Brez izjave o varnosti podatkov na vašem spletnem mestu manjka dokument, v katerem pojasnjujete, katere osebne podatke zbieraete, v kakšne namene in kako dolgo. Uredba (EU) 2016/679 zavezuje organizacije, da obiskovalce in stranke o tem predhodno obvestijo; to se imenuje informacijska dolžnost. Če ta informacija manjka, ne morete torej dokazati, da ste izpolnili to dolžnost.
Kaj konkretno se zgodi, je odvisno od tega, kdo to opazi. Obiskovalec lahko vloži pritožbo pri Nadzornem organu za varstvo podatkov, poslovni partner pa lahko to vprašanje postavi med razpisom, in plačilni ponudnik ali oglaševalska platforma lahko zavrneta povezavo z vašim spletnim mestom, dokler ne obstoji izjava o varnosti podatkov. Nobena od teh situacij ni domišljija; izhajajo iz pogojev, ki jih tretje strani že sami postavljajo, neodvisno od tega, kaj bi kdaj storil nadzorni organ.
Zakaj je izjava o varnosti podatkov več kot samo formalnost
Izjava o varnosti podatkov je vidni dokaz nečesa, kar bi morali vseeno vedeti: katere podatke zbira vaše spletno mesto, prek katerih obrazcev, piškotkov ali orodij za analizo, in s katerim namenom. Če izjava manjka, je velika verjetnost, da tudi ta popis ni bil narejen. To ne zadeva samo spletnega mesta, temveč tudi širšo sliko o tem, kako vaše podjetje ravna z osebnimi podatki — nekaj, kar je tudi do pred kratkim prišlo do izraza, ko ste iskali odgovor na konkretno vprašanje v zvezi z Uredbo (EU) 2016/679.
Svet za varstvo podatkov in Nadzorni organ za varstvo podatkov sta objavila smernice o tem, kaj mora vsebovati izjava o varnosti podatkov, na primer podatke za stik odgovorne osebe za obdelavo podatkov, roke za hranjenje in pravice posameznikov. Te smernice niso zakon, vendar nadzorni organi preverijo skladnost z njimi, ko presojajo, ali je informacijska dolžnost izpolnjena.
Kaj se v praksi zgodi, če izjava manjka
Najbolj neposredne posledice se redko dogajajo pri nadzorniku, ampak pri strankah, s katerimi poslujete. Zavarovalnica, ki ocenjuje kibervpolis, pogosto prosi za izjavo o zasebnosti kot del spisa. Naročnik javnega naročila lahko stori isto. In obiskovalec, ki se sprašuje, kaj se dogaja s pravo izpolnjenim kontaktnim obrazcem, se lahko brez pojasnil odloči, da s vami ne bo poslovati, ali vloži pritožbo.
Poleg tega je manjkajoča izjava o zasebnosti pogosto signal, da tudi drugi deli niso v redu: ni pregleda, katere SaaS-orodja obdelujejo osebne podatke, ni pogodb z obdelovalci osebnih podatkov z dobavitelji, niso določeni roki hrambe. To je natanko vrsta povezanosti, ki jo banka znanja s pojasnjenim na posamezno temo Uredbe (EU) 2016/679 osvetli: izjava o zasebnosti redko obstaja sama zase.
Vloga nadzornika
Organ za varstvo osebnih podatkov lahko deluje, če se informacijska obveznost ne izpolnjuje, vendar kako in kdaj se to zgodi, je odvisno od okoliščin primera in ga ni mogoče vnaprej napovedati. Kar je gotovo, je, da odsotnost izjave o zasebnosti ni opustitev, ki postane manj vidna, ko spletno mesto prejme več obiskovalcev — ravno nasprotno.
Ali pritožba res povede do preiskave in kaj bi bil njen rezultat, v splošnem smislu ni mogoče reči. Za oceno specifične situacije sta jurist ali sam organ za varstvo osebnih podatkov primerni stik.
Kako to rešiti
Priprava izjave o zasebnosti zahteva jasen pregled tega, kaj vaša spletna stran dejansko zbira: obrazce za stik, piškotke, spletno trgovino s podatki o naročilih, glasnik. Takoj ko je ta pregled na mestu, je sama izjava običajno hitra za napisanje. Za osnovno vprašanje, katere podatke dejansko obdelujete in prek katerih orodij, je koristno pogledati način, na katerega se ta pregled sestavlja, na primer prek način, na katerega se podatki in sistemi evidentirajo.
Izjava o zasebnosti ni niti enkrat napisana besedila. Novi obrazci, nova orodja ali nova storitev glasnika spremenijo to, kaj se zbira, in torej tudi to, kaj mora biti v izjavi. Kdor želi, da se ta pregled spreminja skupaj s spremembami na spletnem mestu, ga lahko vključi v poslovni račun tako da ne ostane pri enkratnem ukrepanju.
Gdpria.eu ponuja generator za izjavo o zasebnosti brezplačno, prav tako kot bazo znanja in druge osnovne preverke. Če želite vedeti, kako je vaše podjetje trenutno postavljeno, je brezplačno hitro skeniranje dober izhodišče, da vidite, kateri deli so že v redu in kateri potrebujejo pozornost.