GDPR a cookies na webu malé firmy: co řešit

Kdy se vás GDPR na webu týká

GDPR je evropské nařízení o ochraně osobních údajů. Týká se všeho, co se dá spojit s konkrétním člověkem: jména, telefonu, e-mailu, fotky nebo IP adresy. Na webu se to projeví hlavně v těchto situacích:

• Formulář. Sbíráte jména a e-maily. Musíte lidem říct, k čemu je použijete, a držet jen to, co potřebujete.
• Sledování návštěvnosti a reklama. Analytické nástroje a reklamní pixely ukládají cookies a posílají data třetím stranám.
• Vložené cizí prvky. Mapa, video, tlačítka sítí nebo písma načítaná z cizího serveru předávají provozovateli služby údaje o návštěvníkovi, například IP adresu.
• Fotky lidí. K zveřejnění podoby člověka je potřeba jeho svolení.
• E-mailové nabídky. Obchodní sdělení e-mailem smíte posílat jen s předchozím souhlasem příjemce (§ 7 zákona č. 480/2004 Sb.), s výjimkou vlastních zákazníků u obdobných produktů a s možností odmítnout. Zpráva musí být označená jako obchodní sdělení, nesmí skrývat odesílatele a musí obsahovat platnou adresu pro odhlášení.

Cookies: souhlas, nebo ne

Cookies jsou malé soubory, které si web ukládá v prohlížeči. Technicky nezbytné (třeba přihlášení) souhlas nevyžadují. Ostatní, tedy analytické, marketingové a z cizích služeb, podle zákona o elektronických komunikacích a podle výkladu Úřadu pro ochranu osobních údajů souhlas návštěvníka předem vyžadují.

Lišta slouží k získání tohoto souhlasu, takže ji potřebuje web, který takové cookies používá. Web, který je nepoužívá, ji nepotřebuje. Co se na webu načítá a nastavuje, zjistíte u dodavatele webu, nebo sami v nástrojích pro vývojáře v prohlížeči, které ukazují načítané adresy a cookies.

Co je na webu od Kamegy jinak

• Nic z cizích serverů. Písma, obrázky i styly jsou z vlastní adresy webu.
• Žádné reklamní a sledovací cookies třetích stran. Návštěvnost počítá Kamega sama, bez cookies: z adresy a prohlížeče vzniká na jeden den nevratný otisk, aby se jeden člověk započítal jednou.
• Mapa je jen odkaz. Návštěvník na mapy přejde, jen když klepne. Nic se nenačítá předem.
• Žádný formulář. Kontakt tvoří telefon, e-mail a odkazy.

Pro jednoduchý web to obvykle znamená, že cookie lišta ani pravidla k formuláři odpadají. Jakmile ale k webu přidáte vlastní sledování, vložené video nebo e-mailové nabídky, vznikají povinnosti vám.

Kdo je správce a kdo zpracovatel

Správce rozhoduje, proč a jak se osobní údaje zpracovávají: tím jste vy jako podnikatel. Zpracovatel je firma, která údaje zpracovává za vás a podle vašich pokynů, třeba poskytovatel hostingu nebo webu. S ním má být jasná dohoda o tom, co smí. U Kamegy je tato dohoda součástí podmínek služby, takže se nepodepisuje zvlášť, a přehled zpracování je v ochraně soukromí.

Telefon a e-mail místo formuláře

Jednoduchá cesta, jak mít na webu málo povinností, je nemít formulář: kontakt tvoří telefon a e-mail a nic o návštěvníkovi neukládáte, dokud se sám neozve. Na zprávu, kterou vám někdo pošle, pak odpovídáte jako při běžné korespondenci. Tlačítko na cizí rezervační stránku, třeba v Reserviu, vede návštěvníka na jinou službu s vlastními pravidly; web od Kamegy sám žádné údaje nesbírá.

Informace o zpracování: kdy je psát

Když od lidí osobní údaje získáváte, třeba přes rezervaci, formulář nebo odběr novinek, musíte jim při tom říct, kdo údaje zpracovává, proč, na jak dlouho a jaká mají práva. Stačí stručná stránka nebo odstavec u formuláře. Když web nic nesbírá, není co popisovat.

Když se někdo zeptá na svá data

Lidé mají právo vědět, jaké o nich údaje zpracováváte, a požádat o opravu nebo výmaz. Odpovědět máte bez zbytečného odkladu, nejpozději do jednoho měsíce. Ujasněte si proto, kde všude údaje máte: v e-mailu, v rezervačním systému, v tabulce zakázek. A když si nejste jistí, co váš web dělá s daty návštěvníků, zeptejte se dodavatele a nechte si odpověď napsat.

Dozor nad ochranou osobních údajů vykonává Úřad pro ochranu osobních údajů; výklady a informace najdete na jeho stránkách uoou.gov.cz.