Web
Analytics
Recomandare
Gânduri buneInternet

Tooluri GDPR pentru platforma WordPress

GDPR (Regulamentul General de Protectie a Datelor) este un subiect discutat tot mai des in contextul in care procesatorii de date cu caracter personal au termen pana la 25 mai 2018 sa implementeze setul de masuri impuse riguros de catre legislatia Uniunii Europene.  GDPR se aplica tuturor persoanelor ce proceseaza date cu caracter personal incepand cu bloggeri, landing page-uri pana la magazine online sau aplicatii web.

Important este de precizat faptul ca regulamentul se adreseaza tuturor formelor de colectare sau procesare a datelor chiar si offline (ex: flyere cand cumperi un pachet de tigari, AWB-uri, atunci cand donezi 2 lei la Salvati Copiii etc).

Speculand lipsa cunostintelor juridice dar si tehnice ale detinatorilor de siteuri, au aparut pe piata tot mai multi consultanti, specialisti, care ofera checklisturi generice insa pentru ca fiecare site este personalizat unui business, fiecare site are procesul lui de prelucrare a datelor, este aproape imposibil sa oferi o reteta a succesului, cu atat mai mult gratuit. Fiecare asteapta de la jucatori mai mari din piata sa implementeze ei primii ca apoi sa ciordeasca copie continutul adaptand usor politica de confidentialitate si termenii siteului.

Tot dupa 25 mai va iesi la iveala si consumatorul de online procesoman, care vede tot si simte nevoia de a face dreptate. Problema e ca de multe ori chiar are dreptate si o sa vedeti mai jos in detaliile legate de cookies.

Fiecare consultant incearca sa linisteasca piata incercand sa aduca o lumina pozitiva GDPR, dar el nu va fi alaturi de procesator atunci cand vine Autoritatea in control 🙂

Easyhost de exemplu spunea ca „In cazul in care vizitatorii blog-ului tau nu se inregistreaza si nu fac nimic altceva decat sa citeasca publicarile de pe blog, nu este nevoie sa iei nicio masura impusa de GDPR atat timp cat nu sunt prelucrate datele personale ale vizitatorilor prin nicio alta modalitate (nici macar prin intermediul cookie-urilor).” Secretul, ca in orice raspuns primit din partea unui contabil sau a unui avocat consta exact in paranteze. Desigur, exista si bloguri fara comentarii activate, fara formular de contact si fara tracking (analytics), dar cota de piata cred ca e atat de mica incat as cauta o zi intreaga pana sa gasesc unul.

Care sunt principiile GDPR?  Principiile de protectie a datelor sunt revizuite, dar sunt, in general, similare cu principiile stabilite in Directiva 95/46 / CE („Directiva privind protectia
datelor”): corectitudinea, legalitatea si transparenta; limitarea scopului; minimizarea datelor; calitatea datelor; securitate, integritate si confidentialitate.

Ce trebuie sa faceti? Revizuiti politicile de protectie a datelor, a codurilor de conduita si a instruirii ca sa asigurati conformitatea cu noul GDPR. Identificati mijloacele prin care puteti
„demonstra conformitatea” (ex:respectarea codurilor de conduita aprobate, deciziilor adoptate privind prelucrarea datelor si, dupa caz, evaluari ale impactului asupra confidentialitatii datelor).

In orice discutie cu privire la GDPR, vina recunoscuta este pe jumatate iertata. Daca nu este adoptat 100% un principiu al Regulamentului, trebuie sa puteti demonstra ca ati facut tot ce era in putinta voastra pentru a respecta Regulamentul. De exemplu pentru fiecare scop al prelucrarii aveti cate o bifa si un link sub formular. Daca utilizatorul nu a citit, este problema lui. Insa, daca sub aceeasi bifa se regasesc mai multe scopuri, atunci consimtamantul poate fi considerat viciat si riscati aceleasi amenzi ca si cum nu ati fi avut deloc. In articolul 7.1, textul este destul de explicit: in cazul in care prelucrarea se bazeaza pe consimțamant, operatorul trebuie sa fie in masura sa demonstreze ca persoana vizata si-a dat consimțamantul pentru prelucrarea datelor sale cu caracter personal.

