GDPR je celosvětové měřítko pro ochranu soukromí. Je to sice zákon EU, ale týká se každé firmy, která má návštěvníky z EU. U analytiky je GDPR jasné: před sledováním většiny chování uživatelů potřebujete výslovný souhlas, musíte zdokumentovat svůj právní základ a musíte respektovat práva uživatelů na přístup k datům a jejich smazání. Pochopení GDPR je základ pro budování analytiky v souladu s předpisy kdekoli na světě.
Základní požadavky GDPR na analytiku
GDPR vymezuje osobní údaje široce: cokoli, co může identifikovat člověka, přímo nebo nepřímo. IP adresa je osobní údaj. Unikátní cookie je osobní údaj. E-mailové adresy, telefonní čísla a identifikátory spadají pod GDPR. U analytiky to znamená, že téměř každé sledování spouští požadavky GDPR.
Požadavek na souhlas
GDPR vyžaduje výslovný, informovaný souhlas dřív, než můžete sbírat většinu osobních údajů. To znamená: uživatel musí aktivně souhlasit (nestačí, že neodmítl), musí rozumět tomu, s čím souhlasí (ne ukryté v právnické mluvě), a souhlas musí být udělen svobodně (ne vynucen). U analytiky to obvykle znamená cookie lištu, která jasně vysvětlí, jaké sledování provádíte, a získá aktivní kliknutí na „Souhlasím“.
Souhlas je nejběžnější právní základ pro analytiku podle GDPR. Některé firmy místo toho uvádějí „oprávněný zájem“, ale soudy ho výrazně zúžily. Pro většinu případů použití analytiky počítejte s tím, že souhlas potřebujete.
Oprávněný zájem jako alternativa
Některé účely analytiky, například odhalování podvodů, zabezpečení webu nebo základní sledování výkonu, mohou být povoleny na základě „oprávněného zájmu“ bez výslovného souhlasu. Oprávněný zájem ale vyžaduje, aby byla obchodní potřeba skutečná, sběr dat byl přiměřený této potřebě a práva uživatelů na soukromí nepřevážila váš zájem. Většina analytiky tímto testem neprojde. Počítejte s tím, že pro většinu sledování souhlas potřebujete.
Smlouva o zpracování údajů
Pokud používáte analytický nástroj třetí strany (například Google Analytics), potřebujete s tímto dodavatelem smlouvu o zpracování údajů (DPA). Smlouva určuje, že dodavatel je váš zpracovatel, ne samostatný správce. Bez smlouvy můžete odpovídat za postupy dodavatele. S ní je odpovědnost jasně rozdělena.
Práva uživatelů podle GDPR
GDPR dává jednotlivcům šest hlavních práv, která ovlivňují analytiku: právo vědět, jaká data o nich držíte (právo na přístup), právo na opravu nepřesných dat, právo na výmaz dat (právo být zapomenut), právo omezit zpracování, právo na přenositelnost dat a právo vznést námitku proti zpracování.
Právo na přístup
Uživatelé si mohou vyžádat všechna data, která o nich držíte. Musíte odpovědět do 30 dnů s úplným záznamem. U analytiky to znamená, že potřebujete systémy, které umí vyhledat a vykázat data jednotlivého uživatele. Pokud jsou vaše analytická data uložena tak, že se špatně vyhledávají, máte problém se souladem s GDPR.
Právo být zapomenut
Uživatelé mohou požádat o smazání svých dat. Musíte vyhovět do 30 dnů (s některými výjimkami kvůli zákonným povinnostem). U analytiky to znamená, že musíte umět smazat záznamy jednotlivých uživatelů. Pokud jsou vaše analytická data agregovaná nebo anonymizovaná, je to jednodušší. Pokud jsou svázána s konkrétními identitami, musíte mít zavedené systémy pro mazání.
Právo vznést námitku
Uživatelé mohou vznést námitku proti jakémukoli zpracování svých dat. Musíte přestat (pokud nemáte závažný právní důvod pokračovat). U analytiky to znamená, že uživatelé potřebují snadný způsob, jak sledování odmítnout. Odmítnutí musí být stejně snadné jako udělení souhlasu.
GDPR v praxi
Soulad analytiky s GDPR vyžaduje: jasné a snadno dohledatelné zásady ochrany soukromí, cookie lištu s žádostí o výslovný souhlas před sledováním, smlouvu o zpracování údajů s dodavatelem analytiky, systémy pro vyřízení žádostí o přístup a smazání do 30 dnů a možnost, aby uživatelé mohli souhlas kdykoli odvolat.
Časté porušení GDPR v analytice
Předem zaškrtnutá políčka souhlasu: Uživatel musí souhlas aktivně odkliknout. Políčko, které je už zaškrtnuté, není platný souhlas.
Sdružený souhlas: Uživatelé musí souhlasit s analytikou zvlášť. Souhlas s analytikou, marketingem a dalšími účely nelze spojit do jednoho přepínače.
Žádné smlouvy s dodavateli: Používat analytický nástroj třetí strany bez DPA je porušení. Postupy dodavatele jsou vaše odpovědnost.
Žádná možnost odmítnutí: Pokud je pro sledování nutný souhlas, musí mít uživatelé jasný způsob, jak ho odmítnout. Skryté odkazy pro odmítnutí se nepočítají.
Nemožné smazání: Slíbit smazání dat a nemít systémy, které to umí, je porušení. Smazání musí být technicky možné.
