GDPR: sütik, űrlapok és adatkezelési tájékoztató

Modul 9: E-mail, kereshetőség, GDPR, karbantartás és költöztetés · Olvasási idő: 10 perc

Tanulási cél: E lecke után képes lesz rendbe tenni egy WordPress weboldal GDPR alapjait: tudni fogja, milyen személyes adatokat kezel, hogyan rendezze el megfelelően a sütiket és a külső tartalmakat, hogyan alakítsa ki rendesen az űrlapokat, és hogyan készítsen adatkezelési tájékoztatót.

Kulcsfogalmak: személyes adat, adatkezelés, jogalap, tájékoztatási kötelezettség, adatkezelési tájékoztató, az európai ePrivacy-irányelv sütikre vonatkozó szabálya (Magyarországon: az elektronikus kereskedelemről szóló 2001. évi CVIII. törvény; Hollandiában: a Telecommunicatiewet 11.7a cikke), hozzájárulás, funkcionális és analitikai sütik, nyomkövető sütik, sütibanner, külső tartalom, űrlapok, megőrzési idő, adatfeldolgozó, adatfeldolgozói szerződés, adatvédelmi incidens

Ez a lecke általános tájékoztatás, nem jogi tanács. Az Ön saját helyzetére vonatkozó információkért forduljon a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (NAIH), vagy kérjen szakértői segítséget.

Mi köze a GDPR-nak az Ön weboldalához

A GDPR (általános adatvédelmi rendelet) a személyes adatokról szól: mindenről, aminek alapján valakit közvetlenül vagy közvetve azonosítani lehet. Egy weboldalon ez több mindent jelent, mint gondolná: egy névre és e-mail címre egy űrlapból, egy megrendelésre, egy fiókra, de ugyanúgy egy IP-címre és egy egyedi azonosítót tartalmazó sütire is.

Szinte minden WordPress weboldal kezel tehát személyes adatokat: űrlapokban, hozzászólásokban, fiókokban, megrendelésekben, a szerver naplóiban, biztonsági mentésekben, levelezési naplókban (9.1. lecke), valamint abban, amit a weboldala más feleknek küld. Erre többek között az alábbi szabályok vonatkoznak:

• Minden adatkezeléshez jogalapra van szüksége (a GDPR 6. cikke), például: szükséges egy szerződés teljesítéséhez (egy megrendelés), hozzájárulás (egy hírlevél), vagy jogos érdek.
• Nem kezel több adatot a szükségesnél, és nem őrzi tovább, mint szükséges.
• Ön tájékoztatja az érintetteket arról, amit tesz (a GDPR 13. cikke): ezt az adatkezelési tájékoztatóban teszi meg.
• Ön megfelelően védi az adatokat (https, frissítések, biztonsági mentések: ezekről szól a kurzus többi része).
• Ha más féllel kezelteti az adatokat (a tárhelyszolgáltatója, egy levelezési szolgáltatás, egy felhőszolgáltatást használó bővítmény), akkor az egy adatfeldolgozó, és Önnek adatfeldolgozói szerződést kell kötnie vele (a GDPR 28. cikke). A tárhelyszolgáltatók és a nagyobb szolgáltatások ezt általában előre elkészítve kínálják.
• Ha valami balul sül el (egy betörés, egy kiszivárgott biztonsági mentés), az adatvédelmi incidens, amelyet bizonyos esetekben be kell jelenteni (7.5. lecke).

Sütik: az ePrivacy-irányelv

A sütikre (és a hasonló technikákra, mint a local storage és a nyomkövető pixelek) emellett az ePrivacy-irányelv sütikre vonatkozó szabálya is vonatkozik (Magyarországon az elektronikus kereskedelemről szóló 2001. évi CVIII. törvény, Hollandiában a Telecommunicatiewet 11.7a cikke). Röviden, ahogyan a holland adatvédelmi hatóság (Autoriteit Persoonsgegevens) ezt kifejti:

• A funkcionális sütik, amelyek a weboldal működéséhez szükségesek (egy bejelentkezési süti, egy kosár, magának a sütiválasztásnak a megjegyzése): hozzájárulás nélkül is elhelyezhetők. Ezekről azonban tájékoztatni kell.
• Az analitikai sütik, amelyeknek nincs vagy csak elenyésző hatásuk van a magánéletre: hozzájárulás nélkül is elhelyezhetők, ha megfelelnek bizonyos feltételeknek. Gondoljon az olyan statisztikákra, amelyeket Ön maga vezet, vagy amelyek adatvédelem-barát módon vannak beállítva (nincs adatmegosztás, az IP-címek csonkítva vannak, nincs követés más weboldalakon).
• A nyomkövető sütik, és minden, ami a látogatókat követi vagy profilokat készít róluk (hirdetések, közösségi média, a nagy platformok legtöbb beágyazott szolgáltatása): csak hozzájárulás után, tehát csak azután töltődhetnek be, hogy a látogató "igent" mondott.