Textul in limba romana poate fi accesat aici.

Articolul 5: ”Principii legate de prelucrarea datelor cu caracter personal”:

1. Legalitate, echitate şi transparenta – acesta este un principiu esențial, strans asociat cu drepturile fundamentale ale omului. Datele cu caracter personal trebuie sa fie prelucrate ”in mod legal, echitabil şi transparent fata de persoana vizata.” 

2. Limitari legate de scop – datele personale trebuie sa fie colectate in scopuri bine determinate, explicite şi legitime, iar prelucrarile ulterioare nu trebuie sa se abata de la aceste scopuri. E important aici sa retinem ca prelucrarea publica prin arhivare, pentru cercetare ştiintifica/ istorica sau pentru analize statistice nu se considera ca devianta de la scopurile initiale – asa cum se arata in Art. 89, alin. 1. Solicitati persoanei vizate sa citeasca notificarea privind prelucrarea datelor inainte de colectare si prelucrare, specificand, de asemenea, scopul pentru fiecare tip de date personale colectat.

3. Reducerea la minimum a datelor – prin acest principiu operatorii sunt avizați de faptul ca orice colectare de date personale trebuie foarte bine analizata inainte de obținerea efectiva a datelor, care trebuie sa fie cele mai relevante si strict limitate la ceea ce este absolut necesar pentru scopurile in care sunt prelucrate. Nu cereti CNP pentru a comenta pe un blog, de exemplu.

4. Exactitatea informațiilor – operatorii trebuie sa se ia toate masurile pentru a asigura validitatea datelor, iar cele dovedite inexacte trebuie actualizate rapid sau sterse.

5. Limitarea stocarii – datele trebuie pastrate fix atata timp cat sunt necesare pentru pelucrarea asumata. Perioadele mai lungi de stocare sunt excepții asociate cu activitați publice de arhivare, cercetare sau statistica, conform Art. 89, alin. 1. Aici este dragut pentru ca sunt operatori care stocheaza datele 10 – 15 ani conform termenilor actualizati. Daca ne gandim la cookies, un cookie nu are ce sa caute mai mult de un an pe un calculator. Din nou, argumentul trebuie sa fie cat se poate de convingator in fata Autoritatii in momentul in care va intreba de ce plantati un cookie valabil 15 ani, in conditiile in care persoana vizata nu va mai avea acelasi device peste 15 ani. Poate nu vor mai fi nici cookies.

Apoi, daca ne gandim la un blog, comentariile le pastram cat timp avem blogul online. Asta daca nu cumva avem host la namebox sau webfactor 🙂 Dar un formular de contact completat nu ar avea de ce sa stea in DB mai mult de 3 ani  ma gandesc. Depinde aici din nou daca reusiti sa convingeti Autoritatea ca intr-adevar aveati nevoie de datele din cererea de advertorial completata prin formularul de pe pagina de contact, mai mult de 3 ani.

6. Integritate si confidențialitate – iarasi un principiu esențial. Prelucrarea datelor personale trebuie facuta in cele mai proprii condiții de siguranța, care sa includa ”protectia impotriva prelucrarii neautorizate sau ilegale şi impotriva pierderii, a distrugerii sau a deteriorarii accidentale, prin luarea de masuri tehnice sau organizatorice corespunzatoare”.   Din punctul meu de vedere, acesta este un vortex al GDPR. Cine nu respecta acest principiu este direct expus la brese de securitate si confidențialitate, fiind un candidat sigur pentru extrem de severele penalitați.

