Potentiale probleme cu noile reguli GDPR, vs. SEO si nu numai, din Mai 2018

[Marius Cristian]

Am citit tot ce s-a scris dar va jur ca nu am inteles esentialul: Eu sunt Fane instalatorul si am un banal wp bagat in adwords cu care mai ciupesc 2, 3 clienti. Habar n-am daca am in site analytics sau alte coduri, am platit un vecin sa-mi faca site-ul. Trebuie sa adaug ceva pe site? Sau sa-mi pun in footer un text gen "acest site nu solicita si nu stocheaza datele dvs.personale"?

Nu va suparati ca am intrebat..

Eu sunt Grigore și am un butic la coltul blocului.
Iau biscuiți de la un distribuitor și ii vând la altul celor care-mi trec pragul.
Am auzit eu ca legea specifică că trebuie pus etichete cu preț în fața produsului.
E de ajuns dacă scriu undeva la intrare: "pentru preț întrebați vânzătorul"?
Ce se-ntâmplă dacă le spun inspectorilor că nu mă pricep la chestii din astea?

[emm]

Teoretic am inteles ca trebuie sa ai 3 pagini: Termeni și condiții, Politica de confidențialitate, Politica de cookie-uri, dar cand si cum ii spui despre astea vizitatorului, nu mai stiu!

Aha, inteleg intrebarea - aia dificila "eu ce fac"? (Luati un Nurofen inainte de a citi mai jos).

Raspunsul e unul: Contactezi un avocat sau consultant GDPR si iti va spune.

Raspunsul difera de la caz la caz si mici diferente in procesul de lucru pot da mari diferente in practica. Nu exista un raspuns "bun pentru toata lumea".

O sa dau un exemplu ipotetic pentru o firma mica dar nu cea mai mica. Din exemplu taiati voi ce pare iesit din context. Si nu va asteptati sa fie completa /sa se aplice / la voi sa fie la fel. Am zis, difera de la caz la caz.


- Primul pas: Iei legatura cu un avocat / consultant GDPR care sa-ti faca un plan de implementare si checklist. Omul respectiv iti va pune 100 de intrebari ca sa inteleaga ce/cum folosesti, cum lucrezi ca sa-ti faca documentatia. (evident, te va usura de niste bani, acum si pe parcurs)

- Povestea se implementeaza dupa acele documente/checklist, dupa care trebuie monitorizata permanent. Aici, dupa buget. Firmele mari au nevoie de un DPO intern (angajat). Firmele mici vor angaja din afara, externalizat. La firmele foarte foarte mici, proprietarul va trebui sa invete GDPR si sa se descurce, sa joace si rolul de DPO chiar daca doar partial. Va schimba "palariile" in functie de context, si sa speram ca are un foarte bun prieten avocat, ca altfel s-ar putea sa trebuiasca sa faca un imprumut la banca pentru a plati tot ce e de platit.

- De ce va trebuie avocat: Din motive foarte bine intemeiate. Este un context legal, legea e complicata si numai un om care a facut dreptul poate interpreteze corect procesul vostru de lucru in contextul legii. In plus, (important) trebuie sa redacteze Termenii si Politica conform specificului respectiv. Mai mult decat atat, trebuie actualizate periodic. Alti bani, alta distractie.

Nota: GDPR compliance nu e ceva "faci o data si e gata". Daca apar ulterior modificari, - exemplu: folosesti alte servicii, schimbi hostul, pleci de la Dropbox si folosesti altceva - well, fiecare modificare are importanta (mare) si trebuie aplicate regulile de compliance GDPR, si de multe ori trebuie actualizata documentatia interna si Politica etc.

