Zásady ochrany osobních údajů pro blog: co by měl uvést každý bloger

Nejprve zkontrolujte pluginy a nastavení blogu. Sepište si, které údaje získáváte při čtení článků, komentování, odběru newsletteru a kontaktování autora, a kterým poskytovatelům je předáváte. Uspořádejte zásady podle toho, co čtenáři na blogu dělají: čtou příspěvky, komentují, odebírají newsletter, klikají na odkazy a kontaktují vás. Potom přidejte standardní oddíly o právech, uchovávání, předávání a změnách. Celý postup popisuje náš návod krok za krokem, jak vytvořit zásady ochrany osobních údajů pro web.

Pokud nechcete začínat s prázdnou stránkou, generátor zásad ochrany osobních údajů pro weby se zeptá na vaše sledovací technologie, na to, kdy začíná nezbytně nenutné sledování, jak čtenáři mění své předvolby a které poskytovatele používáte, například Google Analytics, Mailchimp nebo reCAPTCHA. Poté sestaví odpovídající klauzule. Náhled i jednoduché stažení v HTML jsou zdarma a HTML můžete vložit přímo do stránky ve WordPressu nebo v jakémkoli nástroji pro tvorbu webů.

Pamatujte, že zásady ochrany osobních údajů nenahrazují upozornění na affiliate spolupráci v příspěvcích ani cookie lištu se souhlasem tam, kde je vyžadována. Berte je jako jednu část transparentního blogu, ne jako celou práci.

Je lákavé myslet si, že osobní blog je příliš malý na to, aby na něm záleželo. Zákon se však na velikost dívá málokdy jako první. Zajímá ho, zda shromažďujete osobní údaje a čí údaje to jsou.

• GDPR a UK GDPR: výjimka pro čistě osobní činnost nebo činnost v rámci domácnosti je úzká a veřejný blog, který shromažďuje komentáře čtenářů, e-mailové adresy nebo analytická data, nejspíš nepokryje.
• CalOPPA: vztahuje se na provozovatele komerčních webů, které shromažďují osobně identifikovatelné údaje obyvatel Kalifornie. Typickým příkladem je monetizovaný blog s newsletterem.
• Podmínky platforem: Google AdSense a Google Analytics vyžadují zásady ochrany osobních údajů bez ohledu na návštěvnost a platformy pro newslettery mají vlastní podmínky toho, jak shromažďujete a používáte adresy odběratelů.

Praktická odpověď: pokud má váš blog komentáře, newsletter, analytiku, reklamy nebo affiliate odkazy, zveřejněte zásady ochrany osobních údajů. Obecný návod potřebuji zásady ochrany osobních údajů? prochází právní spouštěče země po zemi.

Blogy se skládají z pluginů, šablon a vloženého obsahu a mnoho z nich data shromažďuje potichu. Při kontrole blogu použijte tento checklist:

• Komentáře: jméno, e-mail, web, samotný komentář a často i IP adresa komentujícího.
• Cookies komentářů: mnoho platforem nabízí, že si údaje komentujícího zapamatuje v prohlížeči.
• Filtrování spamu: obsah komentářů a formulářů odesílaný ke kontrole antispamové službě.
• Serverové a bezpečnostní logy: IP adresy a identifikace prohlížečů (user agent) zaznamenávané vaším hostingem a bezpečnostními pluginy.
• Analytika: zobrazení stránek, odkazující stránky, informace o zařízení a identifikátory.
• Reklamy a affiliate odkazy: cookies a identifikátory nastavované reklamními sítěmi a affiliate programy.
• Vložený obsah: videa z YouTube, příspěvky ze sociálních sítí a mapy, které načítají obsah od jiných společností.
• Písma a CDN: soubory načítané ze serverů třetích stran, které dostávají IP adresu čtenáře.
• Formuláře a vyskakovací okna pro newsletter: e-mailové adresy a údaje o přihlášení.
• Kontaktní formuláře: jména, e-maily a zprávy.

Zapište si každou nalezenou položku, plugin nebo službu, která za ní stojí, a společnost, která data dostává.

