Как Понять Политику Конфиденциальности Онлайн-Бизнеса

Элементы Политики Конфиденциальности в Соответствии с GDPR

Каждая политика конфиденциальности, чтобы соответствовать GDPR, должна содержать следующие элементы.

1. Идентификация контролера данных

Нужно сообщить пользователям, кто вы такие. Не стоит углубляться в детали или писать лишнего. Достаточно указать название вашего бизнеса, адрес и страну или штат регистрации.

Если вы ведете бизнес или простой блог как частное лицо, ваше имя, местоположение или адрес электронной почты будут достаточны.

2. Категории персональных данных, которые вы собираете и/или обрабатываете

К категориям персональных данных могут относиться имя человека, псевдоним, домашний адрес, электронная почта, почтовый индекс, телефонный номер, номер ID, номер паспорта, номер социального страхования и так далее.

Персональные данные по GDPR также включают в себя медицинские данные, информацию о личной жизни, IP-адрес, политические взгляды, религиозные убеждения и любую другую информацию, которая может быть прямо или косвенно связана с конкретным человеком. Таким образом, что угодно может быть категорией персональных данных, если это может само по себе или в сочетании с другими данными идентифицировать человека.

3. Как вы собираете и/или обрабатываете персональные данные

Здесь стоит описать методы обработки данных. В большинстве случаев:

• Пользователи предоставляют вам свои данные, например, когда сообщают свое имя и домашний адрес для доставки товаров, или
• Вы собираете данные с помощью куки и других онлайн-трекеров, таких как Facebook Pixel, Quora Pixel, инструменты маркетинга Google и так далее.

4. Цели обработки данных

Прозрачность в рамках GDPR означает, что вы должны раскрыть пользователям, зачем вам нужна обработка их данных. Цели обработки могут включать:

• Аналитические цели, например, сбор статистики посещений сайта с помощью Google Analytics или изучение использования сайта с помощью Hotjar,
• Маркетинговые цели, например, когда вы собираете их электронные адреса, чтобы отправлять им рекламные материалы, или отслеживаете их онлайн-поведение, чтобы показывать им соответствующую рекламу,
• Настройки, например, обработка данных для запоминания языковых предпочтений конкретного посетителя сайта,
• Поддержка клиентов, когда вы собираете адрес электронной почты или телефонный номер пользователя, чтобы связаться с ним и решить возникшую проблему.

5. С кем вы делитесь персональными данными

Скорее всего, вы используете инструменты сторонних разработчиков для сбора и обработки данных, такие как Google Analytics, Facebook Pixel, Hotjar, Mailchimp и другие. Чтобы обрабатывать данные пользователей с помощью этих инструментов, нужно сообщить им персональные данные.

Ваши пользователи имеют право знать, с кем вы делитесь их данными, и вы должны указать это в вашей политике конфиденциальности.

6. Права субъектов данных

В терминологии GDPR пользователи являются субъектами данных. Когда вы собираете персональные данные пользователя, он становится вашим субъектом данных.

Контролеры данных, то есть бизнес, который собирает данные и обрабатывает их от своего имени, обязаны предоставить субъектам данных определенные права. Эти права включают право быть осведомленным об обработке, право на удаление данных, возражение против обработки и так далее.

Вы должны перечислить права ваших пользователей в вашей политике конфиденциальности.

Если вам нужно соблюдать сразу несколько законов по защите данных, тогда вам нужно перечислить все права, которые предоставляет каждый закон субъектам данных.

Например, соблюдение CCPA требует предоставления информации о продаже персональных данных. Это уникально для CCPA и не требуется GDPR, LGPD, PIPEDA или другими законами.

Так что, если вам нужно соблюдать CCPA и все другие элементы, нужно добавить те, которые специфичны для этого закона.

7. Как пользователи могут реализовать свои права субъектов данных

Компании должны предоставить субъектам данных средства для реализации их прав, которые должны быть описаны в политике конфиденциальности.

В большинстве случаев достаточно предоставить адрес электронной почты. Некоторые компании также могут предложить контактную форму, телефонный номер или другие средства для реализации этих прав.

8. Передача данных в третьи страны

Передача данных в третьи страны — это, возможно, самый запутанный вопрос для компаний, которые должны соблюдать GDPR. Передачи в пределах Союза и в адекватные страны свободны, но любая другая передача требует дополнительных инструментов передачи и, возможно, мер защиты.

