Si të përmbushni GDPR në faqen tuaj të internetit hap pas hapi

Sot, përdoruesit gjithnjë e më shumë po pyesin veten Çfarë bëjnë kompanitë me të dhënat tuaja personaleNuk është vetëm një çështje ligjore: privatësia është bërë një faktor kyç në ndërtimin e besimit dhe një kriter cilësie për çdo projekt dixhital të vlefshëm. Nëse menaxhoni një faqe interneti, qoftë edhe një të vogël, keni më shumë përgjegjësi sesa mund të duket.

Mendoni për një moment për gjithçka që përdorni në faqen tuaj të internetit: formularët e kontaktit, analizat, cookie-t, mjetet e marketingut me email, CRM për biznesporta pagesash...Të gjithë këta elementë mbledhin të dhëna personale (emri, emaili, adresa IP, zakonet e shfletimit, etj.), kështu që Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave (GDPR) ju prek drejtpërdrejt. Përshtatja e një faqeje interneti nuk ka të bëjë vetëm me shtimin e një njoftimi të përgjithshëm dhe një kutie të zgjedhur; ka të bëjë me zbatimin e një sistemi gjithëpërfshirës të pajtueshmërisë.

Çfarë është GDPR dhe pse faqja juaj e internetit nuk mund ta injorojë atë

Rregullorja e Përgjithshme për Mbrojtjen e të Dhënave është rregullorja evropiane që Ai rregullon mënyrën se si mblidhen, përdoren, ruhen dhe ndahen të dhënat personale. të njerëzve që janë në Bashkimin Evropian. Ai hyri në fuqi në vitin 2016, filloi të zbatohej në maj 2018 dhe zëvendësoi direktivën e vjetër të vitit 1995 për t'u përshtatur me botën aktuale dixhitale.

Kjo vlen për çdo kompani, profesionist ose entitet që përpunimi i të dhënave të njerëzve në BEedhe nëse selia juaj qendrore është jashtë Evropës. Me fjalë të tjera, nëse u shisni produkte ose shërbime përdoruesve evropianë ose monitoroni sjelljen e tyre në internet (cookies, reklama, etj.), ju bini nën fushëveprimin e GDPR edhe nëse biznesi juaj ndodhet në një kontinent tjetër.

Për më tepër, GDPR nuk qëndron vetëm. Në Spanjë, ai plotësohet nga LOPDGDD, LSSI dhe kriteret e AEPD-sëKjo e bën kuadrin rregullator më kërkues dhe specifik. Kjo do të thotë që teksti i kopjuar nga çdo faqe interneti dhe banderolat e paqarta të cookie-ve nuk janë të mjaftueshme; ligji kërkon transparencë të vërtetë dhe gjurmueshmëri të përpunimit të të dhënave.

Është e rëndësishme të mbahet mend sistemi i ndëshkimeve: gjobat për mosrespektim mund të arrijnë 20 milionë euro ose 4% e xhiros vjetore globaleCilado që të vijë e para. Përtej ndëshkimit, një incident me shkelje të privatësisë mund të shkatërrojë reputacionin e një marke brenda pak ditësh.

Prandaj, pajtueshmëria me GDPR është si një detyrim ligjor ashtu edhe një mundësi për të për të forcuar vetëbesimin dhe imazhin profesional të projektit tuaj dixhital. Kompanitë që e marrin seriozisht atë përfundojnë duke qenë më konkurruese sepse menaxhojnë informacionin më mirë dhe reagojnë më shpejt ndaj incidenteve.

Konceptet dhe shifrat kryesore të GDPR-së që duhet të dini

Për të përshtatur siç duhet një faqe interneti, së pari duhet të Kuptimi i fjalorit bazë të GDPR-sësepse përsëritet në të gjitha dokumentet dhe vendimet që do të duhet të merrni.

El të interesuar Kjo i referohet individit që zotëron të dhënat, d.m.th., përdoruesit, klientit, pajtimtarit ose punonjësit tuaj. informacion personal Kjo përfshin çdo informacion që identifikon drejtpërdrejt ose tërthorazi ose mund të identifikojë dikë: emrin, adresën, email-in, adresën IP, vendndodhjen gjeografike, të dhënat financiare, informacionin shëndetësor, fotografinë, etj.

