Co jsou zásady ochrany osobních údajů na webu

Potřebujete na webu zásady ochrany osobních údajů, i když sbíráte jen e-mailovou adresu? Odpověď zní ano a důvod je důležitější než samotné pravidlo. Zásady ochrany osobních údajů na webu říkají návštěvníkům přesně, jaká data sbíráte, jak je používáte a kdo další je vidí, a ve většině zemí je toto zveřejnění dnes zákonným požadavkem, ne volitelným doplňkem.

Zásady ochrany osobních údajů na webu jsou právní dokument, který vysvětluje, jaké osobní údaje web od návštěvníků sbírá, jak se používají, jak dlouho se uchovávají, komu se mohou předávat a jaká práva mají návštěvníci ke svým informacím. Vztahují se na každý web, který sbírá data v jakékoli podobě, včetně kontaktních formulářů, analytických nástrojů, odběru e-mailů, cookies a zpracování plateb. Pochopit, co zásady ochrany osobních údajů jsou a co mají říkat, je jedním ze základních kroků odpovědného provozu webu a patří k dalším nezbytným stránkám webu, které by měl mít každý web od prvního dne.

Proč každý web potřebuje zásady ochrany osobních údajů?

Stručná odpověď zní, že téměř každý web sbírá osobní údaje, i když si toho majitel není vědom. Instalace analytického nástroje, vložení kontaktního formuláře nebo přidání přihlášení k newsletteru jsou všechno formy sběru dat. Právo na ochranu soukromí ve většině významných trhů vyžaduje, aby každý web sbírající data od obyvatel dané jurisdikce tuto praxi jasně a písemně zveřejnil.

Obecné nařízení EU o ochraně osobních údajů, běžně známé jako GDPR, se vztahuje na každý web dostupný obyvatelům EU, bez ohledu na to, kde je web hostovaný nebo kde sídlí jeho majitel. Vyžaduje zákonný důvod pro sběr každého typu dat, jasné zveřejnění toho, co se sbírá, a mechanismus, jímž mohou uživatelé požádat o smazání svých dat. Kalifornský zákon o ochraně spotřebitelů (CCPA) ukládá podobné požadavky webům, které pracují s obyvateli Kalifornie. Austrálie, Kanada, Brazílie a Spojené království mají vlastní rámce, které se ve většině podstatných bodů překrývají.

Ignorovat tyto povinnosti není nízkorizikový postoj. Pokuty podle GDPR mohou dosáhnout 4 % celosvětového ročního obratu. V praxi ještě důležitější je, že web bez zásad ochrany osobních údajů dává návštěvníkům najevo, že majitel pečlivě nepřemýšlel o tom, jak se s jejich daty nakládá, což poškozuje důvěru dřív, než kdokoli přečte slovo z vašeho obsahu.

Co musí zásady ochrany osobních údajů obsahovat?

Povinné prvky se mezi jurisdikcemi mírně liší, ale existuje základní sada informací, které musí pokrývat každé vyhovující zásady ochrany osobních údajů.

Jaká data se sbírají

Musíte uvést každou kategorii osobních údajů, které váš web sbírá. Patří sem jména, e-mailové adresy, IP adresy (které se podle GDPR počítají jako osobní údaje), platební údaje, údaje o poloze, identifikátory zařízení a všechny informace odeslané formuláři. Pokud vaše analytická platforma sbírá údaje o chování, například navštívené stránky, dobu na webu nebo cesty kliknutí, patří i ty do tohoto seznamu.

Proč se data sbírají a jak se používají

U každého typu dat musíte uvést účel. Sbírat e-mailovou adresu kvůli rozesílání newsletteru je jiný účel než ji použít k zobrazování cílené reklamy. GDPR vyžaduje, aby měl každý účel zákonný základ, ať už je to souhlas, smluvní nezbytnost, nebo oprávněný zájem. Vaše zásady ochrany osobních údajů musí tyto účely pojmenovat jasně a neschovávat se za vágní formulace jako „zlepšování vaší zkušenosti".

S kým se data sdílejí

Každá třetí strana, která od vašeho webu dostává data návštěvníků, musí být jmenována nebo zařazena do kategorie. Patří sem poskytovatelé e-mailových služeb, zpracovatelé plateb, analytické platformy, nástroje zákaznické podpory a reklamní sítě. Pokud váš web vkládá skripty třetích stran, mohou tyto skripty sbírat data nezávisle a vaše zásady s nimi musí počítat. Mnoho majitelů webů je překvapeno, jak dlouhý tento seznam je, jakmile zmapují všechny nástroje, které používají.

