Kontrolný zoznam GDPR pre ecommerce: 12 bodov, ktoré by mal spĺňať každý online obchod

Toto je kontrolný zoznam pre prevádzkovateľov ecommerce v Európskej únii. Nie je náhradou za posúdenie vplyvu na ochranu osobných údajov a nie je náhradou za radu nemeckého Datenschutzbeauftragter alebo francúzskeho Délégué à la Protection des Données. Je to krátky zoznam položiek, ktoré, podľa našej skúsenosti so skenovaním európskeho webu, sú dokumentované dostatočne dobre na to, aby prevádzkovateľ mohol odpovedať na otázky regulátora o tom, ako systém spracoval konkrétnu požiadavku, s časovými pečiatkami.

Položky sú uvedené vo frontmatteri a vykreslené šablónou stránky kontrolného zoznamu. Každá je samostatným, testovateľným tvrdením a každá zodpovedá buď GDPR, alebo ePrivacy Directive. Tam, kde je právny rámec nuancovanejší — napríklad pri mechanizmoch prenosu po vstupe EU-US Data Privacy Framework do platnosti — sme to poznamenali v podrobnom riadku.

Dve položky, ktoré zlyhávajú najčastejšie, s veľkým náskokom, sú:

• Položka 2: sledovanie pred súhlasom. To je ten istý nález, ktorý náš skener označuje ako pre_consent_tracking. Pozri článok znalostí o sledovaní pred súhlasom pre technické detaily.
• Položka 3: odmietnutie neodmieta. Náš výskum zistil, že 80 % tlačidiel odmietnutia naprieč 28 891 meranými webmi v skutočnosti nezastavilo sledovanie. Číslo na úrovni korpusu je titulok; špecifické sektorové správanie na ecommerce weboch je niečo, čo budeme merať samostatne, pretože dynamika súhlasu na transakčných stránkach sa líši od spravodajských alebo obsahových webov.

Pre živú ukážku toho, ako vyzerá nevyhovujúci sken:

Skóre stredného rizika na tejto škále zvyčajne naznačuje, že banner je prítomný a tlačidlo odmietnutia funguje, ale aspoň jeden tracker sa spúšťa pred súhlasom. Potvrďte, že žiadne nepodstatné trackery sa nespúšťajú pred rozhodnutím o súhlase.

Odporúčaná kadencia je prejsť tento kontrolný zoznam štvrťročne, uchovať výsledky ako dôkaz zodpovednosti podľa GDPR Art. 5(2) a každú položku, ktorá zlyhala dvakrát po sebe, považovať za problém P1. Väčšina prevádzkovateľov nezažije vymáhaciu udalosť. Tí, ktorí áno, budú radi, že viedli záznamy.