El kontrolluesi i të dhënave Është ai që vendos se për çfarë përdoren këto të dhëna dhe si përpunohen ato. Në një faqe interneti të korporatës ose në një faqe tregtie elektronike, kjo zakonisht është vetë kompania ose profesionisti që zotëron faqen. personi përgjegjës për trajtimin është një palë e tretë që përpunon të dhëna në emër të kontrolluesit të të dhënave, për shembull një ofrues hostimi, një shërbim marketingu me email, një CRM të bazuar në cloud ose një agjenci që menaxhon fushata.

El trajtim Ai përfshin çdo operacion me të dhëna: mbledhjen e tyre nëpërmjet një formulari, ruajtjen e tyre në një bazë të dhënash, konsultimin e tyre, modifikimin e tyre, transferimin e tyre te një ofrues tjetër, analizimin e tyre, fshirjen e tyre, etj. Pothuajse çdo gjë që bëhet me informacionin bie nën këtë koncept dhe, për këtë arsye, i nënshtrohet GDPR-së.

Rregulloret përcaktojnë gjithashtu kategori të veçanta të të dhënaveTë dhënat veçanërisht të ndjeshme përfshijnë origjinën racore ose etnike, mendimet politike, fenë, shëndetin, të dhënat biometrike, orientimin seksual ose të dhënat që lidhen me dënimet penale. Përpunimi i të dhënave të tilla kërkon mbrojtje shtesë, pëlqim të qartë dhe, në shumë raste, baza ligjore shumë specifike.

Parimet e GDPR që duhet të udhëheqin faqen tuaj të internetit

Thelbi i GDPR-së përbëhet nga shtatë parime që përcaktojnë se si duhet të menaxhohen të gjitha të dhënat personale. Uebsajti juaj duhet t'i respektojë këto parime që nga faza e projektimit dhe gjatë gjithë ciklit jetësor të të dhënave.

Parimi i ligjshmëri, besnikëri dhe transparencë Kërkon që çdo aktivitet përpunimi të ketë një bazë të qartë ligjore (pëlqim, kontratë, detyrim ligjor, interes legjitim, etj.) dhe që përdoruesi të kuptojë se çfarë bëhet me të dhënat e tij në një mënyrë të qartë dhe të kuptueshme. Tekstet e ndërlikuara që askush nuk i kupton ose qëllimet e fshehura janë të papranueshme.

Parimi i kufizim i qëllimit Aty thuhet se ju mund t’i përdorni të dhënat vetëm për qëllimet që keni deklaruar. Nëse mbledhni një email për të dërguar një kuotë, nuk mund ta përdorni thjesht për të dërguar reklama, përveç nëse e keni shpjeguar dhe autorizuar atë.

La minimizimi i të dhënave Kjo do të thotë të kërkosh vetëm atë që është rreptësisht e nevojshme për qëllimin e synuar. Nëse kërkon të dhëna të panevojshme në një formular kontakti (siç është numri i identifikimit pa një arsye të arsyeshme), mund ta shkelësh këtë parim.

Të dhënat duhet të jenë i saktë dhe i azhurnuarNëse mbani informacione të vjetruara që mund të dëmtojnë dikë, duhet ta korrigjoni ose ta fshini atë. Nga ana tjetër, parimi i kufizimi i periudhës së ruajtjes Kërkon që të dhënat të mbahen vetëm për aq kohë sa është e nevojshme për qëllimin dhe më pas fshirja ose anonimizimi i tyre pas asaj kohe.

La integriteti dhe konfidencialiteti Kjo përkthehet në masa sigurie teknike dhe organizative: enkriptimi i revekopje rezervë, kontroll i aksesit, trajnim i stafit, menaxhim fjalëkalimesh, etj. Së fundmi, përgjegjësi proaktive Kjo do të thotë që pajtueshmëria nuk është e mjaftueshme; ajo duhet të demonstrohet me të dhëna, politika dhe prova.

Të drejtat e përdoruesit: çfarë duhet të lejojë faqja juaj e internetit

GDPR forcon dhe zgjeron të drejtat e individëve mbi të dhënat e tyreKushdo që është i interesuar duhet të jetë në gjendje të Ushtroni lehtësisht të drejtat tuaja dhe merrni një përgjigje pa pagesë. brenda një periudhe maksimale prej një muaji.

