Το GDPR είναι το παγκόσμιο σημείο αναφοράς για τους κανονισμούς απορρήτου. Αν και είναι νόμος της ΕΕ, επηρεάζει κάθε εταιρεία που έχει επισκέπτες από την ΕΕ. Για τα στατιστικά, το GDPR είναι ξεκάθαρο: χρειάζεσαι ρητή συναίνεση πριν παρακολουθήσεις τη συμπεριφορά των περισσότερων χρηστών, πρέπει να καταγράψεις τη νομική βάση σου και πρέπει να τηρείς τα δικαιώματα των χρηστών να έχουν πρόσβαση στα δεδομένα τους και να τα διαγράφουν. Αν καταλάβεις το GDPR, έχεις τη βάση για στατιστικά που συμμορφώνονται παντού στον κόσμο.
Οι βασικές απαιτήσεις του GDPR για τα στατιστικά
Το GDPR ορίζει τα προσωπικά δεδομένα ευρέως: οτιδήποτε μπορεί να ταυτοποιήσει ένα πρόσωπο, άμεσα ή έμμεσα. Η διεύθυνση IP είναι προσωπικό δεδομένο. Ένα μοναδικό cookie είναι προσωπικό δεδομένο. Διευθύνσεις email, αριθμοί τηλεφώνου και αναγνωριστικά υπάγονται όλα στο GDPR. Για τα στατιστικά, αυτό σημαίνει ότι σχεδόν κάθε παρακολούθηση ενεργοποιεί τις απαιτήσεις του GDPR.
Η απαίτηση συναίνεσης
Το GDPR απαιτεί ρητή, ενημερωμένη συναίνεση πριν συλλέξεις τα περισσότερα προσωπικά δεδομένα. Αυτό σημαίνει: ο χρήστης πρέπει να συμφωνήσει ενεργά (όχι απλώς να μην κάνει εξαίρεση), πρέπει να καταλαβαίνει σε τι συμφωνεί (όχι κρυμμένο σε νομική γλώσσα) και η συναίνεση πρέπει να δίνεται ελεύθερα (όχι με πίεση). Για τα στατιστικά, αυτό συνήθως σημαίνει ένα banner cookies που εξηγεί καθαρά ποια παρακολούθηση κάνεις και παίρνει ένα ενεργό κλικ «Συμφωνώ».
Η συναίνεση είναι η πιο συνηθισμένη νομική βάση για τα στατιστικά με το GDPR. Κάποιες εταιρείες επικαλούνται αντί γι' αυτήν «έννομο συμφέρον», αλλά τα δικαστήρια το έχουν περιορίσει σημαντικά. Στις περισσότερες περιπτώσεις στατιστικών, υπόθεσε ότι χρειάζεσαι συναίνεση.
Το έννομο συμφέρον ως εναλλακτική
Μερικοί σκοποί στατιστικών, όπως ο εντοπισμός απάτης, η ασφάλεια της ιστοσελίδας και η βασική παρακολούθηση απόδοσης, μπορεί να επιτρέπονται με «έννομο συμφέρον» χωρίς ρητή συναίνεση. Το έννομο συμφέρον όμως απαιτεί: η επιχειρηματική ανάγκη να είναι γνήσια, η συλλογή δεδομένων να είναι αναλογική προς την ανάγκη και τα δικαιώματα απορρήτου των χρηστών να μη βαραίνουν περισσότερο από το συμφέρον σου. Τα περισσότερα στατιστικά αποτυγχάνουν σε αυτή τη δοκιμή. Υπόθεσε ότι χρειάζεσαι συναίνεση για τα περισσότερα είδη παρακολούθησης.
Η συμφωνία επεξεργασίας δεδομένων
Αν χρησιμοποιείς εργαλείο στατιστικών τρίτου (όπως το Google Analytics), χρειάζεσαι Συμφωνία Επεξεργασίας Δεδομένων (DPA) με τον πάροχο. Η DPA ορίζει ότι ο πάροχος είναι εκτελών την επεξεργασία για λογαριασμό σου, όχι ανεξάρτητος υπεύθυνος επεξεργασίας. Χωρίς DPA, μπορεί να ευθύνεσαι για τις πρακτικές του παρόχου. Με DPA, η ευθύνη ορίζεται καθαρά.
