GDPR a kisvállalkozói weboldalon – röviden

Az Európai Unió általános adatvédelmi rendelete (GDPR, 2016/679/EU rendelet) minden olyan szervezetre vonatkozik, amely személyes adatot kezel, a kisvállalkozásokra is. Személyes adat minden olyan információ, amely alapján egy élő személy azonosítható: név, e-mail-cím, telefonszám, de bizonyos esetekben egy IP-cím is.

Hol kezel személyes adatot a weboldala?#

Gyakran több helyen, mint gondolná:

• Kapcsolati űrlap: név, e-mail-cím, üzenet.
• Hírlevél-feliratkozás: e-mail-cím, gyakran név.
• Webáruház: rendelési, szállítási és számlázási adatok, vásárlási előzmények.
• Szerverek naplói: a webszerverek a kéréseket jellemzően naplózzák, a látogatók IP-címével együtt.
• Sütik és mérőkódok: látogatottságmérés, reklámkövetés, közösségi gombok.
• Beágyazott külső tartalom: videók, térképek, betűtípusok, csevegőablakok, amelyek a látogató böngészőjét egy másik cég szerveréhez kapcsolják.

Adatkezelési tájékoztató#

Ha személyes adatot gyűjt, tájékoztatnia kell az érintetteket. A GDPR 13. cikke sorolja fel, mi kerüljön a tájékoztatóba, többek között:

• ki az adatkezelő, és hogyan érhető el;
• milyen célból és milyen jogalapon kezeli az adatokat;
• kik kapják meg az adatokat (például tárhelyszolgáltató, hírlevélküldő, könyvelő);
• mennyi ideig őrzi meg őket;
• milyen jogai vannak az érintettnek (hozzáférés, helyesbítés, törlés, tiltakozás stb.), és hogy panaszt tehet a felügyeleti hatóságnál.

A tájékoztató legyen könnyen elérhető, például minden oldal láblécéből, és ott is, ahol adatot kér be (az űrlap mellett).

Jogalap: miért kezelheti az adatot?#

A GDPR 6. cikke szerint minden adatkezeléshez jogalap kell. A weboldalakon leggyakrabban ezek fordulnak elő:

A hozzájárulásnak önkéntesnek, konkrétnak és egyértelműnek kell lennie. Az Európai Unió Bírósága szerint (Planet49-ügy, 2019) az előre bepipált jelölőnégyzet nem érvényes hozzájárulás.

Sütik és mérőkódok#

A nem feltétlenül szükséges sütik (például a látogatottságmérés vagy a reklámkövetés sütijei) elhelyezéséhez az uniós szabályok (az úgynevezett ePrivacy-irányelv és az azt átültető magyar elektronikus hírközlési törvény) szerint általában a látogató előzetes hozzájárulása kell. A működéshez feltétlenül szükséges sütik (például a kosár vagy a bejelentkezés megőrzése) kivételt képezhetnek.

A legegyszerűbb megoldás sokszor az, ha megkérdezi magától: tényleg szükség van-e az adott mérőkódra? Kevesebb süti kevesebb hozzájárulási kérdést és egyszerűbb tájékoztatót jelent.

Beágyazott tartalmak és betűtípusok#

Egy beágyazott videó, térkép vagy egy külső szerverről betöltött betűtípus már az oldal megnyitásakor kapcsolatot létesít a külső szolgáltatóval, és ezzel átadja neki a látogató IP-címét. Néhány bevált megoldás:

• a betűtípusokat saját tárhelyről szolgálja ki;
• a videók és térképek helyén először csak egy képet mutasson, amely kattintásra tölti be a külső tartalmat;
• a tájékoztatóban sorolja fel, milyen külső szolgáltatásokat használ.