Независимо от того, как и где вы обрабатываете персональные данные, у пользователей есть право знать, передаются ли их данные в третьи страны и, если да, куда именно.

9. Данные детей

Если вы сознательно собираете и обрабатываете данные детей, это должно быть указано в этом документе.

10. Контактная информация

Если у вас есть Специалист по защите данных или юридический представитель в ЕС, их имя и контактная информация должны быть указаны здесь. В противном случае, любой способ связи с вами будет достаточным для включения в этот раздел.

Посмотрите наш гид по всем штрафам GDPR, чтобы составить представление о последствиях несоблюдения GDPR.

Как читать Политику Конфиденциальности

Если вы хотите понять, как устроена политика конфиденциальности какой-либо компании, для начала нужно научиться её читать.

Мы предполагаем, что вы никогда не читаете политику конфиденциальности и всегда принимаете куки.

Но если вас это заинтересовало, мы сейчас расскажем, как ориентироваться в политике конфиденциальности и понять, что GDPR хочет, чтобы в ней было сказано.

Чтобы показать, о чём идет речь, мы разберем ключевые моменты политики конфиденциальности Shopify. Это канадская компания, соблюдающая GDPR. К тому же канадский PIPEDA (федеральный закон о защите данных) похож на GDPR.

Содержит ли их Политика Конфиденциальности все необходимые элементы?

Компании, которые серьезно относятся к соблюдению GDPR и других законов по защите данных, имеют подробные политики конфиденциальности.

Некоторые не собирают много личных данных и поэтому имеют короткую и простую политику конфиденциальности. Это не обязательно значит, что они нарушают закон. Они просто не заморачиваются с личными данными и не имеют много чего сказать по этому поводу.

Такие сайты всё-таки редкость. Большинство интернет-бизнесов собирают кучу данных, включая те, о которых они даже не подозревают.

Если вы заметили множество виджетов социальных сетей на сайте, это обычно знак сбора данных.

Если вы не уверены, что делает сайт с вашей личной информацией, проверьте это бесплатно на WebCookies.org и получите нужные ответы.

Отчёт сканирования также расскажет вам, с кем они делятся вашими данными. Онлайн-бизнес не может справиться со всем самостоятельно, поэтому многие процессы он передает сторонним компаниям, например, компаниям SAAS, которые управляют некоторыми операциями от их имени.

Во многих случаях аутсорсинг включает в себя передачу данных пользователей. Например, передачу IP-адреса Google Analytics, электронных адресов Mailchimp и так далее.

Что касается политики конфиденциальности Shopify, у них замечательно оформленная политика конфиденциальности со всеми необходимыми элементами.

На этом изображении вы можете увидеть разделы, которые есть в их политике конфиденциальности. Число разделов меньше, чем описано в этой статье, но остальная необходимая информация распределена по другим разделам политики.

Текст написан простым языком, легко ориентироваться и понимать. Это показывает, что компания хочет быть прозрачной с пользователями.

Кроме того, у них есть отдельная политика конфиденциальности для каждой группы пользователей, которые каким-либо образом используют сайт или услуги.

Рассмотрите цели обработки данных

Раздел о целях обработки данных раскрывает мотивы за сбором и обработкой личных данных. Компании должны сообщить пользователям, что именно заставляет их собирать и обрабатывать данные.

Наиболее распространенные цели обработки данных включают, но не ограничиваются:

Предоставление вам товаров или услуг. Они что-то продают, и вы должны предоставить свои данные, такие как имя, электронная почта, домашний адрес, почтовый индекс или другие данные, необходимые для доставки товара или услуги. Исполнение контракта является законным основанием для обработки данных по GDPR и не требует дополнительного согласия.

Цели маркетинга и рекламы. Когда бизнес собирает и обрабатывает личные данные для маркетинговых целей, они нацеливаются на клиентов на основе данных, которые они делятся со сторонними службами.

Примеры таких сервисов — это социальные сети. Все они предоставляют рекламодателям трекинговые пиксели. Эти пиксели отслеживают веб-страницы, которые вы посещаете в интернете, сопоставляют эту активность с данными, которые вы с ними поделились через свой профиль в социальных сетях, и предлагают ваш профиль как потенциального покупателя бизнесу.

