RODO

Czym jest RODO?

Ogólne rozporządzenie o ochronie danych (RODO), w języku angielskim GDPR, jest centralnym aktem prawnym Unii Europejskiej dotyczącym ochrony danych. Obowiązuje od 25 maja 2018 roku we wszystkich państwach członkowskich UE oraz w Islandii, Liechtensteinie i Norwegii. Celem jest ujednolicenie ochrony danych osobowych w całej Europie oraz zapewnienie ludziom większej kontroli nad własnymi danymi.

Dla właścicieli stron internetowych RODO jest szczególnie istotne, ponieważ prawie każda strona internetowa przetwarza dane osobowe, często bez świadomości właściciela. Już zapisywanie adresów IP w logach serwera czy korzystanie z narzędzi analitycznych podlega pod te przepisy.

Czym są dane osobowe?

Dane osobowe to wszystkie informacje, które odnoszą się do osoby możliwej do zidentyfikowania. Należą do nich oczywiste dane, takie jak imię i nazwisko, adres e-mail czy numer telefonu, ale także mniej oczywiste informacje, jak adresy IP, dane lokalizacyjne czy identyfikatory cookies. To właśnie te niepozorne dane są na stronach internetowych nieustannie przetwarzane.

Dla kogo obowiązuje RODO?

RODO obowiązuje każde przedsiębiorstwo i organizację, która przetwarza dane osób znajdujących się w UE, niezależnie od tego, gdzie sama firma ma siedzibę. Oznacza to, że także dostawca z USA czy Azji musi przestrzegać RODO, jeśli kieruje swoją ofertę do użytkowników w UE. Dla właścicieli stron internetowych nie ma przy tym minimalnego progu wielkości. Dotyczy to również małego bloga czy strony stowarzyszenia.

Najważniejsze zasady

• Legalność i przejrzystość: Dane mogą być przetwarzane tylko na podstawie prawnej, a osoba, której dane dotyczą, musi mieć możliwość zrozumienia, co się z nimi dzieje.
• Ograniczenie celu: Dane mogą być wykorzystywane tylko do celu, w którym zostały zebrane.
• Minimalizacja danych: Mogą być zbierane tylko te dane, które są rzeczywiście potrzebne.
• Ograniczenie przechowywania: Dane nie mogą być przechowywane dłużej niż to konieczne.
• Integralność i poufność: Dane muszą być chronione odpowiednimi środkami technicznymi.

Jakie prawa mają użytkownicy?

RODO przyznaje każdej osobie szerokie prawa wobec tych, którzy przetwarzają jej dane:

• Prawo do informacji: Wiedzieć, czy i jakie dane są przetwarzane.
• Prawo do sprostowania: Poprawić błędne dane.
• Prawo do usunięcia: Znane również jako "prawo do bycia zapomnianym".
• Prawo do przenoszenia danych: Otrzymać własne dane w powszechnie używanym formacie.
• Prawo do sprzeciwu: Wystąpić przeciwko przetwarzaniu własnych danych.

Zapytania tego typu muszą być przez przedsiębiorstwa rozpatrzone zazwyczaj w ciągu miesiąca.

Co konkretnie oznacza RODO dla właścicieli stron internetowych?

Z teorii wynikają dla każdej strony internetowej praktyczne obowiązki:

• Polityka prywatności: Każda strona internetowa musi posiadać pełną, łatwo dostępną politykę prywatności, w której opisane są wszystkie wykorzystywane usługi oraz przetwarzanie danych.
• Baner zgody na cookies: W przypadku wszystkich cookies i narzędzi, które nie są technicznie niezbędne (np. narzędzia analityczne czy marketingowe), konieczne jest uzyskanie aktywnej zgody odwiedzających przed ich uruchomieniem. Zwykłe powiadomienie nie wystarcza.
• Zabezpieczenie formularzy kontaktowych: Formularze powinny być szyfrowane za pomocą SSL i zawierać tylko niezbędne pola.
• Umowy powierzenia przetwarzania danych (AVV): Z dostawcami usług, którzy przetwarzają dane w imieniu właściciela strony (np. dostawcy hostingu czy narzędzia do newsletterów), należy zawrzeć odpowiednią umowę.
• Wybór narzędzi przyjaznych ochronie danych: Narzędzia z serwerami w UE lub z anonimizacją danych znacznie ułatwiają zgodne z prawem korzystanie.

Ważne pułapki w sieci

• Hostowanie Google Fonts lokalnie: Jeśli czcionki są ładowane bezpośrednio z serwerów Google, adres IP odwiedzającego jest przekazywany do Google. Czcionki powinny być zamiast tego przechowywane lokalnie na własnym serwerze.
• Ładowanie narzędzi analitycznych dopiero po wyrażeniu zgody: Narzędzia takie jak Google Analytics mogą być aktywowane dopiero po uzyskaniu zgody odwiedzającego.
• Osadzone treści: Filmy z YouTube, mapy czy przyciski mediów społecznościowych często już podczas ładowania strony przekazują dane stronom trzecim. Pomagają tu rozwiązania dwuklikowe lub opcje osadzania przyjazne ochronie danych.

Kary za naruszenia

RODO przewiduje dotkliwe kary. W przypadku poważnych naruszeń grożą grzywny w wysokości do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Choć takie najwyższe kary dotyczą zazwyczaj dużych koncernów, to także właściciele małych stron internetowych narażeni są na realne ryzyko wezwań do zaprzestania naruszeń i mniejszych kar.

Podsumowanie

RODO może na pierwszy rzut oka wydawać się skomplikowane, jednak dla większości stron internetowych można je wdrożyć przy stosunkowo niewielkim nakładzie pracy: przejrzysta polityka prywatności, działający baner zgody na cookies, szyfrowanie SSL oraz świadomy wybór narzędzi przyjaznych ochronie danych pokrywają większość wymagań. Kto traktuje ochronę danych poważnie, nie tylko unika ryzyka prawnego, ale także buduje zaufanie swoich odwiedzających.

Uwaga: Ten tekst służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. W przypadku konkretnych pytań dotyczących wdrożenia należy skonsultować się z adwokatem specjalizującym się w ochronie danych lub inspektorem ochrony danych.