които са нужни на един магазин. Ако искате да знаете какво зарежда сегашният ви сайт преди съгласие, безплатната проверка на сайта е добро начало. А когато сравнявате студиа, попитайте кой пише тези текстове: това е един от 10-те въпроса, които си струва да зададете.
#Често задавани въпроси
Правен съвет ли е тази статия?
Не. Тя обяснява правилата в общи линии. Текстовете на сайта ви трябва да бъдат одобрени от юрист, който познава бизнеса ви.
Трябва ли ми банер за бисквитки, ако не ползвам статистика?
Ако сайтът ви слага само строго необходими бисквитки и не вгражда нищо от други услуги, може да нямате нужда от банер за съгласие, но пак трябва да обясните бисквитките, които ползвате. Проверете какво наистина зарежда сайтът: вградените карти и видеа лесно се забравят.
Трябва ли ми длъжностно лице по защита на данните?
На повечето малки фирми не им трябва. Член 37 от GDPR го изисква главно за публичните органи и за организациите, чиято основна дейност е мащабно наблюдение или мащабна обработка на специални категории данни, като данни за здравето. Медицински кабинет трябва да попита юриста си.
Мога ли просто да копирам политика за поверителност от друг сайт?
Тя ще описва чужда обработка, не вашата. Ползвайте шаблон като структура, попълнете го с това, което сайтът ви наистина прави, и го дайте за одобрение.
Коментари
Коментари
Напишете първия коментар.
Оставете коментар