A GDPR az adatvédelmi szabályozás globális mércéje. Bár uniós jogszabály, minden olyan céget érint, amelynek uniós látogatói vannak. Az analitikánál a GDPR egyértelmű: a legtöbb felhasználói viselkedés követése előtt kifejezett hozzájárulás kell, dokumentálnod kell a jogalapot, és tiszteletben kell tartanod a felhasználók jogát az adataikhoz való hozzáférésre és azok törlésére. A GDPR megértése az alapja a megfelelő analitika kiépítésének világszerte.
A GDPR alapkövetelményei az analitikára
A GDPR tágan határozza meg a személyes adatot: bármi, ami közvetlenül vagy közvetve azonosíthat egy személyt. Az IP-cím személyes adat. Az egyedi süti személyes adat. Az e-mail-címek, telefonszámok és azonosítók mind a GDPR hatálya alá esnek. Az analitikánál ez azt jelenti, hogy szinte minden követés kiváltja a GDPR követelményeit.
A hozzájárulási követelmény
A GDPR kifejezett, tájékozott hozzájárulást követel, mielőtt a legtöbb személyes adatot gyűjtheted. Ez azt jelenti: a felhasználónak aktívan bele kell egyeznie (nem elég, hogy nem iratkozik le), értenie kell, mibe egyezik bele (nem jogi nyelvbe rejtve), és a hozzájárulásnak önkéntesnek kell lennie (nem kikényszerítettnek). Az analitikánál ez általában olyan sütisávot jelent, amely világosan elmagyarázza, milyen követést végzel, és aktív „Elfogadom” kattintást kér.
A hozzájárulás a leggyakoribb jogalap az analitikára a GDPR szerint. Egyes cégek inkább „jogos érdekre” hivatkoznak, de a bíróságok ezt jelentősen szűkítették. A legtöbb analitikai felhasználásnál feltételezd, hogy hozzájárulás kell.
A jogos érdek mint alternatíva
Egyes analitikai célok, például a csalásfelderítés, az oldalbiztonság és az alapvető teljesítményfigyelés, kifejezett hozzájárulás nélkül is megengedettek lehetnek „jogos érdek” alapján. De a jogos érdek feltétele: az üzleti igénynek valósnak kell lennie, az adatgyűjtésnek arányosnak kell lennie ezzel az igénnyel, és a felhasználók adatvédelmi jogai nem előzhetik meg az érdekedet. A legtöbb analitika megbukik ezen a teszten. Feltételezd, hogy a legtöbb követéshez hozzájárulás kell.
Az adatfeldolgozási megállapodás
Ha harmadik féltől származó analitikai eszközt használsz (például a Google Analyticset), adatfeldolgozási megállapodásra (DPA) van szükséged a szolgáltatóval. A DPA rögzíti, hogy a szolgáltató az adatfeldolgozód, nem önálló adatkezelő. DPA nélkül felelhetsz a szolgáltató gyakorlatáért. Vele a felelősség világosan meghatározott.
A felhasználók jogai a GDPR szerint
A GDPR hat fő jogot ad az egyéneknek, amelyek az analitikát érintik: a jog, hogy tudják, milyen adatot tartasz róluk (hozzáférési jog), a pontatlan adat helyesbítésének joga, az adat törlésének joga (elfeledtetéshez való jog), a feldolgozás korlátozásának joga, az adathordozhatóság joga és a feldolgozás elleni tiltakozás joga.
Hozzáférési jog
A felhasználók kérhetik az összes róluk tartott adatot. 30 napon belül teljes kimutatással kell válaszolnod. Az analitikánál ez azt jelenti, hogy olyan rendszerekre van szükséged, amelyekkel lekérheted és kimutathatod az egyes felhasználók adatait. Ha az analitikád úgy van tárolva, hogy nehéz lekérni, GDPR-megfelelési problémád van.
Elfeledtetéshez való jog
A felhasználók kérhetik az adataik törlését. 30 napon belül eleget kell tenned (néhány kivétellel jogi kötelezettségek esetén). Az analitikánál ez azt jelenti, hogy képesnek kell lenned az egyes felhasználói rekordok törlésére. Ha az analitikai adatod összesített vagy anonimizált, ez könnyebb. Ha egyéni azonosságokhoz kötött, törlési rendszereket kell működtetned.