- In acest proces va trebuie de regula si un consultant IT. De fapt in implementare e nevoie de vreo 3 persoane:

1) Lawyer - pentru consultanta initiala, checklist, audit, redactarea termenilor si modificari ulterioare

2) DPO (sau persoana care inlocuieste DPO, inclusiv intern) - cel care se ocupa de implementarea GDPR, intocmeste documentatia, mentine registrul specific de prelucrare a datelor (obligatoriu, e probabil primul document pe care o sa vi-l ceara la un control); iar daca apar modificari in procesul de lucru, ia legatura cu tipul de la punctul 1), afla ce e de facut si aplica ce trebuie aplicat. DPO nu e obligatoriu la firme mici, dar cineva care sa faca implementarea si monitorizarea tot trebuie sa fie. Adica e cam acelasi lucru.

3) Consultantul IT - daca baza de date trebuie criptata (TREBUIE) iti va zice cum faci asta si/sau te ajuta sa rezolvi efectiv problema. Etc.

- Politica de confidentialitate si cookies poate fi cumulata. Important e sa fie scrisa bine. Uite aici un exemplu Heineken , nota, nu copiati direct politica asta!

- Sfat: Si oricum, nu copiati de altundeva si nici nu cumparati politici, terms pe servicii online de 20$. Valoreaza mai putin decat hartia pe care le tiparesti. Iti trebuie serviciile unui om care a facut dreptul, a studiat si e bagat pana in gat in povestea asta, si iti poate crea documentatia adaptata precis la cazul tau.

- Instalatorul Mitica Vs. Instalatorul Costica vor folosi unelte/procese diferite, si toata povestea de mai sus va fi diferita de la unul la altul.

- Daca ai website, povestea se complica. Pentru ca apar 100 de chestii noi (securitate, ssl, criptare la rest, sharing cu terti, backups, masuri optionale de prevenire hack/data breach, opt-in la liste, cookie consent, afisare conditionata coduri GA etc infunctie de consent, nu mai continui ca ne ia pe toti durerea de cap ).

Pana si hostul. Shared hosting nu este compliant GDPR ! (discutie lunga). Deci daca aveti shared hosting, incepeti maine prin a lua macar un VPS sau dedicat.

- Daca folosesti terti (data processors) trebuie ca ei sa fie GDPR-compliant, iar in Politica ta trebuie sa-i mentionezi pe fiecare incluzand si links catre politicile lor (fiecare). In plus, trebuie sa folosesti un tree finit de data processors si toti sa fie inclusi. Cu alte cuvinte, cand omul iti da datele lui , trebuie sa poata citi in Politica ta, EXACT cu cine faci sharing si care este calitatea procesarii si cum lucreaza tertii data processors din aval.

- Datele se folosesc minimizat (iei minimul de date necesar), se stocheaza securizat, se prelucreaza intr-un scop bine definit care a fost in prealabil comunicat omului (principiul transparentei), dupa care se stocheaza pe un termen limitat, specificat clar si comunicat in prealabil, nu mai mult decat este necesar.

Exemplu: Datele de facturare se stocheaza 5 ani ca atat cere legea. Pentru listele de email-uri, as recomanda 2-3 ani si un proces automat de re-subscribe sau delete dupa 2 ani. Dar desigur, fiecare decide (a se citi: cum il sfatuieste consultantul).

- Este o nebunie totala la ora asta, toata lumea alearga ca furnicile. Sa nu va asteptati sa gasiti lawyers buni si disponibili in perioada asta cu usurinta. Au prea multa treaba si s-ar putea sa va trimita la plimbare. Nu le-o luati in nume de rau, nu au timp.

Raspunsul scurt: 100 de chestii diferite care difera de la caz la caz. Mai putine cerinte pentru afaceri simple /solo, dar tot sunt multe (si naucitoare de cele mai multe ori).