Δικαιώματα των χρηστών με το GDPR
Το GDPR δίνει στα άτομα έξι βασικά δικαιώματα που επηρεάζουν τα στατιστικά: το δικαίωμα να ξέρουν ποια δεδομένα κρατάς (δικαίωμα πρόσβασης), το δικαίωμα διόρθωσης ανακριβών δεδομένων, το δικαίωμα διαγραφής δεδομένων (δικαίωμα στη λήθη), το δικαίωμα περιορισμού της επεξεργασίας, το δικαίωμα φορητότητας δεδομένων και το δικαίωμα εναντίωσης στην επεξεργασία.
Δικαίωμα πρόσβασης
Οι χρήστες μπορούν να ζητήσουν όλα τα δεδομένα που κρατάς για αυτούς. Πρέπει να απαντήσεις μέσα σε 30 ημέρες με πλήρη καταγραφή. Για τα στατιστικά, αυτό σημαίνει ότι χρειάζεσαι συστήματα για να ανακτάς και να αναφέρεις δεδομένα μεμονωμένων χρηστών. Αν τα στατιστικά σου είναι αποθηκευμένα με τρόπο που δυσκολεύει την ανάκτηση, έχεις πρόβλημα συμμόρφωσης με το GDPR.
Δικαίωμα στη λήθη
Οι χρήστες μπορούν να ζητήσουν διαγραφή των δεδομένων τους. Πρέπει να συμμορφωθείς μέσα σε 30 ημέρες (με κάποιες εξαιρέσεις για νομικές υποχρεώσεις). Για τα στατιστικά, αυτό σημαίνει ότι χρειάζεσαι τη δυνατότητα να διαγράφεις εγγραφές μεμονωμένων χρηστών. Αν τα δεδομένα στατιστικών σου είναι συγκεντρωτικά ή ανωνυμοποιημένα, είναι πιο εύκολο. Αν συνδέονται με ατομικές ταυτότητες, χρειάζεσαι συστήματα διαγραφής.
Δικαίωμα εναντίωσης
Οι χρήστες μπορούν να εναντιωθούν σε κάθε επεξεργασία των δεδομένων τους. Πρέπει να σταματήσεις (εκτός αν έχεις επιτακτικό νόμιμο λόγο να συνεχίσεις). Για τα στατιστικά, αυτό σημαίνει ότι χρειάζεσαι εύκολο τρόπο για να αποχωρούν οι χρήστες από την παρακολούθηση. Η αποχώρηση πρέπει να είναι τόσο εύκολη όσο και η συναίνεση.
Συμμόρφωση με το GDPR στην πράξη
Η συμμόρφωση με το GDPR για τα στατιστικά απαιτεί: καθαρή πολιτική απορρήτου που βρίσκεται εύκολα, banner cookies που ζητά ρητή συναίνεση πριν την παρακολούθηση, Συμφωνία Επεξεργασίας Δεδομένων με τον πάροχο στατιστικών, συστήματα για να απαντάς σε αιτήματα πρόσβασης και διαγραφής μέσα σε 30 ημέρες και τη δυνατότητα των χρηστών να ανακαλούν τη συναίνεση οποιαδήποτε στιγμή.
Συνηθισμένες παραβιάσεις του GDPR στα στατιστικά
Προεπιλεγμένα τετραγωνάκια συναίνεσης: ο χρήστης πρέπει να πατήσει ενεργά για να συναινέσει. Ένα τετραγωνάκι που είναι ήδη επιλεγμένο δεν είναι έγκυρη συναίνεση.
Μαζεμένη συναίνεση: οι χρήστες πρέπει να συναινούν ξεχωριστά για τα στατιστικά. Δεν μπορείς να συνδυάσεις συναίνεση για στατιστικά, marketing και άλλους σκοπούς σε έναν μόνο διακόπτη.
Καμία συμφωνία με τον πάροχο: η χρήση εργαλείου στατιστικών τρίτου χωρίς DPA είναι παραβίαση. Οι πρακτικές του παρόχου είναι δική σου ευθύνη.
Καμία δυνατότητα αποχώρησης: αν απαιτείται συναίνεση για παρακολούθηση, οι χρήστες πρέπει να έχουν καθαρό τρόπο αποχώρησης. Οι κρυμμένοι σύνδεσμοι αποχώρησης δεν μετράνε.
