Що означає “відповідність GDPR”, коли ви лише перевіряєте наявність сторінки політики
Цей посібник має вузьке завдання. Ви не проводите повний юридичний аудит і не визначаєте, чи компанія повністю виконує всі вимоги GDPR. Ви перевіряєте одну річ: чи схоже, що на сайті є придатна для використання сторінка політики конфіденційності, яка дає відвідувачам базову прозорість, на яку вони мають право розраховувати.
Ця різниця важлива. Видима політика конфіденційності може свідчити про серйозну роботу з дотримання вимог, а може бути й застарілою сторінкою, скопійованою з іншого сайту у 2019 році. Сама сторінка — лише одна підказка, але корисна, особливо коли вам потрібна швидка відповідь для перевірки постачальника, редакційної перевірки або звіту для клієнта.
Фраза як перевірити, чи є на сайті сторінка політики конфіденційності для відповідності GDPR звучить технічно, але насправді метод здебільшого практичний. Знайдіть сторінку, відкрийте її, прочитайте достатньо, щоб зрозуміти, чи вона належить саме цьому сайту, і відзначте, чи справді там є основи, яких GDPR очікує в зрозумілій мові; саме тому перевірка відповідності GDPR сайт починається не з юридичних висновків, а з простих ознак наявності та якості політики.
Не сприймайте відсутність сторінки як юридичний вердикт. Це сигнал. Він може означати, що сайт ще не завершено, сторінка прихована або оператор покладається на інше повідомлення, заховане в процесі оформлення замовлення чи в додатку. Одна сторінка може багато розповісти, але не все.
Починайте з футера, хедера та cookie-банера — не лише з головного меню
Футер і досі залишається першим місцем для перевірки. На багатьох сайтах політика конфіденційності стоїть поруч із посиланнями на умови користування, контакти та юридичну інформацію, часто тонким рядком дрібного тексту внизу сторінки. Невеликі сайти так роблять, бо футер легше підтримувати, ніж повноцінне юридичне меню, тож якщо ви не знаєте, де знайти політику конфіденційності на сайті, почніть саме звідси.
Хедер теж має значення. Деякі видавці розміщують політику конфіденційності в розділі “Про нас”, “Юридична інформація” або в мобільному меню з трьома лініями, а багатомовні сайти можуть приховувати посилання в одній мові, показуючи його в іншій. Якщо на сайті видно лише 5 або 6 пунктів навігації, політика все одно може бути — просто захована десь глибше.
До сторінки також можуть вести cookie-банери. Банер із написом “Дізнатися більше” або “Налаштування конфіденційності” часто відкриває політику конфіденційності, сторінку cookie або обидві. Такий шлях зручний, але може ввести в оману, якщо банер веде лише до налаштувань згоди й ніколи — до повної політики конфіденційності.
Перевіряйте вихідний код сторінки лише якщо видимий шлях не спрацював. Приховане посилання в скрипті футера теж є підказкою. Так само як і юридичне посилання в мобільному висувному меню, яке ніколи не з’являється на десктопі, бо сайт використовує різні макети для різних екранів.
На одному маленькому сайті політика конфіденційності може бути доступна лише в 2 місцях. На іншому — у 4. Кількість не є головним; важливо, що ви можете дістатися до сторінки звичайним шляхом користувача.
Перевірте шлях до політики на десктопі та мобільному, щоб переконатися, що сторінка справді відкривається
Спочатку відкрийте посилання на десктопі, потім повторіть це на телефоні. Звучить просто. Але це важливо, тому що багато сайтів працюють на одному пристрої й не працюють на іншому, особливо коли сторінка залежить від скриптів, запрошення встановити застосунок або макета, який ламає юридичний футер.
Звертайте увагу на перенаправлення. Посилання, яке обіцяє політику конфіденційності, але веде на головну сторінку, сторінку входу або на загальний екран “щось пішло не так”, — цього недостатньо. Перенаправлення може бути законним, але все одно має приводити до політики конфіденційності за розумну кількість кроків.
Проблеми із завантаженням часто трапляються на сайтах із регіональними обмеженнями. Відвідувач в одній країні може бачити політику конфіденційності, а інший — сторінку блокування або неперекладену оболонку без придатного тексту. Якщо сторінка не відкривається без спеціального облікового запису, її важко вважати публічно доступною.
Перевірте, чи це взагалі сторінка. Деякі сайти відображають юридичний текст усередині iframe або згорнутого акордеона, який не розкривається на мобільному. Інші додають політику як PDF. Це може бути прийнятно, але лише якщо файл відкривається без проблем і його легко читати без зайвих технічних маніпуляцій.