Daca vrei sa o faci singur si sa o faci corect, trebuie sa faci un curs de DPO macar ca sa intelegi cu ce se mananca, insa cursurile sunt scumpe (1000 euro +). Sau stai 2-3 luni pe forumuri grupuri, citesti online zilnic, intrebi 30 de chestii, (nu stiu cum faci cu redactarea documentelor), dupa care faci o carpeala, buna si aia, mai buna decat nimic. O mai imbunatatesti ulterior. Stiu ca multi din cei mici vor face asa. Sau vor decide sa ignore legea (rau asa).

Vestea buna este ca n-o sa se ia nimeni de voi maine. Cerintele si adancimea masurilor difera in functie de marimea afacerii. Nu au timpul si oamenii necesari. Dar in timp, vor avea.

Daca incepeti, e bine ca ati inceput. Se va tine cont si de asta in caz ca va treziti cu un control pe cap. Pentru autoritatile din statele UE, va fi o noua vaca de muls asa ca puteti sa va asteptati la o vizita. Si e nasol daca nu esti in regula.

Fiecare metoda o aplicati pas cu pas. Intai cu documentele (Terms, Politica) si cu consimtamantul pentru cookies etc, ca asta sare in ochi dupa 25 Mai. Restul pe parcurs, pas cu pas. E aproape imposibil sa fii gata in scurt timp. Poate dura luni de zile sa ajungeti in regula. Faceti azi un pas, poimaine altul, s-a terminat unul continuati cu altceva.

Nu intreb daca ati inteles si daca e totul clar.

[emm]

Reiau ceva ce am mai spus si e important, asa ca repet:

Totusi, nu va panicati. Nu e cazul.

Nu asa trebuie procedat. Pauza, respiram adanc si ulterior cand ne-am linistit suficient si avem mintea limpede, trecem treptat la treaba. Usor-usor asa, in timp se rezolva toate.

Legea nu trebuie ignorata, trebuie sa avem intelegerea ei (macar in spirit, ca de litera legii se ocupa avocatii) si sa o aplicam. Este singura solutie pe termen lung; nu e doar o lege, e o noua etapa in mediul online care incepe astazi.

Dar nici nu trebuie facuta la repezeala, sub presiune, in disperare ca vine 25 Mai.

Pentru firmele mari, da, e problema mare. Pentru firmele mici, pfa etc: Luati-va timp, informare suficienta, si faceti cate o etapa pas cu pas. Luati pauze intre ele cat aveti nevoie. Nu trebuie sa ne stresam de tot si cu asta, avem destule alte stresuri e cap. Da, trebuiesc facute - insa in timp.

[hyde]

In mod normal si pina acum erai obligat sa ai pe site termeni si conditii, politica de cookies, politica de retur, informatiile proprietarului site-ului. Cine nu le avea pina acum, cand erau chestii simple si de bun simt, nici nu cred ca o sa le faca de acum incolo.
Pentru o afacere mica e ok cum a zis @emm: cu calm, cu pasi mici si sa se vada dorinta de a intra in legalitate. Nu cred ca o sa vina nimeni pe 26 sa-ti dea in cap ca nu esti 100% legal (voi fi foarte curios cum se vor conforma autoritatile noastre).
Da, sunt niste chestii in plus dar se vor face in timp.

[Twigg]

Eu sunt Grigore și am un butic la coltul blocului.
Iau biscuiți de la un distribuitor și ii vând la altul celor care-mi trec pragul.
Am auzit eu ca legea specifică că trebuie pus etichete cu preț în fața produsului.
E de ajuns dacă scriu undeva la intrare: "pentru preț întrebați vânzătorul"?
Ce se-ntâmplă dacă le spun inspectorilor că nu mă pricep la chestii din astea?

E diferenta uriasa. Vasile instalatorul stie doar sa monteze un wc, online-ul e sf pentru el. Suna tu aleatoriu la orice prestator particular de servicii si spune-i de politica cookie. Daca il pui sa-si angajeze acum un avocat/consultant cand el abia face banii de azi pe maine - l-ai terminat

[emm]

E diferenta uriasa. Vasile instalatorul stie doar sa monteze un wc, online-ul e sf pentru el. Suna tu aleatoriu la orice prestator particular de servicii si spune-i de politica cookie. Daca il pui sa-si angajeze acum un avocat/consultant cand el abia face banii de azi pe maine - l-ai terminat

GDPR nu se refera doar la online.

