Zaštita podataka na sajtu ustanove nije baner za kolačiće koji se doda dan pre objave, već niz odluka koje pravni i veb tim moraju da donesu zajedno: koje podatke sajt uopšte prikuplja (forme, analitika, ugrađeni video i mape, logovi servera), zašto i po kom osnovu, koliko dugo se čuvaju, ko ih još vidi (izvođač, hosting, servisi), šta od toga traži pristanak i kako se pristanak beleži i povlači. Ovaj tekst je organizovan kao lista pitanja po tri celine, mapa podataka, kolačići i pristanak i dokumentacija i odgovornosti, tako da ga dva tima mogu proći na jednom sastanku i izaći sa odlukama, ne sa opštim mestima.
Za dodatnu proveru preporuka iz ovog vodiča pogledajte informacije Poverenika za zaštitu podataka i propise Kancelarije za IT i eUpravu.
Ukratko
- Mapa podataka pre svega: svaka forma, alat i ugrađeni sadržaj u jednu tabelu sa podacima, svrhom, osnovom, rokom i primaocem.
- Neophodno bez pristanka, sve ostalo posle pristanka: analitika, mape, video i marketinški kolačići ne rade dok korisnik ne pristane; povlačenje jednako lako kao davanje.
- Papiri koji moraju da postoje: politika privatnosti, politika kolačića, ugovori o obradi sa izvođačem i hostingom, evidencija obrada, kontakt lica za zaštitu podataka.
- Mere koje se mogu dokazati: HTTPS, pristupi po imenima, brisanje po roku, kopije, plan za incident, obuka urednika.
Napomena: tekst nije pravni savet. Okvir je Zakon o zaštiti podataka o ličnosti i praksa Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti; konkretne obaveze za vašu ustanovu (uključujući procenu uticaja, lice za zaštitu podataka i evidencije) utvrđuje pravna služba. Ako još planirate sajt, opšti redosled je u tekstu kako planirati sajt državne ustanove usklađen sa propisima.
Mapa podataka
Prvo pitanje nije „koji baner“, već „koje podatke ovaj sajt prikuplja“. Odgovor je skoro uvek širi nego što tim misli, jer se podaci prikupljaju i tamo gde nema forme.
Forme, analitika i ugrađeni sadržaj
Veb tim popisuje, pravni tim postavlja pitanja. Forme: kontakt, prijava kvara ili problema, zahtev za pristup informacijama, prijava na konkurs (sa CV-jem: posebno osetljivo), prijava za događaj, newsletter, anketa. Za svaku: koja polja (i da li su sva potrebna: matični broj u kontakt formi skoro nikad nije), gde stižu podaci (e-pošta službe, baza sajta, spoljni servis), ko ih vidi, koliko dugo ostaju u bazi sajta (WordPress dodaci za forme podrazumevano čuvaju sve unose zauvek). Analitika: koji alat (Google Analytics, Matomo, ništa), da li se IP adrese anonimizuju, gde se podaci obrađuju (za GA: van zemlje, kod trećeg lica), da li je ustanovi zaista potrebna analitika ili je dovoljna statistika servera; alternativa koja obično prolazi lakše je samostalno hostovan alat bez kolačića. Ugrađeni sadržaj: YouTube video, Google mape, društvene mreže, fontovi sa spoljnih servera: svaki ugrađeni element šalje IP adresu i podatke o uređaju trećem licu čim se stranica otvori, pre ikakvog klika; rešenje je „klikni da učitaš“ (placeholder do pristanka) ili lokalno hostovanje (fontovi, mape sa OpenStreetMap-a). Logovi servera i bezbednosni alati: IP adrese u logovima, dodaci koji blokiraju napade, CDN; obično legitimna svrha (bezbednost), ali sa rokom čuvanja. Nalozi urednika: i zaposleni su lica čiji se podaci obrađuju (imena, e-pošta, evidencija prijava). Prijem e-pošte: podaci iz formi koji stižu u sanduče službe žive i tamo, sa svojim rokom.
