Kdo buduje nový web nebo e-shop, myslí nejdřív na design, způsoby platby a inventář. Aspekt GDPR přijde často později, nebo vůbec. Co se pak konkrétně stane: nemůžete poskytnout úplnou odpověď, když vás návštěvník ptá, která data o něm máte, chybí vám smlouvy s poskytovateli hostingu a analytiky, a cookies jsou možná umisťovány dřív, než vám návštěvník dal souhlas. Nejde o abstraktní rizika, ale o situace, které se v praxi vyskytují poměrně brzy.
Nejde tu o jednu pokutu nebo jeden moment kontroly. Jde o řadu volných míst, kde nařízení něco požaduje, a která se stanou viditelná teprve, až se na ně někdo zeptá: zákazník, obchodní partner, nebo návštěvník sám.
Prohlášení o ochraně osobních údajů je viditelná část
Chybějící nebo neúplné prohlášení o ochraně osobních údajů je obvykle to první, co upoutá pozornost, a to i samotných návštěvníků. Ale prohlášení je jen vnější obal. Za zákulisím nařízení vyžaduje mimo jiné, abyste věděli, kteří partneři vaším jménem zpracovávají data, a abyste o tom uzavřeli smlouvy. Bez těchto smluv nemáte přehled o tom, co konkrétně dělá poskytovatel hostingu, emailový nástroj nebo platební služba s daty vašich návštěvníků.
Cookies a nástroje pro sledování bez souhlasu
Web nebo e-shop často používá analýzy, reklamní pixely nebo chatovací widgety, které již při načtení stránky shromažďují data. Pokud se to stane dřív, než si návštěvník vybere, pak se to předbíhá souhlasu, který nařízení pro to vyžaduje. Toto je jeden z bodů, na které dohledové orgány explicitně pohlížejí ve všeobecných pokynech, aniž by tím byla vyslovena nějaká stanoviska ohledně individuální situace.
Žádná smlouva se zpracovatelem, žádný přehled
Každý nástroj, který zpracovává data vašich návštěvníků nebo zákazníků — systém pro sledování balíků, nástroj pro newsletter, recenzní platforma — je v praxi zpracovatel. Nařízení vyžaduje, abyste s ním měli smlouvu se zpracovatelem. Pokud chybí, pak vám chybí nejen dokument, ale také přehled o tom, kdo která data kde uchovává. Přesně ten přehled je to, co záznam o činnosti zpracování dělá viditelným, a je to také to, po čem se vás může zeptat zákazník nebo zadavatel. Chcete-li vidět, jak taková smlouva v praxi vypadá, můžete procházet znalostní banku podle tématu.
Když pak přece jen něco selže
E-shop zpracovává obvykle více dat než průměrný web: jméno, adresu, údaje o platbě, někdy narození. Pokud s jedním z partnerů, který tato data zpracovává, něco selže, pak se povinnost hlášení při porušení údajů zohledňuje spolu s příslušnou lhůtou. Bez přehledu o tom, které nástroje která data zpracovávají, je těžké rychle určit, zda a jak na to reagovat. Prvotní indikaci situace dostanete položením pár krátkých otázek o situaci.
Otázky od návštěvníků, na které nedokážete odpovědět
Každý návštěvník a zákazník má právo ptát se, která data o něm máte, nebo požádat o smazání. Bez záznamu činnosti zpracování a bez jasnosti o tom, které nástroje data uchovávají, je takový požadavek obtížné zcela zodpovědět během lhůty, kterou nařízení pro to stanovuje. To neovlivňuje jen vztah s tímto jedním návštěvníkem, ale také image, kterou si obchodní partner nebo pojišťovna o vaší společnosti udělá, když se na to zeptá.
Kde to obvykle tlačí
V praxi se jedná zřídka o jeden velký nedostatek. Jde o hromadění: chybějící smlouva zde, soubor cookie umístěný příliš brzy tam, žádný přehled o tom, kde přesně se data nacházejí. Každá součást se zdá být na svém vlastní malá, ale dohromady činí obtížné poskytnutí úplné odpovědi na otázku — návštěvníka, zákazníka nebo orgánu dohledu. Jak se základní zabezpečení dat do toho zasazuje, si můžete přečíst na stránce o ochraně dat.
Tento text je obecný popis a nepředstavuje právní poradenství týkající se vaší konkrétní webové stránky nebo webového obchodu. Pro posouzení vaší konkrétní situace se můžete obrátit na právníka nebo na Úřad na ochranu osobních údajů.
Chcete nejdříve zjistit, kde se vaše webová stránka nebo webový obchod v tuto chvíli nachází? Bezplatné rychlé skenování poskytne během několika minut indicii, aniž byste museli vytvářet účet.