Якщо на сайті є піддомен, перевірте і його. Оформлення замовлення на shop.example.com може мати інше посилання на політику, ніж маркетинговий сайт на www.example.com. Якщо ви перевіряєте сервіс із публічними сторінками та сторінками для авторизованих користувачів, політика конфіденційності може з’являтися в одному місці, але не в іншому.
Зламані посилання дають збій швидко. Приховані посилання — мовчки. Обидва випадки важливі.
Прочитайте сторінку політики конфіденційності на наявність сигналів, пов’язаних із GDPR
Коли сторінка відкриється, прочитайте її на предмет деталей, які зазвичай підтверджують прозорість відповідно до GDPR. Вам потрібно побачити, хто є контролером, як із ним зв’язатися, які дані збираються, навіщо їх збирають і як довго їх зберігають. Якщо цих пунктів немає, сторінка все ще може існувати, але її цінність швидко знижується.
Шукайте зазначену юридичну особу, а не лише назву бренду. “Megainet Art” може бути публічною назвою, але в політиці часто має бути вказана компанія, юридична адреса або інша відповідальна сторона. Якщо на сторінці є лише “ми” і жодного пояснення, хто саме це “ми”, це слабкий сигнал.
Формулювання про законну підставу обробки — одна з найкращих підказок. GDPR зазвичай очікує, що сайт пояснить, чи ґрунтується обробка на згоді, договорі, юридичному обов’язку, законних інтересах або іншій підставі. Вам не потрібно оцінювати цю підставу тут; вам лише потрібно побачити, чи сторінка конкретно визнає її.
Також важливі формулювання про права користувача. Якісна політика конфіденційності часто згадує право на доступ, виправлення, видалення, обмеження, заперечення, перенесення даних і право відкликати згоду, де це доречно. Якщо на сторінці перелічено лише одне чи два права або все подано у вигляді нечітких маркетингових фраз, сигнал щодо GDPR слабкий.
Термін зберігання легко перевірити просто: чи вказано, як довго зберігаються дані, або принаймні як цей строк визначається? Речення на кшталт “ми зберігаємо дані, доки це необхідно” не ідеальне, але краще, ніж мовчання. Сторінка без пояснення строків зберігання залишає прогалину, яку можна чітко відзначити.
Контактні дані теж мають значення. Багато сторінок політики конфіденційності містять поштову адресу, електронну пошту або контакт для питань захисту даних. Якщо названо DPO, це корисно, але не обов’язково в кожному випадку. Важливо, чи може відвідувач реально надіслати запит щодо конфіденційності на справжню адресу.
Коротка політика все одно може бути доброю. Довга політика все одно може бути слабкою. Довжина не є мірилом; важлива наявність потрібних пунктів.
Перевірте, чи сторінка актуальна, враховує юрисдикцію і не є просто шаблоном копіпасту
Дати допомагають. Сторінка, оновлена у 2018 році й більше не змінювана, може бути прийнятною в вузькому сенсі, але вона заслуговує на перевірку. Поліція без жодної дати взагалі важче викликає довіру, особливо якщо за останній рік сайт явно змінив дизайн, умови сервісу або брендинг.
Згадки про юрисдикцію — ще одна підказка. Якщо сайт орієнтується на користувачів з ЄС, варто очікувати згадки про ЄЕЗ, ЄС або сам GDPR. Політика, написана лише для одного штату США й без згадки про європейських користувачів, може все ще бути придатною, але вона викликає питання, чи її взагалі писали для цієї аудиторії.
Розкриття інформації про cookie часто показує, чи сторінка підтримується в актуальному стані. Якщо сайт використовує аналітику, рекламні теги або вбудований медіаконтент, у політиці конфіденційності зазвичай це треба якось згадати. Шаблон, який говорить про “наші послуги” загалом, але ніколи не згадує реальну систему відстеження на сайті, викликає підозру.
Шукайте специфічні для сайту формулювання. Сайт бронювання подорожей має згадувати бронювання. Сайт із розсилкою має згадувати підписки. Форум має згадувати контент, створений користувачами. Коли сторінка заповнена загальними заповнювачами, це часто означає, що хтось скопіював шаблон і змінив лише назву бренду.