Jak dlouho se data uchovávají

Doby uchovávání dat musí být pokud možno konkrétní. Zásady, které říkají „uchováváme vaše data tak dlouho, jak je nutné", nesplňují standard GDPR. Musíte umět říct, jak dlouho se uchovává každá kategorie dat a proč je tato doba přiměřená účelu, kterému slouží.

Práva uživatelů a jak je uplatnit

Podle GDPR mají uživatelé právo na přístup ke svým datům, opravu nepřesných údajů, žádost o výmaz, omezení zpracování a v některých případech přenos dat k jiné službě. Vaše zásady ochrany osobních údajů musí tato práva vysvětlit a poskytnout uživatelům jasný způsob, jak je uplatnit, obvykle e-mailovou adresu nebo vyhrazený formulář žádosti. CCPA dává obyvatelům Kalifornie právo vědět, co se sbírá, odmítnout prodej svých dat a požádat o smazání.

Kam na webu umístit zásady ochrany osobních údajů?

Umístění je stejně důležité jako obsah. Zásady, které existují, ale nelze je najít, nesplňují požadavek transparentnosti většiny zákonů o ochraně soukromí.

Nejběžnějším místem je patička a návštěvníci tam zásady čekají vedle obchodních podmínek. Každá stránka vašeho webu by na ně měla odkazovat z patičky. Samotné umístění v patičce ale vždy nestačí.

V každém okamžiku sběru dat by měl být uživateli viditelný odkaz na zásady ochrany osobních údajů. U přihlašovacího formuláře přidáte zaškrtávací políčko s odkazem na zásady. Na stránce pokladny by se odkaz měl objevit poblíž platebních polí. U lišty se souhlasem s cookies odkaz umožní uživatelům pochopit, s čím souhlasí, dřív než kliknou na přijmout. Všude, kde někoho žádáte o jeho data, by zásady ochrany osobních údajů měly být vzdálené jedno kliknutí.

Více o tom, jak spolu zabezpečení webu a nakládání s daty spolupracují při ochraně návštěvníků, najdete v tomto článku, který pokrývá širší obraz bezpečnosti webu.

Jaký je rozdíl mezi zásadami ochrany osobních údajů a obchodními podmínkami?

Tyto dva dokumenty se často zaměňují a často se spojují dohromady, ale pokrývají úplně jiné oblasti. Zásady ochrany osobních údajů vysvětlují, jak se nakládá s osobními údaji. Obchodní podmínky (také podmínky služby nebo podmínky používání) upravují vztah mezi majitelem webu a uživatelem. Zahrnují věci jako povolené používání webu, duševní vlastnictví, omezení odpovědnosti a to, co se stane, když někdo pravidla poruší.

Můžete potřebovat jedno bez druhého, ale mít obojí je standardní praxe u každého webu s uživatelskými účty, e-shopem nebo obsahem, který by ostatní mohli chtít kopírovat nebo zneužít. Zásady ochrany osobních údajů jsou ve většině trhů dokument vyžadovaný zákonem. Obchodní podmínky chrání práva majitele. Berte je jako dva různé směry téhož vztahu.

Pochopit, co patří do dobré výzvy k akci, je další způsob, jak právní stránky souvisejí s celkovým výkonem webu, protože stránky budující důvěru, jako jsou zásady ochrany osobních údajů, uvolňují uživatelům cestu k dalšímu kroku.

Potřebujete na napsání zásad ochrany osobních údajů právníka?

Ne vždy. U jednoduchých webů s přímočarou prací s daty je dobře strukturovaná šablona, která pokrývá všechny požadované prvky, legitimní výchozí bod. Důležité je, aby šablona odpovídala tomu, co váš web dělá. Obecné zásady, které nezmiňují nástroje, které používáte, data, která sbíráte, ani doby uchovávání platné pro vaši situaci, jsou horší než kratší a přesné.