Securitatea datelor este o discutie neluata in serios de catre majoritatea operatorilor de date cu caracter personal. Cel putin in blogosfera am intalnit destul de mult conceptul conform caruia daca cineva acceseaza neautorizat baza de date, nu are ce sa ia in afara de comentarii. Doar ca acele comentarii au nume, email, IP. Pe WordPress, pentru ca despre el voi discuta, ganditi-va ca sunt cca 30% din siteurile din lume. Sunt mii de magazine online construite pe WordPress cu Woocommerce. Tin minte, intr-un program de bounty hunter comandat de catre directorul unui magazin online din RO, am accesat facturile altor clienti. Angajata (probabil cu minimul pe economie si anul 2 la facultate) nu intelegea care este problema de ma agitam asa tare. Pana cand am luat prin sondaj facturi mai vechi si am gasit-o pe a ei. Abia dupa ce am sunat-o pe mobilul personal a inteles ca nu e ok sa fie expuse public datele altor clienti. Oricum au migrat imediat dupa asta de pe solutia custom neintretinuta de +5 ani pe un woocommerce, fiind in plan, doar ca trebuia si argumentat.

Revenind, ce sunt „datele personale”? Orice informatie care poate fi utilizata la identificarea, direct sau indirect, a unei persoane reale, este socotita „data personala”. De exemplu:

  • Nume
  • Adresa
  • Adresa de email
  • Cod Numeric Personal (sau Numarul Social etc, in functie de tara)
  • Localizare
  • Adresa electronica (IP)

Care sunt datele personale sensibile? Exista o categorie speciala de date personale care trebuie gestionata cu o mult mai mare atentie. Aceasta categorie include informatii ca:

  • Rasa
  • Starea de sanatate
  • Orientarea sexuala
  • Credinta religioasa
  • Orientarea politica

Cum defineşte GDPR drepturile persoanele fizice? in ce priveşte datele personale, persoanele vizate au urmatoarele drepturi:

  • Dreptul la informare
  • Dreptul de acces, rectificare si portabilitatea datelor
  • Dreptul de a se opune
  • Dreptul „de a fi uitat” si dreptul de restrictie a prelucrarii
  • Dreptul de a consulta deciziile automate sau actiunile de profiling.

Un infografic din partea Comisiei Europene poate fi accesat aici.

GSPR WORDPRESS

Dreptul la acces, la rectificare si la portabilitatea datelor persoanelor vizate

Operatorii de date trebuie, la cerere:

  • sa confirme daca prelucreaza date personale ale unei persoane
  • sa furnizeze o copie a datelor (in mod obisnuit in forma electronica). O sa vedem ca WordPress o face destul de elegant.

Persoanele vizate pot, de asemenea, solicita ca datele lor personale sa fie portate catre un nou furnizor in cazul in care datele in cauza au fost furnizate de persoana vizata operatorului, sunt prelucrate automat sau pe baza consimtamantului sau a indeplinirii unui contract.

Cererea trebuie sa fie indeplinita in termen de o luna (cu prelungire pentru unele cazuri) si orice intentie de nerespectare a termenului trebuie explicat persoanei vizate.

Dreptul la acces este destinat sa permita persoanelor vizate sa verifice legalitatea prelucrarii, iar dreptul de a solicita o copie nu ar trebui sa afecteze nefavorabil alte drepturi.

WordPress 4.9.6 (momentan in beta release) ofera doua tooluri ce vin in ajutorul operatorilor. Acestea se regasesc in zona de administrare la Unelte -> Exporta Datele Personale si Unelte -> Sterge Datele Personale. Pentru a exporta datele personale se completeaza username-ul sau adresa email. Apoi CMS-ul trimite un email catre persoana vizata in care ii este comunicat faptul ca cineva a ceut exportul datelor personale. Daca accepta emailul (click pe linkul din email), administratorul vede in dashboardul modulului acest lucru si confirma sa se trimita pe mail datele exportabile. Atunci CMS-ul incepe si macina toate datele din tabele si le trimite in format HTML arhivat pe adresa persoanei vizate. In HTML este precizata pagina unde sunt folosite acele date.