El e drejta për informacion Kërkon që ju të shpjegoni qartë, në kohën e mbledhjes, kush është përgjegjës, për çfarë do të përdoren të dhënat, për sa kohë do të ruhen, kush do t'i marrë ato dhe si mund t'i ushtrojnë përdoruesit të drejtat e tjera. Ky informacion zakonisht paraqitet në dy shtresa: një të shkurtër pranë formularit dhe një më të plotë në politikën e privatësisë.

El e drejta e aksesit I lejon përdoruesit të dijë nëse po i përpunoni të dhënat e tij dhe, nëse po, të marrë një kopje dhe detaje të përpunimit. e drejta e korrigjimit Ju lejon të korrigjoni të dhënat e pasakta ose të paplota që keni regjistruar.

El e drejta për fshirjeE drejta për t’u harruar, e njohur edhe si e drejta për fshirje, u lejon individëve të kërkojnë fshirjen e të dhënave të tyre në rrethana të caktuara: kur nuk është më e nevojshme, pëlqimi është tërhequr ose përpunimi është i paligjshëm, ndër të tjera. Nuk është absolute, pasi mund të ketë një detyrim ligjor për të ruajtur informacione të caktuara.

Përdoruesi mund të ushtrojë gjithashtu e drejta për kufizimin e përpunimitnë mënyrë që të dhënat të ruhen vetëm, por të mos përdoren për qëllime specifike, dhe e drejta për të kundërshtuar, shumë e rëndësishme në marketingun e drejtpërdrejtë, e cila na kërkon të ndalojmë përpunimin e të dhënave tuaja për atë qëllim nëse e kërkoni.

Së fundmi, e drejta për të transportueshmëria e të dhënave Ai i lejon palës së interesuar të marrë të dhënat e saj në një format elektronik të strukturuar dhe të përdorur zakonisht ose t'i transferojë ato drejtpërdrejt te një kontrollues tjetër, kur përpunimi bazohet në pëlqim ose në një kontratë dhe kryhet me mjete të automatizuara.

Pëlqim i vlefshëm sipas GDPR-së: lamtumirë kutive të paracaktuara

Në shumë faqe interneti, pëlqimi është baza kryesore ligjore, por GDPR përcakton kushte shumë specifike që ai të jetë i vlefshëm. Duhet të jetë i lirë, specifik, i informuar dhe i paqartë, e shprehur përmes një veprimi të qartë afirmativ.

Kjo do të thotë që pëlqimi i nënkuptuar, si p.sh. "nëse vazhdoni të shfletoni, ju pranoni...", nuk është i vlefshëm, ashtu si kutitë e para-shënuara ose fshehja e pranimit brenda tekstit të përgjithshëm. Përdoruesi duhet shënoni vullnetarisht një kuti ose ndërmerrni një veprim të qartë që tregon se ai/ajo është dakord.

Për më tepër, pëlqimi duhet të jetë i grimcuarNuk mund të gruponi disa qëllime të ndryshme në një fushë të vetme. Për shembull, duhet të bëni qartë dallimin midis pranimit të përpunimit të të dhënave tuaja për t'iu përgjigjur një kërkese dhe pranimit të marrjes së komunikimeve të marketingut.

Duhet të jesh në gjendje të jepni prova se kur dhe si e keni marrë atë pëlqim...në rast se autoritetet ose vetë përdoruesi e kërkojnë. Dhe, ashtu siç jepet, duhet të jetë e lehtë për t'u tërhequr në çdo kohë, pa penalitete ose procedura të ndërlikuara.

Çfarë duhet të përfshijë faqja juaj e internetit për t'u pajtuar me GDPR-në

Duke kaluar në anën praktike, përshtatja e faqes suaj të internetit me GDPR përfshin shqyrtimin dhe rregullimin e disa elementëve të dukshëm: tekste ligjore, cookie-t, formularët, marketingu me email dhe proceset e brendshmeNuk ka të bëjë me ripërpunimin e të gjithë faqes, por më tepër me ato zona kyçe.

