Kui kodulehel on kontaktivorm, uudiskirjaga liitumine, kasutajakonto või mõni muu lahendus, mille kaudu kogutakse inimese andmeid, tuleb talle selgitada, mida nende andmetega tehakse. Selleks kasutatakse tavaliselt privaatsuspoliitikat ehk andmekaitsetingimusi.
Privaatsuspoliitika ei pea olema pikk ja keerulises juriidilises keeles dokument. Vastupidi – inimene peaks sellest võimalikult lihtsalt aru saama. Euroopa Liidu andmekaitsereeglid näevad ette, et teave isikuandmete kasutamise kohta peab olema selge, arusaadav ja läbipaistev.
Mis on isikuandmed?
Isikuandmed on andmed, mille järgi saab konkreetse inimese otseselt või kaudselt ära tunda. Kõige tavalisemad näited on nimi, e-posti aadress, telefoninumber ja kodune aadress. Isikuandmeks võib olla ka IP-aadress või küpsisega seotud tunnus, kui seda saab seostada konkreetse inimesega.
Kui inimene kirjutab näiteks kodulehe kontaktivormi oma nime, e-posti aadressi ja sõnumi, siis ettevõte saab tema isikuandmed. Nende vastuvõtmine, salvestamine, kasutamine ja kustutamine on kõik isikuandmete töötlemine. See termin kõlab keeruliselt, kuid tähendab lihtsalt kõike, mida ettevõte inimese andmetega teeb.
Milleks privaatsuspoliitikat vaja on?
Privaatsuspoliitika eesmärk on anda inimesele teada, kes tema andmeid kasutab, miks neid kogutakse ja mis nendega edasi saab. Inimene peab saama aru, millisel eesmärgil tema andmeid kasutatakse ja kas neid jagatakse ka mõne teise teenusepakkujaga.
Näiteks kontaktivormi kaudu saadud e-posti aadressi võib vaja minna päringule vastamiseks. Kui ettevõte soovib sama aadressi hiljem reklaamkirjade saatmiseks kasutada, on tegemist juba teise eesmärgiga. Seetõttu ei piisa väga üldisest lausest nagu „Kasutame teie andmeid teenuse osutamiseks“. Privaatsuspoliitika peaks kirjeldama võimalikult konkreetselt, milliseid andmeid kasutatakse ja milleks.
Kes vastutab andmete eest?
Privaatsuspoliitikas peaks olema kirjas ettevõtte või organisatsiooni nimi ja kontaktandmed. GDPR-i mõistes nimetatakse ettevõtet, kes otsustab, miks ja kuidas isikuandmeid kasutatakse, vastutavaks töötlejaks.
Lihtsamalt öeldes tähendab see seda, et ettevõte vastutab selle eest, kuidas inimese andmeid kasutatakse, säilitatakse ja kaitstakse. Kui ettevõttel on määratud andmekaitsespetsialist, tuleb lisada ka tema kontaktandmed. Väikesel ettevõttel ei ole aga automaatselt kohustust andmekaitsespetsialisti määrata.
Milliseid andmeid kogutakse?
Privaatsuspoliitikast peaks inimene saama aru, milliseid tema andmeid koduleht või ettevõte kogub. Need võivad olla näiteks nimi, telefoninumber ja e-posti aadress kontaktivormist. E-poe puhul võib lisanduda tarneaadress ning konto loomisel kasutaja sisselogimisega seotud info. Veebilehe külastamisel võivad teatud tööriistad koguda ka tehnilist infot.
Siin kehtib oluline põhimõte: koguda võiks ainult neid andmeid, mida tegelikult vaja on. Seda nimetatakse andmete minimaalsuse põhimõtteks. Kui kontaktivormi jaoks piisab nimest ja e-posti aadressist, ei ole mõtet küsida lisaks sünniaega või kodust aadressi lihtsalt igaks juhuks.
Mille alusel andmeid kasutatakse?
Privaatsuspoliitikas tuleb kirjeldada ka andmete töötlemise õiguslikku alust. See tähendab põhjust, mis annab ettevõttele õiguse inimese andmeid kasutada.
Selliseks aluseks võib olla näiteks leping, seadusest tulenev kohustus või inimese antud nõusolek. Mõnes olukorras võib ettevõte tugineda ka õigustatud huvile. Kõik andmetöötlused ei põhine seega nõusolekul ning oluline on välja selgitada, millisel alusel konkreetseid andmeid tegelikult kasutatakse.
Näiteks võib kliendi kontaktandmete kasutamine olla vajalik temaga sõlmitud lepingu täitmiseks, samas kui uudiskirjaga liitumisel kasutatakse sageli inimese nõusolekut.
Kui kaua andmeid säilitatakse?
Isikuandmeid ei tohiks hoida lõputult lihtsalt sellepärast, et neid võib kunagi vaja minna. Privaatsuspoliitikas tuleks kirjeldada, kui kaua erinevaid andmeid säilitatakse või vähemalt seda, mille põhjal säilitamise aeg otsustatakse.