A sütibanner kéri ezt a hozzájárulást. A holland adatvédelmi hatóság (Autoriteit Persoonsgegevens) többek között ezt javasolja: magyarázza el, milyen sütiket használ és mire, az elutasításnak ugyanolyan egyszerűnek kell lennie, mint az elfogadásnak, és nem lehetnek előre bejelölt négyzetek. Egy olyan banner, amely csak "OK" gombot kínál, vagy amely a nyomkövető kódot már a választás előtt betölti, nem felel meg a követelményeknek. Sok sütikezelő bővítmény létezik a WordPresshez; válasszon olyat, amely valóban megakadályozza a szkriptek betöltését a hozzájárulásig, és ellenőrizze ezt (e lecke feladata ebben segít).

Külső tartalom: amit a weboldala másoknak küld

Sütik nélkül is küld adatokat a weboldala más feleknek, amint egy oldal betölt valamit tőlük. A látogató böngészője ilyenkor az adott féltől tölti le a tartalmat, az pedig legalább az IP-címet látja. Néhány példa:

Németországban egy bíróság (LG München I, 2022. január) úgy ítélt, hogy egy külső szolgáltatás betűtípusainak hozzájárulás nélküli betöltése sértette a GDPR-t, mivel ezzel a látogató IP-címe továbbításra került. Ez nem holland ítélet, de jól szemlélteti a lényeget: minden külső forrást meg kell tudnia magyarázni.

Űrlapok

Egy űrlap adatkezelésnek számít. Ügyeljen a következőkre:

• Csak azt kérdezze, amire szüksége van. Egy visszahívási kéréshez névre és telefonszámra van szükség, nem címre és születési dátumra.
• Https-en keresztül (3.1. lecke), különben az adatok titkosítás nélkül haladnak át az interneten.
• Hová kerülnek az adatok? Sok űrlapkezelő bővítmény a levél mellett minden egyes beküldött adatot eltárol az adatbázisban is. Évek alatt így több ezer beküldés gyűlik össze. Állítson be megőrzési időt, vagy kapcsolja ki a tárolást, ha a levél önmagában elegendő. A SMTP-bővítmény levelezési naplója (9.1. lecke) szintén tartalmazza ezeket.
• A hírlevélre való hozzájárulás egy külön, előre nem bejelölt jelölőnégyzet legyen. Egy kapcsolatfelvételi űrlap kitöltése nem egyenlő a hírlevélre való feliratkozással.
• Spamvédelem: lásd a fenti táblázatot.

Az adatkezelési tájékoztató

A WordPress a telepítéskor létrehoz egy Adatkezelési tájékoztató nevű vázlatoldalt, és a Beállítások > Személyes adatok védelme menüpontban ad egy segédletet mintaszövegekkel; az adatokat kezelő bővítmények ide tudnak szöveget hozzáadni. Ez egy kezdet, nem a végeredmény. Az adatkezelési tájékoztatónak a GDPR 13. cikke szerint többek között a következőket kell tartalmaznia:

• ki Ön, és hogyan érhetik el Önt az érintettek;
• milyen személyes adatokat kezel, milyen célból és milyen jogalapon;
• kikkel osztja meg ezeket (adatfeldolgozók, más felek), és hogy ezek elhagyják-e az EU területét;
• meddig őrzi meg ezeket;
• milyen jogai vannak az érintetteknek (betekintés, helyesbítés, törlés, tiltakozás), és hogy panaszt tehetnek a NAIH-nál;
• milyen sütiket és külső szolgáltatásokat használ a weboldala.

Helyezzen el egy linket az adatkezelési tájékoztatóhoz a lábléc (footer) területén (4.3. lecke), hogy minden oldalon megtalálható legyen, valamint minden űrlapnál.