Komentáře bývají prvními osobními údaji, které blog shromažďuje, a zaslouží si vlastní krátký oddíl. Text zásad ochrany osobních údajů, který navrhuje samotný WordPress, užitečně připomíná, co se děje ve výchozím nastavení: vysvětluje, že když návštěvníci píší komentáře, web shromažďuje údaje zobrazené v komentářovém formuláři a navíc IP adresu návštěvníka a řetězec user agent jeho prohlížeče, aby usnadnil odhalování spamu. Zmiňuje také, že hashovaná podoba e-mailové adresy může být odeslána službě Gravatar, aby se ověřilo, zda má návštěvník profilový obrázek.

Oddíl o komentářích by měl pokrýt:

1. Co komentářový formulář shromažďuje a co se zobrazuje veřejně.
2. Zda komentáře kontroluje automatická antispamová služba, a pokud ano, která.
3. Zda se údaje komentujícího ukládají v cookies, a jak dlouho.
4. Jak dlouho uchováváte komentáře a jejich metadata.
5. Jak vás komentující může požádat o úpravu, export nebo smazání svých údajů.

WordPress vám umožní zvolit stránku se zásadami ochrany osobních údajů a nabízí návod s navrhovaným textem, nemůže však vědět, které pluginy jste nainstalovali. Náš návod k zásadám ochrany osobních údajů pro WordPress vysvětluje obrazovku nastavení i pravidla pro pluginy.

Newsletter promění příležitostné čtenáře v seznam e-mailových adres, tedy osobních údajů, které nyní dlouhodobě uchováváte. Vaše zásady by měly vysvětlit:

• Co shromažďujete: obvykle e-mailovou adresu, někdy jméno, datum přihlášení a stránku, na které se člověk přihlásil.
• Která platforma e-maily rozesílá: jmenujte svého poskytovatele e-mailových služeb, protože seznam zpracovává vaším jménem.
• Zda sledujete otevření a prokliky: mnoho e-mailových platforem to ve výchozím nastavení dělá pomocí sledovacích pixelů a přesměrovaných odkazů.
• Jak se odhlásit: každý e-mail by měl obsahovat funkční odkaz a zásady by to měly uvádět.
• Souhlas: v EU a ve Spojeném království obecně vyžadují marketingové e-maily fyzickým osobám předchozí souhlas, pokud se neuplatní úzká výjimka.

V USA zákon CAN-SPAM Act vyžaduje, aby obchodní e-maily obsahovaly jasný způsob odhlášení a platnou fyzickou poštovní adresu, a žádosti o odhlášení je nutné vyřídit neprodleně. Tato pravidla se týkají samotných e-mailů, ne zásad ochrany osobních údajů, obojí by si ale mělo odpovídat. Podrobnosti najdete v našem návodu k zásadám ochrany osobních údajů pro e-mailové newslettery.

Ano. Smluvní podmínky Google Analytics po vás vyžadují, abyste měli vhodné zásady ochrany osobních údajů a dodržovali je, abyste uvedli, že používáte Google Analytics a jak shromažďuje a zpracovává data, a abyste informovali o použitých cookies nebo identifikátorech. Podmínky také požadují výrazný odkaz na stránku Googlu, která vysvětluje, jak Google používá informace z webů využívajících jeho služby, nebo rovnocenné upozornění.

Co uvést u typického blogu:

• Že používáte Google Analytics, abyste zjistili, které příspěvky lidé čtou a jak se k blogu dostanou.
• Jaké druhy dat se zpracovávají, například zobrazené stránky, odkazující stránky, údaje o zařízení a prohlížeči a přibližná poloha.
• Zda jste zapnuli funkce, které přidávají další data, například Google signály nebo propojení s Google Ads.
• Jak mohou čtenáři změnit svou volbu cookies nebo analytiku zablokovat.

Máte-li čtenáře v EU nebo ve Spojeném království, analytické cookies obecně vyžadují souhlas ještě před načtením, s výhradou úzkých národních výjimek. Přechod na analytický nástroj šetrnější k soukromí může omezit, co shromažďujete, povinnost jej popsat ale neodstraní. Viz návod k zásadám ochrany osobních údajů pro Google Analytics.

