Jak vytvořit zásady ochrany osobních údajů pro váš web

Zásady ochrany osobních údajů jsou jen tak dobré jako soupis, ze kterého vycházejí. Než napíšete první slovo, projděte web jako návštěvník i jako administrátor a zapište každé místo, kudy data vstupují nebo odcházejí:

• Formuláře: kontaktní formuláře, poptávky, rezervace, přihlášky k newsletteru a žádosti o zaměstnání včetně skrytých polí a nahrávání souborů.
• Účty: registrace, přihlášení, obnovení hesla a profilové stránky.
• Analytika: Google Analytics, vestavěná analytika webového builderu, heatmapy a nahrávání relací.
• Cookies a místní úložiště: k čemu jednotlivé položky slouží a kdo je nastavuje.
• Vložený obsah: přehrávače YouTube nebo Vimeo, mapy, sociální kanály, rezervační widgety a chatovací bubliny.
• Hosting a zabezpečení: serverové logy, sítě pro doručování obsahu, firewally a nástroje CAPTCHA.
• E-mail a marketing: platformy pro newslettery, CRM a reklamní pixely.
• Platby: pokladní stránky, platební brány a fakturační nástroje.

Pomůže i rychlá technická kontrola. Otevřete vývojářské nástroje prohlížeče, načtěte v anonymním okně několik stránek a podívejte se na cookies, úložiště a síťové požadavky. Každá doména třetí strany, kterou uvidíte, je poskytovatel, kterého možná budete muset v zásadách zmínit.

Téměř každý web shromažďuje osobní údaje, i když o ně jeho provozovatel nikdy nežádá. Hosting zaznamenává IP adresy do serverových logů, analytické skripty nastavují identifikátory a už jediný kontaktní formulář sbírá jména a e-mailové adresy. Z toho několik zákonů vyvozuje povinnost zveřejnit informace o ochraně osobních údajů:

• GDPR a UK GDPR: články 13 a 14 vyjmenovávají informace, které musíte lidem poskytnout při shromažďování jejich údajů, a článek 12 vyžaduje, aby byly stručné, transparentní a snadno dostupné.
• CalOPPA: komerční weby, které shromažďují osobně identifikovatelné údaje obyvatel Kalifornie, musí zásady ochrany osobních údajů viditelně zveřejnit.
• Další právní úpravy: Kanada, Austrálie, Brazílie i Nový Zéland očekávají, že organizace budou otevřeně informovat o tom, jak s osobními údaji nakládají.

Vlastní požadavky přidávají i podmínky platforem. Google Analytics i Google AdSense vyžadují, abyste před jejich použitím měli odpovídající zásady ochrany osobních údajů. Pokud chcete úplný přehled o tom, kdo je musí zveřejnit, přečtěte si potřebuji zásady ochrany osobních údajů? a náš návod co hrozí, když nemáte zásady ochrany osobních údajů.

Ze soupisu vytvořte jednoduchou tabulku s pěti sloupci: jaká data, proč je shromažďujete, kdo je dostává, jak dlouho je uchováváte a, pokud se uplatní GDPR, o jaký právní základ se opíráte. Tato tabulka se stane páteří zásad.

Malý příklad pro web menšího studia:

• Kontaktní formulář: jméno, e-mail, zpráva. Účel: odpovědět na dotaz. Poskytovatel: váš poskytovatel e-mailu. Uchovávání: 12 měsíců po skončení komunikace.
• Analytika: zobrazené stránky, typ zařízení, přibližná poloha odvozená z IP adresy. Účel: zjistit, které stránky fungují. Poskytovatel: dodavatel vaší analytiky. Uchovávání: doba nastavená v nastavení analytiky.
• Newsletter: e-mailová adresa a datum přihlášení. Účel: zasílat novinky, o které dotyčný požádal. Poskytovatel: vaše platforma pro e-mailový marketing. Uchovávání: do odhlášení.

