Най-важните изисквания за уебсайтове, онлайн магазини и дигитални услуги
Всеки бизнес, който има уебсайт, онлайн магазин, форма за контакт, бюлетин или събира информация за своите клиенти, обработва лични данни и попада в обхвата на Общия регламент относно защитата на данните (GDPR).
Освен спазването на правилата за защита на личните данни, бизнесът следва да разполага и с правилно изготвени Политика за поверителност, Политика за бисквитки (Cookies Policy) и, когато е приложимо, Общи условия.
Липсата на тези документи или тяхното формално копиране от друг уебсайт може да доведе до нарушения на законодателството, санкции и загуба на доверие от страна на клиентите.
Какво представляват личните данни?
Съгласно Регламент (ЕС) 2016/679 (GDPR) лични данни са всяка информация, чрез която едно физическо лице може да бъде пряко или непряко идентифицирано.
Такива могат да бъдат например:
- име;
- електронна поща;
- телефонен номер;
- IP адрес;
- данни за местоположение;
- онлайн идентификатори;
- комбинация от различни данни, които позволяват идентифициране на дадено лице.
Практически всеки уебсайт обработва поне част от тази информация.
Какво представляват GDPR, Cookies и Общите условия?
GDPR
GDPR е Общият регламент относно защитата на личните данни на Европейския съюз. Той определя правилата за събиране, обработване, съхраняване и защита на личните данни и е пряко приложим във всички държави членки, включително България.
Cookies
Cookies (бисквитките) са малки файлове, които се записват на устройството на потребителя при посещение на даден уебсайт.
Те могат да бъдат необходими за нормалната работа на сайта, но често се използват и за анализ на потребителското поведение, маркетинг и персонализирана реклама. Именно поради това използването им е обект на специални законови изисквания.
Общи условия
Общите условия представляват предварително изготвени договорни клаузи, които уреждат отношенията между търговеца и неговите клиенти при предоставяне на услуги или продажба на стоки.
При електронната търговия те са един от основните документи, които уреждат правата и задълженията на страните.
Най-важните изисквания към бизнеса
Законосъобразно обработване на лични данни
Всяко обработване на лични данни трябва да се основава на правно основание, предвидено в GDPR.
Често се смята, че за всяко обработване е необходимо съгласие на лицето, но това не е така. Съгласието е само едно от възможните правни основания. В много случаи обработването е законосъобразно, защото е необходимо за изпълнение на договор, за спазване на законово задължение или за защита на легитимен интерес.
Политика за поверителност
Всеки уебсайт, който обработва лични данни, следва да предоставя ясна и леснодостъпна информация относно:
- какви данни се събират;
- за какви цели;
- колко време се съхраняват;
- на кого могат да бъдат предоставени;
- какви права има потребителят.
Политика за Cookies
Ако сайтът използва аналитични, маркетингови или рекламни бисквитки, потребителят трябва да има възможност свободно да даде или да откаже своето съгласие.
Обикновеният cookies banner с бутон „Приемам“ невинаги е достатъчен, ако не предоставя реална възможност за избор.
Договор с обработващите лични данни (DPA)
Когато обработването на лични данни се извършва от външен доставчик – например хостинг компания, CRM система, счетоводна фирма или имейл платформа – отношенията следва да бъдат уредени с договор за обработване на лични данни (Data Processing Agreement), съгласно чл. 28 GDPR.
Минимизиране на събираните данни
Бизнесът следва да събира само тези лични данни, които са необходими за конкретната цел.
Изискването на повече информация от необходимото увеличава риска от нарушение на GDPR.
Сигурност и отчетност
Администраторите на лични данни трябва да предприемат подходящи технически и организационни мерки за защита на информацията.
Освен това те трябва да могат да докажат, че спазват изискванията на GDPR чрез вътрешни политики, регистри и документация.
Права на потребителите
Всеки потребител има право:
- на достъп до своите лични данни;
- на коригиране на неточни данни;
- на изтриване („правото да бъдеш забравен“);
- на ограничаване на обработването;
- на възражение срещу обработването;
- на преносимост на данните, когато законът предвижда това.
Бизнесът трябва да има ясна процедура за упражняването на тези права.
Ограничен срок за съхранение
Личните данни не могат да бъдат съхранявани безсрочно.
След отпадане на целта за обработването те трябва да бъдат изтрити или анонимизирани, освен ако законът не изисква по-дълъг срок за съхранение.
Най-честите грешки
На практика най-често се срещат:
- копирана политика за поверителност от друг сайт;
- липса на политика за cookies;
- невалиден cookies banner;
- липса на договори с обработващи лични данни;
- събиране на повече лични данни от необходимото;
- липса на вътрешни процедури за защита на личните данни.
Заключение
Съответствието с GDPR не се изчерпва с публикуването на няколко документа в уебсайта. Всеки бизнес следва да анализира какви лични данни обработва, на какво основание ги събира и дали разполага с необходимите вътрешни правила, политики и договори.
Правилно изготвените Политика за поверителност, Политика за бисквитки, Общи условия и вътрешна документация не само намаляват риска от санкции, но и повишават доверието на клиентите и партньорите.
Ако развивате онлайн бизнес, електронен магазин или корпоративен уебсайт и не сте сигурни дали отговаряте на изискванията на GDPR, консултацията с адвокат, специализиран в защитата на личните данни, може да ви помогне да приведете дейността си в съответствие със законодателството.
Екипът на G&P Law предоставя правна помощ, изготвяне на GDPR документация, политики за поверителност, политики за cookies, общи условия, договори за обработване на лични данни (DPA) и онлайн консултация с адвокат, като предлага индивидуални решения според спецификата на всеки бизнес и организира фирмени обучения за GDPR. Научете повече оттук.
Автор: Георги Иванов Стефанов
Изображения: Canva