Näiteks võib olla üks säilitamisaeg kliendilepingute ja arvete jaoks ning teine kontaktivormi kaudu tulnud päringute jaoks. Kõigile andmetele ei pea määrama ühesugust tähtaega. Säilitamise aeg peaks lähtuma sellest, miks andmeid koguti ning kas nende hoidmiseks on hiljem veel mõni seadusest või ettevõtte tegevusest tulenev põhjus.
Kas andmeid jagatakse teiste teenusepakkujatega?
Paljud kodulehed kasutavad kolmandate osapoolte teenuseid. Näiteks võib veebimajutus asuda ühe ettevõtte serveris, e-kirju saadetakse teise teenuse kaudu ja veebianalüütikaks kasutatakse veel kolmandat lahendust.
Kui teised ettevõtted saavad inimese andmetele ligipääsu või töötlevad neid sinu ettevõtte nimel, peaks privaatsuspoliitika selle kohta infot andma. Vajadusel tuleb kirjeldada ka seda, kas andmeid edastatakse väljapoole Euroopa Liitu.
See ei tähenda, et poliitikasse tuleb kirjutada pikk nimekiri kõigist WordPressi pluginatest. Oluline on välja tuua need teenused ja osapooled, kes päriselt isikuandmete töötlemisega kokku puutuvad.
Millised õigused inimesel on?
GDPR annab inimesele oma andmete suhtes mitu õigust. Näiteks on tal õigus küsida, milliseid andmeid ettevõte tema kohta hoiab, ning paluda ebõigeid andmeid parandada. Teatud tingimustel võib inimene paluda oma andmed kustutada või nende kasutamist piirata.
Kui töötlemine põhineb nõusolekul, peab inimesel olema võimalik nõusolek ka tagasi võtta. Samuti on tal õigus esitada andmete kasutamise kohta kaebus Andmekaitse Inspektsioonile. Privaatsuspoliitikas võiks olla kirjas, kuidas inimene saab neid õigusi kasutada, tavaliselt näiteks e-posti teel.
Aga küpsised?
Privaatsuspoliitika ja küpsiste teavitus on omavahel seotud, kuid need ei ole päris sama asi. Küpsis on väike infokild, mille veebileht võib külastaja seadmesse salvestada. Mõnda küpsist on vaja veebilehe toimimiseks, teisi kasutatakse näiteks statistika või turunduse jaoks.
Kui kodulehel kasutatakse analüütika- või turundustööriistu, tuleb vaadata eraldi ka küpsiste kasutamise ja nõusoleku nõudeid — vt ka meie postitust kodulehe turvalisusest. Seetõttu võib kodulehel olla lisaks privaatsuspoliitikale ka eraldi küpsisepoliitika või küpsiste seadistamise võimalus. Pelgalt küpsisebänneri olemasolu ei tähenda automaatselt, et kogu kodulehe andmekaitse on korras.
Ära kopeeri teise ettevõtte privaatsuspoliitikat
Internetist on lihtne leida mõne teise ettevõtte privaatsuspoliitika, see kopeerida ja enda ettevõtte nimi asemele kirjutada. Seda ei tasu teha, sest kahe pealtnäha sarnase kodulehe andmetöötlus võib olla täiesti erinev.
Üks veebileht võib kasutada ainult kontaktivormi, teine aga Google Analyticsit, uudiskirja, reklaamitööriistu ja e-poodi. Seetõttu peab privaatsuspoliitika kirjeldama just sinu enda kodulehel ja ettevõttes toimuvat — vaata näiteks, kuidas oleme selle üles ehitanud meie enda privaatsuspoliitikas.
Privaatsuspoliitika võiks olla lihtne ja arusaadav
Privaatsuspoliitika eesmärk ei ole kasutada võimalikult palju keerulisi juriidilisi väljendeid. Inimene peaks sellest lugedes aru saama, mis tema andmetega toimub ja kelle poole küsimuste korral pöörduda.
Kõigepäalt tasub kaardistada, milliseid isikuandmeid sinu koduleht ja ettevõte koguvad. Seejärel saab kirja panna, miks neid vaja on, millisel alusel neid kasutatakse, kui kaua säilitatakse, kellele neid vajadusel edastatakse ning kuidas inimene saab oma õigusi kasutada.
Privaatsuspoliitikat tasub aeg-ajalt ka uuesti üle vaadata. Kui lisad kodulehele näiteks uue kontaktivormi, analüütikatööriista, uudiskirja või e-poe, võivad muutuda ka andmete kogumise ja kasutamise viisid. Siis peaks vastavalt uuendama ka privaatsuspoliitikat, et seal olev info vastaks sellele, mis sinu kodulehel päriselt toimub.
Kui soovid abi enda kodulehe privaatsuspoliitika ülevaatamisel või koostamisel, võta julgelt ühendust.