Së pari, ju nevojitet një seri Faqet ligjore të arritshme nga fundi i faqesNjoftim ligjor, politikë privatësie, politikë për cookie-t dhe, nëse shisni në internet, termat dhe kushtet. Secila prej tyre shërben për një qëllim të ndryshëm dhe duhet të përshtatet për biznesin tuaj specifik.

El njoftim juridik Identifikoni pronarin e faqes së internetit (emri ose emri i kompanisë, numri i identifikimit tatimor, të dhënat e kontaktit), tregoni pronësinë intelektuale të përmbajtjes, rregulloret përkatëse dhe, kur është e aplikueshme, anëtarësimin në shoqata profesionale, numrin e regjistrimit të biznesit, etj.

La Politika e privatësisë Ky është dokumenti kryesor për mbrojtjen e të dhënave. Ai duhet të shpjegojë se cilat të dhëna mbledhni, për çfarë qëllimesh, mbi çfarë baze ligjore, për sa kohë, nëse ka ndonjë transferim ose zbulim ndërkombëtar, cilat masa sigurie aplikoni dhe si subjektet e të dhënave mund të ushtrojnë të drejtat e tyre.

La Politika Cookies Duhet të detajojë se cilat cookie janë instaluar, qëllimin e tyre, nëse janë të palës së parë apo të palës së tretë, kohëzgjatjen e tyre dhe si t'i konfiguroni ose t'i hiqni ato. Duhet të jetë i lidhur me një banner ose panel menaxhimi që lejon një pëlqim vërtet të informuar.

Nëse keni një biznes tregtie elektronike ose ofroni shërbime pagesash online, kushtet e kontraktimit Ata duhet të informojnë në lidhje me çmimet, taksat, kostot e transportit, procesin e blerjes, metodat e pagesës, kohën e dorëzimit, të drejtën e tërheqjes, kthimet, garancitë dhe detaje të tjera të kërkuara nga rregulloret e konsumatorit.

Kukitë, banderolat dhe bllokimi paraprak: çfarë kërkojnë rregulloret

Një nga fushat ku faqet e internetit dështojnë më shpesh është menaxhimi i cookie-ve. Mesazhi tipik "nëse vazhdoni të shfletoni, pranoni cookie-t" nuk është më i vlefshëm. Agjencia Spanjolle e Mbrojtjes së të Dhënave (AEPD) dhe legjislacioni evropian kërkojnë... një sistem pëlqimi i detajuar, paraprak dhe i revokueshëm.

Duhet të tregoni një banderolë e qartë dhe e dukshme për cookie-t që shpjegon, në një mënyrë të thjeshtë, se për çfarë përdorni cookies, dhe që ofron mundësi reale për t'i pranuar ose refuzuar ato sipas kategorive (teknike, analitike, personalizimi, reklamimi, etj.).

Është e detyrueshme që, përpara se përdoruesi të pranojë, Mos aktivizoni cookie-t jo-teknikeMe fjalë të tjera, Google Analytics, pikselët e reklamave, mjetet e gjurmimit të bisedave etj., nuk duhet të ngarkohen derisa të ketë veprime afirmative.

Përveç banderolës fillestare, duhet të ketë një paneli i konfigurimit ku përdoruesi mund të modifikojë preferencat e tij ose të tërheqë pëlqimin në çdo kohë. Është gjithashtu e rëndësishme të rishikohen periodikisht cookie-t aktuale të përdorura nga faqja e internetit, duke përfshirë ato të futura nga shtojcat dhe shërbimet e palëve të treta.

Për të menaxhuar të gjitha këto, shpesh është e dobishme të integrohet sistemi i cookie-ve me Menaxheri i Etiketave Google ose mjete të tjeranë mënyrë që etiketat të aktivizohen vetëm kur përdoruesi ka dhënë miratimin e tij për secilën kategori.

Formularët në internet, abonimet dhe buletinet në përputhje me GDPR-në

Çdo formular në faqen tuaj të internetit është një pikë kritike përputhshmërie. Qoftë një formular kontakti, një kërkesë për ofertë, një regjistrim në një event apo një abonim në buletin, të gjitha duhet të përmbushen. Përfshini informacionin bazë dhe një kuti pranimi të pazgjedhur.

