GDPR: cookie-uri, formulare și politica de confidențialitate

Modulul 9: E-mail, vizibilitate în căutare, GDPR, întreținere și mutare · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea pune la punct baza GDPR a unei site WordPress: să știți ce date cu caracter personal prelucrați, să reglați corect cookie-urile și conținutul extern, să organizați formularele corespunzător și să redactați o politică de confidențialitate.

Concepte-cheie: date cu caracter personal, prelucrare, temei legal, obligație de informare, politică de confidențialitate, regula privind cookie-urile din Directiva europeană ePrivacy (în România: Legea nr. 506/2004; în Țările de Jos: articolul 11.7a din Telecommunicatiewet), consimțământ, cookie-uri funcționale și analitice, cookie-uri de tracking, banner de cookie-uri, conținut extern, formulare, termen de păstrare, persoană împuternicită, acord de prelucrare a datelor, incident de securitate a datelor

Această lecție oferă o explicație generală, nu consultanță juridică. Pentru situația dumneavoastră concretă, consultați informațiile autorității de protecție a datelor din țara dumneavoastră (în România: ANSPDCP) sau cereți sfatul unui specialist.

Ce legătură are GDPR cu site-ul dumneavoastră

GDPR (Regulamentul general privind protecția datelor) se referă la date cu caracter personal: orice informație prin care o persoană poate fi identificată direct sau indirect. Pe o site web este vorba despre mai mult decât credeți: un nume și o adresă de e-mail dintr-un formular, o comandă, un cont, dar și o adresă IP și un cookie cu un număr unic.

Aproape orice site WordPress prelucrează deci date cu caracter personal: în formulare, comentarii, conturi, comenzi, jurnalele serverului, copii de siguranță, jurnalele de e-mail (lecția 9.1) și în ceea ce site-ul dumneavoastră trimite către alte părți. Pentru acestea se aplică, printre altele, următoarele reguli:

• Aveți nevoie de un temei legal pentru fiecare prelucrare (articolul 6 GDPR), de exemplu: necesar pentru executarea unui contract (o comandă), consimțământ (o newsletter) sau un interes legitim.
• Nu prelucrați mai multe date decât este necesar și nu le păstrați mai mult decât este necesar.
• Informați persoanele cu privire la ceea ce faceți (articolul 13 GDPR): acest lucru se face în politica dumneavoastră de confidențialitate.
• Securizați datele în mod corespunzător (https, actualizări, copii de siguranță: restul acestui curs).
• Dacă lăsați o altă parte să prelucreze date în numele dumneavoastră (furnizorul dumneavoastră de găzduire, un serviciu de e-mail, un modul cu un serviciu cloud), aceasta este o persoană împuternicită și încheiați un acord de prelucrare a datelor (articolul 28 GDPR). Furnizorii de găzduire și serviciile mari au de regulă un astfel de acord pregătit în mod standard.
• Dacă ceva merge greșit (un atac informatic, o copie de siguranță scursă), este vorba despre un incident de securitate a datelor pe care uneori trebuie să îl raportați (lecția 7.5).

Cookie-uri: Directiva ePrivacy

Pentru cookie-uri (și tehnici similare precum local storage și pixeli de urmărire) se aplică suplimentar regula privind cookie-urile din Directiva europeană ePrivacy (în România: Legea nr. 506/2004; în Țările de Jos: articolul 11.7a din Telecommunicatiewet). Pe scurt, așa cum explică autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens):

• Cookie-urile funcționale necesare pentru ca site-ul să funcționeze (un cookie de autentificare, un coș de cumpărături, memorarea propriei alegeri privind cookie-urile): sunt permise fără consimțământ. Totuși, trebuie să informați despre ele.
• Cookie-urile analitice cu efecte reduse sau inexistente asupra confidențialității: sunt permise fără consimțământ, dacă îndeplinesc anumite condiții. Gândiți-vă la statistici pe care le gestionați dumneavoastră înșivă sau care sunt configurate într-un mod prietenos cu confidențialitatea (nicio partajare de date, adrese IP scurtate, nicio urmărire pe alte site-uri).
• Cookie-urile de tracking și tot ce urmărește vizitatorii sau creează profiluri (reclame, rețele sociale, majoritatea serviciilor integrate ale platformelor mari): doar după consimțământ, deci se încarcă doar după ce vizitatorul a spus „da”.