Buďte konkrétní u nastavení, která odpověď mění, například u doby uchovávání v analytice, reklamních funkcí nebo přepínačů sdílení dat. Náš návod informování o analytice v zásadách ukazuje, která nastavení analytiky mění to, co musíte uvést.

Většina zásad ochrany osobních údajů pro weby má stejnou kostru, protože zákony kladou stejné základní otázky. Používejte jednoduché nadpisy, které návštěvník rychle přelétne očima:

1. Kdo jste a jak vás kontaktovat, včetně e-mailu pro dotazy k ochraně osobních údajů.
2. Jaké osobní údaje shromažďujete, seskupené podle zdroje: formuláře, účty, automatický sběr a třetí strany.
3. Proč je používáte a na jakém právním základě, pokud se uplatní GDPR nebo UK GDPR.
4. Cookies a podobné technologie včetně způsobu, jak změnit předvolby.
5. Kdo údaje dostává: poskytovatelé hostingu, e-mailu, analytiky, plateb a reklamy.
6. Mezinárodní předávání a záruky, o které se opíráte.
7. Jak dlouho uchováváte jednotlivé kategorie.
8. Práva lidí a jak je uplatnit.
9. Údaje dětí, zabezpečení a jak oznamujete změny.

Pište v činném rodě a uvádějte, co skutečně děláte. „Google Analytics používáme ke sčítání zobrazení stránek“ je srozumitelnější než „můžeme používat různé technologie“. Checklist v článku co by měly zásady ochrany osobních údajů obsahovat? vysvětluje jednotlivé oddíly podrobněji.

Na regionálních oddílech mnoho malých webů chybuje, buď proto, že ignorují zákony, které se na ně vztahují, nebo proto, že kopírují oddíly pro zákony, které se jich netýkají.

• Návštěvníci z EU a Spojeného království: pokud nabízíte zboží nebo služby lidem v EU či Spojeném království nebo sledujete jejich chování, počítejte s tím, že se uplatní GDPR nebo UK GDPR. Potřebujete právní základy, práva, informace o předávání a o právu podat stížnost u dozorového úřadu. Viz průvodce zásadami podle GDPR.
• Kalifornie: CalOPPA se vztahuje na komerční weby, které shromažďují osobně identifikovatelné údaje obyvatel Kalifornie, a mimo jiné vyžaduje prohlášení o tom, jak reagujete na signály Do Not Track. CCPA se uplatní jen na firmy, které splňují její prahové hodnoty, například práh příjmů upravovaný o inflaci nebo zpracování osobních údajů 100 000 či více kalifornských spotřebitelů nebo domácností. Viz průvodce CCPA a CPRA.
• Další státy USA, Kanada, Brazílie, Austrálie a Nový Zéland: každá z těchto jurisdikcí má vlastní spouštěče a terminologii.

Uvádějte jen práva a povinnosti, které se na vás vztahují. Zásady, které slibují práva, jež nikdy nedodržíte, vytvářejí vlastní riziko.

Máte tři realistické možnosti a každá má své klady i zápory.

• Napsat je sami: zdarma a zcela na míru, ale pomalé a snadno přehlédnete povinná prohlášení, například o zárukách při předávání nebo formulaci k Do Not Track.
• Zkopírovat zásady jiného webu: rychlé, ale riskantní. Jeho postupy, poskytovatelé a právní povinnosti nejsou vaše a text je obvykle chráněn autorským právem. Proč, vysvětlujeme v článku můžu zkopírovat zásady ochrany osobních údajů?
• Použít šablonu nebo generátor: rychlejší, pokud se nástroj ptá na vaše skutečné postupy, místo aby mezery vyplňoval obecnými sliby.

