Η σύντομη απάντηση
Ναι, το GDPR ισχύει για το νέο ιστότοπο ή ηλεκτρονικό κατάστημά σας από τη στιγμή που δεδομένα προσώπων διέρχονται από αυτό. Αυτό συμβαίνει συχνότερα από ό,τι νομίζουν πολλοί επιχειρηματίες: μια φόρμα επικοινωνίας, μια παραγγελία με όνομα και διεύθυνση, ένα πλαίσιο cookie για ανάλυση δεδομένων ή ένα παράθυρο συνομιλίας που ζητά μια διεύθυνση ηλεκτρονικού ταχυδρομείου — είναι όλα επεξεργασίες δεδομένων προσώπων. Το μέγεθος της επιχείρησής σας ή ο αριθμός των επισκεπτών δεν παίζει κανένα ρόλο.
Αυτό που διαφέρει είναι το εύρος των απαιτήσεων που σας τίθενται. Ένας πληροφοριακός ιστότοπος που περιέχει μόνο μια διεύθυνση και ένα τηλέφωνο θέτει λίγες απαιτήσεις. Ένα ηλεκτρονικό κατάστημα με λογαριασμούς πελατών, δεδομένα πληرωμής, διευθύνσεις παράδοσης και ένα δελτίο ενημέρωσης θέτει περισσότερες απαιτήσεις: εκεί εμπλέκονται πολλά μέρη που επεξεργάζονται δεδομένα για λογαριασμό σας, και υπάρχουν συμφωνίες που πρέπει να υπάρχουν.
Πότε σας αφορά αυτό συγκεκριμένα
Το GDPR εμφανίζεται τη στιγμή που ο ιστότοπος ή το ηλεκτρονικό κατάστημά σας κάνει κάτι με δεδομένα που μπορούν να συνδεθούν με ένα άτομο. Σκεφθείτε μια φόρμα επικοινωνίας που αποθηκεύει το όνομα και τη διεύθυνση ηλεκτρονικού ταχυδρομείου, ένα εργαλείο ανάλυσης που παρακολουθεί τη συμπεριφορά των επισκεπτών, ένα εικονίδιο διαφήμισης από τρίτο μέρος, έναν λογαριασμό σύνδεσης για πελάτες ή μια διαδικασία παραγγελίας όπου καταγράφονται και προωθούνται δεδομένα διεύθυνσης και πληρωμής σε έναν φορέα πακέτων ή παροχέα πληρωμών.
Κάθε ένα από αυτά τα στοιχεία σημαίνει ότι υπάρχει ένα μέρος που επεξεργάζεται τα δεδομένα για λογαριασμό σας: ο πάροχος φιλοξενίας σας, η πλατφόρμα ηλεκτρονικού καταστήματός σας, ο πάροχος ανάλυσης δεδομένων σας, το εργαλείο μάρκετινγκ ηλεκτρονικού ταχυδρομείου σας. Για τα μέρη αυτά, στις περισσότερες περιπτώσεις, πρέπει να υπάρχει σύμβαση επεξεργασίας δεδομένων. Ο τρόπος αξιολόγησης της συμφωνίας και τα σημεία που πρέπει να προσέξετε, εξηγούνται σε τη βάση γνώσης με εξηγήσεις για κάθε κατάσταση.
Πότε σας αφορά λιγότερο
Ένας καθαρά πληροφοριακός ιστότοπος χωρίς φόρμες, χωρίς πρόσμιξη σε παρακολούθηση και χωρίς τρίτα μέρη που παρακολουθούν, επεξεργάζεται λίγα ή καθόλου δεδομένα προσώπων. Σε αυτή την περίπτωση, ο αντίκτυπος του GDPR είναι περιορισμένος. Αλλά στην πράξη, αυτό είναι σπάνιο: οι περισσότεροι ιστότοποι έχουν τουλάχιστον μια φόρμα επικοινωνίας ή ένα σενάριο ανάλυσης, και και τα δύο μετράνε ήδη ως επεξεργασία.
Δεν είναι λοιπόν θέμα 'με αφορά αυτό ή όχι', αλλά 'σε ποιο βαθμό'. Ένας απλός ιστότοπος φυλλαδίου απαιτεί μια σύντομη δήλωση απορρήτου και μια ματιά στα χρησιμοποιούμενα εργαλεία. Ένα ηλεκτρονικό κατάστημα με λογαριασμούς πελατών και πολλαπλούς προμηθευτές απαιτεί μια πιο ολοκληρωμένη εικόνα: ποιο εργαλείο επεξεργάζεται τι, ποιος είναι φορέας επεξεργασίας και πού αποθηκεύονται τα δεδομένα.