Din pacate nu e posibil sa devii compliant fara documentatia si sfaturile unui consultant GDPR/avocat.

Cine ignora, e pe barba lui.

[Rapsodia]

Cine ignora, e pe barba lui.

Adica vrei sa zici ca o sa-i culeaga pe blogeri ca pe ciuperci? Nu ar fi exclus, dar ma indoiesc... sau o sa fie la noroc, cine pica in plasa,.. ghinionul lui!

By the way, cine-l cauta si in functie de ce? De unde-i contul AdSense deschis - venituri incastate in tara x? Dupa Hosting? Dupa trafic?

[emm]

Adica vrei sa zici ca o sa-i culeaga pe blogeri ca pe ciuperci? Nu ar fi exclus, dar ma indoiesc... sau o sa fie la noroc, cine pica in plasa,.. ghinionul lui!

By the way, cine-l cauta si in functie de ce? De unde-i contul AdSense deschis - venituri incastate in tara x? Dupa Hosting? Dupa trafic?

Rapsodia, cred ca am raspuns.

Deocamdata nu cred ca o sa se ia de bloggeri, nici de firmele medii pe 26 Mai; abia daca or sa aiba personal pentru control la ceva firme mari. Oricum, discutia e in contextul firmelor, nu neaparat pentru baba care iese la piata si vinde 2 fire de patrunjel. Hai sa nu exageram ducand definitia de business in zona de ridicol. Nu discutam aici nici de cel care face 50 lei pe luna, nici de corporatii. Discutam de IMM-uri.

In postarile mele am explicat contextul legal, teoretic, si putin practic ce ai de facut (de inceput cu consultanta). Insa ce trebuie implementat exact, si deciziile fiecaruia, difera enorm de la un caz la altul. Problema este ca in timp lucrurile vor evolua oricum in directia asta - e lege, e o schimbare majora de paradigma (datele DEVIN importante si trebuie securizate), pe scurt trebuie sa te incadrezi.

Eu iti inteleg punctul de vedere, cei mici nu au posibilitati. Legea loveste in cei mici, asa cum a lovit si pe alte directii. Pe baba cu patrunjel probabil n-o s-o intrebe nimeni de GDPR. Am mai spus ca fiecare decide, si evident suporta consecintele. Poate vor fi consecinte nasoale, poate nu vor fi deloc, functie de caz.

Problema este insa mai complicata si presupunerea de mai sus (nu se ia nimeni de tine) poate sa usture rau. Fiecare decide, isi asuma un risc sau nu. Daca un blogger are Adsense si nu raporteaza veniturile la Anaf etc si nu tine niciun fel de evidenta... s-ar putea sa aiba o problema mai mare decat GDPR.

De ce zic ca e mai complicata.

Clientii vor avea inca o modalitate de reclamatie - dupa ANAF si ANPC, mai apare o varianta. Si vor reclama. Trimite-le tu un mail aiurea, enerveaza-i cu ceva, iti vine controlul pe cap si atunci vezi tu cum te descurci. Si stii cum e in Romania cand te trezesti cu un control pe cap. In cazuri mai complicate, te vei trezi si cu o actiune in civil care de data asta va avea in spate legile necesare pentru sustinere.

Recomand compliance tuturor firmelor, cu masuri dupa dimensiunea firmei si perfectionare graduala in timp. Cine alege sa nu respecte legea, cum am zis, e o lume libera si fiecare e pe barba lui. Vor fi destui care vor ignora povestea.

Si mai ales recomand intelegerea legii, a noului context care se formeaza acum.