Svrha i rok čuvanja
Za svaki red u mapi pravni tim odgovara na četiri pitanja. Svrha: zašto se podatak prikuplja, jednom rečenicom („da bismo odgovorili na upit“, „da bismo evidentirali prijavu kvara i obavestili o rešenju“); podatak bez svrhe se ne prikuplja. Pravni osnov: za ustanove najčešće vršenje javnih ovlašćenja ili zakonska obaveza (postupci, zahtevi, konkursi), ugovor (usluge korisnicima), legitimni interes gde je dozvoljen (bezbednost), pristanak (newsletter, opcioni kolačići, ugrađeni sadržaj); osnov određuje i šta se piše u politici i da li je potreban pristanak. Rok čuvanja: po propisu gde postoji (postupci, arhivska građa), inače najkraće što je potrebno za svrhu: upiti iz kontakt forme npr. do rešenja pa još kratko, unosi u bazi sajta brišu se automatski po roku (tehnički se podešava), logovi servera nekoliko nedelja, prijave na konkurs po pravilima konkursa. Primaoci: ko podatak vidi osim ustanove: izvođač koji održava sajt (ima pristup bazi), hosting provajder (ima pristup serveru), servis za e-poštu, analitički alat, servis za forme ako je spoljni; svaki primalac koji obrađuje u ime ustanove je obrađivač i traži ugovor (dole). Ako neki primalac obrađuje podatke van zemlje, to je poseban red sa posebnim pitanjima. Mapa je i osnova za evidenciju radnji obrade koju ustanova vodi; jednom sastavljena, ažurira se pri svakoj novoj formi ili alatu, što treba da bude pravilo u uredničkom procesu.
| Izvor na sajtu | Podaci | Svrha / tipičan osnov | Rok (orijentaciono) | Primaoci |
|---|---|---|---|---|
| Kontakt forma | Ime, e-pošta, telefon, poruka | Odgovor na upit / javno ovlašćenje ili legitimni interes | Do rešenja + kratak period; auto-brisanje iz baze sajta | Služba, izvođač, hosting, e-pošta |
| Prijava kvara | Ime, kontakt, adresa, opis, foto | Evidencija i rešavanje / javno ovlašćenje, ugovor | Po internim pravilima evidencije | Služba, izvođač, hosting |
| Prijava na konkurs | CV, dokumenti (osetljivo) | Sprovođenje konkursa / zakonska obaveza | Po pravilima konkursa; zatim brisanje | Komisija, izvođač, hosting |
| Analitika | IP, uređaj, ponašanje, identifikator | Statistika / pristanak (ili alat bez kolačića) | Po podešavanju alata; što kraće | Pružalac alata (moguće van zemlje) |
| Ugrađeni video / mape / fontovi | IP, uređaj | Prikaz sadržaja / pristanak ili lokalno hostovanje | Kod trećeg lica | YouTube, Google, itd. |
| Logovi servera, zaštita | IP, zahtevi | Bezbednost / legitimni interes | Nekoliko nedelja | Hosting, izvođač |
| Nalozi urednika | Ime, e-pošta, evidencija prijava | Rad sistema / radni odnos | Dok traje uloga + evidencija | Izvođač, hosting |
Kolačići i pristanak
Kolačići su samo jedan od načina na koji sajt čita podatke sa uređaja, ali su najvidljiviji, pa se o njima najviše raspravlja. Pravilo je jednostavno; sprovođenje je ono što se često pogreši.
Neophodni i opcioni
Neophodni su kolačići bez kojih sajt ne radi ono što korisnik traži: sesija prijavljenog urednika, zaštita formi od zloupotrebe, izbor jezika ili pisma, pamćenje samog izbora o kolačićima. Oni ne traže pristanak, ali se navode u politici kolačića. Opcioni su svi ostali: analitika, ugrađeni sadržaj koji postavlja svoje kolačiće (YouTube, mape, društvene mreže), marketinški i praćenje između sajtova (na sajtu ustanove nemaju šta da traže). Pitanja za veb tim: koje kolačiće sajt zaista postavlja (proverava se u pregledaču ili alatom za skeniranje, pre i posle pristanka, jer dodaci često postavljaju kolačiće koje niko nije tražio); da li se opcioni skripti učitavaju tek posle pristanka (ne „učitaj pa blokiraj“); da li „odbij“ postoji na istom nivou kao „prihvati“, bez tamnih obrazaca (nejednaka dugmad, unapred čekirane opcije, „prihvati“ kao jedini izlaz); da li sajt radi normalno i kad korisnik odbije. Pitanja za pravni tim: da li ustanovi treba analitika uopšte, i ako treba, da li alat bez kolačića (samostalno hostovan, anonimizovan) rešava potrebu bez pristanka; kako se tretiraju ugrađeni sadržaji (preporuka: „klikni da učitaš“). Kod nas na sajtu koristimo isti pristup, pa naša politika privatnosti može poslužiti kao primer strukture, uz obaveznu prilagodbu ustanovi i pravnu proveru.
