GDPR минимумът за малък сайт: какво реално трябва да имате

GDPR звучи като тема за големи компании с юридически отдел. За малкия сайт обаче важат същите правила — просто в много по-малък обем. Тук е практичният минимум: какво наистина трябва да имате, какво спокойно можете да пропуснете и защо истинският риск не е глобата.

Едно уточнение в началото. Това е практическа помощ, не правна консултация. Текстът на вашите документи остава ваша отговорност — при съмнение говорете с юрист.

Кой следи за това в България

Контролният орган е Комисията за защита на личните данни (КЗЛД). При нея отиват жалбите, тя проверява и тя санкционира. Броят на жалбите към нея расте.

Най-често констатираните нарушения са изненадващо еднообразни. Ето ги и трите:

• Политика за поверителност, преписана от чужд сайт.
• Бисквитки, които се зареждат без съгласие.
• Маркетингови имейли без изрично съгласие.

Забележете какво липсва в този списък. Няма хакери, няма кражба на бази данни, няма сложна технология. Това са три административни пропуска. Оправят се с текст и настройки, а не с технология.

Санкцията не е основният риск. Доверието е.

Най-голямата глоба у нас беше 5,1 млн. лв. срещу НАП през 2019 г. През февруари 2024 г. тя беше отменена по давност и така и не беше събрана.

Изводът е трезв. Ако разчитате само на страха от глоба, за малък сайт математиката не се получава. Затова не искам да ви плаша със санкции.

Реалната цена е друга. Посетител, който вижда политика с чуждо име на фирма вътре, си прави извод за целия бизнес. Клиент, който получи имейл, за какъвто не се е записвал, ви маркира като спам. Това не е глоба, но е загубено доверие — и то не се обжалва.

Политика за поверителност, написана за ВАШИЯ сайт

Преписаната политика е сред най-честите грешки. Тя е и от лесно забележимите. Проблемът ѝ не е юридически, а практически. Тя описва неща, които не правите. И пропуска неща, които правите.

Класическият пример: сайт без магазин, чиято политика говори надълго за плащания с карта и адреси за доставка. А контактната форма, която реално събира име и телефон, не е спомената никъде.

Работещата политика отговаря на шест прости въпроса:

• Кой сте вие — фирма, ЕИК, адрес и имейл за връзка.
• Какви данни събирате — конкретно, поле по поле от вашите форми.
• Защо ги събирате — за да отговорите на запитване, за да потвърдите час, за да издадете фактура.
• Кой друг ги вижда — хостингът, имейл услугата, счетоводителят, платежният доставчик.
• Колко време ги пазите — за всеки вид данни поотделно.
• Какви права има човекът и как да ги упражни — на кой имейл да пише и какво ще се случи после.

Кога ви трябва банер за бисквитки — и кога не

Тук се харчи най-много излишна енергия. Съгласие се иска за бисквитките, които не са необходими, за да работи сайтът. Това са проследяване, реклама и статистика, която разпознава конкретно устройство.

Обратната посока е по-важна за вас. Няма ли такова проследяване, няма и нужда от банер.

Повечето малки сайтове искат едно нещо от статистиката: колко хора са влезли, откъде идват и коя страница се чете най-много. За това вече не са нужни бисквитки. Безбисквитъчната аналитика брои посещенията, без да записва нищо върху устройството на посетителя. Тя не изисква банер за съгласие.

Пълно освобождаване от правилата обаче няма. Такъв инструмент пак обработва данни като IP адрес. Затова го опишете в политиката си — просто не ви трябва изскачащ прозорец за него.

Ако наистина ви трябва Google Analytics или пиксел на Facebook, банерът става задължителен. Тогава важат четири правила, които се нарушават постоянно:

1. Скриптовете се зареждат СЛЕД съгласието, не преди него. Банер над вече заредена аналитика не е съгласие — той е украса.
2. Отказът е също толкова лесен, колкото приемането. Един клик, еднакво видими бутони. Скрит или сив бутон „Откажи“ е нарушение.
3. Изборът се помни. Не питайте отново на всяка страница.
4. Решението може да се промени по-късно — с линк долу на сайта.

И един въпрос, който си струва да зададете на себе си, преди да сложите пиксел. Гледате ли реално тези данни? Ако отговорът е „не, но всички го правят“, махнете го. Пестите съгласие, скорост и обяснения.