Mi-am facut datoria sa deschid un subiect pe care il consider important si despre care multi habar nu au. Daca nu convine, desigur ca ma voi abtine sa mai postez informatii utile. O sa vina ele singure la control. Genul asta de intrebari ma fac sa cred ca mi-am pierdut timpul de pomana aici.

[Rapsodia]

Mi-am facut datoria sa deschid un subiect pe care il consider important si despre care multi habar nu au. Daca nu convine, desigur ca ma voi abtine sa mai postez informatii utile. O sa vina ele singure la control. Genul asta de intrebari ma fac sa cred ca mi-am pierdut timpul de pomana aici.

Informatiile sunt super ok, ideea pe care o subliniez eu este ca nu am vazut nicaieri scris despre bloggeri, site-uri individuale. Scrie firme .. deci eu cred ca e dusa problema la limita .. prin extrapolare. Cred ca o sa para totusi intimp si norme, altfel esti la mana celui care te contoleaza si la a avocatului care te apara + judecator [ daca o intelege ala ce-i cu IP-ul si cookies! ].

[emm]

Eu nu am zis nicaieri ca in cazul blogerilor se aplica acelasi nivel ca si in cazul corporatiilor. Am repetat de n ori - masurile si nivelul compliance (si investitia) e functie de marimea firmei si riscuri. Deci nu stiu care dintre noi extrapoleaza.

Litera legii este insa clara - legea se aplica tuturor afacerilor, mici sau mari. Daca poate fi clasificata ca afacere, fie si personala, se aplica GDPR.

Daca omul are doar un hobby si nu un business (exemplu: blog personal), nu esti in context. La fel, daca ai doar B2B si deloc B2C. Daca insa ai un site si AdSense pe el, ca esti blogger sau firma de media este irelevant in contextul GDPR = esti in context B2C, este o afacere personala, este considerat business, legea se aplica.

Multi de aici au situri cu adsense, mici magazine online, situri de servicii etc. Pentru toate aceste cazuri, legea se aplica. Din nou, consultati un avocat intai in loc sa va stresati mai mult decat trebuie. Poate fi complicat, sau poate fi mai simplu

Daca ai dubii in situatia personala, intreaba un avocat. Am tot recomandat asta ca prim pas. Acel avocat o sa intrebe ce/cum folosesti, intelege contexul tau si iti face recomandari. N-o sa iti ia banii aia multi de consultanta daca legea nu se ocupa de cazul tau. Poate nu ai mare lucru de facut. Din nou, difera mult de la caz la caz.

Cred ca te stresezi prea mult acum. N-o sa iti ceara nimeni sa ai DPO angajat si nici nu stim cand vor avea suficienta forta de control ca sa ia la puricat si pe cei mici. Poate niciodata. Insa sunt colegi care au fost scuturati de autoritati pe tot felul de tampenii desi ei sunt foarte mici. Aici e problema.

Un alt exemplu, legea VAT MOSS era indreptata impotriva corporatiilor, dar a lovit de fapt in milioane de firme mici. Ghici ce - daca afla ANAF ca vinzi digitale si nu respecti legea, chit ca esti mic, tot iti face o vizita si s-ar putea sa te nauceasca amenda. Alt context, alta extrapolare, situatia nu e cum ar fi "corect" si "rezonabil". Legea si autoritatea nu e nici corecta, nici rezonabila in general, si de multe ori FOARTE interpetabila.

Deci depinde cum evalueaza fiecare om pericolul. Daca crede ca nu e pericol (eu as intreba un avocat), poate ca nu e cazul sa se streseze. Si poate nu va avea niciodata probleme. Poate.

La PFA, evident ca se aplica legea - dar cu masuri mai usoare. Sigur ca acel om n-o sa dea 2000+ euro pe un audit, ca poate nu scoate atata in tot anul. Se informeaza, aplica ce poate, discuta cu un prieten jurist etc. Pas cu pas.

Depinde de caz.