Jak napsat zásady ochrany osobních údajů krok za krokem

Každé přesné zásady ochrany osobních údajů začínají soupisem dat, ne šablonou. Otevřete si tabulku, projděte svůj produkt tak, jak by to udělal uživatel, a zapište každé místo, kudy do něj vstupují osobní údaje:

• Formuláře: kontaktní, registrační, objednávkové, podpora a žádosti o zaměstnání
• Účty: e-mailová adresa, jméno, hash hesla, profilová fotografie a nastavení
• Automatický sběr: serverové logy s IP adresami, cookies, SDK a hlášení o pádech
• Vstupy od třetích stran: přihlášení přes Google nebo Apple, potvrzení plateb a reklamní publika
• Obsah vytvořený uživateli: zprávy, nahrané soubory, recenze a prompty odeslané do AI funkcí

U každého řádku zaznamenejte kategorii údajů, zdroj a nástroj, který s nimi pracuje. Nezapomeňte na neviditelný sběr: vložená videa, webová písma načítaná od třetí strany i chatovací widgety mohou přenášet IP adresy. Pokud si nejste jisti, co určitý skript dělá, přečtěte si dokumentaci poskytovatele nebo sledujte záložku Síť ve vývojářských nástrojích prohlížeče. Tento soupis se stane páteří všech dalších kroků, takže se vyplatí věnovat mu hodinu navíc.

Dále si zapište, proč jednotlivé kategorie údajů používáte. Typickými účely jsou poskytování služby, správa účtů, zpracování plateb, odpovídání na žádosti o podporu, zasílání newsletterů, měření používání, prevence podvodů a reklama. Účely formulujte konkrétně: samotné „ke zlepšování našich služeb“ čtenáři řekne velmi málo, kdežto „abychom viděli, které stránky návštěvníci čtou, a mohli opravit nesrozumitelný obsah“ je poctivé a konkrétní.

Pokud váš produkt používá kdokoli v Evropském hospodářském prostoru nebo ve Spojeném království, článek 13 GDPR po vás navíc žádá, abyste u každého účelu uvedli právní základ, například smlouvu, souhlas, právní povinnost nebo oprávněné zájmy, a pojmenovali oprávněné zájmy, o které se opíráte. Krátké přiřazení v poznámkách udrží zásady konzistentní:

• Newslettery: souhlas
• Vyřízení objednávek a potvrzení o platbě: smlouva
• Prevence podvodů a bezpečnost: oprávněné zájmy
• Daňové a účetní záznamy: právní povinnost

Uveďte jen účely, které skutečně sledujete dnes. Účel, který možná jednou přidáte, patří do budoucí aktualizace, ne do dnešního oznámení.

Čtenáři i dozorové úřady chtějí vědět, kdo další data dostává. Projděte svůj soupis a vypište všechny poskytovatele služeb: hosting, doručování obsahu, rozesílání e-mailů, analytiku, platby, zákaznickou podporu, sledování chyb, reklamu a poskytovatele AI modelů. U každého si poznamenejte, zda jedná pouze podle vašich pokynů, jako to dělá zpracovatel nebo poskytovatel služeb, nebo zda data používá i pro vlastní účely, jako to dělá mnoho reklamních sítí.

Vaše zásady by měly popsat kategorie příjemců a tam, kde to čtenáři pomůže, jmenovat i samotné poskytovatele. Některé smlouvy s poskytovateli očekávají konkrétní formulace. Podmínky Google Analytics například vyžadují, abyste zveřejnili zásady ochrany osobních údajů, které uvádějí, že Google Analytics používáte a jak shromažďuje a zpracovává data, a průvodce informováním o analytice vysvětluje, co tento oddíl obvykle obsahuje.

Zaznamenejte si také, kde každý poskytovatel data zpracovává. Pokud informace opouštějí Evropský hospodářský prostor nebo Spojené království, GDPR očekává, že předání zmíníte i se zárukou, o kterou se opírá, například rozhodnutím o odpovídající ochraně nebo standardními smluvními doložkami.

