Jak splnit GDPR na webu

GDPR na webu není o právnické literatuře, ale o pěti konkrétních věcech, které buď na stránce jsou, nebo nejsou. Projdu je popořadě tak, jak je řeším při každém předání webu klientovi.

Co ÚOOÚ reálně kontroluje jako první

Kontrola nezačíná u serverů ani u šifrování. Začíná u toho, co je vidět z prohlížeče: existují zásady zpracování osobních údajů, je u formuláře jasné, komu data posíláte a proč, a je souhlas oddělený od odeslání objednávky. Tyhle tři věci najde kontrolor za dvě minuty a bez přístupu k vašemu hostingu.

Druhá vrstva je papírová. Zpracovatelské smlouvy s dodavateli, kteří vaše data vidí: hosting, e-mailingový nástroj, fakturační systém, účetní. U typického malého webu to bývá čtyři až šest subjektů. Když je nemáte, nejde o technický problém, ale o chybějící dokument, který si vyžádáte e-mailem během jednoho dne.

Třetí vrstva jsou záznamy o činnostech zpracování. Živnostník s webem a e-mailovým formulářem si vystačí s jednou stranou A4: jaké údaje sbírá, k čemu, jak dlouho je drží a komu je předává. Nikdo po vás nechce systém za statisíce.

Formulář, který je v pořádku, a formulář, který není

Nejčastější chyba na českých webech je jedno zaškrtávací políčko, které míchá dohromady souhlas se zpracováním, souhlas s obchodními podmínkami a přihlášení k newsletteru. Takový souhlas není platný, protože není konkrétní a není oddělitelný. Rozdělte ho na dvě políčka a jedno z nich nechte nepovinné.

U poptávkového formuláře souhlas často vůbec nepotřebujete. Zpracování na základě oprávněného zájmu nebo jednání před uzavřením smlouvy stačí, když člověk aktivně píše, že chce nabídku. Co potřebujete vždy, je informace: jednou větou pod tlačítkem uveďte, kdo data zpracuje, za jakým účelem a odkaz na zásady.

Newsletter je jiný případ. Tam potřebujete aktivní, nepředvyplněný souhlas a možnost odhlásit se v každém e-mailu. Double opt in není zákonná povinnost, ale je to jediný způsob, jak později prokázat, že souhlas skutečně dal ten člověk.

• Nepředvyplněné zaškrtávací políčko, nikdy ne předem zatržené
• Oddělený souhlas pro marketing a pro zpracování poptávky
• Odkaz na zásady zpracování přímo u formuláře, ne jen v patičce
• Uložení data, času a IP adresy odeslání jako doklad o souhlasu
• Jasně uvedený správce včetně IČO a kontaktního e-mailu
• Doba uchování, například poptávky 3 roky, newsletter do odhlášení

Zásady zpracování: co tam musí být a co je vata

Většina zásad na českých webech je stažená šablona, kde zbyl název cizí firmy. Kontrola i zákazník to poznají. Dokument má mít osm bodů a vejde se na dvě obrazovky: kdo je správce, jaké údaje, právní titul, účel, doba uchování, příjemci, práva subjektu a kontakt pro uplatnění práv.

Nejvíc se chybuje u příjemců. Neuvádí se, že data putují do Google Analytics, do Mailchimpu, na Facebook nebo do fakturačního nástroje. Přitom právě tenhle výčet ukazuje, že víte, co váš web dělá. Vypište konkrétní názvy služeb, ne obecné kategorie typu marketingoví partneři.

Práva subjektu popište lidsky. Právo na přístup, opravu, výmaz, omezení, přenositelnost a námitku, k tomu lhůta jeden měsíc a e-mail, kam napsat. Přidejte i informaci o možnosti stěžovat si u Úřadu pro ochranu osobních údajů, to je povinná náležitost, na kterou se často zapomíná.

Pokuty v Česku a co za nimi bývá

Nařízení umožňuje pokuty do 20 milionů eur nebo 4 procent obratu, ale to je horní hranice pro velké kauzy. Reálná praxe ÚOOÚ u malých firem se pohybuje v desítkách tisíc korun a často končí opatřením k nápravě, ne sankcí. Pokud dostanete výzvu a do stanovené lhůty věci srovnáte, obvykle to skončí tam.

