GDPR kis weboldalak számára: mire van valóban szükséged (gyakorlati útmutató)

A GDPR bürokráciának és hatalmas bírságoknak hangzik, de egy kolozsvári vagy Cluj-Napoca-i kisvállalkozás weboldala esetében valójában néhány konkrét dologra egyszerűsödik. Ha van egy oldalad, ami bármilyen adatot gyűjt — akár csak egy kapcsolatfelvételi űrlap révén —, három dologra van szükséged: egy sütibannerre, ami helyesen működik, egy adatvédelmi tájékoztatóra, ami tükrözi, hogy a vállalkozásod valójában mit csinál, és olyan űrlapokra, amelyek a megfelelő módon kérnek adatot. A többi józan ész. Ez a GDPR-útmutató kis weboldalak számára jogászkodás nélkül elmagyarázza, mire van szükséged és miért.

Egy fontos dolog előre: mi nem vagyunk jogászok, és ez nem jogi tanácsadás — hanem tapasztalat weboldalak építéséből. Bonyolult szerződések vagy érzékeny adatok (orvosi, pénzügyi) esetén továbbra is egy GDPR-tanácsadó a legjobb választás. De a legtöbb kisvállalkozás számára — egy rendelő, egy bolt, egy szolgáltató cég számára — a következők lefedik a lényeget.

A sütibanner: a hiba, amit szinte mindenki elkövet

A sütik apró fájlok, amelyeket egy weboldal helyez el a látogató böngészőjében. Néhányuk feltétlenül szükséges az oldal működéséhez (ezek tartják a kosarat, a bejelentkezési munkamenetet) — ezekhez nem kell hozzájárulás. Mások a viselkedést követik: a Google Analytics, a Facebook pixel, a hőtérképek. Itt lép be a GDPR-kötelezettség.

Egy megfelelő banner nem egy sornyi szöveg azzal, hogy „sütiket használunk, oké?" egyetlen gombbal. Azt jelenti:

• Valódi, szimmetrikus hozzájárulás: a látogatónak ugyanolyan egyszerűen kell tudnia elutasítani, mint elfogadni. Egy látható „Összes elutasítása" közvetlenül az „Összes elfogadása" mellett, nem pedig három almenübe elrejtve.
• Nincs követés a hozzájárulás előtt: a követő szkripteknek nem szabad elindulniuk, amíg az illető ténylegesen rá nem kattint az „Elfogadás" gombra. Ezt nevezik „előzetes hozzájárulásnak", és pontosan ez az a rész, amit a legtöbben kihagynak.
• A meggondolás lehetősége: egy diszkrét link (általában a láblécben), ahol a látogató bármikor visszavonhatja vagy módosíthatja a választását.

A leggyakoribb szabálytalanság, amit kisvállalkozásoknál látunk: a banner szépen néz ki, de az Analytics a legelső másodperctől fut, akárhova is kattint a látogató. A gyakorlatban a banner csak dísz. Ez nem véd meg téged — csak egy megfelelőségi címkét ragaszt egy valós problémára.

Az adatvédelmi tájékoztató: az alapdokumentum, nem egy másolt szöveg

Az adatvédelmi tájékoztató az az oldal, amely egyszerűen elmagyarázza, milyen adatokat gyűjtesz, miért, meddig őrzöd meg őket, és kivel osztod meg. Abban a pillanatban válik kötelezővé, amint van egy kapcsolatfelvételi űrlapod, egy hírleveled vagy egy webáruházad. Világosan meg kell válaszolnia:

• Milyen adatokat gyűjtesz (név, e-mail, telefon, szállítási cím) és milyen csatornákon keresztül.
• Milyen jogalapon — például hozzájárulás a hírlevélhez, szerződés egy rendeléshez, jogos érdek az oldal biztonságához.
• Kivel osztod meg őket: a futárral, a fizetési szolgáltatóval, az e-mail marketing szolgáltatóval, a tárhelyszolgáltatóval. Ezek „adatfeldolgozók", és megállapodásod kellene, hogy legyen velük.
• Hogyan gyakorolhatja valaki a jogait: adatokhoz való hozzáférés, helyesbítés, törlés („az elfeledtetéshez való jog"), és hová panaszkodhat, ha nem elégedett (először hozzád, majd az ANSPDCP-hez).

