RODO to światowy wzorzec przepisów o prywatności. Choć to prawo UE, dotyczy każdej firmy, która ma odwiedzających z UE. W analityce RODO jest jasne: potrzebujesz wyraźnej zgody, zanim zaczniesz śledzić większość zachowań użytkowników, musisz udokumentować podstawę prawną i musisz respektować prawa użytkowników do dostępu do danych i ich usunięcia. Zrozumienie RODO to fundament budowania zgodnej z przepisami analityki na całym świecie.
Podstawowe wymogi RODO dla analityki
RODO definiuje dane osobowe szeroko: wszystko, co może zidentyfikować osobę, bezpośrednio lub pośrednio. Adres IP to dane osobowe. Unikalny plik cookie to dane osobowe. Adresy e-mail, numery telefonów i identyfikatory podlegają RODO. W analityce oznacza to, że niemal każde śledzenie uruchamia wymogi RODO.
Wymóg zgody
RODO wymaga wyraźnej, świadomej zgody, zanim zbierzesz większość danych osobowych. To znaczy: użytkownik musi aktywnie się zgodzić (a nie tylko nie zrezygnować), musi rozumieć, na co się zgadza (bez ukrywania w prawniczym żargonie), a zgoda musi być dobrowolna (bez przymusu). W analityce zwykle oznacza to baner cookie, który jasno wyjaśnia, jakie śledzenie prowadzisz, i wymaga aktywnego kliknięcia „Zgadzam się”.
Zgoda jest najczęstszą podstawą prawną analityki w świetle RODO. Niektóre firmy powołują się zamiast tego na „prawnie uzasadniony interes”, ale sądy znacząco zawęziły tę podstawę. W większości zastosowań analityki zakładaj, że potrzebujesz zgody.
Prawnie uzasadniony interes jako alternatywa
Niektóre cele analityczne, takie jak wykrywanie oszustw, bezpieczeństwo strony czy podstawowy monitoring wydajności, mogą być dozwolone na podstawie „prawnie uzasadnionego interesu” bez wyraźnej zgody. Prawnie uzasadniony interes wymaga jednak, by: potrzeba biznesowa była prawdziwa, zbieranie danych było współmierne do tej potrzeby, a prawa do prywatności użytkowników nie przeważały nad Twoim interesem. Większość analityki tego testu nie przechodzi. Zakładaj, że przy większości śledzenia potrzebujesz zgody.
Umowa powierzenia przetwarzania danych
Jeśli korzystasz z zewnętrznego narzędzia analitycznego (takiego jak Google Analytics), potrzebujesz z tym dostawcą umowy powierzenia przetwarzania danych (DPA). DPA ustala, że dostawca jest Twoim podmiotem przetwarzającym, a nie niezależnym administratorem. Bez DPA możesz odpowiadać za praktyki dostawcy. Z DPA odpowiedzialność jest jasno określona.
Prawa użytkowników w świetle RODO
RODO daje osobom sześć głównych praw, które wpływają na analitykę: prawo do informacji o posiadanych danych (prawo dostępu), prawo do poprawiania nieprawidłowych danych, prawo do usunięcia danych (prawo do bycia zapomnianym), prawo do ograniczenia przetwarzania, prawo do przenoszenia danych i prawo do sprzeciwu wobec przetwarzania.
Prawo dostępu
Użytkownicy mogą zażądać wszystkich danych, które o nich posiadasz. Musisz odpowiedzieć w ciągu 30 dni, przekazując pełny zapis. W analityce oznacza to, że potrzebujesz systemów do wyszukiwania i raportowania danych pojedynczych użytkowników. Jeśli Twoja analityka jest przechowywana w sposób utrudniający ich odzyskanie, masz problem ze zgodnością z RODO.