Использование кук или пикселя, который может сопоставить вас с большим количеством точек данных, является частью обработки данных для маркетинговых целей, потому что информация используется для маркетинга товаров и услуг.

Цели аналитики. Практически каждый сайт в интернете использует какой-то инструмент аналитики, такой как Google Analytics, Plausible, Mixpanel и другие. Некоторые из них собирают личные данные; другие — нет.

Посмотрите, с каким инструментом аналитики они делятся данными в разделе, где они раскрывают информацию о сторонних инструментах, которые они используют.

Настройки. Бизнесы могут собирать вашу личную информацию, чтобы настроить сайт согласно вашим предпочтениям и улучшить ваш пользовательский опыт. Это может включать в себя настройки доступности, язык и другое.

Обычно это полезные куки, которые упрощают жизнь пользователя, но они все равно собирают личные данные, поэтому требуется согласие перед их использованием.

Это наиболее распространенные цели обработки данных, но не единственные. Различные виды бизнес-деятельности приводят к дополнительным целям обработки, поэтому невозможно их здесь перечислить. Тем не менее, большинство из них относятся к этим категориям.
Shopify, например, использует более описательный язык для описания своих целей.

Вместо «аналитики» они говорят «предоставление отчетов и аналитики» и «тестирование функций и дополнительных услуг.»

Вместо «исполнения контракта» они говорят «ответы на вопросы или предоставление других видов поддержки» (что является частью исполнения соглашения).

Цели маркетинга включают в себя «помощь в маркетинге, рекламе и других коммуникациях.»

Прочитав это, вы поймете, что они отслеживают использование своего сайта, потому что, как и многие другие крупные компании, они серьезно относятся к пользовательскому опыту и не стесняются использовать личные данные, чтобы понять, чего конкретный пользователь хочет от сайта.

Также вы поймете, что они используют инструменты отслеживания, чтобы предложить вам рекламу с персонализированными сообщениями, которые, вероятно, вас заинтересуют.

Наконец, у них есть цель, которая обслуживает их законные интересы (предотвращение мошенничества) и некоторые, специфичные для их бизнеса (помощь продавцам найти и использовать приложения в магазине приложений).

Разберитесь в категориях собираемых данных

Следующим шагом вам стоит разобраться, какие данные бизнесу нужны для выполнения указанных целей обработки.

Для каждой цели требуется обработка определенной категории личных данных. Так что теперь вам нужно понять, как типы обработки данных связаны с этими целями.

Если бизнес собирает ваш электронный адрес, чтобы отправить вам рассылку, то такая категория данных соответствует этой цели. Без электронного адреса бизнес не сможет отправить вам рассылку.

Если приложение требует доступа к вашим фотографиям на смартфоне, чтобы предоставить вам услуги по редактированию изображений, это адекватно. Но если они запрашивают вашу геолокацию для того, чтобы предложить приложение для наложения фильтров на фото, это явный красный флаг. Это приложение не должно знать, где вы находитесь. Возможно, они используют эти данные для других целей или продают их.

Посмотрите, как Shopify решает вопрос прозрачности в отношении категорий данных:

В этой таблице объясняется, какие категории личных данных они собирают и как их используют.

Некоторые бизнесы не так прозрачны, как Shopify, но это не значит, что они не соответствуют требованиям. Если у вас есть сомнения относительно их практик, вы можете подать запрос на предоставление данных и получить ответы на свои вопросы.

Куда они передают личные данные?

GDPR запрещает бизнесам экспортировать личные данные в страны с недостаточным уровнем защиты данных, если у них нет законных оснований для этого или они не предпринимают дополнительных мер безопасности.

Политика конфиденциальности может упоминать законные основания и дополнительные меры, но это не обязательно. Вы можете не понять, как компания передает данные, и какую политику конфиденциальности вы читаете.

Однако, посмотрев на третьих лиц, которым они раскрывают информацию, вы можете понять, передаются ли данные за пределы Европейского Союза или нет.

Этот рисунок показывает некоторых третьих лиц, которые они используют для обработки данных. Многие из них (и все на этом изображении) зарегистрированы в США, что делает их подвластными законам США и может означать, что данные передаются в США. Это усложняет ситуацию в отношении GDPR, так как для такой передачи требуются дополнительные меры защиты.