Së bashku me formularin, duhet të tregoni shkurtimisht: Kush është përgjegjës, për çfarë qëllimi mblidhen të dhënat, cila është baza ligjore, nëse do të ketë transferime ose përdorim të mjeteve të jashtme dhe si të ushtrohen të drejtatNga aty mund të lidheni me politikën e privatësisë për më shumë detaje.

Nuk duhet të kërkoni më shumë të dhëna sesa është e nevojshme për detyrën specifike. Për shembull, për një abonim në buletinin informativ, zakonisht mjafton një adresë email-i dhe ndoshta një emër për personalizim. Kur hartoni formularë me të mira krijuesit e faqeve të internetitPërfshirja e një kutie kontrolli të veçantë për pranimin e komunikimeve të marketingut është çelësi për të shmangur konfuzionin.

Në marketingun me email, duhet të merrni shpreh pëlqimin për të dërguar buletine informativeSidomos nëse marrësit janë individë. Për më tepër, të gjitha emailet duhet të përfshijnë një opsion të lehtë çabonimi, dhe këshillohet që abonimet, çabonimet dhe ndryshimet e preferencave të menaxhohen në një mënyrë të gjurmueshme.

Nëse keni pasur tashmë një listë pajtimtarësh para GDPR-së, mund t'ju jetë dashur ta bënit këtë. riafirmo pëlqimin të atyre kontakteve, autorizimi i të cilëve nuk i plotësonte standardet aktuale, nëpërmjet fushatave të rikonfirmimit.

Regjistrimi i aktiviteteve të trajtimit dhe dokumentacioni i brendshëm

Përtej asaj që sheh përdoruesi, GDPR kërkon që ju të mbani një regjistër i brendshëm i aktiviteteve të trajtimit ku përshkruani se cilat të dhëna përpunoni, për çfarë qëllimesh, cilat grupe përfshihen, kujt i komunikohen dhe cilat masa sigurie aplikoni.

Ky regjistrim zakonisht është i detyrueshëm për shumicën e kompanive dhe individëve të vetëpunësuar që përpunojnë të dhëna në mënyrë të rregullt. Ai shërben për të mbajtur gjurmët e të dhënave. një hartë e qartë e rrjedhave të informacionit brenda organizatës dhe është një nga dokumentet e para që autoriteti mbikëqyrës mund të kërkojë në rast inspektimi.

Së bashku me këtë regjistrim, këshillohet të dokumentohet politikat e sigurisë së brendshme, procedurat për ushtrimin e të drejtave, protokollet e reagimit ndaj shkeljeve të të dhënave dhe të dhënat e trajnimit të kryera ndaj stafit. E gjithë kjo ndihmon për të demonstruar përgjegjësi proaktive.

Kur një projekt ose teknologji e re paraqet një rrezik të lartë për të drejtat dhe liritë e njerëzve (për shembull, monitorimi masiv, profilizimi kompleks ose përdorimi intensiv i të dhënave të ndjeshme), do të duhet të bëni një vlerësimin e ndikimit në mbrojtjen e të dhënave para se ta filloni.

Zyrtari i Mbrojtjes së të Dhënave, furnizuesit dhe transfertat ndërkombëtare

Jo të gjitha organizatat kanë nevojë të kenë një të tillë, por në shumë raste është e detyrueshme të emërohet një i tillë. Zyrtari i Mbrojtjes së të Dhënave (DPO)Është thelbësore kur kemi të bëjmë me autoritete ose organe publike, kur monitorimi është rutinë dhe sistematik në shkallë të gjerë, ose kur kemi të bëjmë me kategori të veçanta të të dhënave në shkallë të gjerë.

DPD është një figurë e pavarur që Mbikëqyr pajtueshmërinë e brendshme, jep këshilla mbi detyrimet ligjore, shqyrton vlerësimet e ndikimit dhe vepron si pikë kontakti me autoritetin e mbrojtjes së të dhënave dhe palët e interesuara.Mund të jetë një punonjës ose një profesionist i jashtëm i punësuar për shërbime.