Na dvou otázkách si mnoho prvních verzí vyláme zuby: jak dlouho data uchováváte a jak je chráníte. U uchovávání GDPR připouští buď pevnou dobu, nebo kritéria, podle kterých ji určujete. Praktické příklady vypadají takto:

• Údaje o účtu: uchováváme po dobu existence účtu a mažeme je ve stanovené lhůtě po jeho zrušení
• Fakturační záznamy: uchováváme po dobu, kterou vyžadují daňové a účetní předpisy
• E-maily podpory: uchováváme po stanovenou dobu od uzavření požadavku
• Analytická data: uchováváme po dobu nastavenou ve vašem analytickém nástroji

U zabezpečení popište svá skutečná opatření obecně, například šifrování při přenosu, omezený přístup zaměstnanců a včasné aktualizace softwaru. Vyhněte se absolutním slibům typu „vaše data jsou naprosto v bezpečí“. Žádný systém není vůči únikům imunní a přehnané tvrzení o bezpečnosti je přesně ten druh prohlášení, ze kterého se stane klamavá praktika, pokud se něco pokazí. Pište, co děláte, ne co byste dělat chtěli.

O většině regionálního obsahu rozhoduje vaše publikum, nejen sídlo vaší firmy. Položte si tři otázky: kde jsou vaši uživatelé, co shromažďujete a jak velká je vaše firma?

• Uživatelé z EU nebo Spojeného království: informační povinnosti podle GDPR a UK GDPR včetně právních základů, předávání a práva podat stížnost u dozorového úřadu. Vypisuje je průvodce zásadami podle GDPR.
• Návštěvníci z Kalifornie: CalOPPA vyžaduje viditelně zveřejněné zásady od každého komerčního webu nebo online služby, které shromažďují osobně identifikovatelné údaje obyvatel Kalifornie, a to bez jakékoli hranice velikosti. CCPA přidává podrobné informace pro firmy, které splňují její prahové hodnoty; provede vás jimi průvodce CCPA a CPRA.
• Další státy USA: komplexní zákony o ochraně soukromí dnes platí v mnoha státech, každý s vlastními prahovými hodnotami a právy na odmítnutí (opt-out).
• Děti: služba zaměřená na děti mladší 13 let ve Spojených státech spouští pravidla COPPA o oznámení a souhlasu rodičů.
• Kanada, Brazílie, Austrálie, Nový Zéland: každá z těchto zemí má vlastní povinnosti otevřenosti či transparentnosti.

Zařaďte jen moduly, které se vás týkají. Přidávání všech zákonů „pro jistotu“ vytváří rozpory, například sliby postupů pro vyřizování žádostí, které ve skutečnosti neprovozujete.

Zásady ochrany osobních údajů jsou zároveň návodem pro lidi, kteří chtějí uplatnit svá práva. Pro každý region, kde působíte, vypište platná práva a přesně vysvětlete, jak je uplatnit: přes e-mailovou adresu, kterou někdo skutečně sleduje, webový formulář nebo nastavení v aplikaci.

Podle GDPR jde o právo na přístup, opravu, výmaz, omezení zpracování, přenositelnost, vznesení námitky, odvolání souhlasu a podání stížnosti u dozorového úřadu. Obyvatelé Kalifornie, kteří jednají s firmou podléhající CCPA, mají právo vědět, jaké údaje o nich firma má, nechat je smazat a opravit, odmítnout prodej nebo sdílení osobních údajů a omezit použití citlivých osobních údajů, a prováděcí předpisy k CCPA žádají obecný popis toho, jak žádosti ověřujete.

Před zveřejněním postup vyzkoušejte. Pošlete žádost na svou vlastní adresu pro ochranu soukromí, ověřte, že dorazí, a rozhodněte, kdo na ni odpoví a jak rychle. Oddíl o právech, který odkazuje na nesledovanou schránku, je horší než žádný, protože čtenářům sděluje, že zásady nikdo neudržuje, a skutečné žádosti zůstávají bez odpovědi.

Článek 12 GDPR požaduje informace ve stručné, transparentní, srozumitelné a snadno přístupné podobě za použití jasných a jednoduchých jazykových prostředků. To je dobrá rada pro jakékoli publikum a několik návyků zpřehlední i dlouhé zásady:

• Začněte krátkým shrnutím nejdůležitějších bodů
• Používejte výstižné nadpisy, podle kterých se dá rychle orientovat, například „S kým sdílíme údaje“
• Dávejte přednost „my“ a „vy“ před „Společností“ a „subjektem údajů“
• Neurčitá slova jako „můžeme“ a „určité“ všude, kde to jde, nahraďte konkrétními údaji
• Pro kategorie údajů použijte seznamy a pro doby uchovávání tabulku
• U dlouhých zásad přidejte obsah s odkazy na jednotlivé oddíly

Přečtěte si návrh nahlas. Pokud věta vyžaduje k pochopení druhé čtení, přepište ji. Srozumitelný jazyk neznamená ležérnost; jde o to, aby čtenář odcházel s vědomím, co se s jeho údaji skutečně děje. Skutečné vzory formulací rozebírá oddíl po oddílu průvodce příklady zásad ochrany osobních údajů s komentovanými ukázkami.