A WordPress a Eszközök menüpontban is kínál funkciókat a személyes adatok exportálására és törlésére egy felhasználó kérésére. Ez hasznos egy betekintési vagy törlési kérés esetén, de ezek a funkciók csak a WordPress és az azzal összekapcsolt bővítmények adatait találják meg.

Egy egyszerű lépésterv

1. Készítsen listát a weboldalán zajló összes adatkezelésről: űrlapok, fiókok, megrendelések, hozzászólások, statisztikák, hírlevél, naplók, biztonsági mentések.
2. Nézze meg, mit küld a weboldala betöltéskor más feleknek (e lecke feladata).
3. Távolítsa el, amire nincs szükség; cserélje le, ami adatvédelem-barátabb módon is megoldható.
4. Rendezze a hozzájárulást a megmaradó, valóban hozzájárulást igénylő elemekhez, olyan bannerrel, amely megakadályozza a szkriptek betöltését.
5. Kössön adatfeldolgozói szerződéseket, és írja meg (vagy írja át) az adatkezelési tájékoztatóját.
6. Vizsgálja felül évente egyszer (9.4. lecke), és minden olyan új bővítmény után, amely adatokat kezel.

Összefoglalás

• Szinte minden WordPress weboldal kezel személyes adatokat: űrlapok, fiókok, IP-címek, naplók, biztonsági mentések.
• A funkcionális és a korlátozott analitikai sütik hozzájárulás nélkül is elhelyezhetők; a nyomkövetés csak hozzájárulás után, és csak azután töltődhet be.
• A külső tartalom (betűtípusok, videók, térképek, captchák) adatokat küld másoknak; tegye helyivé, vagy töltse be csak kattintás után.
• Az űrlapokban csak azt kérdezze, ami szükséges, ne őrizze meg a beküldéseket a végtelenségig, a hírlevél jelölőnégyzete legyen külön és előre ne legyen bejelölve.
• Egy, a GDPR 13. cikke szerinti adatkezelési tájékoztató legyen minden oldalon megtalálható; kössön adatfeldolgozói szerződéseket a tárhelyszolgáltatójával és a szolgáltatásokkal.

Kvíz

Feladat

Feladat A9.3: Mit küld a weboldala másoknak? Adja meg weboldala címét. A program betölti a kezdőlapot úgy, ahogyan egy új látogató tenné, sütik és hozzájárulás nélkül, majd áttekintést ad: milyen sütiket helyez el azonnal a szerver (csak a neveket), és mely más domainekről tölt be szkripteket, betűtípusokat, iframe-eket vagy képeket az oldal. A statisztikai, hirdetési, közösségi média, betűtípus és videós szolgáltatásokat név szerint is jelzi (narancssárga: "ellenőrizze, hogy ez csak hozzájárulás után töltődik-e be, vagy cserélje le"). Emellett ellenőrzi, hogy a kezdőlapon szerepel-e link az adatkezelési tájékoztatóra.

Feladat D9.3: Az adatkezelési lista és az adatkezelési tájékoztató. Készítsen listát a weboldalán zajló összes adatkezelésről (űrlapok, fiókok, megrendelések, hozzászólások, statisztikák, hírlevél, naplók, biztonsági mentések), minden egyes adatkezeléshez feltüntetve: milyen adatokról van szó, milyen célból, milyen jogalapon, hol tárolja, meddig, és melyik adatfeldolgozó kezeli. Vesse össze ezt a listát az adatkezelési tájékoztatójával, és jelölje be, mi szerepel már benne. Jegyezze fel, mit kell hozzáadnia vagy eltávolítania, és az A9.3 feladatban talált mely külső szolgáltatásokat cseréli le, vagy helyezi hozzájárulás mögé.

További olvasnivaló

Ezek a cikkek magáról a WebOkéről szólnak; az Ön saját weboldalára vonatkozó magyarázatot az Ön országának adatvédelmi hatóságánál (Magyarországon a NAIH-nál) találja.

• Sütik a WebOké oldalain: a választás megtekintése vagy módosítása
• Sütik (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Sütik és az Ön szervezete: gondoskodjon megfelelő szabályzatról (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Világos sütibannerek (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• A tájékoztatáshoz való jog (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Adatvédelmi incidensek (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Személyes adatok védelme a WordPressben (wordpress.org, angol nyelven): https://wordpress.org/documentation/article/settings-privacy-screen/