Хотя вероятность того, что правительство США будет заниматься вашими личными данными, подозревая вас в терроризме или отмывании денег, мала, если вы не комфортно себя чувствуете с передачей ваших данных в США, вы можете обратиться с этим вопросом к компании, чью политику конфиденциальности вы изучаете.

Законные основания для обработки данных

Чтобы понять практику конфиденциальности компании, вам также нужно понять её законные основания для обработки данных. Это не всегда видно из политики конфиденциальности. Некоторые бизнесы могут указать законные основания в политике конфиденциальности, но это не обязательно, и очень мало кто это делает.

GDPR позволяет бизнесам обрабатывать данные только если у них есть законное основание. Законные основания, перечисленные в статье 6 GDPR, включают:

• Явное согласие пользователя
• Исполнение контракта
• Законные интересы
• Жизненно важные интересы пользователя
• Общественный интерес
• Соблюдение законов, расследования и т.д.

Два самых распространенных законных основания — это явное согласие и исполнение (выполнение) контракта.

Бизнесы обычно получают согласие с помощью баннера с куки, который появляется при прибытии на сайт и позволяет пользователю принять или отклонить куки, нажав на кнопку.

Исполнение контракта является законным основанием для обработки, когда бизнесу нужны ваши данные для заключения контракта с вами, например, предоставление SAAS, доставка физического продукта и т.д. Очень часто Условия и положения (также называемые Условиями использования или Условиями предоставления услуг) являются контрактами, которые выполняются.

Как Провести Линии

Как Провести Линии

Чтобы разобраться в практике обеспечения конфиденциальности через политику конфиденциальности компании, нужно провести линию между целями обработки данных, категориями обрабатываемых данных и третьими сторонами, которые участвуют в этом процессе. Кроме того, у бизнеса должны быть законные основания для обработки данных.

Вам нужно убедиться, что:

• Категории обрабатываемых данных соответствуют целям обработки
• Бизнес третьих сторон включает в себя обработку данных с такой же целью
• У бизнеса есть законные основания для обработки данных, такие как ваше явное согласие, исполнение контракта, законные интересы и другие
• Передача данных в третьи страны законна, и
• В документе присутствуют все необходимые элементы политики конфиденциальности, соответствующей GDPR.

Давайте представим, что онлайн-бизнес собрал вашу электронную почту, чтобы отправить вам PDF по интересующей вас теме. Вы предоставили им свою почту; они прислали вам PDF. Также они спросили, могут ли присылать вам еженедельную рассылку с маркетинговыми предложениями. Вы поставили галочку.

Теперь у них есть ваш адрес электронной почты. У вас есть PDF и их маркетинговые материалы.

Они собрали и обработали ваши данные для выполнения контракта (отправки PDF) и маркетинговых целей (рассылки промо-письма). Они не используют адрес электронной почты для других целей. Они используют Mailerlite — литовскую компанию с серверами в ЕС.

Это означает, что у них есть хорошая цель для обработки адреса электронной почты, законные основания для этого, и они не передают данные за пределы Европы. Это соответствует GDPR и является хорошей практикой по обеспечению конфиденциальности.

Если они загружают ваш адрес электронной почты в инструмент Facebook Lookalike Audience и передают ваши данные в США… ну, это нарушит GDPR и множество других аналогичных законов о защите данных.

Если вы зарегистрируетесь на Shopify, они будут отслеживать ваше поведение с помощью Hotjar, чтобы увидеть, как вы используете сайт и внести улучшения, когда соберут достаточно информации. У них есть полезная цель, инструмент третьей стороны для выполнения этой цели и сбор информации о вашем поведении — это все соответствует и является допустимой практикой по обеспечению конфиденциальности, если они получат ваше согласие на сбор персональной информации.

В конечном итоге, решение о том, устраивают вас практики обеспечения конфиденциальности в определенном онлайн-бизнесе или нет, принимаете вы. Эта статья объяснила, как определить ключевые моменты политики конфиденциальности, чтобы понять, почему и как ваши данные переходят с одного сервера на другой и предоставляют некоторым бизнесам доступ к вашим данным, но решать, устраивает вас это или нет, будете вы.

Если вы не можете определиться самостоятельно, обратитесь к профессионалу.