Tiltakozáshoz való jog
A felhasználók tiltakozhatnak az adataik bármilyen feldolgozása ellen. Le kell állnod (kivéve, ha nyomós jogi okod van folytatni). Az analitikánál ez azt jelenti, hogy egyszerű módot kell adnod a felhasználóknak a követés letiltására. A leiratkozásnak ugyanolyan könnyűnek kell lennie, mint a feliratkozásnak.
GDPR-megfelelés a gyakorlatban
Az analitika GDPR-megfeleléséhez kell: világos, könnyen megtalálható adatvédelmi tájékoztató; sütisáv, amely a követés előtt kifejezett hozzájárulást kér; adatfeldolgozási megállapodás az analitikai szolgáltatóddal; rendszerek, amelyekkel 30 napon belül válaszolhatsz a felhasználói hozzáférési és törlési kérelmekre; és annak lehetősége, hogy a felhasználók bármikor visszavonhassák a hozzájárulásukat.
Gyakori GDPR-jogsértések az analitikában
Előre bejelölt hozzájárulási négyzetek: A felhasználónak aktívan rá kell kattintania a hozzájárulásra. Az eleve bejelölt négyzet nem érvényes hozzájárulás.
Összevont hozzájárulás: A felhasználóknak külön kell hozzájárulniuk az analitikához. Nem vonhatod össze az analitikához, a marketinghez és más célokhoz adott hozzájárulást egyetlen kapcsolóba.
Hiányzó szolgáltatói megállapodások: Harmadik féltől származó analitikai eszköz használata DPA nélkül jogsértés. A szolgáltató gyakorlata a te felelősséged.
Nincs leiratkozás: Ha a követéshez hozzájárulás kell, a felhasználóknak világos módon kell leiratkozniuk. A rejtett leiratkozási linkek nem számítanak.
Lehetetlen törlés: Ha törlést ígérsz, de nincs hozzá rendszered, az jogsértés. A törlésnek technikailag lehetségesnek kell lennie.
GDPR és adattovábbítás
A GDPR korlátozza az uniós lakosok adatainak az EU-n kívülre továbbítását, kivéve, ha egyenértékű védelem biztosított. Ha az analitikai szolgáltatód az USA-ban tárolja az adatot, jogi mechanizmusra (általános szerződési feltételek, kötelező erejű vállalati szabályok) van szükséged, hogy az átadás GDPR-megfelelő legyen. Ez az analitikai csapatok gyakori fájdalompontja. Sok amerikai eszköz ma már uniós szervereket vagy adattárolási garanciákat kínál ennek megoldására.
Miben különbözik a GDPR szerinti hozzájárulás a jogos érdektől? Miért ne támaszkodjunk az analitikánál a jogos érdekre?
A hozzájárulás kifejezett beleegyezés. A jogos érdek azt állítja, hogy az üzleti igényeid fontosabbak az adatvédelmi aggályoknál. A bíróságok szűkítették a jogos érdeket, mert a cégek visszaéltek vele. Az analitikánál: a teljesítmény miatti oldalmegtekintés-követés minősülhet jogos érdeknek. A részletes viselkedéskövetés valószínűleg nem. Az uniós szabályozók szerint: ha marketingről vagy viselkedési analitikáról van szó, kérj hozzájárulást. Ne feltételezd, hogy a jogos érdek működik. Biztonságos megközelítés: kezeld úgy az analitikát, hogy hozzájárulás kell hozzá.
Mit jelent valójában a világos magyarázat egy sütisávban?
A világos azt jelenti: olvasható, egyszerű nyelv, nem jogi szöveg. A konkrét azt jelenti, hogy megmondod, mit követsz, nem olyan homályos mondatokat használsz, mint „fokozzuk az élményt”. Példa homályosra: „Analitikai sütiket használunk.” Példa világosra: „A Google Analyticset használjuk az oldalmegtekintések, a gombkattintások és az oldalon töltött idő mérésére, hogy javítsuk az oldalt.” Add meg: az eszköz nevét, mit gyűjt, miért gyűjted, a megőrzési időt, és hogy megosztod-e harmadik féllel. Teszt: egy nem műszaki ember megérti-e, mit követsz, anélkül, hogy az adatvédelmi tájékoztatóra kattintana? Ha igen, elég világos.
