Am deja o politică de confidențialitate generică. Este suficientă conform GDPR?

Depinde de ce conține. O politică de confidențialitate corectă în sensul Articolelor 13 și 14 din GDPR nu este un document generic care descrie ce ar putea face un site în general. Este un document specific care reflectă exact ce date colectează site-ul tău, în ce scop, pe ce temei juridic, cât timp le stochezi și cui le transmiți.

O politică care menționează că "este posibil să colectăm date" sau că "uneori putem transmite date către terți" nu îndeplinește cerința de transparență din Articolul 5(1)(a). Utilizatorul nu știe ce acceptă, iar tu nu poți demonstra că l-ai informat corect în fața niciunei autorități de supraveghere.

Valoarea juridică a unei politici de confidențialitate nu stă în existența ei pe site, ci în capacitatea ei de a reflecta fidel realitatea prelucrărilor pe care le efectuezi. Acestea sunt câteva formulări care apar frecvent și care nu îndeplinesc cerința de transparență:

"Este posibil să colectăm anumite date cu caracter personal." — Ce date? În ce circumstanțe?

"Putem partaja datele cu parteneri de încredere." — Care parteneri? Pe ce temei? Unde sunt localizați?

"Stocăm datele atât timp cât este necesar." — Necesar pentru ce? Cât înseamnă asta în zile, luni sau ani?

Dacă politica ta de confidențialitate conține acest tip de formulări, nu lipsește ceva estetic ci chiar substanța juridică pe care GDPR o impune explicit.

Cookie-uri de marketing rulate activ pe site care nu figurează nicăieri în politica de confidențialitate, alături de mecanisme de blocare declarate ca funcționale care, în realitate, nu respectă opțiunile exprimate de utilizator. Politicile redactate prin raportare la site-uri similare preiau nu doar structura, ci și inexactitățile, perpetuând aceleași goluri juridice de la un operator la altul. Fluxurile de date către curieri, procesatori de plăți sau platforme de marketing rămân nedocumentate sau documentate într-un mod atât de general încât nu pot servi ca dovadă a conformării în nicio investigație serioasă.

Fiecare dintre acestea este o discrepanță între ce declari și ce faci, care devine absența conformării și pe care ANSPDCP o poate constata, documenta și sancționa.

Programează o consultație și verificăm dacă politica ta de confidențialitate reflectă ce se întâmplă efectiv pe site-ul tău.