Kako izraditi web sajt usklađen sa pravilima privatnosti
Izrada web sajta u skladu sa GDPR pravilima počinje mnogo pre postavljanja politike privatnosti. Potrebno je razumeti koje podatke sajt prikuplja, zašto se obrađuju, gde se čuvaju i ko im može pristupiti. Ova pitanja podjednako su važna za prezentacione sajtove, blogove, web prodavnice i platforme sa korisničkim nalozima.
Za poslovanje u Srbiji relevantan je Zakon o zaštiti podataka o ličnosti, koji je u velikoj meri usklađen sa evropskim standardima. GDPR može da se primenjuje i na domaću firmu ako nudi proizvode ili usluge osobama u Evropskoj uniji ili prati njihovo ponašanje na internetu. Zato privatnost treba planirati kao deo tehničke i poslovne strukture sajta.
Odredite da li se pravila primenjuju
Prvi korak je utvrđivanje uloge firme u obradi podataka. Vlasnik sajta je najčešće rukovalac, jer odlučuje koje informacije prikuplja i u koju svrhu. Hosting kompanija, alat za slanje newslettera, računovodstveni servis ili platforma za plaćanje mogu imati ulogu obrađivača.
Obaveze zavise od vrste publike i funkcionalnosti sajta. Kontakt forma obrađuje ime, adresu elektronske pošte i sadržaj poruke, dok web prodavnica može obrađivati adresu dostave, broj telefona, podatke o narudžbini i istoriju kupovine. Google Analytics, reklamni pikseli i alati za remarketing dodaju još jedan sloj odgovornosti.
Neophodno je napraviti internu evidenciju svih procesa obrade. Za svaki proces zabeležite kategoriju podataka, pravni osnov, rok čuvanja, primaoce i način zaštite. Takav popis olakšava izradu dokumenata i kasnije odgovaranje na zahteve korisnika.
Prikupite samo podatke koji su potrebni
Na sajtu treba tražiti samo informacije neophodne za konkretnu svrhu. Ako je za odgovor na upit dovoljna adresa elektronske pošte, polje za kućnu adresu nema opravdanje. Obavezna polja označite jasno, a opcione podatke nemojte predstavljati kao uslov za korišćenje osnovne usluge.
Pravni osnov može biti izvršenje ugovora, zakonska obaveza, legitimni interes ili saglasnost. Slanje poruka o novim ponudama uglavnom zahteva posebnu saglasnost, dok je obrada adrese za isporuku potrebna radi realizacije kupovine. Saglasnost mora biti dobrovoljna, konkretna, informisana i lako opoziva.
Posebno proverite da li se podaci koriste za drugu svrhu od one zbog koje su prikupljeni. Email ostavljen radi podrške ne treba automatski dodavati na marketinšku listu. Svaka nova namena mora imati jasan pravni osnov i biti objašnjena korisniku.
Napišite jasnu politiku privatnosti
Politika privatnosti treba da bude dostupna sa svake važne stranice, posebno iz kontakt forme, procesa kupovine i registracije naloga. Dokument treba da objasni ko prikuplja podatke, koje kategorije podataka se obrađuju, u koju svrhu, koliko dugo se čuvaju i kome se mogu proslediti.
Uključite informacije o pravima korisnika: pristupu podacima, ispravci, brisanju, ograničenju obrade, prenosivosti i prigovoru. Navedite i način podnošenja zahteva, službenu adresu za kontakt i mogućnost obraćanja nadležnom organu. Tekst mora biti razumljiv prosečnom posetiocu, bez nepotrebnog pravnog žargona.
Politika ne sme biti kopiran obrazac koji ne odgovara stvarnom radu sajta. Ako koristite CRM, servis za newsletter, platformu za plaćanje ili hosting van Evropskog ekonomskog prostora, to treba transparentno navesti. Promene alata, obrazaca i svrha obrade zahtevaju ažuriranje dokumenta.
Upravljajte kolačićima i saglasnostima
Kolačići koji su neophodni za prijavu, korpu ili bezbednost mogu se koristiti bez posebne marketinške saglasnosti, uz odgovarajuće obaveštenje. Analitički, reklamni i drugi nenužni kolačići treba da se aktiviraju tek nakon jasnog pristanka korisnika. Baner ne sme unapred označiti prihvatanje svih kategorija.