Kell DPA a Google Analyticsszel, vagy csak a speciális szolgáltatókkal?
Minden olyan eszközzel kell DPA, amely személyes adatot dolgoz fel. A Google Analytics személyes adatot dolgoz fel (IP-cím, munkamenetek, felhasználói azonosítók), tehát igen. A Google a feltételein keresztül automatikusan biztosít DPA-t. Ellenőrizd: jelentkezz be a Google Analyticsbe, és erősítsd meg, hogy elfogadtad az adatfeldolgozási módosítást. A speciális analitikai szolgáltatók is dolgoznak fel személyes adatot, ezért velük is kell DPA. A legtöbb a feltételeiben vagy külön dokumentumként adja. Szabály: ha a szolgáltató személyes adathoz ér, DPA kell. Ha nem kapsz, ne használd a szolgáltatót.
Mi a különbség az általános szerződési feltételek és a megfelelőségi határozatok között?
Mindkettő mechanizmus az uniós adatok jogszerű EU-n kívülre továbbítására. A megfelelőségi határozat azt jelenti, hogy az EU megállapította: egy ország egyenértékű adatvédelmet nyújt (az USA-nak nincs ilyen). Az általános szerződési feltételek (SCC) olyan szerződések a szolgáltatókkal, amelyek uniós szabványokra kötelezik őket. Gyakorlati különbség: a megfelelőségi határozat egyszerűbb, az SCC szerződéseket igényel. Az analitikánál a legtöbb szolgáltató (a Google-t is beleértve) kínál SCC-t a DPA-iban. Ellenőrizd a szolgáltatódnál: kínálnak általános szerződési feltételeket az uniós adattovábbításhoz? Ha igen, használd azokat. Ha nem, csak uniós adattárolású szolgáltatókat használj.
Ha adathozzáférési kérelmet kapok, pontosan mit kell megadnom az analitikából?
Mindent, amit az adott személyről tudsz, olvasható formátumban. A Google Analyticsből: az összes munkamenetet és eseményt (ha követed a felhasználói azonosítókat) vagy a munkamenet-azonosítókat. Add meg: a dátumokat, a meglátogatott oldalakat, a kiváltott eseményeket, az oldalon töltött időt, és minden személyazonosításra alkalmas adatot (nevek, e-mailek). Más rendszerekből: hőtérképek, munkamenet-felvételek, viselkedéskövetés. Exportáld PDF-ként vagy HTML-ként, ne nyers adatbázis-kivonatként. A felhasználónak műszaki tudás nélkül is értenie kell. Ha nem tudod könnyen lekérni az egyes felhasználók adatait, GDPR-problémád van. A legtöbb platform megengedi a felhasználónkénti exportot. Ha a tiéd nem, válts platformot, vagy építs egyéni exportot.
A versenytársamnak nincs sütisávja, és követi a felhasználókat. Hogyan GDPR-megfelelő?
Vagy: (1) Valójában nem GDPR-megfelelő, és abban bízik, hogy a szabályozók nem kapják el (kockázatos). (2) Azzal érvel, hogy a követése jogos érdek (a bíróságok szkeptikusak). (3) Csak anonimizált vagy összesített adatot követ (nem kell hozzájárulás). (4) Csak alapvető sütiket követ (bejelentkezés, CSRF, nem kell hozzájárulás). (5) Olyan helyen működik, ahol gyenge a GDPR érvényesítése. Valóság: sokan megsértik a GDPR-t, és soha nem kapják el őket. De a kockázat valós: egyetlen panasz vizsgálatot és bírságot indít. Okos megközelítés: feltételezd, hogy a GDPR vonatkozik rád, ha vannak uniós látogatóid, vezess be helyesen hozzájárulást, és ne számíts a versenytársak szabálysértésére.