Prawo do bycia zapomnianym
Użytkownicy mogą zażądać usunięcia swoich danych. Musisz to zrobić w ciągu 30 dni (z pewnymi wyjątkami dla obowiązków prawnych). W analityce oznacza to, że musisz móc usuwać rekordy pojedynczych użytkowników. Jeśli dane analityczne są zagregowane lub zanonimizowane, jest łatwiej. Jeśli są powiązane z konkretnymi tożsamościami, potrzebujesz systemów usuwania.
Prawo do sprzeciwu
Użytkownicy mogą sprzeciwić się każdemu przetwarzaniu swoich danych. Musisz przestać (chyba że masz ważny prawny powód, by kontynuować). W analityce oznacza to, że potrzebujesz łatwego sposobu, by użytkownicy mogli zrezygnować ze śledzenia. Rezygnacja musi być równie łatwa jak zgoda.
Zgodność z RODO w praktyce
Zgodność analityki z RODO wymaga: jasnej, łatwej do znalezienia polityki prywatności; banera cookie z prośbą o wyraźną zgodę przed rozpoczęciem śledzenia; umowy powierzenia przetwarzania danych z dostawcą analityki; systemów do odpowiadania na żądania dostępu i usunięcia danych w ciągu 30 dni; oraz możliwości wycofania zgody w dowolnym momencie.
Częste naruszenia RODO w analityce
Pola zgody zaznaczone z góry: Użytkownik musi aktywnie kliknąć, by wyrazić zgodę. Pole już zaznaczone nie jest ważną zgodą.
Zgoda łączona: Użytkownicy muszą wyrażać odrębną zgodę na analitykę. Nie wolno łączyć zgody na analitykę, marketing i inne cele w jednym przełączniku.
Brak umów z dostawcami: Korzystanie z zewnętrznego narzędzia analitycznego bez DPA jest naruszeniem. Praktyki dostawcy są Twoją odpowiedzialnością.
Brak możliwości rezygnacji: Jeśli do śledzenia wymagana jest zgoda, użytkownicy muszą mieć jasny sposób rezygnacji. Ukryte linki do rezygnacji się nie liczą.
Niemożliwe usunięcie: Obiecywanie usunięcia danych bez systemów, które to umożliwiają, jest naruszeniem. Usunięcie musi być technicznie możliwe.
RODO i transfery danych
RODO ogranicza przekazywanie danych mieszkańców UE poza UE, chyba że zapewniono równoważną ochronę. Jeśli dostawca analityki przechowuje dane w USA, potrzebujesz mechanizmu prawnego (standardowe klauzule umowne, wiążące reguły korporacyjne), by transfer był zgodny z RODO. To częsty kłopot zespołów analitycznych. Wiele narzędzi z USA oferuje dziś serwery w UE lub gwarancje lokalizacji danych, by to rozwiązać.
Czym zgoda RODO różni się od prawnie uzasadnionego interesu? Dlaczego nie polegać na nim w analityce?
Zgoda to wyraźne wyrażenie chęci (opt-in). Prawnie uzasadniony interes to twierdzenie, że potrzeby biznesu przeważają nad obawami o prywatność. Sądy zawęziły ten interes, bo firmy go nadużywały. W analityce: śledzenie odsłon stron na potrzeby wydajności może się kwalifikować jako prawnie uzasadniony interes. Szczegółowe śledzenie zachowań prawdopodobnie nie. Regulatorzy UE mówią: jeśli to marketing lub analityka behawioralna, uzyskaj zgodę. Nie zakładaj, że prawnie uzasadniony interes zadziała. Bezpieczne podejście: traktuj analitykę jako wymagającą zgody.
Co naprawdę oznacza jasne wyjaśnienie w banerze cookie?
Jasne znaczy czytelne, prostym językiem, bez prawniczego żargonu. Konkretne znaczy, że mówisz, co śledzisz, a nie ogólnikami w rodzaju „poprawiamy Twoje doświadczenia”. Przykład niejasnego: „Używamy plików cookie analitycznych.” Przykład jasnego: „Używamy Google Analytics, aby mierzyć odwiedziny stron, kliknięcia przycisków i czas na stronie, by ulepszać witrynę.” Uwzględnij: nazwę narzędzia, co zbiera, po co to zbierasz, okres przechowywania i czy udostępniasz dane stronom trzecim. Test: czy osoba nietechniczna zrozumie, co śledzisz, bez klikania do polityki prywatności? Jeśli tak, jest wystarczająco jasne.