Adatfeldolgozók#

Ha az adatokat egy másik cég kezeli az Ön megbízásából (tárhelyszolgáltató, hírlevélküldő, felhőalapú CRM, könyvelőprogram), az a GDPR szerint adatfeldolgozó. A 28. cikk szerint vele írásbeli szerződést (adatfeldolgozói megállapodást) kell kötni; a nagyobb szolgáltatók ezt általános szerződési feltételeik részeként kínálják.

Űrlapok: csak amennyi kell#

• Csak azokat az adatokat kérje be, amelyekre valóban szüksége van (adattakarékosság). Egy kapcsolati űrlaphoz általában elég a név, az e-mail-cím és az üzenet.
• A hírlevél-feliratkozás legyen külön, be nem pipált jelölőnégyzet.
• Az űrlapon keresztül küldött adatokat ne tárolja tovább a szükségesnél.

Biztonság és adatvédelmi incidens#

A GDPR 32. cikke megfelelő technikai és szervezési intézkedéseket vár el az adatok védelmére: ide tartozik a titkosított kapcsolat (HTTPS), a rendszeres frissítés, az erős jelszavak és a mentés is (lásd a biztonsági alapokról szóló útmutatót).

Ha mégis adatvédelmi incidens történik (például feltörik az oldalt, és ügyféladatok kerülhettek illetéktelen kézbe), a 33. cikk szerint az adatkezelőnek indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órán belül be kell jelentenie a felügyeleti hatóságnak, Magyarországon a NAIH-nak, kivéve, ha az incidens valószínűleg nem jár kockázattal az érintettekre nézve.

Impresszum#

Az adatvédelemtől független, de a weboldalakhoz kapcsolódó kötelezettség: az elektronikus kereskedelmi szolgáltatásokról szóló törvény (Ekertv.) szerint a szolgáltatónak bizonyos adatait (például nevét, címét, elérhetőségét, nyilvántartási és adószámát) könnyen elérhetővé kell tennie. Ezt jellemzően egy „Impresszum” oldalon teszik meg. A pontos tartalmat ezzel együtt érdemes jogásszal ellenőriztetni.

Röviden: hol kezdje?#

1. Írja össze, hol és milyen személyes adatot kezel a weboldala.
2. Szüntesse meg azt, amire nincs szükség (felesleges mérőkód, beágyazás, űrlapmező).
3. Készíttessen vagy frissíttessen adatkezelési tájékoztatót, és tegye könnyen elérhetővé.
4. Ellenőrizze a sütiket és a hozzájárulás kérését.
5. Kössön adatfeldolgozói megállapodást a szolgáltatóival.
6. Gondoskodjon a biztonságról, és tudja, mi a teendő incidens esetén.

Gyakori kérdések#

Kell-e adatkezelési tájékoztató, ha nincs űrlap az oldalon?#

Gyakran igen. Már a szerver naplózása, egy látogatottságmérő vagy egy beágyazott külső tartalom is személyes adat kezelésével járhat. Hogy pontosan mire van szükség, azt a konkrét oldal ismeretében jogász tudja megmondani.

Elég egy sablon tájékoztatót letölteni?#

Kiindulópontnak hasznos lehet, de a tájékoztatónak a valóságot kell leírnia: azokat az adatokat, célokat, szolgáltatókat és megőrzési időket, amelyek az Ön weboldalán ténylegesen előfordulnak. Egy át nem gondolt sablon olyasmit is állíthat, ami nem igaz.

Ki a felügyeleti hatóság Magyarországon?#

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH). Honlapján tájékoztatók, állásfoglalások és a bejelentések módja is megtalálható.

Mennyi ideig őrizhetem meg az űrlapon kapott adatokat?#

Annyi ideig, ameddig a célhoz szükséges, és ezt a tájékoztatóban meg kell adnia. Egy ajánlatkérést például az ügy lezárása után egy észszerű ideig őrizhet; a számlázási adatokra viszont a számviteli szabályok hosszabb megőrzési időt írhatnak elő. A konkrét határidőket érdemes könyvelővel és jogásszal egyeztetni.