Τι είναι η πολιτική απορρήτου;
Η πολιτική απορρήτου, που λέγεται και δήλωση απορρήτου ή πολιτική προστασίας προσωπικών δεδομένων, είναι το κείμενο στο οποίο εξηγείς τι κάνεις με τα προσωπικά δεδομένα των ανθρώπων. Σε έναν ιστότοπο είναι συνήθως ξεχωριστή σελίδα, με σύνδεσμο στο footer.
Η υποχρέωση προκύπτει από τον ΓΚΠΔ. Το άρθρο 12 ορίζει ότι η ενημέρωση δίνεται με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο, σε σαφή και απλή γλώσσα, και δωρεάν. Τα άρθρα 13 και 14 απαριθμούν τι πρέπει να λες: το άρθρο 13 όταν συλλέγεις τα δεδομένα από το ίδιο το πρόσωπο, για παράδειγμα μέσω μιας φόρμας, και το άρθρο 14 όταν τα παίρνεις από κάποιον άλλο.
Στην Ελλάδα ο ΓΚΠΔ συμπληρώνεται από τον ν. 4624/2019, που περιέχει τα μέτρα εφαρμογής του, και ελέγχεται από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ). Η ΑΠΔΠΧ σημειώνει στη σελίδα της για το δικαίωμα ενημέρωσης ότι πρέπει να αποφεύγονται οι αόριστοι όροι, όπως «θα μπορούσε», «ενδέχεται» ή «πιθανώς».
Τι πρέπει να περιέχει;
Όταν συλλέγεις προσωπικά δεδομένα από κάποιον, το άρθρο 13 απαιτεί αυτές τις πληροφορίες:
- Ποιος είσαι: η επωνυμία και τα στοιχεία επικοινωνίας της επιχείρησής σου, και του εκπροσώπου σου στην ΕΕ αν είσαι εγκατεστημένος εκτός ΕΕ.
- Τον Υπεύθυνο Προστασίας Δεδομένων (DPO), αν έχεις ορίσει, με τα στοιχεία επικοινωνίας του.
- Τους σκοπούς και τη νομική βάση. Για κάθε σκοπό, σε ποια νομική βάση στηρίζεσαι: συγκατάθεση, σύμβαση, έννομη υποχρέωση ή έννομο συμφέρον.
- Το έννομο συμφέρον σου, αν είναι αυτή η βάση. Κατονόμασε το συγκεκριμένο συμφέρον.
- Τους αποδέκτες: ποιοι λαμβάνουν τα δεδομένα, μαζί με τους εκτελούντες την επεξεργασία, όπως ο πάροχος φιλοξενίας ή email. Σύμφωνα με τις ευρωπαϊκές κατευθυντήριες γραμμές για τη διαφάνεια, το πιο χρήσιμο είναι να κατονομάζεις τους αποδέκτες· αν δίνεις μόνο κατηγορίες, να είναι όσο το δυνατόν πιο συγκεκριμένες.
- Τις διαβιβάσεις εκτός ΕΕ ή ΕΟΧ: ότι γίνεται διαβίβαση, αν υπάρχει απόφαση επάρκειας και, αν όχι, ποια εγγύηση χρησιμοποιείς και πώς μπορεί κανείς να πάρει αντίγραφο. Οι κατευθυντήριες γραμμές ζητούν κατά κανόνα να κατονομάζονται οι χώρες.
- Πόσο καιρό κρατάς τα δεδομένα, ή τα κριτήρια με τα οποία το αποφασίζεις. Το «όσο χρειάζεται» δεν αρκεί, σύμφωνα με τις κατευθυντήριες γραμμές.
- Τα δικαιώματα του προσώπου: πρόσβαση, διόρθωση, διαγραφή, περιορισμός, εναντίωση και φορητότητα.
- Το δικαίωμα ανάκλησης της συγκατάθεσης οποιαδήποτε στιγμή, όπου στηρίζεσαι σε συγκατάθεση.
- Το δικαίωμα καταγγελίας σε εποπτική αρχή, στην Ελλάδα την ΑΠΔΠΧ.
