GDPR usklađenost sajta za Srbiju: praktičan vodič

GDPR usklađenost sajta za Srbiju znači da poslodavac mora urediti prikupljanje i zaštitu podataka o prepoznatljivim osobama. Evropska uredba ne zavisi od lokacije servera: bitno je da li se obrađuju podaci građana Evropske unije i Evropskog ekonomskog prostora ili se prati njihovo ponašanje na internetu.

Pravilo se primenjuje kada se usluga nudi tim građanima ili kada se aktivno prati njihova aktivnost, čak i ako je izvor podataka van EU. Za srpski sajt to može značiti prodaju digitalnih proizvoda, korisnički profil, analitiku saobraćaja ili marketinško oglašavanje. Označavanje stranice kao posvećene Srbiji samo po sebi ne uklanja te obaveze.

Podatak je lični kada fizičku osobu može identifikovati direktno ili posredno. U praksi to uključuje ime i prezime, adresu e-pošte, telefon, broj kartice, IP adresu povezanu sa drugim zapisima, istoriju narudžbi i podatke iz naloga. Lokacija čuvanja nije važna koliko svrha obrade, pravni osnov i primerena zaštita.

Praktičan pristup počinje mapiranjem podataka, a ne dodavanjem pravila na donju stranicu. Za online prodavnicu poput UniverzalSoft, to znači pregled narudžbi, naloga, korisničke podrške i marketinških aktivnosti. Utvrđuje se koje informacije stvarno trebaju, ko pristupa podacima, koliko dugo se čuvaju i koji kanal komunikacije korisnik prihvata.

Zašto GDPR obaveze važe za srpske sajtove

Srbija nije član Evropske unije, ali to ne znači da je GDPR nebitan za svaki srpski sajt. On se primenjuje kada je nalogodavac ili obrađivač uspostavljen u EU, kada se roba ili usluge nude građanima EU ili kada se njihovo ponašanje prati. Za obradu bez takvog dodira, centralno mesto na početku ostaje domaći zakon o zaštiti podataka o ličnosti.

Pri projektovanju sajta treba razlikovati domaću obradu od one povezane sa EU. Zakon o zaštiti podataka o ličnosti u Srbiji i nadležnost Poverenika za zaštitu podataka o ličnosti ostaju važni, dok međunarodni transferi i prava EU građana zahtevaju dodatnu proveru. Sajt sa nekoliko zona obrade mora za svaku imati jasno utvrđen režim.

Pravni osnovi i obaveštenje o privatnosti

Za svaku svrhu obrade treba izabrati valjani pravni osnov: saglasnost, izvršenje ugovora, zakonsku obavezu, vitalne interese, javni interes ili legitimni interes. Saglasnost nije univerzalno rešenje jer mora biti slobodno data, dobrovoljna, informisana, specifična i jednostavno povučiva. Za legitimni interes treba dokazati da korist preteže riziku za osobu i da je obrada proporcionalna.

Obaveštenje o privatnosti treba na jeziku razumljivom korisniku da navede identitet i kontakt nalogodavca, svrhe i pravne osnove, primaoce, trajanje čuvanja, prava, način podnošenja prigovora i informacije o prenosu podataka. Treba razjasniti i da li je davanje nekog podatka obavezno, kakve su posledice njegovog odsustva i kada se koristi automatizovano donošenje odluka.

Privatnost se ne može prepustiti samo tehničkom timu. Za svakog dobavljača koji pristupa podacima treba utvrditi ulogu, zaključiti ugovor o obradi i proveriti mere bezbednosti. Kada se dokumenti i evidencije rade kroz Office pakete, vlasnik preduzeća treba da razume gde su podaci i koje funkcije deljenja uključuju. Kancelarijski softver sam po sebi ne znači da je dobavljač obrađivač, dok ugovori o hostingu ili analitici često ga čine.

Kolačići, kapče i prava korisnika

Kolačići i slične tehnologije treba podeliti na neophodne, analitičke i marketinške. Neophodni kolačići služe, na primer, održavanju prijave i bezbednosti korene, dok se analitički i marketinški obično uključuju uz prethodnu saglasnost na osnovu pravila elektronskih komunikacija. Informativni baner mora omogućiti stvarni izbor, a prihvatanje ne može automatski značiti saglasnost na sve namene.

Saglasnost treba da postoji pre aktiviranja neobaveznog praćenja, a korisniku se mora omogućiti promena izbora. ReCAPTCHA može biti koristan za zaštitu od automatizovanog zloupotrebljavanja, dok se Recaptcha projekat može razmotriti kao manje invazivna alternativa. Nijedna tehnologija ne treba da se uvede samo zato što je lako dostupna; potrebno je proveriti i da li rešenje zaista služi nazvanom cilju.

Korisnik ima pravo na pristup, ispravku, brisanje, ograničenje i prenos podataka, kao i na prigovor, povlačenje saglasnosti i žalbu nadzornom organu. Zahtev treba razmotriti najkasnije u roku od mesec dana, uz produženje od najviše dva meseca ako je obim složen. Identifikacija putem e-pošte je prihvatljiva samo kada ne otkriva više podataka nego što je potrebno.

