Skladnost z GDPR za spletne strani: celovit vodnik

GDPR velja za vsako organizacijo, ki obdeluje osebne podatke oseb v EU, ne glede na to, kje ima ta organizacija sedež. Blog s sedežem v ZDA z obiskovalci iz EU, slovenska spletna trgovina in nemški B2B SaaS izdelek so vsi v obsegu, če obdelujejo osebne podatke prebivalcev EU — kar vključuje tudi nekaj tako preprostega, kot je naslov IP, zajet z orodjem za analitiko.

Velikost prav tako ne izvzame spletne strani. Malo podjetje ali stranski projekt, ki uporablja Google Analytics ali kontaktni obrazec, obdeluje osebne podatke, GDPR pa velja z istimi osnovnimi zahtevami ne glede na velikost podjetja — čeprav se prioritete izvrševanja in realistična izpostavljenost tveganju med petčlanskim zagonskim podjetjem in velikim podjetjem bistveno razlikujeta.

Tri stvari se pojavijo v skoraj vsakem pregledu skladnosti spletne strani: pravna podlaga za obdelavo osebnih podatkov, informirano soglasje pred neobveznim sledenjem in politika zasebnosti, ki razkrije, kaj se dejansko dogaja.

Upravljavec odloča, zakaj in kako se osebni podatki obdelujejo — običajno lastnik spletne strani. Obdelovalec obdeluje podatke v imenu upravljavca, po njegovih navodilih — običajno zunanji ponudnik, kot je ponudnik e-poštnih storitev ali analitične platforme. Večina lastnikov spletnih strani je upravljavcev, večina SaaS orodij, ki jih vgradijo (analitika, e-poštni marketing, klepet v živo), pa je obdelovalcev, zato se dogovor o obdelavi podatkov (DPA) s temi ponudniki običajno pričakuje, ne pa je neobvezen.

Google Analytics sam po sebi ni niti skladen niti neskladen — to določa implementacija. Najpogostejša kršitev je, da se Google Analytics (ali Google Tag Manager, ki ga naloži) sproži, preden je obiskovalec podal soglasje, saj je analitika neobvezno sledenje po GDPR. Googlov Consent Mode v2 je eden od sprejetih načinov, da se to pravilno omeji.

Regulativne kazni so najbolj izpostavljena posledica in so lahko znatne pri resnih ali ponavljajočih se kršitvah — a za večino malih in srednjih podjetij izvrševanje v praksi ponavadi začne s pritožbo ali zahtevo po reviziji, ne s takojšnjo kaznijo, kazni pa so na splošno sorazmerne z resnostjo težave in velikostjo podjetja. Pogostejše praktično tveganje je manjše in bolj neposredno: pritožba obiskovalca pri organu za varstvo podatkov, škoda za ugled ali — vse pogosteje — izguba strank ali partnerjev, ki med naročanjem zahtevajo dokazilo o skladnosti.

Tehnični deli — sledenje pred soglasjem, prisotnost pasice za piškotke, popolnost politike zasebnosti — so ravno tisto, kar je samodejni pregled dobro primeren preverjati neprekinjeno. Dele, ki jih pregled ne more preveriti — ali je vaša pravna podlaga pravilno dokumentirana, ali so DPA s ponudniki podpisani — mora pregledati človek, idealno strokovnjak.