GDPR a přenosy dat
GDPR omezuje přenos dat obyvatel EU mimo EU, pokud nejsou zajištěna rovnocenná ochranná opatření. Pokud váš dodavatel analytiky ukládá data v USA, potřebujete právní mechanismus (standardní smluvní doložky, závazná podniková pravidla), aby byl přenos v souladu s GDPR. To je častý problém analytických týmů. Mnoho nástrojů z USA dnes nabízí servery v EU nebo záruky umístění dat, které to řeší.
Jak se souhlas podle GDPR liší od oprávněného zájmu? Proč se u analytiky nespoléhat na oprávněný zájem?
Souhlas je výslovný opt-in. Oprávněný zájem znamená tvrzení, že vaše obchodní potřeby převažují nad obavami o soukromí. Soudy oprávněný zájem zúžily, protože ho firmy zneužívaly. U analytiky: sledování zobrazení stránek kvůli výkonu může jako oprávněný zájem projít. Podrobné sledování chování pravděpodobně ne. Evropské úřady říkají: pokud jde o marketing nebo behaviorální analytiku, získejte souhlas. Nepředpokládejte, že oprávněný zájem bude fungovat. Bezpečný přístup: s analytikou zacházejte jako s činností, která vyžaduje souhlas.
Co v cookie liště znamená srozumitelné vysvětlení?
Srozumitelné znamená čitelný prostý jazyk, ne právnická mluva. Konkrétní znamená, že řeknete, co sledujete, ne vágní fráze jako „zlepšujeme váš zážitek“. Příklad vágního textu: „Používáme analytické cookies.“ Příklad srozumitelného: „Používáme Google Analytics k měření návštěv stránek, kliknutí na tlačítka a času na stránce, abychom web zlepšovali.“ Uveďte: název nástroje, co sbírá, proč to sbíráte, dobu uchování a zda data sdílíte s třetími stranami. Test: pochopil by netechnický člověk, co sledujete, aniž by klikal na vaše zásady ochrany soukromí? Pokud ano, je to dostatečně srozumitelné.
Potřebuji DPA s Google Analytics, nebo jen se specializovanými dodavateli?
DPA potřebujete s každým nástrojem, který zpracovává osobní údaje. Google Analytics zpracovává osobní údaje (IP adresy, relace, ID uživatelů), takže ano. Google poskytuje DPA automaticky v rámci svých podmínek. Ověřte si: přihlaste se do Google Analytics a zkontrolujte, že jste přijali jejich dodatek o zpracování údajů. Specializovaní dodavatelé analytiky také zpracovávají osobní údaje, takže DPA potřebujete i s nimi. Většina je poskytuje ve svých podmínkách nebo jako samostatné dokumenty. Pravidlo: pokud dodavatel pracuje s osobními údaji, potřebujete DPA. Pokud ji nezískáte, dodavatele nepoužívejte.
Jaký je rozdíl mezi standardními smluvními doložkami a rozhodnutími o odpovídající ochraně?
Oba jsou mechanismy, jak právně přenést data z EU mimo EU. Rozhodnutí o odpovídající ochraně znamená, že EU určila, že země má rovnocennou ochranu soukromí (USA ho nemají). Standardní smluvní doložky (SCC) jsou smlouvy s dodavateli, které je zavazují k evropským standardům. Praktický rozdíl: rozhodnutí o odpovídající ochraně jsou jednodušší, SCC vyžadují smlouvy. U analytiky většina dodavatelů (včetně Googlu) nabízí SCC ve svých DPA. Ověřte u svého dodavatele: nabízí standardní smluvní doložky pro přenosy dat z EU? Pokud ano, použijte je. Pokud ne, používejte jen dodavatele s úložištěm dat v EU.
Když dostanu žádost o přístup k datům, co přesně musím z analytiky poskytnout?
Všechno, co o dané osobě máte, v čitelném formátu. Z Google Analytics: všechny relace a události (pokud sledujete ID uživatelů) nebo ID relací. Uveďte: data, navštívené stránky, spuštěné události, čas na stránce a jakékoli osobní údaje (jména, e-maily). Z dalších systémů: heatmapy, nahrávky relací, sledování chování. Exportujte jako PDF nebo HTML, ne jako surové výpisy databáze. Uživatel by měl výstupu rozumět bez technických znalostí. Pokud data jednotlivého uživatele nedokážete snadno vyhledat, máte problém s GDPR. Většina platforem umožňuje export po jednotlivých uživatelích. Pokud ta vaše ne, změňte platformu nebo si vytvořte vlastní export.
Můj konkurent nemá cookie lištu a sleduje uživatele. Jak může být v souladu s GDPR?
Buď: (1) Ve skutečnosti v souladu s GDPR není a doufá, že ho úřady nechytí (riskantní). (2) Tvrdí, že jeho sledování je oprávněný zájem (soudy jsou skeptické). (3) Sleduje jen anonymizovaná nebo agregovaná data (souhlas není potřeba). (4) Sleduje jen nezbytné cookies (přihlášení, CSRF, souhlas není potřeba). (5) Působí tam, kde je vymáhání GDPR slabé. Realita: mnoho firem GDPR porušuje a nikdy je nikdo nechytí. Riziko je ale skutečné: jedna stížnost spustí šetření a pokuty. Rozumný přístup: počítejte s tím, že GDPR platí, pokud máte návštěvníky z EU, nastavte souhlas správně a nespoléhejte na to, že konkurenti předpisy porušují.