Obveza informiranja
GDPR ne propisuje dokument pod nazivom „politika privatnosti”, nego obvezu da se ispitanici informiraju o obradi svojih podataka. Informacije se daju u sažetom, transparentnom, razumljivom i lako dostupnom obliku, jasnim i jednostavnim jezikom (čl. 12.). Na web-stranici se to najčešće radi politikom privatnosti, a za zaposlenike, kandidate za posao ili videonadzor zasebnim obavijestima.
Što mora sadržavati
- identitet i kontaktne podatke voditelja obrade te kontaktne podatke službenika za zaštitu podataka, ako je imenovan
- svrhe obrade i pravnu osnovu za svaku svrhu
- legitimne interese, ako je obrada utemeljena na legitimnom interesu
- primatelje ili kategorije primatelja
- prijenose u treće zemlje i zaštitne mjere, ako ih ima
- rok čuvanja ili, ako to nije moguće, kriterije za njegovo određivanje
- prava ispitanika, uključujući pravo na povlačenje privole i pravo na pritužbu AZOP-u
- je li davanje podataka zakonska ili ugovorna obveza i posljedice ako se podaci ne daju
- postojanje automatiziranog donošenja odluka, uključujući izradu profila
- kategorije podataka i izvor podataka, ako podaci nisu prikupljeni od ispitanika (čl. 14.)
Najčešće pogreške
- tekst preuzet s druge stranice bez prilagodbe stvarnoj obradi
- općenite svrhe, primjerice „za poboljšanje usluga”, bez navođenja pravne osnove
- nedostaju rokovi čuvanja
- nisu navedeni stvarni primatelji, primjerice pružatelji alata za analitiku i slanje e-pošte
- dokument se ne ažurira kad se uvede nova obrada
Primjer
Internetska trgovina u politici privatnosti zasebno opisuje obradu za isporuku narudžbi (izvršavanje ugovora), za izdavanje računa (zakonska obveza) i za slanje promotivnih poruka (privola). Za svaku svrhu navodi koje podatke prikuplja, kome ih prosljeđuje, primjerice dostavnoj službi, i koliko ih dugo čuva.