VDAR: sīkdatnes, veidlapas un privātuma politika

9. modulis: E-pasts, atrodamība, VDAR, uzturēšana un pārcelšana · Lasīšanas laiks: 10 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet sakārtot WordPress tīmekļa vietnes VDAR pamatus: zināt, kādus personas datus Jūs apstrādājat, pareizi noregulēt sīkdatnes un ārējo saturu, kārtīgi izveidot veidlapas un sagatavot privātuma politiku.

Galvenie jēdzieni: personas dati, apstrāde, tiesiskais pamats, informēšanas pienākums, privātuma politika, sīkdatņu noteikums (e-privātuma direktīva), piekrišana, funkcionālās un analītiskās sīkdatnes, izsekošanas sīkdatnes, sīkdatņu josla, ārējais saturs, veidlapas, glabāšanas termiņš, apstrādātājs, datu apstrādes līgums, datu aizsardzības pārkāpums

Šī nodarbība ir vispārīgs skaidrojums, nevis juridiska konsultācija. Jūsu situācijai izlasiet Datu valsts inspekcijas (DVI) informāciju vai vaicājiet speciālistam.

Kāda sakarība ir VDAR ar Jūsu tīmekļa vietni

VDAR (Vispārīgā datu aizsardzības regula) attiecas uz personas datiem: visu, ar ko var tieši vai netieši atpazīt kādu cilvēku. Tīmekļa vietnē tas ir vairāk, nekā Jūs domājat: vārds un e-pasta adrese no veidlapas, pasūtījums, konts, bet arī IP adrese un sīkdatne ar unikālu numuru.

Gandrīz katra WordPress tīmekļa vietne tātad apstrādā personas datus: veidlapās, komentāros, kontos, pasūtījumos, servera žurnālos, rezerves kopijās, e-pasta žurnālos (9.1. nodarbība) un visā, ko Jūsu tīmekļa vietne sūta citiem. Tam cita starpā attiecas šādi noteikumi:

• Katrai apstrādei nepieciešams tiesiskais pamats (VDAR 6. pants), piemēram: nepieciešams, lai izpildītu līgumu (pasūtījums), piekrišana (jaunumu e-pasts jeb biļetens), vai leģitīmas intereses.
• Jūs apstrādājat ne vairāk kā nepieciešams un glabājat ne ilgāk kā nepieciešams.
• Jūs informējat cilvēkus par to, ko Jūs darāt (VDAR 13. pants): to Jūs darāt savā privātuma politikā.
• Jūs atbilstoši aizsargājat datus (https, atjauninājumi, rezerves kopijas: pārējā šī kursa daļa).
• Ja kāda cita puse apstrādā datus Jūsu vārdā (Jūsu mitināšanas pakalpojumu sniedzējs, e-pasta pakalpojums, spraudnis ar mākoņpakalpojumu), tad tas ir apstrādātājs, un Jūs noslēdzat datu apstrādes līgumu (VDAR 28. pants). Mitināšanas pakalpojumu sniedzējiem un lieliem pakalpojumiem tas parasti jau ir sagatavots.
• Ja kaut kas noiet greizi (uzlaušana, noplūdusi rezerves kopija), tas ir datu aizsardzības pārkāpums, kas dažkārt ir jāpaziņo (7.5. nodarbība).

Sīkdatnes: e-privātuma direktīva

Sīkdatnēm (un līdzīgām tehnoloģijām, piemēram, lokālajai krātuvei un izsekošanas pikseļiem) papildus attiecas sīkdatņu noteikums no Eiropas e-privātuma direktīvas (ePrivacy) (Latvijā: Informācijas sabiedrības pakalpojumu likums; Nīderlandē: Telecommunicatiewet 11.7a pants). Īsumā, kā to skaidro Nīderlandes datu aizsardzības iestāde (Autoriteit Persoonsgegevens):

• Funkcionālās sīkdatnes, kas nepieciešamas, lai tīmekļa vietne darbotos (pieteikšanās sīkdatne, iepirkumu grozs, pašas sīkdatņu izvēles atcerēšanās): drīkst bez piekrišanas. Tomēr par to ir jāinformē.
• Analītiskās sīkdatnes ar nelielu vai nekādu ietekmi uz privātumu: drīkst bez piekrišanas, ja tās atbilst nosacījumiem. Domājiet par statistiku, ko Jūs paši uzkrājat, vai kas ir iestatīta privātumu saudzējošā veidā (bez datu koplietošanas, saīsinātām IP adresēm, bez izsekošanas citās vietnēs).
• Izsekošanas sīkdatnes un viss, kas izseko apmeklētājus vai veido profilus (reklāmas, sociālie tīkli, vairums lielo platformu iegulto pakalpojumu): tikai pēc piekrišanas, tātad ielādējas tikai pēc tam, kad apmeklētājs ir atbildējis "jā".