Evidencija i povlačenje pristanka
Pristanak koji se ne može dokazati i povući nije pristanak. Evidencija: alat za pristanak beleži šta je korisnik izabrao, kada, za koje kategorije i koju verziju politike je video; evidencija se čuva bez nepotrebnih podataka (identifikator izbora, ne ime) i onoliko dugo koliko važi pristanak. Trajanje: pristanak se obnavlja posle razumnog roka (u praksi 6–12 meseci) i pri svakoj bitnoj promeni kolačića ili politike. Povlačenje: stalno dostupna opcija (link u podnožju „podešavanja kolačića“) kojom korisnik menja ili povlači izbor jednako lako kao što ga je dao; posle povlačenja opcioni skripti prestaju i njihovi kolačići se brišu koliko je tehnički moguće. Granularnost: po kategoriji (analitika, ugrađeni sadržaj), sa opisom svake, a ne jedno „prihvati sve“. Deca i osetljive grupe: ustanove kojima se obraćaju maloletni (škole, ustanove kulture) posebno paze na pristanak i sadržaj trećih lica. Test pre objave: otvoriti sajt u čistom pregledaču, ne pristati, proveriti koji su kolačići postavljeni (samo neophodni); pristati, proveriti; povući, proveriti. Ovaj test ulazi u test listu primopredaje i u periodične provere.
Dokumentacija i odgovornosti
Mapa i pristanak su sadržaj; dokumentacija je dokaz. Nadzor ne pita „da li ste mislili na privatnost“, već traži dokumente i mere.
Politike i ugovori
Politika privatnosti (obaveštenje o obradi) piše se iz mape podataka, ne iz šablona: ko je rukovalac (naziv, adresa, kontakt), kontakt lica za zaštitu podataka, koje podatke prikuplja i zašto (po izvoru, kao u tabeli), pravni osnov, rok čuvanja, primaoci i eventualni prenos van zemlje, prava lica (pristup, ispravka, brisanje, ograničenje, prigovor) i kako se ostvaruju, pravo na pritužbu Povereniku, datum i verzija. Piše se jasnim jezikom, na pismu i jeziku sajta. Politika kolačića (može biti deo politike privatnosti): lista kolačića po kategoriji sa svrhom, trajanjem i ko ih postavlja, i kako se izbor menja. Ugovor o obradi sa svakim obrađivačem: izvođač koji izrađuje i održava sajt (pristup bazi i unosima iz formi), hosting provajder (server, kopije), servis za e-poštu, servis za forme ili analitiku ako je spoljni; ugovor određuje predmet i trajanje obrade, uputstva, poverljivost, mere, podobrađivače, pomoć pri zahtevima lica, brisanje ili vraćanje podataka po prestanku, kontrolu. Šta tačno tražiti od veb agencije, u tekstu ugovor o obradi podataka sa veb agencijom. Evidencija radnji obrade koju ustanova vodi, sa redovima koji odgovaraju mapi. Procena uticaja na zaštitu podataka za obrade sa visokim rizikom (npr. veće zbirke osetljivih podataka, praćenje), o čemu odlučuje pravni tim. Izjava o pristupačnosti i uslovi korišćenja nisu deo zaštite podataka, ali idu u isti paket dokumenata sajta.
