Питання захисту даних користувачів та приватності в інтернеті загострюються. Австрійські, італійські та французькі можновладці намагаються заборонити використання Google Analytics на європейських сайтах, мотивуючи це тим, що американський сервіс може суперечити нормам GDPR. Якщо вже такі великі компанії можуть стикнутись із проблемами через GDPR, то меншим бізнесам, які працюють в Європі, тим паче слід дотримуватись цих правил. В цій статті ми розкажемо, кому варто звернути увагу на захист даних користувачів, та запропонуємо рішення для тих власників сайтів які експортують товари чи послуги в країни ЄС.
Що таке аудит приватності і чому це важливо
Порівняйте попап згоди з cookies сайту із Сполученого Королівства (після Брексіту там прийняли UK-GDPR) та аналогічний попап на українському сайті.
Консент-мод на європейському сайті пропонує користувачу обрати, яку інформацію про нього власник сайту може збирати. Звісно, дизайн цього попапу старанно відвертає увагу від опції “відмовитись від усіх” та веде найпростішим шляхом до “погодитись з усіма”. Але все ж таки, у користувача є вибір. На українських сайтах ми зазвичай бачимо повідомлення накшталт: “Ми збираємо дані. Якщо ви досі тут — значить, ви згодні з усім”. І це не зовсім коректно, бо навіть якщо користувач покине сайт, щоб його дані не збирались, інфа про нього вже передана в Google Analytics сайту.
Можливо, для нашого технологічного “дикого заходу” цей підхід нормальний — навіть сайт Верховної Ради комунікує політику конфіденційності таким чином (хоча й дає 30 секунд на те, щоб незгодні покинули сайт).
Але, як українці за кордоном підлаштовуються під бюрократизовані системи інших країн, так і експортним компаніям слід поважати правила іноземних клієнтів. Дотримання норм GDPR викликає довіру в іноземних користувачів, які вже звикли до своїх стандартів приватності. А також це зменшує юридичні ризики та заощаджує кошти, які довелось би витратити на штрафи у разі порушення GDPR.
Крім того, коректно налаштований в усіх системах consent mode, забезпечує коректну роботу Google Analytics 4.
За рік роботи з клієнтами та партнерами з ЄС ми осягнули важливість приватності сайту. Тому зараз, отримавши певну експертизу, ми готуємо послугу із аудиту приватності сайту. Розгляньмо, що це за послуга та як вона виглядатиме.
Аудит приватності сайту — це послуга із перевірки того, як сайт збирає, зберігає та використовує дані користувачів, а також того, як добре він відповідає стандартам захисту даних. Аудит приватності може включати:
- Аналіз політики конфіденційності. Перевірка політики конфіденційності на сайті, щоб забезпечити, що вона відповідає вимогам законодавства про захист даних.
- Огляд файлів cookie. Перевірка файлів cookie, які використовуються на сайті, щоб забезпечити, що користувачі володіють контролем над своїми даними та можуть вибирати, які дані вони діляться.
- Перевірка безпеки сайту. Перевірка наявності потенційних вразливостей сайту, які можуть бути використані для доступу до даних користувачів.
- Огляд процесів обробки даних. Перевірка того, як сайт збирає та обробляє дані користувачів, включаючи збір та зберігання даних, доступ до даних та можливість користувачів контролювати свої дані.
За результатом всіх цих перевірок ми формуємо рекомендації, що слід змінити на сайті, аби відповідати нормам захисту даних користувачів. Або ж ми можемо привести до ладу аналітичні системи, щоб вони відповідали тому, що прописано в публічній документації.
Основні проблеми, які збільшують ризики
Під час аудиту приватності сайту можуть виявитися наступні проблеми:
- Недостатній рівень захисту даних — сайт може збирати та зберігати особисті дані користувачів, але не забезпечувати їх безпеку, що може призвести до їх втрати або витоку.
- Відсутність угоди з обробником даних — якщо сайт співпрацює з обробником даних, то власник сайту повинен укласти з ним відповідну угоду. Відсутність цієї угоди може призвести до порушення норм GDPR.
- Невідповідність віконця згоди — якщо на сайті використовуються кукізи або інші засоби збору даних, то власник сайту повинен надати користувачам можливість обрати, які дані вони дозволяють збирати. Якщо вікно згоди не відповідає вимогам GDPR, то це може призвести до порушення норм.
- Відсутність політики конфіденційності — якщо на сайті немає політики конфіденційності, то це може призвести до порушення норм GDPR. Політика конфіденційності повинна містити інформацію про те, які дані збираються, як вони використовуються та як їх захищають.
- Використання сторонніх сервісів — якщо на сайті використовуються сторонні сервіси для збору даних, то власник сайту повинен переконатися, що ці сервіси відповідають нормам GDPR та забезпечують достатній рівень захисту даних.