Daca aveti module instalate in afara celor default atunci trebuie modificata usor functionalitatea astfel incat sa se ia in calcul si tabelele in care pot sa apara datele personale. Nu exista nimic universal momentan si nu va fi in viitorul apropiat. Fiecare operator va trebui sa apeleze la suportul unui developer care sa aduca aceste update-uri dupa ce analizeaza configuratia siteului actual. Nu va bazati pe developerii de pluginuri pentru ca ei nu sunt in stare sa goleasca tabelele la uninstall-ul unui modul, dar sa mai si vina cu aceste scanari automate de tabele.

Stergerea datelor personale functioneaza pe acelasi work flow. Administratorul scrie adresa email sau username-ul, se trimite o notificare catre adresa email a persoanei vizate si dupa acceptarea prin click pe linkul din email, administratorul poate fizic sa stearga datele personale. Partea draguta e ca persoana vizata primeste si un email de forma „Cererea ta pentru stergerea datelor personale pe [nume_site] a fost finalizata. Daca ai intrebari sau motive de ingrijorare in continuare, te rog contacteaza administratorul sitului. ”

Aici as adauga o si cateva template-uri de email. Adica nu poti trimite email chiar asa brut cu traducerea WordPress facuta langa plantatiile de orez, si nici cu path-ul la vedere. Deci o zi de adaptare a acestor functionalitati pe particularitatile siteului tot ar trebui sa petreaca un developer. Crunta realitate ne spune ca nu totul e drag & drop. E interesant ca de cativa ani avem buildere precum Visual Composer (WPBakery) si orice secretara poate sa construiasca pagini super misto cu efecte de CSS si responsive fata de anii in care erai dependent de un programator, dar sunt lucruri la care oricat ne-am dori sa fie next, next, finish, trebuie sa ai un developer alaturi. Nici cel mai ieftin indian de pe fiverr, dar nici unul care sa reinstaleze jumate de WordPress cand rezolvarea era prin simpla modificare a doua fisiere. Treaba asta cu developerul ideal tine mult de chimia dintre ownerul de site si developer dar si de bugete (vezi owneri care vor site cu 350 lei in conditiile in care numai licenta unei teme e 380-500 lei).

Dreptul de a se opune

Exista dreptul de a se opune pentru anumite tipuri de prelucrari de date:

  • in cazul marketingului direct
  • prelucrarile legate de o sarcina de interes public al unei autoritati publice
  • prelucrari legate de cercetare sau scopuri statistice

Numai dreptul de a se opune marketingului direct este absolut (adica nu este necesara demonstrarea motivelor pentru obiectii). Exista obligatii de notificare a acestor drepturi intr-un stadiu incipient – clar si separat de alte informatii. Astfel, siteurile trebuie sa ofere o metoda automata persoanelor vizate de a se opune. Daca am o bifa care spune ca prin lasarea unui comentariu sunt de acord cu termenii si conditiile, atunci trebuie o alta bifa care sa ma invite sa accept si prelucrarea datelor in scop de marketing prin exprimarea clara a scopului si temeiului. Sub aceeasi bifa nu pot exista mai multe scopuri si niciodata bifele nu sunt precompletate. De retinut e ca aceste accepturi trebuie salvate in baza de date. Cu alte cuvinte, daca ii spun userului ca prin plasarea comenzii pe site se aboneaza la newsletter, nu ii ofera dreptul de a se opune. Insa, punandu-i o bifa, ii ofer posibilitatea de a alege daca vrea sau nu sa primeasca emailuri de marketing din partea mea. Acele emailuri pot fi trimise numai celor care „au bifa salvata in baza de date”. Puteti face abonarea prin API cu un furnizor de servicii specializat, prin module din panoul de administrare sau orice alta metoda este adaptabila siteului. Dar intotdeauna salvati acceptanta, niciodata nu exportati toti clientii din site si le trimiteti spam email, pentru ca nu toti si-au dat acordul.