Τι σημαίνει αυτό στην πράξη
Όταν χτίζετε έναν νέο ιστότοπο ή ηλεκτρονικό κατάστημα, συνήθως ανακύπτουν τρία ερωτήματα ταυτόχρονα. Πρώτον: ποια εργαλεία και προμηθευτές θα επεξεργάζονται δεδομένα για λογαριασμό σας και έχετε με καθένα από αυτούς μια σύμβαση επεξεργασίας δεδομένων; Δεύτερον: υπάρχει μια δήλωση απορρήτου στο ιστότοπο που εξηγεί τι κάνετε και γιατί; Τρίτον: περιλαμβάνεται αυτή η νέα επεξεργασία στο μητρώο δραστηριοτήτων επεξεργασίας σας, ώστε να μπορείτε να δείξετε οποιαδήποτε στιγμή τι συμβαίνει;
Αυτά τα τρία ερωτήματα δεν θα πρέπει να απαντηθούν χωριστά το ένα από το άλλο. Μια πλατφόρμα ηλεκτρονικού καταστήματος, ένας πάροχος πληρωμών και ένα φορέα αποστολής είναι συχνά όλα τρία φορείς επεξεργασίας και κάθε ένα πρέπει να λάβει μια θέση στο μητρώο. Αν κάτι πάει στραβά στη διαδρομή — για παράδειγμα επειδή ένας προμηθευτής προωθεί δεδομένα χωρίς ασφάλεια — τότε αυτό είναι ένα σημείο για να μπορέσετε γρήγορα να αξιολογήσετε τι έγινε και εάν αυτό υπόκειται σε υποχρέωση γνωστοποίησης. Μια πρώτη ένδειξη γι'αυτό την παίρνετε με μερικές ερωτήσεις που δίνουν αμέσως μια κατεύθυνση.
Πώς σχετίζεται αυτό με τις υπάρχουσες υποχρεώσεις
Ένας νέος ιστότοπος ή ηλεκτρονικό κατάστημα δεν αποτελούν συνήθως ξεχωριστή υποχρέωση σύμφωνα με τον ΚΑΝΟΝΙΣΜΌ (ΕΕ) 2016/679, αλλά μια επέκταση των υποχρεώσεων που ήδη ίσχυαν. Αν η εταιρεία σας ήδη επεξεργάζεται δεδομένα προσωπικού και επαγγελματικού χαρακτήρα ή ήδη συλλέγει δεδομένα πελατών, ο ιστότοπος προστίθεται σε αυτά: νέοι επεξεργαζόμενοι δεδομένων, νέες ροές δεδομένων και επομένως ένα συμπλήρωμα του μητρώου και των υπαρχόντων συμβάσεων επεξεργασίας δεδομένων. Ο ίδιος ο ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2016/679 και οι κατευθυντήριες γραμμές του ΕΔΠΒ και της Ελληνικής Αρχής Προστασίας Δεδομένων αποτελούν το σημείο αναφοράς· πώς είναι δομημένη αυτή η πληροφορία σε αυτήν την πλατφόρμα και πού βρίσκεται η πηγή κάθε τμήματος, διαβάστε στο τις εξηγήσεις για το πώς είναι δομημένη η πληροφορία.
Το ότι ο συγκεκριμένος ιστότοπος ή ηλεκτρονικό κατάστημά σας συμμορφώνεται πλήρως με τον ΚΑΝΟΝΙΣΜΌ (ΕΕ) 2016/679 είναι κάτι που μπορείτε καλύτερα να ελέγξετε με ένα δικηγόρο ή, αν έχετε αμφιβολίες σχετικά με ένα συγκεκριμένο σκοπό επεξεργασίας δεδομένων, με την Ελληνική Αρχή Προστασίας Δεδομένων. Αυτό το άρθρο παρέχει διευκρινίσεις, όχι νομικές συμβουλές.
Ελέγξτε μόνοι σας πού βρίσκεστε
Θέλετε να δείτε γρήγορα ποια στοιχεία ισχύουν για τον νέο ιστότοπο ή ηλεκτρονικό κατάστημά σας — ποια εργαλεία, ποιοι επεξεργαζόμενοι δεδομένων, ποια έγγραφα; Κάντε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε στα θέματα στη βάση γνώσεων. Θέλετε να παρακολουθείτε αυτό στο σύστημα από τότε που υπάρχει το μητρώο και η παρακολούθηση, τότε μπορείτε να δημιουργία επαγγελματικού λογαριασμού και να συνεχίσετε από όπου είστε τώρα.