Czy potrzebuję DPA z Google Analytics, czy tylko ze specjalistycznymi dostawcami?
DPA potrzebujesz z każdym narzędziem przetwarzającym dane osobowe. Google Analytics przetwarza dane osobowe (adresy IP, sesje, identyfikatory użytkowników), więc tak. Google zapewnia DPA automatycznie w swoich warunkach. Sprawdź: zaloguj się do Google Analytics i potwierdź, że zaakceptowano ich aneks o przetwarzaniu danych. Specjalistyczni dostawcy analityki również przetwarzają dane osobowe, więc z nimi też potrzebujesz DPA. Większość udostępnia je w warunkach lub jako osobne dokumenty. Zasada: jeśli dostawca ma styczność z danymi osobowymi, potrzebujesz DPA. Jeśli nie możesz go dostać, nie korzystaj z tego dostawcy.
Jaka jest różnica między standardowymi klauzulami umownymi a decyzjami o adekwatności?
Oba to mechanizmy legalnego przekazywania danych z UE poza UE. Decyzja o adekwatności oznacza, że UE uznała, że kraj zapewnia równoważną ochronę prywatności (USA jej nie ma). Standardowe klauzule umowne (SCC) to umowy z dostawcami, które zobowiązują ich do standardów UE. Różnica praktyczna: decyzje o adekwatności są prostsze, SCC wymagają umów. W analityce większość dostawców (w tym Google) oferuje SCC w swoich DPA. Zapytaj dostawcę: czy oferuje standardowe klauzule umowne dla transferów danych z UE? Jeśli tak, użyj ich. Jeśli nie, korzystaj tylko z dostawców przechowujących dane w UE.
Jeśli dostanę żądanie dostępu do danych, co dokładnie muszę przekazać z analityki?
Wszystko, co masz o tej osobie, w czytelnym formacie. Z Google Analytics: wszystkie sesje i zdarzenia (jeśli śledzisz identyfikatory użytkowników) lub identyfikatory sesji. Uwzględnij: daty, odwiedzone strony, uruchomione zdarzenia, czas na stronie i wszelkie dane identyfikujące (imiona, e-maile). Z innych systemów: mapy cieplne, nagrania sesji, śledzenie behawioralne. Eksportuj jako PDF lub HTML, nie jako surowe zrzuty bazy. Użytkownik powinien to zrozumieć bez wiedzy technicznej. Jeśli nie możesz łatwo odzyskać danych pojedynczego użytkownika, masz problem z RODO. Większość platform pozwala na eksport per użytkownik. Jeśli Twoja nie, zmień platformę lub zbuduj własny eksport.
Moja konkurencja nie ma banera cookie i śledzi użytkowników. Jak mogą być zgodni z RODO?
Albo: (1) Wcale nie są zgodni z RODO i liczą, że regulatorzy ich nie przyłapią (ryzykowne). (2) Twierdzą, że ich śledzenie to prawnie uzasadniony interes (sądy są sceptyczne). (3) Śledzą tylko dane zanonimizowane lub zagregowane (zgoda niepotrzebna). (4) Śledzą tylko niezbędne pliki cookie (logowanie, CSRF, zgoda niepotrzebna). (5) Działają tam, gdzie egzekwowanie RODO jest słabe. Rzeczywistość: wielu łamie RODO i nigdy nie zostaje przyłapanych. Ale ryzyko jest prawdziwe: jedna skarga uruchamia postępowanie i kary. Mądre podejście: zakładaj, że RODO obowiązuje, jeśli masz odwiedzających z UE, wdróż zgodę poprawnie i nie licz na to, że konkurencja łamie przepisy.