- Недостатній рівень захисту при передачі даних — якщо на сайті передбачені форми для заповнення, то власник сайту повинен переконатися, що дані, які надсилають
З абзацу про типові помилки при аудиті сайту можна зробити висновок, що не всі сайти дотримуються норм GDPR та не забезпечують належний захист даних користувачів. Бізнеси, які планують провести аудит приватності свого сайту, повинні приділяти увагу не лише технічним аспектам (таким як правильна настройка аналітичних систем та кукіз), але й враховувати, як збирається та оброблюється персональна інформація користувачів. Крім того, важливо пам’ятати, що покроковий аудит приватності може виявити проблеми, які було б складно помітити інакше, і допоможе бізнесу забезпечити належний рівень захисту даних своїх користувачів.
Кому варто замовити аудит приватності сайту
Перевіряти сайт на дотримання норм захисту даних користувачів час від часу варто всім власникам сайтів, які використовують системи аналітики. Якщо ви ведете сайт для себе і жодним чином не відстежуєте активність користувачів на ньому, проблем не буде. Але, якщо сайт — це частина бізнесу, ви трекаєте його трафік, збираєте підписників, або монетизуєте контент банерами рекламних систем, варто задуматись про приватність читачів.
Ми живемо в часі постійних змін та апдейтів. Змінюються вимоги до захисту даних в окремих країнах або в міжнародних угодах. Змінюються аналітичні системи, збираючи більше даних. Водночас може мінятись і ваш сайт: наприклад, чи додавали ви телефон до користувацької угоди, коли інтегрували на сайт форму зворотнього дзвінка?
Всі ці зміни накопичуються і з часом починають конфліктувати між собою: закон вимагає одного, в користувацькій угоді прописане друге, а скрипт на сайті робить взагалі щось третє. І саме в цей момент за іронією долі, ви попаде на очі комусь, хто переймається захистом даних.
Аудит приватності — це гігієнічна процедура, яку варто проводити регулярно, принаймні раз на рік-два.
Як ми проводимо GDPR-аудит
В загальних рисах аудит приватності сайту виглядає наступним чином.
- Перевірка налаштувань Google Tag Manager, Google Analytics, Facebook Pixel та інших систем збору даних на сайті. Ми переконуємось, що вони відповідають нормам GDPR.
- Перевірка, чи є на сайті користувацька угода та політика конфіденційності: чи не биті на них лінки на сайті, чи не застрягли ці документи в драфтах тощо.
- Створення коректного вікна згоди з кукіз, яке дозволяє користувачам обирати, які дані вони дозволяють збирати. Наразі важливо залишати користувачам можливість відмовитися від збору даних, і всім білим бізнесам треба до цього прийти.
- Перевірка систем захисту інформації. Чи використовує сайт відповідні безпекові протоколи для передачі та зберігання даних, наприклад SSL-шифрування.
- Тестування сайту з різних пристроїв та браузерів, щоб переконатися, що він працює правильно з усіма технологіями та відповідає нормам GDPR.
Кожен проєкт унікальний і може включати додаткові кроки та нюанси. Але описане вище — це база, без якої не обійтись.
Результати аудиту приватності
Результати аудиту приватності сайту можуть мати різні форми в залежності від потреб бізнесу. На основі виявлених проблем може бути складено технічне завдання (ТЗ) для програмістів, які будуть відповідальні за налагодження сайту. Це може включати рекомендації щодо налагодження правильного збору та обробки персональних даних, встановлення необхідних технічних засобів для захисту даних користувачів, а також створення вікна згоди з кукіз.
Крім того, команда наших спеціалістів може здійснити налаштування самостійно, за додаткову плату. Вони виконають необхідні дії для забезпечення належного рівня захисту даних користувачів відповідно до вимог GDPR та зроблять необхідні зміни на сайті. Після цього, сайт буде відповідати нормам збору, обробки та захисту персональних даних.
Отже, результати аудиту приватності сайту можуть бути використані як основа для подальшого налаштування сайту, або ж бізнес може скористатися нашою допомогою для налаштування сайту.
Висновки: підсумок статті та наголошення на важливості проведення аудиту приватності на сайтах.
- Захист приватності користувачів є важливою складовою будь-якого сайту, тому проведення аудиту приватності може допомогти власникам сайтів у забезпеченні безпеки даних користувачів.
- Аудит приватності сайту охоплює: огляд і аналіз різних елементів сайту, таких як налаштування систем аналітики, рекламних пікселів, файли cookie та політики конфіденційності.
- Норми GDPR встановлюють строгі вимоги до збору та обробки персональних даних користувачів, тому власники сайтів повинні дотримуватися цих вимог та надавати користувачам повний доступ до своїх даних та можливість їх видалення.
- При проведенні аудиту приватності сайту можуть виявлятися різноманітні помилки, такі як неправильні налаштування файлів cookie, невідповідність політики конфіденційності нормам GDPR або недостатнє забезпечення безпеки даних користувачів.
- Результатом аудиту приватності можуть бути використані ТЗ для програмістів клієнта, щоб вони могли виправити виявлені помилки, або виправлення проблем нашими фахівцями.
- Відповідальне ставлення до приватності користувачів на сайті може допомогти покращити його репутацію, збільшити довіру користувачів та підвищити конверсію на сайті.