- Αν η παροχή των δεδομένων είναι υποχρεωτική, για παράδειγμα επειδή τα χρειάζεσαι για μια σύμβαση, και τι συμβαίνει αν δεν δοθούν. Οι κατευθυντήριες γραμμές προσθέτουν ότι στις φόρμες πρέπει να φαίνεται καθαρά ποια πεδία είναι υποχρεωτικά.
- Την αυτοματοποιημένη λήψη αποφάσεων, μαζί με την κατάρτιση προφίλ, αν έχει έννομα ή παρόμοια σημαντικά αποτελέσματα, με ουσιαστική πληροφόρηση για τη λογική και τις συνέπειες.
Ιδιαίτερη προσοχή θέλει το δικαίωμα εναντίωσης: το άρθρο 21 του ΓΚΠΔ απαιτεί να το φέρνεις ρητά στην αντίληψη του προσώπου, με σαφήνεια και χωριστά από κάθε άλλη πληροφορία, το αργότερο κατά την πρώτη επικοινωνία μαζί του.
Πού τη δείχνεις
Το άρθρο 13 ζητά την ενημέρωση τη στιγμή που συλλέγεις τα δεδομένα. Οι ευρωπαϊκές κατευθυντήριες γραμμές για τη διαφάνεια, που έχει εγκρίνει το ΕΣΠΔ, εξηγούν τι σημαίνει αυτό σε έναν ιστότοπο:
- Σύνδεσμος σε κάθε σελίδα, καθαρά ορατός, με ένα γνωστό όνομα όπως «Πολιτική απορρήτου». Ένας σύνδεσμος που δύσκολα φαίνεται λόγω θέσης ή χρώματος δεν θεωρείται εύκολα προσβάσιμος.
- Στο σημείο συλλογής. Ως καλή πρακτική, βάλε σύνδεσμο προς την πολιτική απορρήτου δίπλα σε κάθε φόρμα που συλλέγει προσωπικά δεδομένα.
- Όχι κρυμμένη στους όρους χρήσης. Ο επισκέπτης δεν πρέπει να την ψάχνει ανάμεσα σε άλλες πληροφορίες.
- Σε επίπεδα, αν είναι μεγάλη. Η ΑΠΔΠΧ εξέδωσε τον Ιούλιο του 2022 συστάσεις για την πολυεπίπεδη ενημέρωση σε online περιβάλλον: είδε ότι πολλοί ιστότοποι δίνουν ένα μακρύ, πυκνό κείμενο, συχνά σε PDF ή χωρίς προσαρμογή για κινητά, που κουράζει τον χρήστη. Το πρώτο επίπεδο πρέπει να δίνει καθαρή εικόνα των βασικών πληροφοριών, όπως οι σκοποί, η ταυτότητα του υπευθύνου και τα δικαιώματα, και να δείχνει πού βρίσκεται η αναλυτική ενημέρωση.
- Στη γλώσσα του επισκέπτη, αν απευθύνεσαι σε κοινό που μιλά άλλες γλώσσες, με ακριβή μετάφραση.
Πολιτική απορρήτου, πολιτική cookies και banner cookies
Τα τρία κάνουν διαφορετική δουλειά:
- Το banner cookies ζητά συγκατάθεση πριν τοποθετήσεις μη απαραίτητα cookies και παραπέμπει στις λεπτομέρειες.
- Η πολιτική cookies εξηγεί ποια cookies και παρόμοιες τεχνολογίες χρησιμοποιείς, ποιος τα τοποθετεί και πόσο διαρκούν.
- Η πολιτική απορρήτου καλύπτει όλα τα προσωπικά δεδομένα που επεξεργάζεσαι, και πέρα από τα cookies: φόρμες, παραγγελίες, newsletter, εξυπηρέτηση πελατών.
Η ΑΠΔΠΧ θεωρεί στις Συστάσεις 1/2020 κακή πρακτική μια γενική αναφορά στα cookies μέσα στη γενική πολιτική απορρήτου. Γι’ αυτό η πολιτική απορρήτου αναφέρει τα εργαλεία στατιστικών και marketing, τη νομική βάση (συνήθως συγκατάθεση) και τις διαβιβάσεις εκτός Ευρώπης, και για τις λεπτομέρειες των cookies παραπέμπει στην πολιτική cookies. Το banner έχει σύνδεσμο και προς τις δύο. Η ανάκληση της συγκατάθεσης πρέπει να είναι εξίσου εύκολη με την παροχή της, οπότε γράψε και στα δύο κείμενα πού αλλάζει ο επισκέπτης την επιλογή του. Περισσότερα στον οδηγό για τη νομοθεσία για τα cookies στην Ελλάδα.