Nem kell tíz oldalnyi, egy másik oldalról másolt szövegnek lennie. Egy kölcsönvett szöveg olyan dolgokat fog említeni, amiket nem csinálsz (kártyás fizetés, EU-n kívüli adattovábbítás), és kihagyja azt, amit ténylegesen csinálsz — ami rosszabb, mintha semmi sem lenne, mert megmutatja, hogy egyszer sem néztél rá. Mi egy tevékenységedre szabott mintát készítünk, amit te vagy a tanácsadód szükség szerint módosíthat.

Szabályos űrlapok: a részletek, amelyek különbséget jelentenek

Itt rontja el a legtöbb weboldal, mert ezek apró részleteknek tűnnek. Egy kapcsolatfelvételi űrlapnak vagy egy hírlevél-feliratkozásnak néhány szabályt kell követnie:

• Egy be nem pipált jelölőnégyzet a hozzájáruláshoz — nem lehet előre bepipálva; a látogatónak aktívan be kell jelölnie.
• Egy látható link az adatvédelmi tájékoztatóhoz közvetlenül a küldés gomb mellett.
• Csak azok az adatok, amelyekre valóban szükséged van: ha egy kérdésre válaszolsz, egy e-mailre és egy üzenetre van szükséged. Ne kérj személyi számot, születési dátumot vagy címet „csak a biztonság kedvéért". Ez az adattakarékosság elve.
• Külön hozzájárulás a marketinghez: ha ajánlatokat is szeretnél küldeni, nem csak válaszolni, ehhez egy külön jelölőnégyzetre van szükséged. Nem feltételezhetsz hozzájárulást pusztán abból, hogy valaki írt neked.

Néhány percnyi munka beállítani, de pontosan ez az, ami különbséget jelent egy olyan űrlap között, ami megvéd téged, és egy olyan között, ami panaszt hozhat a nyakadba.

Mit kockáztatsz reálisan, ha nincs meg

Legyünk őszinték: az ANSPDCP (Románia hatósága) nem ellenőriz proaktívan minden szomszédsági weboldalt. A nagy bírságok, amelyeket a sajtóban látsz, általában nagy cégeket érintenek, amelyek hatalmas mennyiségű adatot dolgoznak fel. Egy kisvállalkozás számára a kockázat kevésbé látványos, de közelebbi:

• Egy panasz egy elégedetlen ügyféltől vagy egy versenytárstól ellenőrzést indíthat el — és ekkor az számít, mit találnak, nem az, hogy ki vagy.
• Bizalmat veszítesz, amikor egy látogató azt látja, hogy adatot kérsz anélkül, hogy bármit is elmagyaráznál. Egyre többen veszik ezt észre.
• A komoly partnerek — bankok, fizetési szolgáltatók, marketingplatformok — egyre inkább megfelelőségi igazolást kérnek, mielőtt együtt dolgoznának veled.

Röviden: a megfelelőség inkább a hitelességről szól, mint a bírságtól való félelemről. Ugyanez az oka annak, hogy egy Kolozsváron épített weboldalt érdemes az elejétől kezdve jól megcsinálni, nem pedig utólag foltozgatni, és annak, hogy egy biztonságos HTTPS domain és egy bizalmat keltő oldal olyan ügyfelekben fordul le, akik habozás nélkül kitöltik az űrlapodat.

Mit tartalmaz minden csomagunk

Amikor felépítjük a weboldaladat, a GDPR oldala benne van — nem rejtett költségként, amit a végén fedezel fel:

Ez minden csomagra érvényes: egy egyszerű landing page (290–490 €), egy bemutatkozó oldal (490–890 €), egy 7+ oldalas oldal (890–1 500 €) vagy egy webáruház (690 €-tól), ahol a GDPR a legfontosabb, mert rendeléseket és fizetéseket dolgozol fel. A csomagonkénti lebontásért lásd, mennyibe kerül egy weboldal. És ha azt szeretnéd, hogy a dolgok naprakészek maradjanak — új szkriptek, frissített tájékoztatók —, karbantartást kínálunk 29 €/hó-tól, ami tartalmazza ezeknek az elemeknek az időszakos ellenőrzését.

Ha ez az útmutató segített megérteni, mire van szükséged, tegyünk együtt egy konkrét lépést. Elkészítünk egy ingyenes weboldalmintát a vállalkozásod nevével, egy bannerrel, tájékoztatóval és a kezdetektől helyesen megtervezett űrlapokkal — így pontosan láthatod, hogyan nézne ki, minden kötelezettség nélkül. Írj nekünk, és felépítjük a demódat.