Όπώς είχα αναφέρει και σε προηγούμενο άρθρο σχετικά με τον ΓΚΠΔ, ή αλλιώς GDPR, σύντομα πρέπει να εφαρμοστούν οι οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η προθεσμία που δόθηκε στις 25 Φεβρουαρίου ήταν δίμηνη, οπότε λήγει στις 25 του τρέχοντος μήνα.
Τι πρέπει να κάνει μια εταιρεία για να συμμορφώσει την ιστοσελίδα της με τον ΓΚΠΔ;
Καταρχήν πρέπει να κατανοήσουμε ότι ο ΓΚΠΔ αφορά την διαχείριση και την ασφάλεια των δεδομένων που αποκτά / διαθέτει μια εταιρεία σε κάθε μορφή. Από τα αρχεία που βρίσκονται τοπικά στους σκληρούς δίσκους ή έντυπη μορφή, όπως πελατολόγια, αρχεία προσωπικού, ασφαλιστικές καταστάσεις κ.α., μέχρι τα δεδομένα που αποκτώνται και επεξεργάζονται μέσα από την εταιρική ιστοσελίδα, καθώς επίσης και ο τρόπος με τον οποίο διαβαθμίζεται η πρόσβαση σε αυτά τα αρχεία ενδοεταιρικά.
Η συμμόρφωση δεν αφορά μόνο στο τι γίνεται αν αυτά τα δεδομένα διαρρεύσουν, αλλά στο ποια μέτρα λήφθηκαν πριν συμβεί ένα απευκταίο σενάριο σαν το προαναφερθέν.
Ο πρόλογος αυτός γίνεται για να καταλάβουμε πως η συμμόρφωση με τον ΓΚΠΔ αφορά το πλήρες φάσμα της λειτουργίας μιας εταιρείας, και όσο πιο σύνθετη είναι η δομή και οι ο τρόπος λειτουργίας μιας εταιρείας, τόσο πιο σύνθετη γίνεται και η συμμόρφωση. Μια σίγουρη λύση για την πλήρη συμμόρφωση είναι να ζητήσετε μια αξιολόγηση (audit) από ένα νομικό σύμβουλο με εξειδίκευση πάνω στο θέμα του ΓΚΠΔ.
Ας δούμε τι χρειάζεται μια ιστοσελίδα για να είναι σε συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων:
Πολιτική Απορρήτου
Είναι πολύ βασικό πριν από κάθε ενέργεια να αξιολογήσουμε την ιστοσελίδα μας ως προς το τι είδους δεδομένα ζητάει από τον χρήστη.
Σε γενικές γραμμές, μια εταιρική ιστοσελίδα προβολής δεν ζητάει κάποιο προσωπικό δεδομένο από τον επισκέπτη κατά την επίσκεψή του. Αυτό σημαίνει ότι δεν υπάρχει υποχρέωση εγγραφής, ή δημιουργίας λογαριασμού κατά την επίσκεψη και μπορεί κάποιος ανώνυμα να δεί το περιεχόμενο της ιστοσελίδας. Στη συγκεκριμένη περίπτωση, ένα πιθανό στάδιο κατά το οποίο ο επισκέπτης θα χρειαστεί να δώσει τα στοιχεία του μέσα από την ιστοσελίδα, είναι μόνο σε 2 περιπτώσεις, αν κάνει κάποιο αίτημα μέσα από φόρμα επικοινωνίας, συμπληρώνοντας τα στοιχεία του, ή κάνοντας εγγραφή σε κάποιο newsletter.
Και στις 2 αυτές περιπτώσεις, μας κοινοποιούνται κάποια στοιχεία για πολύ συγκεκριμένο λόγο είτε αυτός αφορά την επικοινωνία, είτε το ενδιαφέρον να λαμβάνει περιοδικά μηνύματα ηλεκτρονικού ταχυδρομείου σχετικά με νέα άρθρα, νέα της επιχείρησης κ.α.
Αντίστοιχα λειτουργεί ένα ηλεκτρονικό κατάστημα, όπου ο πελάτης για να ολοκληρώσει την αγορά ενός προϊόντος πρέπει να κοινοποιήσει ηλεκτρονικά τα στοιχεία επικοινωνίας του, που εκτός από το ονοματεπώνυμο και το τηλέφωνό του περιλαμβάνουν επίσης και διεύθυνση κατοικίας.
Σε κάθε μια από τις περιπτώσεις αυτές ενδεχομένως να χρησιμοποιούνται εργαλεία μέτρησης της επισκεψιμότητας, και ιχνηλάτες (cookies) για την αποδοτικότερη διαφήμιση (remarketing, dynamic remarketing) μετά την επίσκεψη.
