RODO: pliki cookie, formularze i polityka prywatności

Moduł 9: E-mail, widoczność w wyszukiwarkach (SEO), RODO, konserwacja i migracja · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili uporządkować podstawy RODO na stronie WordPress: wiedzieć, jakie dane osobowe są przetwarzane, poprawnie skonfigurować pliki cookie i treści zewnętrzne, odpowiednio przygotować formularze oraz sporządzić politykę prywatności.

Kluczowe pojęcia: dane osobowe, przetwarzanie, podstawa prawna, obowiązek informacyjny, polityka prywatności, zasada dotycząca plików cookie (dyrektywa ePrivacy), zgoda, pliki cookie funkcjonalne i analityczne, pliki cookie śledzące, baner cookie, treści zewnętrzne, formularze, okres przechowywania, podmiot przetwarzający, umowa powierzenia przetwarzania danych, naruszenie ochrony danych

Ta lekcja stanowi ogólne wyjaśnienie, a nie poradę prawną. W Państwa konkretnej sytuacji prosimy zapoznać się z informacjami organu nadzorczego ds. ochrony danych w swoim kraju lub zwrócić się do specjalisty.

Co RODO ma wspólnego z Państwa stroną internetową

RODO (ogólne rozporządzenie o ochronie danych) dotyczy danych osobowych: wszystkiego, co pozwala bezpośrednio lub pośrednio rozpoznać konkretną osobę. Na stronie internetowej jest tego więcej, niż mogłoby się wydawać: imię i nazwisko oraz adres e-mail z formularza, zamówienie, konto, ale także adres IP oraz plik cookie z unikalnym numerem.

Niemal każda strona WordPress przetwarza więc dane osobowe: w formularzach, komentarzach, kontach, zamówieniach, dziennikach serwera, kopiach zapasowych, dziennikach poczty (lekcja 9.1) oraz w tym, co strona wysyła do innych podmiotów. Obowiązują przy tym między innymi następujące zasady:

• Dla każdego przetwarzania potrzebna jest podstawa prawna (art. 6 RODO), na przykład: niezbędność do wykonania umowy (zamówienie), zgoda (newsletter) albo prawnie uzasadniony interes.
• Przetwarzają Państwo nie więcej danych, niż to konieczne, i nie przechowują ich dłużej, niż to konieczne.
• Informują Państwo osoby o tym, co Państwo robią (art. 13 RODO): służy do tego polityka prywatności.
• Zabezpieczają Państwo dane w odpowiedni sposób (https, aktualizacje, kopie zapasowe: pozostała część tego kursu).
• Jeśli zlecają Państwo przetwarzanie danych innemu podmiotowi (swojemu dostawcy hostingu, usłudze pocztowej, wtyczce korzystającej z usługi chmurowej), jest to podmiot przetwarzający i powinni Państwo zawrzeć z nim umowę powierzenia przetwarzania danych (art. 28 RODO). Dostawcy hostingu i duże usługi zwykle mają taką umowę gotową w standardowej formie.
• Jeśli coś pójdzie nie tak (włamanie, wyciekła kopia zapasowa), mamy do czynienia z naruszeniem ochrony danych, które czasem trzeba zgłosić (lekcja 7.5).

Pliki cookie: dyrektywa ePrivacy

W odniesieniu do plików cookie (oraz podobnych technik, jak local storage i piksele śledzące) obowiązuje dodatkowo zasada dotycząca plików cookie z europejskiej dyrektywy ePrivacy (w Polsce: ustawa Prawo komunikacji elektronicznej; w Holandii: art. 11.7a Telecommunicatiewet). W skrócie, zgodnie z wyjaśnieniami holenderskiego organu nadzorczego (Autoriteit Persoonsgegevens):

• Pliki cookie funkcjonalne, niezbędne do działania strony (plik cookie logowania, koszyk zakupowy, zapamiętanie samego wyboru dotyczącego cookie): mogą być stosowane bez zgody. Trzeba jednak o nich poinformować.
• Pliki cookie analityczne o braku lub znikomym wpływie na prywatność: mogą być stosowane bez zgody, jeśli spełniają określone warunki. Chodzi na przykład o statystyki prowadzone samodzielnie lub skonfigurowane w sposób przyjazny dla prywatności (brak udostępniania danych, skrócone adresy IP, brak śledzenia na innych stronach).
• Pliki cookie śledzące i wszystko, co śledzi odwiedzających lub tworzy profile (reklamy, media społecznościowe, większość osadzonych usług dużych platform): dopiero po uzyskaniu zgody, a więc mogą się ładować dopiero po tym, jak odwiedzający powie „tak”.