Aici WordPress nu are cu ce sa ajute, fiind o functionalitate care tine de factorul uman. Ce trebuie sa retineti este ca persoana vizata trebuie sa poata opta daca doreste sa ii fie procesate datele in alt scop fata de cel vizat

Dreptul „de a fi uitat” si dreptul de restrictie a prelucrarii

WordPress vine cu un tool nou din versiunea 4.9.6, despre care am scris mai sus la Dreptul la acces, la rectificare si la portabilitatea datelor persoanelor vizate.

Persoanele vizate pot cere ca datele lor sa fie „sterse” atunci cand exista o problema legata de legalitatea prelucrarii sau de retragerea consimtamantului. Persoana vizata are dreptul de a obtine din partea operatorului restrictionarea prelucrarii in cazul in care aceasta contesta exactitatea datelor, pentru o perioada care ii permite operatorului sa verifice exactitatea datelor.

In cazul in care operatorul a facut publice datele cu caracter personal si este obligat sa le stearga, operatorul ia masuri rezonabile pentru a informa operatorii care prelucreaza datele cu caracter
personal ca persoana vizata a solicitat stergerea de catre acesti operatori.

In cazul unui site, nu va cere nimeni sa stergeti datele din backupuri de acum 2 ani, sa dezarhivati backupul din dropbox, instalati local o instanta wordpress si va apucati sa stergeti datele userului. Insa, din momentul in care va este solictata stergerea datelor, aveti obligatia de a da curs cererii oricat de mult v-ati dori sa tineti in baza de date acea persoana.

Extrem de important si simt ca aici vor incerca multi norocul dupa 25 mai 2018, este faptul ca dreptul de a fi uitat sau de restrictie a prelucrarii nu poate prima in fata unei alte legi. Astfel, daca avem un magazin online pe woocommerce, putem sterge review-urile, comentariile, eventuale tickete de suport, dar comenzile facturate nu pot fi sterse deoarece legea contabilitatii te obliga sa ai documente timp de 5 ani, 10 ani sau chiar 50 ani in functie de document (50 era la fluturasii de salariu mi se pare). Acum, desigur, daca ai comanda respectiva si in SmartBill, poti sa o stergi fara durere in inima din platforma magazinului pentru ca oricum contabila are ContaBill si se leaga la SmartBill de unde isi ia facturile.

Dreptul de a consulta deciziile automate sau actiunile de profiling

Aici este o referita si la ePrivacy, o alta dorectiva ce va veni sa intareasca dreptul prin care putem face actiuni de profiling si sa luam decizii automate, bazandu-se pe cookies. Tineti minte cand spuneam ca nu trebuie sa fie nimic bifat de dinainte? Ei bine, in cazul cookie-urilor ele sunt primul indicator cu privire la gradul de conformitate GDPR. Daca persoana vizata, utilizatorul, nu doreste sa i se puna cookie de Google Anlytics, nu am voie sa ii pun. Pana cand persoana vizata nu accepta in mod explicit acest cookie, el nu are ce sa caute pe calculator. Banda clasica cu Sunt de acord si jur pe rosu ca am citit politica de utilizare a cookie-urilor nu va mai merge. Utilizatorul trebuie sa isi exprime acordul explicit asupra categoriei de cookie pe care urmeaza sa i-o transmit. Astfel, el trebuie sa decida daca doreste cookie de remarketing, cookie de tracking, functionalitati  etc. Benzile vor trebui sa aiba butonul de accept si cel de cookie settings pentru a putea controla ce fel de cookie am dreptul sa ii transmit. De asemenea, conform drepturilor anterioare, persoana vizata trebuie sa poata reveni oricand asupra deciziei. Deci ascuns intr-un colt, eventual sub forma unei mici prajituri puteti pune triggerul de cookie settings ca sa poata reveni asupra deciziei.

