# Adatvédelmi alapok: GDPR és sütik WordPressben

> Mit kér a GDPR és az ePrivacy irányelv egy WordPress-oldaltól, és melyik követelményhez melyik Complianz-eszköz tartozik.

Aki weboldalt üzemeltet, számolnia kell az adatvédelemmel. A GDPR 2018 májusától lépett hatályba, és ma már minden üzemeltetőnek ismernie kell, milyen személyes adatokat és sütiket kezel az oldala.

## Két szabályozás

- **GDPR** (általános adatvédelmi rendelet): mindenkire vonatkozik, aki az EGT polgárainak személyes adatait kezeli, gyűjti vagy továbbítja. 2016 áprilisában fogadták el, 2018 májusában lépett hatályba.
- **ePrivacy irányelv**: a sütikre ad további előírásokat. Cseréjére az ePrivacy rendelet készül, de az még tervezet, ezért addig a nemzeti adatvédelmi hatóságok (például a francia CNIL) állásfoglalásai érvényesek.

A Complianz mindkettő követelményeinek megvalósításához ad segítséget, és figyelembe veszi a rendelettervezetet és a nemzeti hatóságok állásfoglalásait is.

## Sütik és hozzájárulás

### 1. Tájékoztasd a látogatót a sütikről

Az adatvédelem az átláthatóságról szól: közölnöd kell, milyen sütiket és követési technológiákat használ az oldal. A hozzájárulási sáv röviden megmondja, hogy sütiket használsz és milyen célra. A részletes adatok (melyik süti, melyik szolgáltatás, milyen célra és meddig) a második rétegbe, például a sütiszabályzatba kerülnek.

A Complianz átvizsgálja az oldalt a használt sütikért, segít előállítani a sütiszabályzatot és beállítani a sávot. Ez a hozzájárulás-kezelő platform (CMP) feladata.

### 2. Kérj hozzájárulást a nem funkcionális sütikhez

A funkcionális (az oldal működéséhez szükséges) sütikhez nem kell hozzájárulás, de az ezen kívüli sütik csak a látogató hozzájárulása után használhatók. A kivételek értelmezése országonként eltér: például Németországban, Belgiumban vagy Spanyolországban az anonim statisztikához is kell hozzájárulás.

A hozzájárulásnak a következőknek kell megfelelnie:

- **Konkrét:** célonként kérendő, nem „mindent vagy semmit”. A leggyakoribb kategóriák: szigorúan funkcionális, beállítások, statisztika, marketing.
- **Tájékozott:** a sáv és a sütiszabályzat tájékoztat.
- **Egyértelmű:** a látogatónak kifejezett cselekvéssel kell hozzájárulnia, tehát a böngészés folytatása vagy az előre bejelölt jelölőnégyzet nem elég.
- **Önkéntes:** nem lehet sütifal, az elutasítás (csak a funkcionális sütik) ugyanolyan könnyen elérhető legyen, mint az elfogadás. Az elutasítás nem rejthető egy második rétegbe.

A Complianz blokkolja a nem funkcionális sütiket állító szkripteket, és segít előírásszerű sávot beállítani a hozzájáruláshoz.

### 3. Engedd, hogy a látogató visszavonja a hozzájárulását

A megadott hozzájárulást is vissza lehessen vonni, feltűnő és egyszerű módon. A sütiket nem kötelező törölni a látogató böngészőjéből, de az oldal már nem férhet hozzájuk.

A Complianzban a hozzájárulás a sütiszabályzaton keresztül vonható vissza. A sáv a „Hozzájárulás kezelése” fülre kattintva, vagy egyéni gombbal is előhívható.

### 4. Tájékoztass a változásokról

Ha új szolgáltatásokat és sütiket vezetsz be, ezekhez is új hozzájárulást kell kérni, és egy év után is újra kell kérni. A Complianz hetente vizsgálja az oldalt az új sütik és bővítmények után. Jelentős változásnál, vagy egy testreszabható idő után (alapértelmezetten 1 év) újra megjelenik a sáv.