Какво се прави с данните от контактната форма

Всяко запитване е лични данни. Име, телефон, имейл — и каквото човекът е написал в свободното поле.

Практичните правила са пет и нито едно не е техническо:

• Не искайте повече, отколкото ви трябва. За „обадете ми се“ са нужни име и телефон. ЕГН и адрес — не.
• Знайте къде отиват. Ако формата праща имейл, запитването живее в тази пощенска кутия. Кой има достъп до нея?
• Не пращайте на общ адрес, който проверяват петима души, включително бивш служител.
• Под формата сложете едно изречение защо събирате данните и линк към политиката. Толкова стига.
• Никаква предварително сложена отметка за бюлетин. Мълчанието не е съгласие, а предварително отметнатото квадратче е точно мълчание.

Отделно внимание за здравните данни. Те са специална категория по чл. 9 от GDPR и изискват много по-строг режим. Затова полето „опишете оплакването си“ във форма на кабинет е капан — то кани точно такива данни. По-добрият вариант е неутрално поле „за какво се отнася запитването“ и разговорът да продължи по телефона.

Колко време се пазят данните

GDPR нарича това „ограничение на съхранението“. Принципът е прост: личните данни не се пазят по-дълго, отколкото е необходимо за целта, за която са събрани. Регламентът не дава конкретни срокове. Той изисква срокът да е обоснован от целта.

Хората често търсят конкретното число. Няма едно число, което да важи за всичко.

Запитване от контактна форма не е счетоводен документ. Няма закон, който да ви задължава да го пазите определен срок. Значи срокът го определяте вие — и точно затова трябва да го запишете.

Изберете срок, който можете да обясните с една проста причина. „Пазим запитванията, докато разговорът приключи, и малко след това, в случай че клиентът се върне.“ Такова изречение издържа на въпрос. „Пазим ги завинаги, за всеки случай“ — не издържа.

Най-честият пропуск обаче не е срокът. Той е, че срокът е записан в политиката, а на практика често никой не трие нищо. Изтриването трябва да се случва автоматично, а не да зависи от това дали някой се е сетил.

Маркетингът иска отделно съгласие

Човек, който е поискал оферта, не ви е дал разрешение да му пращате бюлетин. Това са две различни неща и се доказват поотделно.

Съгласието за маркетинг трябва да е доброволно, отделно от другите отметки и с ясен текст какво ще получава човекът. Добре е да пазите и кога е дадено. А всеки изпратен бюлетин носи линк за отписване, който работи от първия клик.

Има и делова причина да сте изрядни тук. Списък от хора, които са казали „да“, се отваря и чете. Списък от събрани отнякъде адреси отива в спам папката и вреди на репутацията на вашия домейн.

Списъкът, който покрива почти всичко

1. Политика за поверителност, написана по вашите реални форми — без нито един преписан ред.
2. Страница за бисквитките, ако имате такива. Ако нямате — кажете го с едно изречение.
3. Ако ще следите посещенията, изберете безбисквитъчно решение. Банер само ако наистина има какво да чака съгласие.
4. Формите събират минимума, с изречение защо и линк към политиката.
5. Никакви предварително сложени отметки. Никъде.
6. Записан срок на съхранение за всеки вид данни — и изтриване, което се случва автоматично.
7. Имейл, на който човек може да поиска достъп до данните си или изтриване. И някой, който реално чете тази поща.

Как подхождаме ние

В нашите сайтове тези неща не са добавка. Политиката за поверителност, страницата за бисквитките и общите условия влизат във всеки проект и се пишат по това, което сайтът реално прави.

Аналитиката е отделен въпрос и не влиза автоматично в пакета. Уговаряме я с вас предварително. Когато я искате, предлагаме безбисквитъчно решение. Така собственикът вижда статистиката си, посетителят не бива проследяван, а сайтът остава бърз. Банер добавяме само когато има конкретна причина — и тогава го правим така, че скриптовете наистина да чакат съгласието.

Формите пращат имейл и събират минимума. Сроковете на съхранение се уговарят с вас в началото, а не се измислят по-късно.

И последното, за да сме честни докрай: ние правим структурата, страниците и техническата част. Съдържанието на правните текстове остава ваша отговорност и при по-сложен случай е разумно да го погледне юрист. Тази статия е помощ, за да знаете какво да поискате — не заместител на съвет.