Bez izjave o privatnosti na vašoj web-stranici nedostaje dokument u kojem objašnjavate koje osobne podatke prikupljate, u koju svrhu i kako dugo. GDPR obvezuje organizacije da posjetitelje i klijente o tome obavijeste unaprijed; to se naziva obaveza obavijesti. Ako nedostaje ta informacija, tada ne možete dokazati da ispunjavate tu obavezu.
Što se konkretno gebeura ovisi o tome tko to primijeti. Posjetitelj može podnijeti žalbu nadzornom tijelu, poslovni klijent može o tome pitati tijekom javne nabave, a pružatelj platnih usluga ili platforme za oglašavanje mogu odbiti vezu s vašom web-stranicom sve dok nema izjave o privatnosti. Nijedna od tih situacija nije zamišljena; one proizlaze iz uvjeta koje same treće strane postavljaju, neovisno o tome što bi kada nadzorno tijelo učinilo.
Zašto je izjava o privatnosti više nego formalnost
Izjava o privatnosti je vidljivi dokaz nečega što biste trebali znati: koje podatke vaša web-stranica prikuplja, putem kojih obrazaca, kolačića ili alata za analizu, i u koju svrhu. Ako izjava nedostaje, vjerojatno je da nije napravljena ni sama inventarizacija. To ne utječe samo na web-stranicu, već i na širu sliku o tome kako vaše poduzeće rukuje osobnim podacima — nešto što dolazi do izražaja čim tražite odgovor na konkretan GDPR-problem.
EDPB i nadzorno tijelo objavili su smjernice o tome što izjava o privatnosti mora sadržavati, poput kontaktnih podataka voditelja obrade, rokova čuvanja i prava ispitanika. Te smjernice nisu zakon, ali nadzorna tijela ih koriste pri procjeni je li ispunjena obaveza obavijesti.
Što se u praksi gebeura ako izjava nedostaje
Najneposrednije posljedice rijetko se dogode kod nadzornog tijela, nego kod strana s kojima surađujete. Osiguravač koji procjenjuje kibernetičku policu često traži izjavu o privatnosti kao dio dokumentacije. Javna nabavna komisija može učiniti isto. A posjetitelj koji se pita što se događa s popunjenim kontaktnim obrascem može se, zbog nedostatka objašnjenja, odlučiti da ne radi s vama ili podnijeti žalbu.
Nadalje, nedostajuća izjava o privatnosti često je signal da nije uredno ni ostalo: nema pregleda koji SaaS-alati obrađuju osobne podatke, nema ugovora o obradi s dobavljačima, nema utvrđenih rokova čuvanja. To je upravo vrsta povezanosti koju baza znanja s objašnjenjem po GDPR-temi čini jasnom: izjava o privatnosti rijetko stoji sama.
Uloga nadzornog tijela
Nadzorno tijelo može djelovati kada se obaveza obavijesti ne ispunjava, ali kako i kada se to događa ovisi o okolnostima slučaja i nije moguće unaprijed predvidjeti. Što je sigurno, jest da nedostatak izjave o privatnosti nije propust koji postaje manje vidljiv kako web-stranica privlači više posjetitelja — prije obrnuto.
Rezultira li žalba stvarnom istragom i koji bi bio ishod, nije moguće reći u opće vrijednosti. Za procjenu određene situacije prikladan je pravnik ili samo nadzorno tijelo.
Kako to riješiti
Izrada izjave o privatnosti zahtijeva jasan pregled onog što vaša web stranica zapravo prikuplja: obrasce za kontakt, kolačiće, web trgovinu s narudžbenim podacima, Newsletter. Čim postoji taj pregled, sama izjava se obično može brzo napisati. Za temeljno pitanje koje podatke zapravo obrađujete i kroz koje alate, pomaže pogledati način na koji se taj pregled gradi, primjerice kroz način na koji se podaci i sustavi mapiraju.
Izjava o privatnosti nije, osim toga, jednokratni tekst. Novi obrasci, novi alati ili nova usluga newslettera mijenjaju ono što se prikuplja, a time i ono što mora biti u izjavi. Tko želi da taj pregled prati promjene na web stranici, može to zabilježiti na poslovnom računu kako bi to ne ostalo jednokratnom akcijom.
Gdpria.eu nudi generator za izjavu o privatnosti besplatno, kao i bazu znanja i ostale osnovne provjere. Ako želite znati gdje se vaša tvrtka trenutno nalazi, besplatan pregled je dobar početak da vidite koji su dijelovi već u redu i koji trebaju pozornost.