Baner cookie służy do uzyskania tej zgody. Holenderski organ nadzorczy wskazuje między innymi: należy wyjaśnić, jakie pliki cookie są używane i w jakim celu, odmowa musi być tak samo łatwa jak zaakceptowanie, oraz nie mogą być stosowane pola domyślnie zaznaczone. Baner, który oferuje tylko przycisk „OK”, albo który ładuje kod śledzący jeszcze przed dokonaniem wyboru, nie spełnia wymogów. Istnieje wiele wtyczek do obsługi cookie dla WordPress; proszę wybrać taką, która rzeczywiście blokuje skrypty do czasu wyrażenia zgody, i sprawdzić to (pomoże w tym zadanie z tej lekcji).

Treści zewnętrzne: co Państwa strona wysyła do innych

Nawet bez plików cookie Państwa strona wysyła dane do innych podmiotów, gdy tylko strona ładuje coś od nich. Przeglądarka odwiedzającego pobiera wtedy zasób od tego podmiotu, który widzi przynajmniej adres IP. Przykłady:

W Niemczech sąd (LG München I, styczeń 2022) orzekł, że ładowanie czcionek z usługi zewnętrznej bez zgody było niezgodne z RODO, ponieważ tym samym przekazywany był adres IP odwiedzającego. Nie jest to wyrok wydany w Holandii, ale pokazuje on istotę problemu: każde zewnętrzne źródło powinni Państwo potrafić wyjaśnić.

Formularze

Formularz stanowi przetwarzanie danych. Proszę zwrócić uwagę na:

• Proszę pytać tylko o to, co jest potrzebne. Do prośby o oddzwonienie wystarczy imię i numer telefonu, nie potrzeba adresu ani daty urodzenia.
• Przez https (lekcja 3.1), w przeciwnym razie dane przesyłane są przez internet w postaci niezaszyfrowanej.
• Gdzie trafiają dane? Wiele wtyczek formularzy zapisuje każde zgłoszenie również w bazie danych, oprócz wysłania e-maila. Po latach może się tam znaleźć kilka tysięcy zgłoszeń. Proszę ustawić okres przechowywania lub wyłączyć zapisywanie, jeśli wystarczy sam e-mail. Dane te znajdują się również w dzienniku poczty wtyczki SMTP (lekcja 9.1).
• Zgoda na newsletter to osobne, domyślnie niezaznaczone pole. Formularz kontaktowy nie jest zapisem do newslettera.
• Zabezpieczenie antyspamowe: patrz tabela powyżej.

Polityka prywatności

WordPress podczas instalacji tworzy szkic strony Polityka prywatności i w Ustawienia > Prywatność udostępnia narzędzie pomocnicze z przykładowymi tekstami; wtyczki przetwarzające dane mogą dodawać tam własny tekst. To dopiero początek, a nie gotowy rezultat. Polityka prywatności, zgodnie z art. 13 RODO, opisuje między innymi:

• kim Państwo są i jak można się z Państwem skontaktować;
• jakie dane osobowe są przetwarzane, w jakim celu i na jakiej podstawie prawnej;
• z kim są one udostępniane (podmioty przetwarzające, inne strony) i czy trafiają poza UE;
• jak długo są przechowywane;
• jakie prawa przysługują osobom (wgląd, sprostowanie, usunięcie, sprzeciw) oraz że mogą złożyć skargę do organu nadzorczego ds. ochrony danych;
• jakie pliki cookie i usługi zewnętrzne wykorzystuje strona.

Proszę umieścić link do polityki prywatności w stopce (lekcja 4.3), aby był widoczny na każdej stronie, a także przy każdym formularzu.