Το Cookie Confirm δείχνει ένα banner που καταγράφει τη συγκατάθεση κάθε επισκέπτη και παραπέμπει στην πολιτική cookies και στην πολιτική απορρήτου σου.
Τι προσθέτει ο ελληνικός νόμος
- Ανήλικοι: σύμφωνα με το άρθρο 21 του ν. 4624/2019, όταν μια υπηρεσία της κοινωνίας της πληροφορίας προσφέρεται απευθείας σε ανήλικο και στηρίζεται σε συγκατάθεση, ο ανήλικος μπορεί να συναινέσει μόνος του από τα 15 του χρόνια. Κάτω των 15 χρειάζεται η συγκατάθεση του νόμιμου εκπροσώπου του. Αν η υπηρεσία σου απευθύνεται και σε ανηλίκους, γράψ’ το στην πολιτική απορρήτου.
- Newsletter σε πελάτες: κατά κανόνα χρειάζεσαι προηγούμενη συγκατάθεση για να στέλνεις διαφημιστικά email (άρθρο 11 ν. 3471/2006). Η εξαίρεση της παρ. 3: τα email πελατών που απέκτησες νόμιμα από μια πώληση μπορείς να τα χρησιμοποιείς για δικά σου παρόμοια προϊόντα ή υπηρεσίες, αν τους δίνεις με σαφή τρόπο και δωρεάν τη δυνατότητα να αρνηθούν, τόσο κατά τη συλλογή όσο και σε κάθε μήνυμα. Γράψε στην πολιτική απορρήτου ποια από τις δύο βάσεις χρησιμοποιείς.
- Καταγγελίες: η ΑΠΔΠΧ δέχεται καταγγελίες ηλεκτρονικά, με email στο complaints@dpa.gr, ταχυδρομικά ή αυτοπροσώπως (Λεωφ. Κηφισίας 1-3, 115 23 Αθήνα). Για παραβίαση δικαιωμάτων ζητά από τον καταγγέλλοντα να έχει απευθυνθεί πρώτα στον υπεύθυνο επεξεργασίας. Ένα σαφές email επικοινωνίας στην πολιτική απορρήτου σου επιτρέπει να λύνεις τα αιτήματα πριν φτάσουν στην Αρχή.
Επιπλέον για e-shop
Ένα ηλεκτρονικό κατάστημα επεξεργάζεται περισσότερα δεδομένα από έναν απλό ιστότοπο, οπότε η πολιτική απορρήτου του χρειάζεται περισσότερα:
- Παραγγελίες: τα δεδομένα που χρειάζεσαι για την παράδοση, με νομική βάση τη σύμβαση. Γράψε ότι χωρίς αυτά δεν μπορείς να εκτελέσεις την παραγγελία.
- Παραστατικά: η φορολογική νομοθεσία σε υποχρεώνει να τα κρατάς για ορισμένο διάστημα. Η νομική βάση είναι η έννομη υποχρέωση· γράψε το διάστημα που ισχύει για την επιχείρησή σου (ρώτα τον λογιστή σου).
- Πληρωμή: κατονόμασε τον πάροχο πληρωμών και γράψε αν λαμβάνεις ο ίδιος στοιχεία κάρτας ή λογαριασμού.
- Αποστολή: κατονόμασε τις εταιρείες ταχυμεταφορών που λαμβάνουν τη διεύθυνση.
- Newsletter: συγκατάθεση ή η εξαίρεση για υπάρχοντες πελάτες, όπως εξηγείται παραπάνω.
- Αξιολογήσεις: αν μια υπηρεσία αξιολογήσεων στέλνει προσκλήσεις μετά την αγορά, κατονόμασέ την και γράψε ποια δεδομένα μοιράζεσαι μαζί της.