Un banner de cookie-uri solicită acest consimțământ. Autoritatea olandeză pentru protecția datelor menționează, printre altele: explicați ce cookie-uri folosiți și în ce scop, refuzul trebuie să fie la fel de ușor ca acceptarea, și nicio căsuță bifată în prealabil. Un banner care are doar opțiunea „OK”, sau care încarcă deja codul de tracking înainte de a face o alegere, nu respectă regulile. Există multe module (pluginuri) de cookie-uri pentru WordPress; alegeți unul care blochează efectiv scripturile până la obținerea consimțământului, și verificați acest lucru (exercițiul acestei lecții vă ajută).

Conținut extern: ce trimite site-ul dumneavoastră către alții

Chiar și fără cookie-uri, site-ul dumneavoastră trimite date către alte părți, de îndată ce o pagină încarcă ceva de la acestea. Browserul vizitatorului dumneavoastră preia atunci conținutul de la acea parte, iar aceasta vede cel puțin adresa IP. Exemple:

În Germania, o instanță (LG München I, ianuarie 2022) a hotărât că încărcarea fonturilor de la un serviciu extern fără consimțământ încalcă GDPR, deoarece astfel era transmisă adresa IP a vizitatorului. Aceasta nu este o hotărâre olandeză, dar arată despre ce este vorba: trebuie să puteți explica fiecare sursă externă.

Formulare

Un formular reprezintă o prelucrare. Acordați atenție următoarelor:

• Solicitați doar ceea ce vă este necesar. Pentru o cerere de apel telefonic aveți nevoie de un nume și un număr de telefon, nu de o adresă și o dată de naștere.
• Prin https (lecția 3.1), altfel datele circulă necriptate pe internet.
• Unde rămân datele? Multe module (pluginuri) de formulare salvează fiecare trimitere și în baza de date, pe lângă e-mail. Astfel, după câțiva ani acolo se află mii de trimiteri. Setați un termen de păstrare sau dezactivați salvarea dacă e-mailul este suficient. Și jurnalul de e-mail al modulului dumneavoastră SMTP (lecția 9.1) le conține.
• Consimțământul pentru o newsletter este o căsuță separată, nebifată în prealabil. Un formular de contact nu reprezintă o înscriere la newsletter.
• Protecție anti-spam: vezi tabelul de mai sus.

Politica de confidențialitate

WordPress creează la instalare o pagină de ciornă Politică de confidențialitate și dispune la Setări > Confidențialitate de un asistent cu texte exemplu; modulele (pluginurile) care prelucrează date pot adăuga text acolo. Acesta este un început, nu un rezultat final. O politică de confidențialitate descrie, conform articolului 13 GDPR, printre altele:

• cine sunteți și cum pot fi contactat;
• ce date cu caracter personal prelucrați, în ce scop și pe ce temei legal;
• cu cine le partajați (persoane împuternicite, alte părți) și dacă acestea ajung în afara UE;
• cât timp le păstrați;
• ce drepturi au persoanele (acces, rectificare, ștergere, opoziție) și faptul că pot depune o plângere la autoritatea de protecție a datelor;
• ce cookie-uri și servicii externe folosește site-ul dumneavoastră.

Plasați un link către politica de confidențialitate în subsolul paginii (lecția 4.3), astfel încât să poată fi găsit pe fiecare pagină, și la fiecare formular.