Sīkdatņu josla lūdz šo piekrišanu. Nīderlandes datu aizsardzības iestāde (Autoriteit Persoonsgegevens) cita starpā norāda: paskaidrojiet, kādas sīkdatnes Jūs izmantojat un kādam nolūkam, atteikšanās jābūt tikpat vienkāršai kā piekrišanai, un nedrīkst būt iepriekš atzīmētu izvēles rūtiņu. Josla, kurā ir tikai "OK" poga, vai kas jau ielādē izsekošanas kodu pirms izvēles izdarīšanas, neatbilst prasībām. WordPress ir daudz sīkdatņu spraudņu; izvēlieties tādu, kas skriptus patiešām bloķē, kamēr nav saņemta piekrišana, un pārbaudiet to (šīs nodarbības uzdevums palīdzēs).

Ārējais saturs: ko Jūsu tīmekļa vietne sūta citiem

Arī bez sīkdatnēm Jūsu tīmekļa vietne sūta datus citām pusēm, tiklīdz lapa ielādē kaut ko no tām. Jūsu apmeklētāja pārlūkprogramma tad to iegūst no attiecīgās puses, un tā redz vismaz IP adresi. Piemēri:

Vācijā tiesa (LG München I, 2022. gada janvārī) nolēma, ka ārēja pakalpojuma fontu ielāde bez piekrišanas pārkāpa VDAR, jo tā nodeva apmeklētāja IP adresi. Tas nav Nīderlandes spriedums, bet tas parāda, par ko šeit ir runa: katru ārējo avotu Jums jāspēj izskaidrot.

Veidlapas

Veidlapa ir apstrāde. Ņemiet vērā:

• Jautājiet tikai to, kas nepieciešams. Lai veiktu atzvanīšanas pieprasījumu, Jums vajadzīgs vārds un tālruņa numurs, nevis adrese un dzimšanas datums.
• Izmantojiet https (3.1. nodarbība), citādi dati tiek pārsūtīti pa internetu nešifrēti.
• Kur paliek dati? Daudzi veidlapu spraudņi papildus e-pastam katru iesniegumu saglabā arī datubāzē. Tādējādi pēc dažiem gadiem tur ir tūkstošiem ierakstu. Iestatiet glabāšanas termiņu vai izslēdziet saglabāšanu, ja e-pasts ir pietiekams. Arī Jūsu SMTP spraudņa e-pasta žurnāls (9.1. nodarbība) tos satur.
• Piekrišana jaunumu e-pastam (biļetenam) ir atsevišķa, iepriekš neatzīmēta izvēles rūtiņa. Kontaktformulārs nav pieteikšanās jaunumu e-pastam.
• Aizsardzība pret surogātpastu: skatiet iepriekšējo tabulu.

Privātuma politika

WordPress instalācijas laikā izveido melnraksta lapu Privātuma politika un sadaļā Iestatījumi > Privātums ir palīgs ar paraugtekstiem; spraudņi, kas apstrādā datus, tur var pievienot tekstu. Tas ir sākums, nevis gala rezultāts. Saskaņā ar VDAR 13. pantu privātuma politikā cita starpā jāapraksta:

• kas Jūs esat un kā cilvēki ar Jums var sazināties;
• kādus personas datus Jūs apstrādājat, kādam nolūkam un uz kāda tiesiskā pamata;
• ar ko Jūs tos koplietojat (apstrādātāji, citas puses) un vai tie nonāk ārpus ES;
• cik ilgi Jūs tos glabājat;
• kādas tiesības cilvēkiem ir (piekļuve, labošana, dzēšana, iebildums) un ka viņi var iesniegt sūdzību Datu valsts inspekcijā;
• kādas sīkdatnes un ārējos pakalpojumus Jūsu tīmekļa vietne izmanto.

Ievietojiet saiti uz privātuma politiku kājenē (4.3. nodarbība), lai tā būtu atrodama katrā lapā, kā arī pie katras veidlapas.