Αδύνατη διαγραφή: το να υπόσχεσαι διαγραφή δεδομένων αλλά να μην έχεις συστήματα για αυτήν είναι παραβίαση. Η διαγραφή πρέπει να είναι τεχνικά εφικτή.
GDPR και μεταφορές δεδομένων
Το GDPR περιορίζει τη μεταφορά δεδομένων κατοίκων της ΕΕ εκτός ΕΕ, εκτός αν υπάρχουν ισοδύναμες προστασίες. Αν ο πάροχος στατιστικών αποθηκεύει δεδομένα στις ΗΠΑ, χρειάζεσαι νομικό μηχανισμό (Τυποποιημένες Συμβατικές Ρήτρες, Δεσμευτικοί Εταιρικοί Κανόνες) για να γίνει η μεταφορά σύμφωνη με το GDPR. Αυτό είναι συνηθισμένο πρόβλημα για τις ομάδες στατιστικών. Πολλά εργαλεία με έδρα στις ΗΠΑ προσφέρουν πλέον διακομιστές στην ΕΕ ή εγγυήσεις διαμονής δεδομένων για να το λύσουν.
Πώς διαφέρει η συναίνεση του GDPR από το έννομο συμφέρον; Γιατί να μη στηριχτώ στο έννομο συμφέρον για τα στατιστικά;
Η συναίνεση είναι ρητή συγκατάθεση. Το έννομο συμφέρον σημαίνει ότι ισχυρίζεσαι πως οι ανάγκες της επιχείρησής σου βαραίνουν περισσότερο από τις ανησυχίες απορρήτου. Τα δικαστήρια έχουν περιορίσει το έννομο συμφέρον επειδή οι εταιρείες το κακοποίησαν. Για τα στατιστικά: η παρακολούθηση προβολών σελίδας για απόδοση μπορεί να θεωρηθεί έννομο συμφέρον. Η αναλυτική παρακολούθηση συμπεριφοράς μάλλον όχι. Οι ευρωπαϊκές αρχές λένε: αν είναι για marketing ή για στατιστικά συμπεριφοράς, πάρε συναίνεση. Μην υποθέτεις ότι το έννομο συμφέρον δουλεύει. Ασφαλής προσέγγιση: θεώρησε ότι τα στατιστικά απαιτούν συναίνεση.
Τι σημαίνει στην πράξη καθαρή εξήγηση σε ένα banner cookies;
Καθαρή σημαίνει ευανάγνωστη, σε απλή γλώσσα, όχι νομικίστικη. Συγκεκριμένη σημαίνει ότι λες τι παρακολουθείς, όχι αόριστες φράσεις όπως «βελτιώνουμε την εμπειρία σου». Παράδειγμα αόριστου: «Χρησιμοποιούμε cookies στατιστικών». Παράδειγμα καθαρού: «Χρησιμοποιούμε το Google Analytics για να μετράμε επισκέψεις σελίδων, κλικ σε κουμπιά και χρόνο στη σελίδα, ώστε να βελτιώνουμε την ιστοσελίδα». Συμπερίλαβε: όνομα εργαλείου, τι συλλέγει, γιατί το συλλέγεις, περίοδο διατήρησης και αν το μοιράζεσαι με τρίτους. Δοκιμή: θα καταλάβαινε ένας μη τεχνικός τι παρακολουθείς χωρίς να πάει στην πολιτική απορρήτου; Αν ναι, είναι αρκετά καθαρό.
Χρειάζομαι DPA με το Google Analytics ή μόνο με εξειδικευμένους παρόχους;
Χρειάζεσαι DPA με κάθε εργαλείο που επεξεργάζεται προσωπικά δεδομένα. Το Google Analytics επεξεργάζεται προσωπικά δεδομένα (IP, συνεδρίες, αναγνωριστικά χρηστών), οπότε ναι. Η Google δίνει DPA αυτόματα μέσω των όρων της. Επαλήθευσε: μπες στο Google Analytics και έλεγξε ότι έχεις αποδεχτεί την Τροποποίηση Επεξεργασίας Δεδομένων. Οι εξειδικευμένοι πάροχοι στατιστικών επεξεργάζονται επίσης προσωπικά δεδομένα, οπότε χρειάζεσαι DPA και με αυτούς. Οι περισσότεροι τις δίνουν στους όρους τους ή ως ξεχωριστά έγγραφα. Κανόνας: αν ο πάροχος αγγίζει προσωπικά δεδομένα, χρειάζεσαι DPA. Αν δεν μπορείς να πάρεις, μη χρησιμοποιείς τον πάροχο.