WordPress dispune la Instrumente și de funcții pentru a exporta datele personale și pentru a le șterge la cererea unui utilizator. Util în cazul unei cereri de acces sau de ștergere, dar acestea găsesc doar date din WordPress și din module (pluginuri) care se conectează la acesta.

Un plan simplu în pași

1. Faceți o listă cu toate prelucrările de pe site-ul dumneavoastră: formulare, conturi, comenzi, comentarii, statistici, newsletter, jurnale, copii de siguranță.
2. Verificați ce trimite site-ul dumneavoastră către alte părți la încărcare (exercițiul acestei lecții).
3. Eliminați ceea ce nu este necesar; înlocuiți ce poate deveni mai prietenos cu confidențialitatea.
4. Obțineți consimțământul pentru ceea ce rămâne și necesită cu adevărat consimțământ, cu un banner care blochează scripturile.
5. Încheiați acorduri de prelucrare a datelor și redactați (sau rescrieți) politica dumneavoastră de confidențialitate.
6. Reexaminați anual (lecția 9.4), și după fiecare modul (plugin) nou care prelucrează date.

Rezumat

• Aproape orice site WordPress prelucrează date cu caracter personal: formulare, conturi, adrese IP, jurnale, copii de siguranță.
• Cookie-urile funcționale și cele analitice limitate sunt permise fără consimțământ; tracking-ul doar după consimțământ, și se încarcă abia atunci.
• Conținutul extern (fonturi, videoclipuri, hărți, captcha-uri) trimite date către alții; faceți-l local sau încărcați-l abia după un clic.
• Solicitați în formulare doar ceea ce este necesar, nu păstrați trimiterile la nesfârșit, căsuța pentru newsletter separată și nebifată în prealabil.
• O politică de confidențialitate conform articolului 13 GDPR, care poate fi găsită pe fiecare pagină; acorduri de prelucrare a datelor cu furnizorul dumneavoastră de găzduire și cu serviciile folosite.

Test (quiz)

Exercițiu

Exercițiul A9.3: Ce trimite site-ul dumneavoastră către alții? Introduceți adresa site-ului dumneavoastră. Programul încarcă pagina principală ca un vizitator nou, fără cookie-uri și fără consimțământ, și oferă o imagine de ansamblu: ce cookie-uri plasează serverul imediat (doar numele), și de la ce alte domenii pagina încarcă scripturi, fonturi, iframe-uri sau imagini. Serviciile cunoscute pentru statistici, publicitate, rețele sociale, fonturi și video sunt semnalate cu numele lor (portocaliu: „verificați dacă acesta se încarcă abia după consimțământ, sau înlocuiți-l”). În plus, verifică dacă pe pagina principală există un link către o politică de confidențialitate.

Exercițiul D9.3: Lista dumneavoastră de prelucrări și politica de confidențialitate. Faceți o listă cu toate prelucrările de pe site-ul dumneavoastră (formulare, conturi, comenzi, comentarii, statistici, newsletter, jurnale, copii de siguranță) cu, pentru fiecare prelucrare: ce date, în ce scop, temeiul legal, unde sunt stocate, cât timp, și ce persoană împuternicită este implicată. Comparați această listă cu politica dumneavoastră de confidențialitate și bifați ce este deja inclus. Notați ce adăugați sau eliminați, și ce servicii externe din exercițiul A9.3 înlocuiți sau plasați în spatele consimțământului.

Lecturi suplimentare

Aceste articole se referă la WebOké însuși; explicațiile pentru propria dumneavoastră site le găsiți la autoritatea de protecție a datelor din țara dumneavoastră (în România: ANSPDCP).

• Cookie-uri pe WebOké: vedeți sau modificați alegerea
• Cookie-uri (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookie-uri și organizația dumneavoastră: asigurați-vă o politică bună (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Bannere de cookie-uri clare (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Dreptul la informare (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Incidente de securitate a datelor (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Confidențialitatea în WordPress (wordpress.org, engleză): https://wordpress.org/documentation/article/settings-privacy-screen/