- Λογαριασμοί πελατών: γράψε πόσο κρατάς έναν λογαριασμό και τι γίνεται μετά από αδράνεια.
Συχνά λάθη
- Αντιγραμμένο γενικό κείμενο. Η πολιτική απορρήτου ενός άλλου ιστοτόπου ή μιας γεννήτριας περιγράφει άλλα εργαλεία και άλλα δεδομένα. Αν δεν ταιριάζει με όσα κάνει πραγματικά ο ιστότοπός σου, δεν είναι διαφανής.
- Αόριστοι σκοποί. Οι κατευθυντήριες γραμμές δίνουν ως παραδείγματα μη σαφών διατυπώσεων φράσεις όπως «για την ανάπτυξη νέων υπηρεσιών», «για σκοπούς έρευνας» ή «για εξατομικευμένες υπηρεσίες», χωρίς εξήγηση τι σημαίνουν.
- Χωρίς νομική βάση ανά σκοπό. Μια γενική φράση όπως «επεξεργαζόμαστε δεδομένα σύμφωνα με τον ΓΚΠΔ» δεν λέει τίποτα.
- Αμερικανικά εργαλεία χωρίς πληροφορίες για τη διαβίβαση. Εργαλεία στατιστικών, email marketing και φιλοξενίας είναι συχνά αμερικανικά. Κατονόμασε τον πάροχο, τη χώρα και την εγγύηση, όπως το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ ή τυποποιημένες συμβατικές ρήτρες. Δες και τον οδηγό Google Analytics και ΓΚΠΔ.
- «Όσο χρειάζεται». Δώσε διάστημα ή κριτήρια.
- Καμία αναφορά στην ΑΠΔΠΧ. Ο επισκέπτης πρέπει να μαθαίνει ότι μπορεί να υποβάλει καταγγελία.
- Ένα μακρύ PDF. Η ΑΠΔΠΧ επισημαίνει ότι η ενημέρωση σε PDF ή χωρίς προσαρμογή για κινητά αποθαρρύνει την ανάγνωση.
- Ξεπερασμένη. Κάθε νέο plugin, εργαλείο ή εκτελών την επεξεργασία μπορεί να αλλάξει όσα πρέπει να λες.
Το πρότυπο
Παρακάτω θα βρεις ένα πρότυπο για αντιγραφή. Συμπλήρωσε ό,τι βρίσκεται μέσα σε [αγκύλες], αφαίρεσε τις ενότητες που δεν χρειάζεσαι και πρόσθεσε όποια επεξεργασία λείπει, ώστε το κείμενο να περιγράφει όσα κάνει πραγματικά ο ιστότοπός σου. Ένα πρότυπο δεν είναι νομική συμβουλή: αν δεν είσαι σίγουρος ότι ταιριάζει στην περίπτωσή σου, ζήτησε να το ελέγξει ένας δικηγόρος.
Πηγές
- ΓΚΠΔ, άρθρα 6, 7, 8, 12, 13, 14, 21, 27 και 77
- Ν. 4624/2019 με ενσωματωμένες τις τροποποιήσεις, άρθρο 21 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
- Ν. 3471/2006, άρθρο 11 (κείμενο στον ιστότοπο της ΑΠΔΠΧ)
- ΑΠΔΠΧ: Δικαίωμα ενημέρωσης και διαφάνεια
- ΑΠΔΠΧ: Συστάσεις για πολυεπίπεδη ενημέρωση σε online περιβάλλον (5 Ιουλίου 2022)
- ΑΠΔΠΧ: Συστάσεις 1/2020 (PDF)
- ΑΠΔΠΧ: Καταγγελία στην Αρχή
- Ομάδα Εργασίας του Άρθρου 29: Κατευθυντήριες γραμμές σχετικά με τη διαφάνεια (WP260 rev.01, στα ελληνικά)
- ΕΣΠΔ: Εγκεκριμένες κατευθυντήριες γραμμές της Ομάδας Εργασίας του Άρθρου 29
- Οδηγία 2002/58/ΕΚ (ενοποιημένη έκδοση), άρθρο 13
- Ευρωπαϊκή Επιτροπή: Απόφαση επάρκειας για το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