Και στις 2 αυτές περιπτώσεις, χρειάζεται να εξηγήσουμε με απλά λόγια μέσα από ένα κείμενο που περιγράφει την πολιτική απορρήτου μας, για ποιο λόγο ζητάμε τα στοιχεία του, τι χρήση θα τους κάνουμε, πόσο καιρό θα τα κρατήσουμε, και ποιες είναι οι υποχρεώσεις μας ως προς την ασφαλή φύλαξή τους. Στο κείμενο πολιτικής απορρήτου, θα πρέπει επίσης να αναφέρεται ξεκάθαρα ο τρόπος με τον οποίο ένας εγγεγραμένος χρήστης για παράδειγμα ενός ηλεκτρονικού καταστήματος μπορεί να αιτηθεί τη διαγραφή των στοιχείων του από τη βάση δεδομένων της ιστοσελίδας.
Ιχνηλάτες
Ένα από τα σημεία στα οποία θα πρέπει να δοθεί ιδιαίτερη έμφαση είναι ο τρόπος με τον οποίο εγκαθίστανται οι ιχνηλάτες ή όπως είναι διεθνώς γνωστα ως cookies κατά την επίσκεψη στην ισοσελίδα μας. Από τεχνικής άποψης εδώ πρέπει να γίνουν κάποιες ενέργειες για να συμμορφωθεί η ιστοσελίδα με τις οδηγίες της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Σε κάθε ιστοσελίδα θα πρέπει να υπάρχει μια λειτουργία ή οποία να δίνει στον επισκέπτη τις παρακάτω δυνατότητες:
- 2 επιλογές για αποδοχή και απόρριψη της χρήσης των cookies από την ιστοσελίδα.
- Ανάλυση των διαφορετικών τύπων των cookies που χρησιμοποιούνται και δυνατότητα για αποδοχή ή απόρριψη ανάλογα με τον τύπο τους.
- Δυνατότητα ανάκλησης της συγκατάθεσης αφού αυτή έχει γίνει.
- Ξεκάθαρη παραπομπή στο κείμενο της πολιτικής απορρήτου που ανέφερα νωρίτερα.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έχει καταστήσει σαφές το ότι δεν πρέπει να γίνεται εξ’ ορισμού εγκατάσταση των cookies αν δεν έχει προηγηθεί η ρητή συγκατάθεση του χρήστη.
Σε κάθε περίπτωση η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα έχει δώσει στις οδηγίες της πολλά παραδείγματα κακής πρακτικής για να μην αφήσει ανοιχτά παραθυράκια για την «διαφορετική» ερμηνεία του κανονισμού. Ενδεικτικά αναφέρει ξεκάθαρα ότι τα cookies του Google Analytics και τα διαφημιστικά cookies χρειάζονται ρητή συγκατάθεση πριν την εγκατάστασή τους, ότι η μη επιλογή για αποδοχή ή απόρριψη δεν μπορεί να θεωρηθεί αυτόματα ως συγκατάθεση, ή ότι η μη αποδοχή δεν επιτρέπεται να οδηγεί σε αποκλεισμό από την πρόσβαση του περιεχομένου.
Όπως έχω αναφέρει και σε προηγούμενο άρθρο μου, η νέα αυτή πραγματικότητα θα αλλάξει πολλά πράγματα στην μέχρι τώρα λειτουργία των ιστοσελίδων, και πιο συγκεκριμένα στον τρόπο διαφήμισής τους, και την μέτρηση της απόδοσης των διαφημίσεων. Σίγουρα το θέμα της ορθότητας του κανονισμού μπορεί να αποτελέσει μεγάλο θέμα συζήτησης, με δυνατή επιχειρηματολογία και από τις δύο πλευρές, η εφαρμογή του κανονισμού όμως είναι αναγκαία από όλους. Σίγουρα πολλοί θα αργήσουν να ενσωματώσουν το σύνολο των οδηγιών, στον τρόπο εγκατάστασης των cookies στις ιστοσελίδες τους. Δυστυχώς όμως καθώς ο ανταγωνισμός μεταξύ των ιστοσελίδων είναι μεγάλος, και όλες οι επιχειρήσεις γνωρίζουν καλά τους ανταγωνιστές τους, θα δούμε δούμε να γίνονται καταγγελίες μεταξύ τους. Η άποψή μου είναι να φροντίσουμε για έναν όσο το δυνατόν περισσότερο υγιή ανταγωνισμό χωρίς χρήση αθέμιτων πρακτικών, ακόμη και αν αυτό σημαίνει ότι θα αλλάξει ο τρόπος που εργαζόμαστε.