WordPress sadaļā Rīki ir arī funkcijas, lai pēc lietotāja pieprasījuma eksportētu personas datus un dzēstu tos. Tas noder, ja saņemts piekļuves vai dzēšanas pieprasījums, taču tās atrod tikai WordPress un ar to saistīto spraudņu datus.

Vienkāršs soļu plāns

1. Izveidojiet sarakstu ar visām apstrādēm Jūsu tīmekļa vietnē: veidlapas, konti, pasūtījumi, komentāri, statistika, jaunumu e-pasts, žurnāli, rezerves kopijas.
2. Apskatiet, ko Jūsu tīmekļa vietne ielādes laikā nosūta citām pusēm (šīs nodarbības uzdevums).
3. Noņemiet to, kas nav nepieciešams; aizstājiet to, ko var padarīt privātumu saudzējošāku.
4. Nokārtojiet piekrišanu tam, kas paliek un kam patiešām nepieciešama piekrišana, izmantojot joslu, kas bloķē skriptus.
5. Noslēdziet datu apstrādes līgumus un uzrakstiet (vai pārrakstiet) savu privātuma politiku.
6. Pārskatiet to katru gadu (9.4. nodarbība) un pēc katra jauna spraudņa, kas apstrādā datus.

Kopsavilkums

• Gandrīz katra WordPress tīmekļa vietne apstrādā personas datus: veidlapas, konti, IP adreses, žurnāli, rezerves kopijas.
• Funkcionālās un ierobežotas analītiskās sīkdatnes drīkst bez piekrišanas; izsekošana tikai pēc piekrišanas, un tad tikai ielādējas.
• Ārējais saturs (fonti, video, kartes, captcha) sūta datus citiem; padariet to vietēju vai ielādējiet to tikai pēc klikšķa.
• Veidlapās jautājiet tikai nepieciešamo, neglabājiet iesniegumus bezgalīgi, jaunumu e-pasta izvēles rūtiņa atsevišķi un iepriekš neatzīmēta.
• Privātuma politika saskaņā ar VDAR 13. pantu, atrodama katrā lapā; datu apstrādes līgumi ar Jūsu mitināšanas pakalpojumu sniedzēju un pakalpojumiem.

Tests (quiz)

Uzdevums

Uzdevums A9.3: Ko Jūsu tīmekļa vietne sūta citiem? Ievadiet savas tīmekļa vietnes adresi. Programma ielādē sākumlapu tā, kā to darītu jauns apmeklētājs bez sīkdatnēm un bez piekrišanas, un sniedz pārskatu: kādas sīkdatnes serveris uzreiz uzstāda (tikai nosaukumus), un no kādiem citiem domēniem lapa ielādē skriptus, fontus, iframe elementus vai attēlus. Zināmi statistikas, reklāmas, sociālo tīklu, fontu un video pakalpojumi tiek nosaukti vārdā (oranžā krāsā: "pārbaudiet, vai tas ielādējas tikai pēc piekrišanas, vai aizstājiet to"). Papildus tiek pārbaudīts, vai sākumlapā ir saite uz privātuma politiku.

Uzdevums D9.3: Jūsu apstrādes darbību saraksts un privātuma politika. Izveidojiet sarakstu ar visām apstrādēm Jūsu tīmekļa vietnē (veidlapas, konti, pasūtījumi, komentāri, statistika, jaunumu e-pasts, žurnāli, rezerves kopijas), norādot katrai apstrādei: kādi dati, kādam nolūkam, tiesiskais pamats, kur tiek glabāti, cik ilgi, un kurš ir apstrādātājs. Salīdziniet šo sarakstu ar savu privātuma politiku un atzīmējiet, kas tajā jau ir iekļauts. Pierakstiet, ko Jūs pievienojat vai noņemat, un kurus ārējos pakalpojumus no A9.3 uzdevuma Jūs aizstājat vai liekat aiz piekrišanas.

Papildu lasāmviela

Šie raksti attiecas uz pašu WebOké; skaidrojumu savai tīmekļa vietnei meklējiet Datu valsts inspekcijā (DVI).

• Sīkdatnes WebOké vietnē: izvēles apskate vai maiņa
• Sīkdatnes (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Sīkdatnes un Jūsu organizācija: nodrošiniet labu politiku (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Skaidras sīkdatņu joslas (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Tiesības uz informāciju (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Datu aizsardzības pārkāpumi (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privātums WordPress (wordpress.org, angļu valodā): https://wordpress.org/documentation/article/settings-privacy-screen/