WordPress w zakładce Narzędzia oferuje też funkcje eksportu danych osobowych oraz ich usuwania na żądanie użytkownika. Przydatne przy wniosku o wgląd lub usunięcie danych, ale znajdują one tylko dane WordPress i wtyczek, które się z nimi integrują.

Prosty plan działania

1. Proszę sporządzić listę wszystkich przetwarzań danych na stronie: formularze, konta, zamówienia, komentarze, statystyki, newsletter, dzienniki, kopie zapasowe.
2. Proszę sprawdzić, co strona wysyła do innych podmiotów podczas ładowania (zadanie z tej lekcji).
3. Proszę usunąć to, co niepotrzebne, i zastąpić to, co można zrobić bardziej przyjaźnie dla prywatności.
4. Proszę uregulować zgodę na to, co pozostaje i rzeczywiście wymaga zgody, za pomocą banera, który blokuje skrypty.
5. Proszę zawrzeć umowy powierzenia przetwarzania danych i napisać (lub przepisać) politykę prywatności.
6. Proszę przeglądać to co roku (lekcja 9.4) oraz po każdej nowej wtyczce przetwarzającej dane.

Podsumowanie

• Niemal każda strona WordPress przetwarza dane osobowe: formularze, konta, adresy IP, dzienniki, kopie zapasowe.
• Pliki cookie funkcjonalne i ograniczone analityczne mogą być stosowane bez zgody; śledzące dopiero po zgodzie, i dopiero wtedy mogą się ładować.
• Treści zewnętrzne (czcionki, filmy, mapy, captcha) wysyłają dane do innych podmiotów; proszę umieścić je lokalnie albo ładować dopiero po kliknięciu.
• W formularzach proszę pytać tylko o to, co potrzebne, nie przechowywać zgłoszeń bez końca, pole zgody na newsletter oddzielnie i niezaznaczone domyślnie.
• Polityka prywatności zgodna z art. 13 RODO, widoczna na każdej stronie; umowy powierzenia przetwarzania z dostawcą hostingu i usługami.

Quiz

Zadanie

Zadanie A9.3: Co Państwa strona wysyła innym? Proszę wpisać adres swojej strony. Program ładuje stronę główną tak, jak nowy odwiedzający bez plików cookie i bez udzielonej zgody, a następnie podaje zestawienie: jakie pliki cookie serwer umieszcza od razu (tylko nazwy) oraz z jakich innych domen strona ładuje skrypty, czcionki, ramki iframe lub obrazy. Znane usługi statystyczne, reklamowe, społecznościowe, czcionek i wideo są zgłaszane z nazwy (pomarańczowy kolor: „proszę sprawdzić, czy to ładuje się dopiero po zgodzie, albo zastąpić to czymś innym”). Dodatkowo sprawdzane jest, czy na stronie głównej znajduje się link do polityki prywatności.

Zadanie D9.3: Rejestr czynności przetwarzania i polityka prywatności. Proszę sporządzić listę wszystkich przetwarzań danych na stronie (formularze, konta, zamówienia, komentarze, statystyki, newsletter, dzienniki, kopie zapasowe), z podaniem dla każdego przetwarzania: jakie dane, w jakim celu, podstawa prawna, gdzie są przechowywane, jak długo i jaki podmiot przetwarzający jest zaangażowany. Proszę porównać tę listę ze swoją polityką prywatności i zaznaczyć, co się w niej znajduje. Proszę zanotować, co dodają Państwo lub usuwają, oraz które usługi zewnętrzne z zadania A9.3 zostaną zastąpione lub umieszczone za zgodą.

Dalsza lektura

Poniższe artykuły dotyczą samego WebOké; wyjaśnienia dotyczące Państwa własnej strony znajdą Państwo u organu nadzorczego ds. ochrony danych w swoim kraju.

• Pliki cookie w WebOké: sprawdzanie lub zmiana wyboru
• Pliki cookie (Autoriteit Persoonsgegevens, holenderski organ nadzorczy ds. ochrony danych): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Pliki cookie a Państwa organizacja: proszę zadbać o dobrą politykę (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Przejrzyste banery cookie (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Prawo do informacji (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Naruszenia ochrony danych (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Prywatność w WordPress (wordpress.org, w języku angielskim): https://wordpress.org/documentation/article/settings-privacy-screen/