### 5. Bizonyítsd a megfelelést

Panasz vagy hatósági ellenőrzés esetén bizonyítanod kell, hogy egy adott időpontban megfeleltél a szabályoknak. Az IP-cím és a hozzájárulás látogatónkénti rögzítése nem jó ötlet, mert az IP-cím személyes adat. A Complianz két megoldást kínál, a hozzájárulási igazolást (Proof of Consent) és a hozzájárulási nyilvántartást (Records of Consent), amelyekkel a megfelelés igazolható anélkül, hogy a látogatók személyes adatait tárolnád.

## Személyes adatok kezelése

### 1. Alakítsd át a folyamataidat a GDPR szerint

Ha nem egyszerű blogot üzemeltetsz, a személyes adatok kezelése nem áll meg a weboldalnál. Gondolj például az űrlapokon megadott adatokra, amelyek a postaládádban végzik. A GDPR szerint személyes adat minden, ami alkalmas egy személy azonosítására, így például az IP-cím, a látogató helye vagy az eszközadatok is. Kezdd azzal, hogy feltérképezed:

- mely folyamatok vagy oldalfunkciók (űrlapok, statisztikai eszközök stb.) érintenek személyes adatot;
- milyen adatot kezelsz;
- hol tárolod;
- mennyi ideig őrzöd;
- mennyire biztonságos a tárolás;
- milyen célból és jogalappal gyűjtöd vagy kezeled.

### 2. Állapítsd meg, kikkel osztod meg az adatokat

A gyűjtött személyes adat ritkán marad a szervezeten belül. A GDPR két külső felet különböztet meg.

**Adatfeldolgozók.** A nevedben kezelnek vagy kapnak személyes adatot, általában a szolgáltatásod nyújtásához. Mindegyikkel adatfeldolgozási megállapodást kell kötnöd, amely rögzíti a kezelt adatokat, a célokat, a biztonsági intézkedéseket és az adatvédelmi incidens esetén teendőket. Az adatok a te felügyeleted és felelősséged alatt maradnak. Tipikus példák: CRM-rendszerek, elemzőeszközök, hírlevélküldő eszközök, Google Analytics.

**Harmadik felek.** Minden más külső fél, amely személyes adatot kap, de általában nem szükséges a szolgáltatásodhoz, és nincs velük megállapodás. Nem tudod biztosan, mit kezdenek az adatokkal, ezért az érintett hozzájárulása mindig szükséges az adatok megosztása előtt. Tipikus példák: közösségi média pixelek, hirdetési szolgáltatók.

A Complianz prémium varázslója végigvezet a korlátlan számú adatfeldolgozási megállapodás elkészítésén.

### 3. Tájékoztasd a látogatókat

Miután feltérképezted és átalakítottad a folyamatokat, tájékoztatnod kell a látogatókat. A GDPR szerint adatkezelési tájékoztatót kell készítened, amelyben legalább az alábbiak szerepelnek:

- milyen adatokat kezelhet az oldal;
- milyen célra;
- a látogatók jogai a GDPR szerint;
- melyik jogalap vonatkozik a kezelésre;
- az elérhetőségeid, hogy az adatvédelmi kérdésekkel hová fordulhatnak;
- ha sok személyes adatot kezelsz, vagy az EU-n kívül működsz, adatvédelmi tisztviselőt vagy GDPR-képviselőt is ki kell jelölnöd.

### 4. Kérj hozzájárulást

Ha a hozzájárulás az egyik érvényes jogalap, általában jelölőnégyzettel rögzítik. A kapcsolatfelvételi űrlapoknál külön figyelmet kell fordítani: nincs feltétlenül szükség jelölőnégyzetre, ha az űrlap világosan megmondja, mire használja az adatot, és az adatra szükség van a kért szolgáltatás teljesítéséhez.

A Complianz prémium varázslója végigvezet az adatkezelési tájékoztató elkészítésén, és ha kell, a kapcsolatfelvételi űrlapok hozzájárulási jelölőnégyzeteinek beállításában is segít.