Generátor zásad ochrany osobních údajů pro weby od Legal Policy Generator jde třetí cestou. Odpovíte na srozumitelné otázky o formulářích, analytice, sledování, poskytovatelích a regionech. Nástroj pak vybere verzované klauzule odpovídající vašim odpovědím, aniž by klauzule za běhu psala AI. Dotazník, úplný náhled i jednoduché stažení v HTML a PDF jsou zdarma a bez účtu. Pokročilé regionální nebo volitelné moduly stojí $5. Ať zvolíte jakoukoli cestu, výsledek není právní poradenství, proto ho porovnejte se svým skutečným nastavením.

Dejte zásadám vlastní stránku s krátkou a stálou adresou, například /privacy nebo /privacy-policy. Na stálé URL záleží, protože ji budete vkládat do obchodů s aplikacemi, reklamních platforem, e-mailových nástrojů a nastavení pokladny, a nefunkční odkaz tam může zastavit schvalování.

Obecný postup je téměř na každé platformě stejný:

1. Vytvořte novou stránku s názvem Zásady ochrany osobních údajů.
2. Vložte text zásad nebo HTML do těla stránky, případně odkažte na hostovanou kopii.
3. Nahoru doplňte datum účinnosti, aby čtenáři věděli, kterou verzi čtou.
4. Stránku zveřejněte a otevřete ji v anonymním okně, abyste ověřili, že se načte bez přihlášení.
5. Zkontrolujte, že nadpisy, seznamy a odkazy vložení přežily.

U Legal Policy Generator můžete jednoduchý HTML soubor ke stažení vložit na stránku ve webovém builderu. Pokud byste raději odkazovali na veřejnou webovou stránku, volitelné hostování stojí jednorázově dalších $0.99 a měsíční předplatné za $5 zahrnuje hostování po dobu, kdy je aktivní. Rady pro konkrétní platformy najdete v článku jak přidat zásady ochrany osobních údajů na Wix, Squarespace, Webflow nebo Shopify.

Zásady, které nikdo nenajde, mnoho užitku nepřinesou. Přinejmenším umístěte odkaz s textem Zásady ochrany osobních údajů do patičky každé stránky, aby byl na domovské stránce i všude, kam návštěvník přijde.

Potom přidejte kontextové odkazy ke každému místu sběru:

• Vedle tlačítka pro odeslání u kontaktních, poptávkových a newsletterových formulářů.
• Na stránkách registrace účtu a pokladny.
• Do cookie lišty nebo centra předvoleb, pokud je používáte.
• Do záznamů v obchodech s aplikacemi, nastavení reklamních platforem a obrazovek souhlasu OAuth, které vyžadují URL zásad ochrany osobních údajů.

Používejte jednoduchý text odkazu, nechte odkaz viditelný i v mobilním rozvržení a ověřte, že funguje bez JavaScriptu. Náš návod kam umístit odkaz na zásady ochrany osobních údajů podrobně rozebírá formulaci CalOPPA o „viditelném zveřejnění“ i očekávání GDPR.

Zásady ochrany osobních údajů popisují váš web v jednom okamžiku, a weby se neustále mění. Zkontrolujte zásady pokaždé, když nastane některá z těchto situací:

• Přidáte nebo odeberete plugin, skript, vložený obsah či integraci.
• Změníte poskytovatele hostingu, e-mailu, analytiky nebo plateb.
• Začnete inzerovat, používat retargeting nebo prodávat online.
• Začnete obsluhovat návštěvníky v nové zemi nebo regionu.
• Změní se zákon, o který se opíráte, nebo platforma aktualizuje své podmínky.

Uchovávejte datovanou kopii každé verze, při změně textu upravte datum účinnosti a o podstatných změnách informujte lidi způsobem, který odpovídá vašemu vztahu s nimi, například oznámením na webu nebo e-mailem držitelům účtů. Krátká kontrola jednou za několik měsíců, i když se zdánlivě nic nezměnilo, odhalí nástroje, které kolegové potichu přidali. Praktický harmonogram kontrol najdete v článku jak často aktualizovat zásady ochrany osobních údajů?