Právní poradenství se vyplatí, když váš web působí ve vysoce regulovaném odvětví (zdravotnictví, finance, vzdělávání nezletilých), když zpracováváte velké objemy osobních údajů nebo když je vaše práce s daty tak složitá, že ji šablona nepokryje ve všech okrajových případech. Pokud máte jakékoli pochybnosti o tom, zda určitá praxe vyžaduje formální právní základ, obraťte se na kvalifikovaného odborníka na ochranu soukromí a nehádejte.

Šablony fungují dobře jako struktura. Obsah uvnitř struktury ale stále musí odpovídat vaší skutečné praxi.

Jak zásady ochrany osobních údajů ovlivňují důvěru a SEO

Pokyny Google pro hodnotitele kvality a jeho širší rámec E-E-A-T považují transparentnost za signál důvěryhodnosti. Web s jasně napsanými zásadami ochrany osobních údajů, jmenovaným správcem údajů a upřímným zveřejněním nástrojů třetích stran dává návštěvníkům i vyhledávacím algoritmům najevo, že ho provozuje skutečný, odpovědný subjekt.

Efekt na důvěru je přímější. Návštěvníci, kteří se dostanou k pokladně, přihlašovacímu formuláři nebo stránce pro sběr kontaktů, často před odesláním údajů hledají odkaz na zásady ochrany osobních údajů. Jejich absence vyvolává pochybnosti. Jejich přítomnost, zvlášť když jsou jasné a čitelné, a ne hustý právní text, snižuje tření a zvyšuje pravděpodobnost konverze. Zásady ochrany osobních údajů také přispívají k signálům důvěryhodnosti, na nichž závisí SEO, zejména u webů v citlivých kategoriích, kde Google uplatňuje zvýšenou kontrolu kvality.

Čitelné zásady ochrany osobních údajů jsou také pro návštěvníky lepší než právně hutné. Srozumitelný jazyk, který jasně vysvětluje práci s daty, plní stejnou právní funkci jako odborný žargon a zanechává mnohem lepší dojem.

Jak často by se měly zásady ochrany osobních údajů aktualizovat?

Zásady ochrany osobních údajů je třeba aktualizovat pokaždé, když se změní něco podstatného na tom, jak data sbíráte nebo s nimi nakládáte. Přidání nového analytického nástroje, přechod na jinou e-mailovou platformu, spuštění nového formuláře nebo rozšíření na nový trh jsou všechno důvody k revizi. Kromě aktualizací podle událostí je dobrou praxí roční revize, která zachytí případný rozdíl mezi tím, co zásady říkají, a tím, co web dělá.

Když zásady aktualizujete, informujte uživatele, pokud jsou změny významné. U webů s registrovanými uživateli nebo odběrateli je standardem krátký e-mail vysvětlující změnu. U změn, které ovlivňují používání dat způsobem přesahujícím původní souhlas, může být podle GDPR potřeba získat nový souhlas.

Datování verzí zásad (uvedení, kdy byly naposledy aktualizovány) pomáhá návštěvníkům i regulátorům vidět, že se dokument aktivně udržuje. Zásady bez data nebo s datem před několika lety naznačují, že nebyly revidovány od vzniku webu, což je signál důvěry špatným směrem.

Širší pohled na to, co dělá web důvěryhodným a dobře strukturovaným, nabízejí články o UX designu a schema markup, které pokrývají další dvě oblasti, kde technická rozhodnutí ovlivňují, jak web vnímají návštěvníci a vyhledávače.

Jak WEMASY řeší zásady ochrany osobních údajů

WEMASY zahrnuje do tvůrce webů šablonu stránky se zásadami ochrany osobních údajů. Weby vytvořené na platformě mohou přidat vyhrazenou stránku se zásadami, odkázat na ni z globální patičky a nastavit souhlas s cookies, který zobrazí návštěvníkům lištu při první návštěvě. Platforma řeší lišty se souhlasem s cookies a základní toky souhlasu podle GDPR na úrovni webu, takže tyto funkce jsou dostupné bez psaní vlastního kódu.

WEMASY zpracovává data v souladu s vlastními zásadami ochrany osobních údajů a majitelé webů používající platformu zůstávají správci údajů svých vlastních návštěvníků. Každý majitel webu odpovídá za to, aby jeho zveřejněné zásady ochrany osobních údajů byly přesné a aktuální.

Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte tarify na stránce s cenami.

Často kladené otázky o zásadách ochrany osobních údajů na webech