Zveřejněte zásady na stálé, veřejné URL adrese a odkažte na ně všude, kde se lidé rozhodují o svých údajích. Obvyklá místa jsou:

• Patička každé stránky vašeho webu
• Registrační, objednávkové a newsletterové formuláře
• Obrazovka nastavení nebo informací o aplikaci
• Vaše záznamy v App Store Connect a Google Play Console

Obchody s aplikacemi mají vlastní pravidla. Pravidlo Applu 5.1.1(i) vyžaduje odkaz na zásady ochrany osobních údajů v příslušném poli metadat v App Store Connect a v aplikaci na snadno dostupném místě. Google Play vyžaduje odkaz v Play Console i v aplikaci, a to na aktivní, veřejně přístupné URL adrese bez geografického omezení, a nepřijímá soubory PDF. CalOPPA vyžaduje, aby byly zásady viditelně zveřejněny, a prováděcí předpisy k CCPA očekávají na domovské stránce nebo na stránce ke stažení aplikace nápadný odkaz obsahující slovo „privacy“. Rozvržení, která fungují na skutečných webech, najdete v článku kam umístit odkaz na zásady ochrany osobních údajů.

Zásady ochrany osobních údajů jsou živý dokument. Nahoře uveďte datum účinnosti, které vyžaduje CalOPPA, a uchovávejte kopii každé zveřejněné verze, abyste mohli doložit, co uživatelé v kterémkoli okamžiku viděli. Zásady zkontrolujte vždy, když:

• Přidáte nebo odeberete nástroj, SDK nebo poskytovatele
• Začnete shromažďovat novou kategorii údajů nebo používat údaje k novému účelu
• Spustíte službu v nové zemi nebo novém státě USA
• Přidáte AI funkce, reklamu nebo platby
• Změníte způsob, jakým uživatelé uplatňují svá práva

Firmy, na které se vztahuje CCPA, musejí podle § 1798.130(a)(5) kalifornského občanského zákoníku (Civil Code) aktualizovat povinné kalifornské informace alespoň jednou za 12 měsíců, takže si roční kontrolu zapište do kalendáře, i když se zdánlivě nic nezměnilo. O podstatných změnách informujte uživatele přímo, místo abyste stránku potichu upravili. Celý postup včetně znění oznámení najdete v článku jak často aktualizovat zásady ochrany osobních údajů.

Než zásady spustíte, projděte si tento kontrolní seznam:

1. Oficiální název provozovatele, kontaktní e-mail a tam, kde je to vyžadováno, i poštovní adresa jsou správně
2. Každá kategorie údajů ze soupisu je v zásadách uvedena a nic navíc tam není
3. Každý účel je konkrétní, a pokud se zásady týkají uživatelů z EU nebo Spojeného království, má uvedený právní základ
4. Jsou uvedeny všechny kategorie příjemců včetně analytických a reklamních nástrojů
5. Tam, kde je to relevantní, je popsáno předávání do zahraničí a jeho záruky
6. Jsou uvedeny doby uchovávání nebo kritéria pro jejich určení
7. Pro každý region, kde působíte, jsou vysvětlena práva, způsoby podání žádostí a ověřování
8. Volby týkající se cookies a sledování odpovídají tomu, co skutečně dělá vaše lišta se souhlasem
9. Údaje dětí, citlivé údaje a AI funkce jsou pokryty, pokud se vás týkají
10. Datum účinnosti je nastaveno a předchozí verze jsou archivovány
11. Odkaz je v patičce, formulářích, nastavení aplikace a v záznamech v obchodech s aplikacemi

Pokud to všechno nechcete skládat ručně, Legal Policy Generator vám tyto otázky položí srozumitelným jazykem a podle vašich odpovědí vybere verzované klauzule. Dotazník i úplný náhled jsou zdarma a nepotřebujete k nim účet, takže si jeho výstup můžete porovnat s vlastním kontrolním seznamem.