Ποια είναι η διαφορά ανάμεσα στις Τυποποιημένες Συμβατικές Ρήτρες και στις αποφάσεις επάρκειας;
Και τα δύο είναι μηχανισμοί για να μεταφέρεις νόμιμα δεδομένα της ΕΕ εκτός ΕΕ. Απόφαση επάρκειας σημαίνει ότι η ΕΕ έκρινε πως μια χώρα έχει ισοδύναμη προστασία απορρήτου (οι ΗΠΑ δεν έχουν τέτοια). Οι Τυποποιημένες Συμβατικές Ρήτρες (SCC) είναι συμβάσεις με τους παρόχους που τους δεσμεύουν στα πρότυπα της ΕΕ. Πρακτική διαφορά: οι αποφάσεις επάρκειας είναι απλούστερες, οι SCC απαιτούν συμβάσεις. Για τα στατιστικά, οι περισσότεροι πάροχοι (και η Google) προσφέρουν SCC στις DPA τους. Επαλήθευσε με τον πάροχό σου: προσφέρουν Τυποποιημένες Συμβατικές Ρήτρες για μεταφορές δεδομένων της ΕΕ; Αν ναι, χρησιμοποίησέ τες. Αν όχι, χρησιμοποίησε μόνο παρόχους με αποθήκευση δεδομένων στην ΕΕ.
Αν πάρω αίτημα πρόσβασης δεδομένων, τι ακριβώς πρέπει να δώσω από τα στατιστικά;
Ό,τι έχεις για αυτό το πρόσωπο σε αναγνώσιμη μορφή. Από το Google Analytics: όλες τις συνεδρίες και τα συμβάντα (αν παρακολουθείς αναγνωριστικά χρηστών) ή τα αναγνωριστικά συνεδριών. Συμπερίλαβε: ημερομηνίες, σελίδες που επισκέφτηκε, συμβάντα που ενεργοποιήθηκαν, χρόνο στη σελίδα, τυχόν προσωπικά στοιχεία (ονόματα, emails). Από άλλα συστήματα: χάρτες θερμότητας, καταγραφές συνεδριών, παρακολούθηση συμπεριφοράς. Εξαγωγή σε PDF ή HTML, όχι ωμά αρχεία βάσης δεδομένων. Ο χρήστης πρέπει να το καταλαβαίνει χωρίς τεχνική γνώση. Αν δεν μπορείς να ανακτήσεις εύκολα δεδομένα μεμονωμένου χρήστη, έχεις πρόβλημα με το GDPR. Οι περισσότερες πλατφόρμες επιτρέπουν εξαγωγή ανά χρήστη. Αν η δική σου δεν επιτρέπει, άλλαξε πλατφόρμα ή φτιάξε δική σου εξαγωγή.
Ο ανταγωνιστής μου δεν έχει banner cookies και παρακολουθεί χρήστες. Πώς συμμορφώνεται με το GDPR;
Είτε: (1) Δεν συμμορφώνεται πραγματικά και ελπίζει να μην τον πιάσουν οι αρχές (ρισκάρει). (2) Υποστηρίζει ότι η παρακολούθησή του είναι έννομο συμφέρον (τα δικαστήρια είναι δύσπιστα). (3) Παρακολουθεί μόνο ανωνυμοποιημένα ή συγκεντρωτικά δεδομένα (δεν χρειάζεται συναίνεση). (4) Παρακολουθεί μόνο απαραίτητα cookies (σύνδεση, CSRF, δεν χρειάζονται συναίνεση). (5) Λειτουργεί εκεί όπου η επιβολή του GDPR είναι χαλαρή. Η πραγματικότητα: πολλοί παραβιάζουν το GDPR και δεν πιάνονται ποτέ. Ο κίνδυνος όμως είναι πραγματικός: ένα παράπονο ξεκινά έρευνα και πρόστιμα. Έξυπνη προσέγγιση: θεώρησε ότι το GDPR ισχύει αν έχεις επισκέπτες από την ΕΕ, εφάρμοσε σωστά τη συναίνεση και μη βασίζεσαι στη μη συμμόρφωση των ανταγωνιστών.