Tehničke i organizacione mere
Mere se biraju prema riziku i moraju se moći pokazati. Tehničke: HTTPS na celom sajtu; forme sa zaštitom od zloupotrebe i bez nepotrebnih polja; unosi iz formi se ne čuvaju u bazi sajta duže od roka (automatsko brisanje) ili se ne čuvaju uopšte (samo prosleđivanje službi); e-pošta na koju stižu podaci je službena, sa zaštitom naloga; pristupi panelu po imenima, sa dvofaktorskom zaštitom i ukidanjem pri odlasku; uloge sa najmanjim potrebnim pravima (urednik ne vidi unose iz formi drugih službi); evidencija prijava i izmena; ažuriranja sistema i dodataka po planu; kopije šifrovane, sa rokom čuvanja, na lokaciji koja je u ugovoru; hosting sa jasnom lokacijom podataka i ugovorom; ugrađeni sadržaj lokalno ili uz pristanak; skeniranje kolačića pre objave i periodično. Koji uslovi za hosting i domen ulaze u nabavku, u tekstu domen, hosting i bezbednost za projektni tim ustanove. Organizacione: imenovano lice za zaštitu podataka sa kontaktom na sajtu; postupak za zahteve lica (ko prima, rok, obrazac odgovora); postupak za incident (ko se obaveštava, u kom roku, evidencija, obaveštavanje Poverenika i lica kad je propisano); obuka urednika (šta se sme tražiti u formi, šta se ne objavljuje u vestima i dokumentima: matični brojevi, adrese, podaci trećih lica u skeniranim odlukama); pravilo da nova forma ili alat ne ide na sajt bez reda u mapi i odobrenja; godišnja revizija svega gore. Ove stavke su deo test liste pre objave i kalendara provera koji vodi održavanje sajta; kako mi to radimo za ustanove, na stranici rešenja za javni sektor. Mnoge od ovih obaveza važe i za male poslovne sajtove, samo u manjem obimu; šta se tamo najčešće previdi, u tekstu obaveze rukovaoca podataka koje mali sajtovi previde.
Najčešća pitanja o zaštiti podataka na sajtu ustanove
Da li sajt ustanove mora da ima baner za kolačiće?
Ako koristi samo neophodne kolačiće (sesija, zaštita formi, izbor jezika), baner nije potreban; dovoljna je politika kolačića. Ako koristi analitiku sa kolačićima, ugrađeni video ili mape koji postavljaju kolačiće trećih lica, potreban je pristanak pre učitavanja, sa mogućnošću odbijanja i povlačenja. Mnoge ustanove mogu bez banera: analitika bez kolačića i lokalno hostovani sadržaj.
Da li je Google Analytics dozvoljen na sajtu ustanove?
To je odluka pravnog tima na osnovu mape podataka: alat obrađuje podatke kod trećeg lica, po pravilu van zemlje, i postavlja kolačiće, pa traži pristanak i posebnu pažnju oko prenosa. Samostalno hostovan alat bez kolačića (npr. Matomo sa anonimizacijom) obično rešava potrebu za statistikom sa manje pitanja.
Koliko dugo smemo da čuvamo poruke iz kontakt forme?
Onoliko koliko je potrebno za svrhu: dok se upit ne reši, pa još kratak period za eventualna dodatna pitanja, osim ako propis ili priroda postupka traži duže (zahtevi, prijave u postupku). Unose u bazi sajta treba brisati automatski po roku; kopija poruke u službenom sandučetu ima svoj rok po pravilima kancelarijskog poslovanja.
Da li nam treba ugovor sa agencijom koja održava sajt?
Da. Agencija koja ima pristup panelu i bazi vidi podatke iz formi i naloge korisnika, dakle obrađuje podatke u ime ustanove, pa je potreban ugovor o obradi (ili odgovarajuće odredbe u ugovoru o održavanju) sa uputstvima, merama, poverljivošću, podobrađivačima i postupanjem po prestanku. Isto važi za hosting provajdera.
Šta ako neko zatraži brisanje svojih podataka sa sajta?
Postupak treba da postoji unapred: ko prima zahtev (lice za zaštitu podataka), kako se proverava identitet, u kom roku se odgovara, gde se podaci nalaze (mapa podataka daje odgovor: baza sajta, sanduče službe, kopije) i šta se sme brisati, jer za podatke u postupcima i arhivskoj građi važe propisi koji brisanje ograničavaju; o tome odlučuje pravni tim.
Treba vam sajt ustanove sa uređenom zaštitom podataka?
Sajtove za ustanove gradimo sa mapom podataka, formama koje ne čuvaju višak, pristankom koji se može dokazati i dokumentacijom za primopredaju; pravnu proveru radi vaša služba, mi obezbeđujemo da sajt tehnički prati odluke.
