Автор: Illia Belichenko DSGVO на сайте компании. Что проверить
DSGVO на обычном сайте компании затрагивает три места, где сайт собирает данные, форму обращения, аналитику и встроенные сервисы вроде карт или видео, и проверить эти три места можно самостоятельно примерно за полчаса.
Datenschutzerklärung, отдельная страница с описанием обработки данных, обязательна почти для любого сайта и должна совпадать с тем, что сайт делает на самом деле, а не с шаблоном, скачанным год назад. Расхождение между текстом на этой странице и реальными скриптами сайта, а не сам факт использования аналитики или форм, чаще всего становится причиной претензии.
Форма обращения обрабатывает данные на основании статьи 6 часть 1 DSGVO, обычно как необходимое условие для ответа на запрос человека, и это правовое основание не требует отдельной галочки согласия, если форма запрашивает только то, что реально нужно для ответа.
Аналитика вроде Google Analytics требует согласия посетителя до того, как скрипт начнёт что-либо считать, и это отдельное согласие от того, что даёт форма обращения. Немецкие надзорные органы описали это в общей ориентировке для операторов сайтов от декабря 2021 года, и с тех пор аналитика без предварительного согласия остаётся одним из самых частых нарушений на обычных сайтах.
Карты, видеоплееры и шрифты, подключённые напрямую с чужого сервера, передают IP-адрес посетителя тем же способом, что и внешние шрифты, и требуют либо согласия, либо переноса на собственный сервер до того, как элемент вообще загрузится.
Если хостинг, аналитика или сервис рассылки находятся за пределами Евросоюза, для законной передачи данных нужны дополнительные гарантии, обычно стандартные договорные оговорки Евросоюза, и без них сама возможность использовать такой сервис для данных сайта становится сомнительной.
С каждым подрядчиком, который технически обрабатывает данные сайта, хостингом, сервисом рассылки, CRM, нужен договор об обработке по поручению, который отдельно рассмотрен в статье про AVV, и без такого договора компания формально отвечает за действия подрядчика как за свои собственные.
Самостоятельная проверка на полчаса выглядит так. Отправить форму обращения и проверить, куда уходит письмо и что происходит с данными дальше. Открыть страницу с включённым блокировщиком скриптов и посмотреть, какие домены вообще пытаются загрузиться до нажатия кнопки согласия. Сравнить список этих доменов с тем, что написано в Datenschutzerklärung.
Этот текст объясняет, на что смотреть при самостоятельной проверке, и не заменяет консультацию юриста. Полная оценка сайта требует разбора конкретных скриптов, форм и договоров с подрядчиками, и в спорных случаях эту оценку стоит доверить специалисту.
Чеклист по DSGVO для сайта проще всего закрыть на этапе разработки, а не искать проблемы постфактум по всему уже опубликованному сайту. Illia BizTech проходит по форме обращения, куки-баннеру, внешним шрифтам и подрядчикам сайта ещё до запуска, и именно поэтому чеклист из этой статьи не превращается в отдельный дорогой проект уже после того, как сайт заработал.
Illia BizTech делает и ведёт сайты для малого и среднего бизнеса на русском, немецком и английском языках, от первой версии сайта до постоянной поддержки и SEO-продвижения. Команда ведёт проект от идеи до запуска без долгих внутренних согласований и лишних передаточных звеньев, поэтому клиент общается напрямую с теми, кто пишет код и настраивает контент, а не ждёт ответа через цепочку менеджеров. Это удобно бизнесу, который переезжает в Германию или расширяется на немецкоязычный рынок и хочет объяснить задачу один раз, а не пересказывать её заново на каждом созвоне.