Dobar mehanizam za saglasnost pruža odvojene opcije za neophodne, analitičke i marketinške kolačiće. Dugmad „Prihvati sve“ i „Odbij sve“ treba da budu jednako dostupna, a korisnik mora moći naknadno da promeni izbor. Evidencija saglasnosti treba da sadrži datum, verziju obaveštenja i izabrane kategorije.
| Vrsta kolačića | Primer upotrebe | Da li je prethodna saglasnost potrebna |
|---|---|---|
| Neophodni | Korpa, prijava, bezbednost | Uobičajeno ne, uz obaveštenje |
| Funkcionalni | Jezik, prikaz, korisnička podešavanja | Zavisi od funkcije i lokalnih pravila |
| Analitički | Statistika poseta i ponašanja | Da, ako nisu tehnički neophodni |
| Marketinški | Remarketing i praćenje kampanja | Da |
| Kolačići trećih strana | Video, mape, društvene mreže | Najčešće da, pre učitavanja sadržaja |
Skenirajte sajt kako biste otkrili kolačiće koje dodaju teme, dodaci i ugrađeni sadržaji. Na primer, članak poput vodič o pametnim satovima može učitavati dodatne skripte ako sadrži video, mapu ili element društvene mreže, pa i sadržajne stranice treba proveravati.
Zaštitite formulare, naloge i plaćanja
HTTPS sertifikat je osnovni uslov, ali nije potpuna zaštita. Lozinke treba čuvati u obliku sigurnih kriptografskih sažetaka, administratorske naloge zaštititi višefaktorskom autentifikacijom, a pristup podacima ograničiti prema radnim ulogama. Redovno ažuriranje CMS-a, dodataka i servera smanjuje rizik od poznatih ranjivosti.
Forme treba zaštititi od automatizovanih napada i slanja neželjenih poruka, ali CAPTCHA rešenje ne sme bez potrebe prikupljati dodatne identifikatore. Kod plaćanja je bolje koristiti pouzdanog procesora, tako da sajt ne čuva podatke platnih kartica ako za to nema tehničku i pravnu potrebu.
Napravite rezervne kopije, odvojite produkciono i testno okruženje i evidentirajte ko pristupa korisničkim podacima. Ugovori sa hostingom, cloud servisima i drugim dobavljačima treba da definišu poverljivost, bezbednosne mere, pomoć pri incidentima i brisanje podataka nakon prestanka saradnje.
Omogućite prava korisnika i reagovanje na incidente
Korisnik treba jednostavno da zatraži kopiju svojih podataka, ispravku netačnih informacija ili brisanje kada za čuvanje više ne postoji opravdan razlog. Zahtev ne mora biti komplikovan, ali je potrebno proveriti identitet podnosioca kako se podaci ne bi otkrili neovlašćenoj osobi.
Uspostavite interni rok i odgovornu osobu za obradu zahteva. Proverite podatke u bazama, email alatima, rezervnim kopijama i servisima trećih strana. Ako određene informacije ne mogu odmah da se izbrišu zbog zakonske obaveze, korisniku objasnite razlog i rok čuvanja.
Plan reagovanja na incident treba da odredi kako se otkrivaju, beleže i procenjuju povrede podataka. Evidentirajte šta se dogodilo, koji podaci su ugroženi, koliko korisnika je pogođeno i koje su mere preduzete. U skladu sa procenom rizika i važećim propisima, može postojati obaveza obaveštavanja nadležnog organa i pogođenih lica.
Pre objave proverite sve tačke usklađenosti
Pre puštanja sajta u rad uradite praktičnu proveru od početne stranice do poslednjeg koraka kupovine. Uključite vlasnika poslovanja, programera, osobu zaduženu za marketing i, kada je potrebno, pravnog stručnjaka. Za tehničku realizaciju, redizajn i optimizaciju mogu biti korisne web dizajn usluge koje privatnost uključuju u strukturu projekta, a ne kao naknadnu dopunu.
Korisna kontrolna lista obuhvata sledeće stavke:
- Postavite HTTPS, ažurirajte sistem i ograničite administratorske privilegije.
- Proverite sve forme, obavezna polja, checkbox opcije i tekstove saglasnosti.
- Blokirajte analitičke i reklamne skripte dok korisnik ne izabere odgovarajuću opciju.
- Objavite politiku privatnosti, pravila kolačića i kontakt za zahteve korisnika.
- Ugovorite obradu podataka sa hostingom, newsletter servisom i drugim dobavljačima.
- Testirajte brisanje naloga, izvoz podataka, rezervne kopije i proceduru za incidente.
Dokumentujte datum provere, korišćene alate i uočene nedostatke. Nakon izmena dizajna, dodavanja novog dodatka ili pokretanja reklamne kampanje, ponovite proveru. Za pitanja o implementaciji, izboru digitalnih rešenja ili održavanju sajta možete se obratiti podršci UniverzalSoft, uz opis funkcionalnosti koje treba uskladiti.
Privatnost je kontinuiran proces koji prati promene u poslovanju, tehnologiji i propisima. Sajt koji jasno objašnjava obradu podataka, prikuplja minimum informacija i pouzdano štiti korisničke naloge gradi sigurnije digitalno iskustvo i stabilniji odnos sa posetiocima.