Paralelisht, duhet të rishikoni të gjitha furnizuesit që veprojnë si përpunues të të dhënave (hosting, mjete cloud, agjenci, softuer menaxhimi, etj.) dhe të nënshkruajnë kontrata me ta që rregullojnë qartë detyrimet e konfidencialitetit, sigurisë dhe kthimit ose shkatërrimit të të dhënave pas ndërprerjes së shërbimit.

Nëse ndonjë nga këta furnizues është jashtë Zonës Ekonomike Evropiane, do t'ju duhet të siguroheni që ata ekzistojnë. një mekanizëm i vlefshëm transferimi ndërkombëtarvendimi i Komisionit Evropian për mjaftueshmërinë, klauzolat standarde kontraktuale, rregullat detyruese të korporatave ose, në raste të mbetura, përjashtime të tilla si pëlqimi i qartë i subjektit të të dhënave.

Mbani mend se, sipas GDPR-së, ju, si kontrollues i të dhënave, jeni kryesisht përgjegjës në rast të një shkeljeje me një ofrues, kështu që Vlerësoni me kujdes rrezikun kur zgjidhni mjetet dhe partnerët. Është e rëndësishme të shmangni surprizat e pakëndshme.

Siguria, shkeljet e të dhënave dhe sistemi i shqyrtimit të vazhdueshëm

GDPR nuk thotë saktësisht se cilat masa teknike duhet të zbatoni, por kërkon që ju t'i miratoni ato. kontrollet e sigurisë në përpjesëtim me rrezikun: vërtetimi me shumë faktorëEnkriptimi i informacionit të ndjeshëm, politikat e forta të fjalëkalimeve, kopjet rezervë të rregullta, segmentimi i aksesit, auditimet dhe testimet.

Kur ndodh një incident sigurie që ndikon në të dhënat personale - qasje e paautorizuar, rrjedhje, humbje, shkatërrim aksidental - duhet të keni një protokolli i menaxhimit të boshllëqeve që ju lejon të analizoni se çfarë ka ndodhur, të përmbani dëmin dhe të regjistroni gjithçka që ka ndodhur. Konsultohuni me një një listë e veprimeve kryesore pas një incidenti për të strukturuar atë protokoll.

Nëse boshllëku përbën rrezik për të drejtat dhe liritë e personave të prekur, do të duhet të njoftoni autoritetin e mbrojtjes së të dhënave brenda një maksimumi prej 72 orësh sapo të bëheni të vetëdijshëm për këtë. Dhe nëse rreziku është i lartë, duhet t'i informoni edhe personat e prekur qartë dhe drejtpërdrejt.

Pajtueshmëria me GDPR nuk është diçka që ndodh vetëm një herë. Ajo kërkon krijimin e një sistemi i monitorimit dhe auditimit periodikRishikoni regjistrin e aktiviteteve të paktën një herë në vit, përditësoni politikat kur ndryshojnë proceset ose rregulloret, kontrolloni efektivitetin aktual të masave të sigurisë dhe rishikoni kontratat me furnizuesit.

Shumë organizata mbështeten në zgjidhje të specializuara për privatësinë dhe menaxhimin e të dhënave Këto mjete automatizojnë inventarin e të dhënave, menaxhimin e pëlqimeve, përgjigjen ndaj kërkesave për të drejtat e subjekteve të të dhënave dhe përgatitjen e raporteve të pajtueshmërisë. Ato nuk janë të detyrueshme, por mund të kursejnë kohë dhe të zvogëlojnë gabimet.

Dizajnimi i një faqeje interneti që përputhet me GDPR përfshin kuptimin e rregullores, identifikimin e të dhënave që trajtoni, dokumentimin e aktiviteteve tuaja të përpunimit, përshtatjen e teksteve dhe formularëve, konfigurimin e saktë të cookie-ve dhe mjeteve të palëve të treta, nënshkrimin e kontratave të përshtatshme me ofruesit dhe mirëmbajtjen e një sistemi sigurie dhe rishikimi të vazhdueshëm; duke vepruar kështu, ju jo vetëm që mbroheni nga gjobat, por gjithashtu konsolidoni një... marrëdhënie të qëndrueshme dhe të besueshme me përdoruesit dhe klientët tuajtë cilët do ta perceptojnë projektin tuaj si një mjedis serioz, të sigurt dhe profesional ku informacioni i tyre është vërtet i mbrojtur.