Ilma privaatsusdeklaratsioonita puudub teie veebisaidilt dokument, milles selgitate, millised isikuandmed te kogute, millistel eesmärkidel ja kui kaua. GDPR kohustab organisatsioone külastajaid ja kliente sellest eelnevalt teavitama; seda nimetatakse teabandmise kohustuseks. Kui selline teave puudub, ei saa te tõendada, et täidate seda kohustust.
Konkreetne tagajärg sõltub sellest, kes selle märkab. Külastaja võib esitada kaebuse Andmekaitseametile, ärikllient võib seda hankeprotsessi käigus küsida, ning maksepakkuja või reklaamiplatvormi võib keelduda ühendamisest teie veebisaidiga, kuni privaatsusdeklaratsiooni pole. Ükski neist olukordadest ei ole teoreetiline; need tulevad kolmandate osapoolte endi määravatest tingimustest, sõltumata sellest, mida järelevalveasutus kunagi teeks.
Miks privaatsusdeklaratsioon on enamat kui formaal
Privaatsusdeklaratsioon on nähtav tõendus millestki, mida te peaksite niigi teadma: millised andmed teie veebisait kogub, millistel kujul, kas vormi, küpsiste või analüüsitööriistade kaudu, ja millise eesmärgiga. Kui deklaratsiooni ei ole, on tõenäoline, et ka see inventuur ise pole teostatud. See ei puuduta ainult veebisaiti, vaid ka laiemalt pilti sellest, kuidas teie ettevõte isikuandmetega käitub — miski, mis tuleb esile igakord, kui otsite vastust konkreetsele GDPR-küsimusele.
EDPB ja Andmekaitseamet on avaldanud juhised selle kohta, mida privaatsusdeklaratsioon peab sisaldama, näiteks andmekoguja kontaktandmed, säilitamistähtajad ja isikute õigused. Need juhised ei ole seadus, kuid järelevalveasutused võrdlevad sellega, kui hindavad, kas teabandmise kohustus on täidetud.
Mis praktikas juhtub, kui deklaratsioon puudub
Otsesed tagajärjed toimuvad harva järelevalveasutuse juures, vaid nende pooltega, kellega te asjaasju ajate. Kindlustusfirma, kes hindab küberrisikopoliisi, küsib sageli privaatsusdeklaratsiooni failidocker osa. Hankeametil võib olla samasugune käitumine. Ja külastaja, kes mõtleb, mis saab täidetud kontaktivormiga, võib teabe puudumise tõttu otsustada, et ei astu teie ettevõttega ärisuhetesse, või esitada kaebuse.
Lisaks on privaatsusdeklaratsiooni puudumine sageli märk, et ka teised osad ei ole korras: puudub ülevaade, millised SaaS-vahendid isikuandmeid töötlevad, pole andmete töötlemise lepinguid tarnijatega, pole määratletud säilitamistähtaegu. Just selline seotus, mille teeb nähtavaks teaduspank, kus selgitakse AVG-teemat teema haaval privaatsusdeklaratsioon on harva omaette küsimus.
Järelevalveameti roll
Andmekaitseamet võib tegutseda, kui teabandmise kohustus ei täitu, kuid see, kuidas ja millal seda tehakse, sõltub juhtumi asjaoludest ja ei ole eelnevalt ennustatav. Mis on kindel, on see, et privaatsusdeklaratsiooni puudumine ei ole kummaline, mis muutub vähem nähtavaks, kui veebisaidil on rohkem külastajaid — pigem vastupidi.
Kas kaebuse peale tegelikult uurimisele asutakse ja milline oleks selle tulemus, ei ole üldiselt võimalik öelda. Konkreetse olukorra hindamisel on jurist või Andmekaitseamet ise õige koostööpartner.
Kuidas seda lahendada
Privaatsusavalduse koostamine nõuab selget ülevaadet sellest, mida teie veebisait tegelikult kogub: kontaktivormid, küpsised, e-pood tellimuse andmetega, uudiskiri. Kui see ülevaade on olemas, on avalduse enda kirjutamine tavaliselt kiire. Alusküsimuse jaoks, milliseid andmeid te tegelikult töötlete ja milliseid tööriistu kasutate, aitab vaadata, kuidas see ülevaade koostatakse, näiteks läbi andmete ja süsteemide dokumenteerimise viisi.
Privaatsusavaldus ei ole lisaks sellele ühekordselt kirjutatud tekst. Uued vormid, uued tööriistad või uus uudiskirieteenindus muudavad seda, mida kogutakse, ja seega ka seda, mis avalduses peab olema. Kes tahab, et see ülevaade muudatustega kaasas käiks, võib seda ärikontol fikseerida nii et jääb mitte ühekordsele tegevusele.
Gdpria.eu pakub privaatsusavalduse generaatorit tasuta, nagu ka teadusbaasi ja muud baaskontrrolle. Kui tahate teada, kus teie ettevõte praegu seisab, on tasuta kiirülevaatus hea alguspunkt, et näha, millised osad juba korras on ja millisele osale on vaja tähelepanu.