Pentru ca exista si exceptii de la regula, este permisa transmiterea cookie-urilor fara acceptul prealabil al persoanei vizate numai in cazul acelor cookie-uri ce sunt imperios necesare functionarii siteului. Adica cookie de sesiune nu poate dezactiva persoana vizata pentru ca altfel nu ii mai functioneaza loginul. Totusi, e de studiat cookie-ul din partea Facebook pentru siteurile care au login cu social media pentru a nu se confunda cu cookie-ul de la pixelul de Facebook. Din nou, revenim asupra modului in care se poate argumenta in fata Autoritatii, eu daca pun Analytics in categoria cooke-urilor strict necesare ce nu pot fi dezactivate, va trebui sa am un argument solid de ce am facut asta. Si nu exista 🙂

Insa pot exista cookie-urile de pe siteurile unde prima pagina e formata numai din produse recomandate pe baza istoricului de vizite si actiuni, unde e posibil sa induplecati Data Protection cu privire la necesitatea cookie-urilor. Totusi, nu ii trebuie refuzata vizita pe site persoanei vizate daca nu isi da consimtamantul cu privire la aceasta categorie de cookies. Cel mult ii afisati un continut default, poate irelevant categoriei de client dar vizita nu trebuie refuzata. Daca intr-adevar nu il vreti drept vizitator anonim, atunci il puteti directiona catre o pagina in care ii explicati ca fara profiling nu ii puteti oferi continut relevant sau il trimiteti la plimbare. Ceea ce e foarte important este faptul ca prin neacceptarea unor categorii de cookies, nu aveti voie sa i le puneti in alta pagina , ca poate nu se prinde vizitatorul.

Remember: niciodata bife precompletate. Indiferent ca vorbim de cookies sau ca vorbim de prelucrarea datelor ca urmare a completarii unui formular sau a unei comenzi pe site.

WordPress nu are o solutie inca automata si asta pentru ca fiecare isi pune dupa propriile puteri si priceperi toate scripturile pamantului. Nu exista pluginuri dezvoltate si avand in vedere complexitatea dar si modul in care CMS-ul incarca modulele. Tehnic nu imi dau seama cum ai putea sa previi incarcarea scripturilor de analytics in conditiile in care modulul se incarca abia ulterior, de aceea tind sa cred ca solutia va fi tot in SaaS-uri. Solutii externalizate adaptabile oricarui tip de platforma.

Cum voi implementa GDPR pe blog dupa un audit de conformitate?

  • actualizare termeni si conditii in care sa explic caror companii transmit datele personale ale vizitatorilor, comentatorilor acestui blog
  • actualizare politica de confidentialitate in care explic cine are acces la platforma WordPress si in ce conditii
  • actualizare politica de utilizare a cookie-urilor in care explic ce cookie-uri voi transmite, in ce scos.
  • in toate cele 3 puncte de mai sus voi detalia ce aplicatii externe folosesc pe site si care ar putea colecta, procesa, distribui date personale
  • voi utiliza toolurile WordPress de acces la datele cu caracter personal si de stergere
  • voi tine cont in campaniile viitoare de consimtamantul cititorilor in cazul in care sunt formulare de participare de completat
  • ma asigur ca serverele pe care am fisierele si baza de date sunt in Uniunea Europeana (Chroot are chiar in RO)
  • ma asigur ca nu voi face marketing direct catre minori pentru a nu fi necesar sa alerg pe la Data Pprotection sa imi iau numar de inregistrare ca operator de date cu caracter personal
  • voi utiliza o aplicatie de tip SaaS pentru modulul de cookie consent. Nu va fi OneTrust la +7000 EUR / an dar nici aplicatii precum cea lansata de curand de catre o agentie locala unde este orientata B2B cu costuri pe masura (+300 EUR pe luna). Pastrez surpriza pentru 25 mai 🙂
Distribuie articolul pe:
TwitterFacebookGoogle+
  1. Deci, ce trebuie sa fac? Ai vorbit destul de vag. Nu ma pricep la chestii din astea, eu doar scriu.Mă așteptam să spui: instalează asta, șterge asta, fă asta.

    • A descris zic eu in mai milte detalii decat ai putea cere. Daca vrei consultanta personalizata foolproof, acelea se platesc.

  2. E simplu Irina

    ctrl+a apoi shift+delete

Cristian Iosub