Bezbednost podataka i postupanje pri incidentu

Bezbednost mora biti prilagođena vrsti podataka i riziku. Za sisteme koji snimaju zaposlene, kupce ili posetioce, odabir proverenog uređaja je deo odgovornosti. Izbor zaštitnih IP kamera može pomoći u tehničkoj zaštiti, ali snimak, pristup i brisanje moraju biti uređeni isto kao za ostale podatke. Lozinke, višefaktorska autentifikacija, šifrovanje, dnevnici pristupa i rezervne kopije čine osnovu.

Ako povreda može verovatno naneti štetu pravima i slobodama osobe, nadzorni organ treba obavestiti u roku od 72 sata od saznanja za incident. Osobe se obaveštavaju kada postoji velik rizik, a naknadna obaveštenja mogu biti potrebna kada se utvrde činjenice. Kašnjenje je dopušteno samo uz obrazloženje, dok se incident, zaštitne mere i njihov rezultat evidentiraju.

Plan za reagovanje treba da ime odgovorne osobe, način privremenog blokiranja pristupa, postupak obaveštavanja korisnika i način saradnje sa hostingom i drugim dobavljačima. Redovne provere zaključaka, uklanjanje neiskorišćenih naloga i testiranje rezervnih kopija sprečavaju da se osnovne mere vremenom pretvore u dekoraciju.

Osetljivi podaci, deca i automatizovane odluke

Zdravstveni, biometrijski, genetski, politički, verski i drugi posebno zaštićeni podaci zahtevaju dodatni pravni osnov i pojačane kontrole pristupa. Posebnu pažnju treba posvetiti podacima dece: saglasnost za ponudu informacionih usluga detetu mora biti valjana prema važećoj starosnoj granici, a prikupljanje podataka treba ograničiti na neophodno. Provera starosti sama po sebi ne opravdava šire profilisanje.

Profilisanje i automatizovane odluke mogu imati značajan uticaj na osobu, pa treba objasniti logiku, posledice i način osporavanja odluke. Pre uvođenja sistema sa velikim rizikom, poput biometrijskog prepoznavanja ili praćenja zaposlenih, obično je potrebna procena uticaja na privatnost. Zakon o zaštiti podataka o ličnosti i GDPR predviđaju posebne okolnosti u kojima je imenovanje službenika za zaštitu podataka obavezno.

Izbor platforme i odgovorno upravljanje privatnošću

Platforma nije sama po sebi usklađena niti je jedna tema dovoljna za bezbedan sajt. Kada se koristi WordPress, kvalitet i održavanje WordPress teme imaju praktičan značaj, ali dodaci, obrasci za prijavu i analitičke skripte moraju da se proveravaju isto kao vlasni kod. Redovna ažuriranja, uklanjanje nepotrebnih funkcija i ograničenje administratorskih prava smanjuju rizik od neovlašćenog pristupa.

Zaštita privatnosti mora biti ugrađena u oblikovanje podrazumevanih podešavanja: korisnik ne bi trebalo da šalje više podataka nego što je neophodno. Za veći sajt treba voditi evidenciju obrada, odrediti rokove čuvanja, redovno brisati nepotrebne zapise i evidentirati upravljanje incidentima. Uloge pristupa treba periodično pregledati, a zaposlene obučiti za prepoznavanje pokušaja socijalnog inženjeringa i fišing poruka.

Koraci za uvođenje usklađenosti

Uvođenje usklađenosti je deljiv zadatak, ali vlasnik preduzeća snosi odgovornost za pravilno postupanje. Najkorisnije mere obično počinju utvrđivanjem tokova podataka, a zatim preciziranjem sadržaja politika, saglasnosti, ugovora i tehničkih kontrola. Sledeći vodič može poslužiti kao operativni podsetnik, ali treba ga prilagoditi stvarnim uslugama sajta.

• Napravite popis svih obrada, uključujući kolačiće, analitiku, obradu porudžbina i marketinške aktivnosti.
• Izaberite i dokumentujte pravni osnov za svaku namenu, uz posebnu pažnju na legitimni interes i saglasnost.
• Objavi jasno obaveštenje o privatnosti, podesi upravljanje saglasnošću i pružite funkcionalan način povlačenja saglasnosti.
• Uvedite pristup sa višefaktorskom autentifikacijom, šifrovanje, evidenciju promena, rezervne kopije i postupak za prijavu incidenata.
• Testirajte prava korisnika, rokove čuvanja i bezbednosne mere, a zatim ih ponavljajte nakon svake značajne izmene sajta ili novog dobavljača.

Za manje složene sajtove dovoljno je fokusirati se na nekoliko preciznih koraka, dok prodavnica, platforma ili sajt sa snimanjem traže više dokaza. Ako je potrebna izmena poslovanja ili e-commerce sistema, usluge web dizajna mogu obuhvatiti i primenu pravila privatnosti u dizajnu i tehničkoj strukturi. Periodični pregled postaje deo redovnog upravljanja podacima u rastućem digitalnom poslovanju.