Datele site-ului tău nu stau doar pe serverul de hosting. Mesajele din formular, copiile de siguranță, mailurile, statisticile, chatul și plățile pot trece prin firme și țări diferite. GDPR nu cere ca toate să fie în UE, dar cere să știi unde sunt, să ai contract cu fiecare furnizor care le prelucrează pentru tine și, pentru cele care pleacă în afara UE, un temei legal pentru transfer.
Ce date are de fapt un site
Chiar și un site de prezentare simplu are mai multe piese decât pare:
| Piesa | Ce date ajung acolo |
|---|---|
| Hostingul | fișierele site-ului, baza de date (comenzi, conturi, mesaje), jurnalele serverului cu adrese IP |
| Copiile de siguranță | o copie a tuturor celor de mai sus, adesea la alt furnizor sau în alt centru de date |
| Mailul | mesajele din formularul de contact, cu nume, telefon și ce a scris omul |
| Statisticile și pixelii de reclamă | vizitele, dispozitivul, uneori identificatori de reclamă |
| Chatul, hărțile, video încorporat, fonturile externe | cel puțin adresa IP a vizitatorului, trimisă furnizorului la încărcarea paginii |
| Plățile | datele de facturare, la procesatorul de plăți |
Primul pas e să scrii lista asta pentru site-ul tău, cu furnizorul și țara fiecărei piese. De obicei durează o oră și răspunde la jumătate din întrebări.
Ce cere GDPR, pe scurt
Pentru fiecare furnizor care prelucrează date personale în numele tău (hosting, mail, copii de siguranță, chat), GDPR cere, la articolul 28, un contract. În el, furnizorul se obligă, printre altele, să prelucreze datele doar după instrucțiunile tale documentate, să ia măsurile de securitate de la articolul 32, să șteargă sau să-ți returneze datele la final și să-ți dea informațiile prin care arăți că regulile sunt respectate.
La cei mai mulți furnizori mari, contractul acesta există deja, ca anexă la termeni, des numită DPA (acord de prelucrare a datelor). Îl descarci și îl păstrezi la dosar.
Pentru datele care pleacă în afara UE, se aplică capitolul V din GDPR (articolele 44–46). Transferul e permis dacă Comisia Europeană a decis că țara respectivă are un nivel de protecție adecvat sau, în lipsa unei astfel de decizii, dacă există garanții potrivite, cum sunt clauzele contractuale standard.
Iar politica de confidențialitate a site-ului trebuie să le spună vizitatorilor cui ajung datele și dacă ele pleacă în afara UE (articolul 13).
SUA: ce s-a schimbat din 2020 încoace
Mulți furnizori de hosting, mail și statistici sunt firme americane, așa că întrebarea apare des.
- În iulie 2020, Curtea de Justiție a UE a invalidat Privacy Shield, mecanismul folosit până atunci pentru transferurile spre SUA (cauza C-311/18, numită și Schrems II).
- Pe 10 iulie 2023, Comisia Europeană a adoptat o nouă decizie de adecvare, pentru Cadrul UE-SUA privind protecția datelor (EU-U.S. Data Privacy Framework). De atunci, datele pot ajunge la firmele americane care participă la acest cadru fără alte garanții suplimentare. Cadrul e administrat de Departamentul Comerțului al SUA și e revizuit periodic de Comisie.
În practică: dacă un furnizor e din SUA, întrebi dacă participă la cadru. Dacă nu participă, transferul are nevoie de alt temei, de obicei clauzele contractuale standard.
Hosting în UE: când merită
Un hosting cu serverele și copiile de siguranță în UE simplifică mult lucrurile: cele mai importante date ale site-ului nu mai pleacă din Uniune și ai mai puține transferuri de explicat în politica de confidențialitate. Pentru un site cu formulare, conturi de clienți sau comenzi, e alegerea pe care o recomandăm.
Două întrebări pe care le pui oricum furnizorului:
- Unde sunt ținute copiile de siguranță? Uneori serverul e în UE, iar copiile sunt în altă parte.
- De unde lucrează echipa de suport tehnic care poate intra pe server?
Restul pieselor (mailul, statisticile, fonturile) le verifici separat. Un site cu hosting în UE care încarcă fonturile și scripturile de la cinci furnizori externi trimite tot adrese IP în cinci locuri. Unde se poate, fonturile și scripturile se încarcă de pe același server cu site-ul.
Lista de verificare
- Scrie lista furnizorilor: hosting, copii de siguranță, mail, statistici, chat, hărți, fonturi, plăți.
- Notează țara fiecăruia și unde stau copiile de siguranță.
- Descarcă acordul de prelucrare a datelor de la fiecare.
- Pentru furnizorii din afara UE, verifică temeiul transferului: decizie de adecvare (pentru SUA, participarea la cadru) sau clauze contractuale standard.
- Actualizează politica de confidențialitate cu furnizorii și transferurile.
- Încearcă o dată pe an o restaurare din copia de siguranță, ca să știi că funcționează.
Despre bazele domeniului și ale hostingului am scris în articolul despre domeniu, hosting și HTTPS, iar despre statistici și consimțământ, în cel despre bannerul de cookie-uri. Dacă vrei să facem lista împreună pentru site-ul tău, vezi pagina de servicii Web Design.
Surse
- Regulamentul (UE) 2016/679 (GDPR), EUR-Lexarticolul 13 (informarea despre destinatari și transferuri), articolul 28 (contractul cu persoana împuternicită), articolul 32 (securitatea) și articolele 44–46 (transferurile în afara UE)
- Comunicatul Comisiei Europene IP/23/3721, 10 iulie 2023decizia de adecvare pentru Cadrul UE-SUA privind protecția datelor, firmele participante, administrarea de către Departamentul Comerțului și revizuirile periodice
- Comunicatul Curții de Justiție a UE nr. 91/20, cauza C-311/18invalidarea Privacy Shield (Decizia 2016/1250) în iulie 2020
Verificat: surse Xenia Pușcașu · editare Nora Vlăsceanu · SEO Mihnea Tăbăcaru