Pokud blog monetizujete přes Google AdSense, zásady ochrany osobních údajů nejsou volitelné. Článek nápovědy AdSense o povinném obsahu uvádí prohlášení, která vaše zásady musí obsahovat:

• Že dodavatelé třetích stran, včetně Googlu, používají cookies k zobrazování reklam na základě předchozích návštěv uživatele na vašem webu nebo jiných webech.
• Že používání reklamních cookies umožňuje Googlu a jeho partnerům zobrazovat reklamy na základě návštěv vašich webů a dalších webů na internetu.
• Že uživatelé mohou personalizovanou reklamu odmítnout v Nastavení reklam Googlu, nebo odmítnout cookies některých dodavatelů třetích stran na odvětvové stránce pro odhlášení (opt-out).

Vydavatelé s návštěvníky z EHP, Spojeného království nebo Švýcarska musí také dodržovat zásady Googlu pro souhlas uživatelů z EU, které vyžadují souhlas s cookies tam, kde to vyžaduje zákon, a s personalizací reklam. Google od vydavatelů používajících jeho reklamní produkty vyžaduje, aby při zobrazování reklam uživatelům v EHP a ve Spojeném království používali platformu pro správu souhlasu certifikovanou Googlem.

Pokud provozujete i další reklamní sítě, jmenujte je a odkažte na jejich stránky pro odhlášení. Úplný checklist najdete v našem návodu k zásadám ochrany osobních údajů pro AdSense.

Není, a jejich zaměňování patří k nejčastějším chybám blogerů. Odpovídají na různé otázky pro různé regulátory.

Upozornění na affiliate spolupráci nebo doporučení říká čtenářům, že můžete vydělat peníze, když kliknou nebo nakoupí. V USA pokyny FTC k doporučením (endorsements) uvádějí, že by blogeři měli affiliate vztahy uvádět jasně a nápadně, a čím blíže je upozornění k doporučení, tím lépe. Upozornění schované v dolní části stránky nebo za odkazem s popiskem „Právní informace“ snadno přehlédnete. Upozornění na affiliate spolupráci proto patří k odkazům v každém příspěvku, ne jen do zásad ochrany osobních údajů.

Informace o ochraně soukromí vysvětlují datovou stránku věci. Když čtenář klikne na affiliate odkaz, affiliate síť nebo obchodník může nastavit cookies nebo zaznamenat kliknutí, aby prodej přiřadil. Vaše zásady ochrany osobních údajů by měly zmínit, že affiliate odkazy mohou s takovým sledováním souviset, a jmenovat programy, které používáte.

Affiliate programy mají ve svých provozních smlouvách často vlastní pravidla pro upozornění. Přečtěte si aktuální smlouvu každého programu, do kterého se zapojíte, místo abyste spoléhali na formulace zkopírované z jiného blogu.

Na vložený obsah se snadno zapomíná, protože jste ho nevytvořili vy. Text zásad navrhovaný WordPressem to vystihuje dobře: vložený obsah z jiných webů se chová stejně, jako kdyby návštěvník navštívil daný jiný web. Video z YouTube, příspěvek z Instagramu nebo mapa tak mohou dané společnosti umožnit shromažďovat data, nastavovat cookies a sledovat interakci s vloženým obsahem.

U každého typu vloženého obsahu by vaše zásady měly jmenovat poskytovatele a vysvětlit, že poskytovatel může při načtení obsahu shromažďovat data. Totéž platí pro:

• Webová písma a knihovny skriptů načítané ze serverů třetích stran, které dostávají IP adresu čtenáře.
• Tlačítka pro sdílení na sociálních sítích, která načítají skripty ze sociálních sítí.
• Komentářové systémy hostované třetí stranou.

Riziko můžete snížit zástupnými prvky, které vložený obsah načtou až poté, co se k tomu čtenář rozhodne kliknutím, nebo tím, že písma budete hostovat sami. Tam, kde se na cookies nastavované vloženým obsahem vztahují pravidla EU nebo Spojeného království o souhlasu, vám tyto zástupné prvky také pomohou zabránit jejich načtení před udělením souhlasu.