Шаблони найчастіше дають збій у дрібницях. Неправильна назва компанії, застаріле місто або згадка способу оплати, який сайт не використовує, може бути достатньою ознакою того, що політику конфіденційності не адаптували. Це особливо часто трапляється на сайтах, які запускаються швидко й ніколи не повертаються до юридичного впорядкування.
Найкраща перевірка — проста. Спросіть себе, чи здається вам, що політику написали саме для цього сайту, цього сервісу й цього набору практик обробки даних. Якщо ні — так і зазначте.
Використовуйте швидку тріаж-оцінку відповідності, якщо сторінка політики конфіденційності відсутня або неповна
Якщо знайти політику конфіденційності не вдалося, не зупиняйтеся на формулюванні “відсутня”. Перевірте піддомени сайту, сторінки оформлення замовлення, сторінки акаунта та мовні варіанти. Публічна головна сторінка може не містити посилання, тоді як у процесі оформлення замовлення або в списку застосунку може бути окреме повідомлення.
Також перевірте, чи не прихована політика за формою. Деякі сайти розміщують політику конфіденційності всередині реєстрації акаунта, підтвердження замовлення або сторінок підтримки. Це не ідеально для прозорості, але трапляється. Політика, доступна лише після входу, слабша, ніж та, яку відвідувач може знайти з футера.
Якщо сторінка неповна, перелічіть відсутні елементи конкретно. Зазначте, чи немає імені контролера, розділу про права, email для контакту або пояснення строків зберігання. Короткий список маркованих пунктів корисніший за розмиту скаргу. Наприклад, “сторінку знайдено, але немає законної підстави, дати оновлення та контактних даних” каже більше, ніж три абзаци думок.
Вирішіть, чи результат слід описати як “неочевидно готовий до GDPR”. Ця фраза навмисно обережна. Ви не заявляєте про невідповідність. Ви кажете, що сайт не демонструє чітко тих сигналів політики конфіденційності, яких рецензент очікував би від публікації чи сервісу, орієнтованого на GDPR.
Іноді проблема в охопленні. У сайту може бути одна політика конфіденційності для маркетингових сторінок і окрема — для оформлення замовлення або даних мобільного застосунку. Якщо ви перевірили лише головну сторінку, ви могли пропустити ту сторінку, що має найбільше значення для реальної обробки даних. Одне відсутнє посилання може спотворити загальну картину.
Зафіксуйте точну точку, на якій ви зупинилися. Якщо посилання у футері веде на 404, запишіть URL. Якщо в мобільному меню немає юридичних посилань, теж зазначте це. Чіткі нотатки економлять наступному рецензенту 10 хвилин або більше й зберігають придатний для перевірки слід.
Зафіксуйте висновки для внутрішньої перевірки або звіту для клієнта
Запишіть результат так, щоб юридична або комплаєнс-команда могла використати його за одну хвилину. Вкажіть, де саме ви знайшли політику конфіденційності, на якому пристрої та чи сторінка відкрилася нормально. Потім перелічіть виявлені сигнали GDPR, такі як особа контролера, контактні дані, формулювання про права або умови зберігання.
Залишайте звіт фактичним. “Політику конфіденційності знайдено у футері та в cookie-банері” — сильніше, ніж “виглядає нормально”. Якщо ви перевіряли сторінку на десктопі й мобільному, так і скажіть. Якщо на мобільному сторінка не відкривалася, а на десктопі завантажувалася, теж зазначте це.
Використовуйте фразу як перевірити, чи є на сайті сторінка політики конфіденційності для відповідності GDPR лише тоді, коли вам потрібно позначити завдання внутрішньо. У самому звіті кращими за ярлики є конкретні спостереження. Рецензенту не потрібен слоган; йому потрібні докази.
Якщо політика конфіденційності є, але вона поверхнева, відзначайте прогалини окремо. Наприклад: “сторінка є, але немає розділу про законну підставу, строків зберігання та названого контакту”. Це дає клієнту або внутрішній команді чіткий шлях для подальших дій, не вдаючи, що перевірка була глибшою, ніж вона була насправді.
Передаючи результат, додайте точну назву сторінки, шлях URL і мовний варіант, який ви використовували. Політика конфіденційності, що відображається англійською за одним шляхом і іншою мовою за другим, може бути важливою для багатокраїнних сайтів, особливо якщо сайт обслуговує користувачів по всьому ЄС і за його межами.
Завершіть останнім зафіксованим фактом. Якщо сторінка була актуальною, вкажіть дату. Якщо її не було, скажіть, де ви зупинилися. Жодної прикраси не потрібно. Наступному рецензенту потрібен лише слід.