Podnět přitom skoro nikdy nepřijde od úřadu samotného. Přijde od naštvaného zákazníka nebo od konkurence. Nejčastější spouštěč je newsletter, ze kterého se nejde odhlásit, a poptávkový formulář, po kterém začne chodit reklama. Obojí opravíte za odpoledne.

Druhý typ průšvihu je únik dat. Ohlašovací povinnost je 72 hodin od zjištění, a to i u malého webu. Mějte předem napsané, koho voláte a co uděláte, když se někdo dostane do administrace. Jedna strana textu ve složce vám v ten den ušetří hodiny.

Pět chyb, které vidím na většině předělávaných webů

První je zapomenutý starý formulář na podstránce, na kterou se roky nikdo nedíval. Sbírá e-maily do schránky, o které nikdo neví. Projděte si všechny URL s formulářem, ne jen kontakt a homepage.

Druhá je export databáze zákazníků, který leží v Downloads na notebooku nebo na sdíleném disku bez hesla. To je z pohledu nařízení stejné zpracování jako produkční databáze. Třetí je administrace se společným heslem pro tři lidi, kde nedohledáte, kdo co udělal.

Čtvrtá je záloha u dodavatele, se kterým nemáte zpracovatelskou smlouvu. Pátá je kontaktní e-mail v zásadách, který už půl roku nikdo nečte. Když někdo uplatní právo na výmaz a vy do měsíce neodpovíte, začíná problém, který nezpůsobila technika.

• Projít všechny podstránky s formulářem, včetně starých kampaňových
• Smazat lokální exporty databáze a nastavit šifrovaný přístup
• Zavést samostatné účty do administrace, žádné sdílené heslo
• Doplnit zpracovatelské smlouvy s hostingem, e-mailingem a účetní
• Nastavit přeposílání GDPR e-mailu na schránku, kterou opravdu čtete

Postup na jedno odpoledne, když začínáte od nuly

Nejdřív si udělejte inventuru. Otevřete web a napište seznam všech míst, kde od člověka něco chcete: formuláře, newsletter, objednávka, rezervace, chat, komentáře. U každého napište, kam data padají a kdo je vidí. Tenhle seznam je základ všeho ostatního a zabere zhruba půl hodiny.

Pak napište zásady zpracování podle svého seznamu, ne podle cizí šablony. Doplňte je na web jako samostatnou stránku a odkažte na ni z patičky i od každého formuláře. Následně upravte samotné formuláře: oddělené souhlasy, informační věta, ukládání data souhlasu.

Nakonec sepište záznamy o činnostech a rozešlete e-maily dodavatelům se žádostí o zpracovatelskou smlouvu. Celé to zvládnete za jedno soustředěné odpoledne. Když to chcete mít z krku bez zdržování, dělám tuhle revizi jako samostatnou položku a u nových webů je součástí dodávky do sedmi dní.

Časté otázky

Potřebuji souhlas u obyčejného kontaktního formuláře?

Většinou ne. Když někdo sám píše, že chce nabídku, zpracováváte data kvůli jednání o smlouvě a souhlas nepotřebujete. Potřebujete ale informaci: kdo jste, proč data zpracováváte, jak dlouho je držíte a odkaz na zásady. Souhlas si nechte na marketing, tedy na newsletter a remarketing.

Jak dlouho můžu držet e-maily z poptávek?

Zákon konkrétní počet let nestanoví, musíte dobu odůvodnit sami. U poptávek se běžně používají tři roky, což odpovídá promlčecí lhůtě. Důležité je dobu napsat do zásad a pak ji skutečně dodržet. Databáze, kterou nikdy nečistíte, je horší než databáze s krátkou dobou uchování.

Musím mít pověřence pro ochranu osobních údajů?

Malá firma ani živnostník ho v drtivé většině nepotřebuje. Povinnost vzniká orgánům veřejné moci a firmám, jejichž hlavní činností je rozsáhlé systematické monitorování osob nebo zpracování zvláštních kategorií údajů. Běžný e-shop nebo web řemeslníka do téhle kategorie nespadá a stačí uvést kontaktní e-mail správce.