Юридичний мінімум сайту в ЄС: GDPR, cookies та імпринт для бізнесу

Сайт бізнесу в ЄС повинен мати чотири речі: дані власника, тобто імпринт, політику обробки персональних даних, згоду відвідувача на cookies і, якщо це магазин, умови продажу для покупця. Без цього сайт технічно працює, але власник ризикує скаргою відвідувача чи наглядового органу з питань захисту даних.

4 обов’язкові блоки на сайті бізнесу в ЄС: імпринт, політика конфіденційності, згода на cookies, умови продажу для магазину.

Нижче про кожен пункт окремо: що це, де воно стоїть на сайті і яку помилку роблять найчастіше.

Що має бути на сайті за законом?

Список короткий і однаковий у більшості країн ЄС, різниця лише в деталях реєстрації:

• Дані власника (імпринт). Хто веде бізнес, під яким номером, за якою адресою.
• Політика обробки персональних даних. Які дані сайт збирає і навіщо.
• Згода на cookies. Дозвіл відвідувача перед тим, як завантажаться нессенційні скрипти.
• Умови продажу. Тільки для інтернет-магазину: доставка, оплата, повернення товару.

Перші три пункти потрібні майже будь-якому сайту з формою чи лічильником відвідувань. Четвертий стосується лише e-shop. Це базовий набір того, що має бути на сайті за законом у більшості країн ЄС, деталі реєстрації відрізняються від країни до країни.

Імпринт сайту: хто ти за законом?

Імпринт сайту, тобто дані власника, це блок з назвою компанії, реєстраційним номером, адресою і контактом. У Чехії це IČO та запис в obchodní rejstřík або živnostenský rejstřík. У Німеччині той самий блок називається Impressum і посилається на Handelsregister. У Польщі це NIP разом із записом у KRS чи CEIDG для приватного підприємця. Формат реєстрації різний, суть та сама: відвідувач має розуміти, з ким має справу.

Місце на сайті: підвал (footer) на кожній сторінці або окрема сторінка «Контакти» чи «Про компанію», на яку веде посилання з підвалу. Ховати ці дані на третій рівень меню не варто, вимога саме в тому, щоб їх було легко знайти.

Типова помилка: імпринт є, але без реєстраційного номера, тільки назва й email. Для приватного підприємця без офісу це не привід пропустити пункт: реєстраційний номер і адреса для кореспонденції потрібні однаково.

Політика конфіденційності для сайту

Політика конфіденційності для сайту пояснює, які персональні дані сайт збирає, з якою метою і як довго зберігає. Сюди входять дані з форм, аналітика відвідувань, файли cookies, іноді дані для розсилки.

Місце на сайті: окрема сторінка, на яку веде посилання з підвалу і з кожної форми поруч із кнопкою відправки. Посилання «десь у меню» без прив’язки до форми не рахується.

Типова помилка: політику скопійовано з іншого сайту і вона описує інструменти, яких у тебе немає, або замовчує ті, що є. Якщо на сайті стоїть аналітика чи піксель для реклами, політика повинна називати їх конкретно, за назвою сервісу, прямо в тексті. Хороша політика конфіденційності для сайту описує саме той набір інструментів, який реально стоїть на сторінках.

GDPR для сайту: що саме означає?

GDPR, регламент 2016/679, застосовується до будь-якого сайту, що обробляє персональні дані мешканців ЄС, незалежно від того, в якій країні зареєстрований сам бізнес. Форма зворотного зв’язку, підписка на розсилку, кошик магазину чи навіть проста аналітика відвідувань уже є обробкою персональних даних.

Практично GDPR для сайту означає три речі: сайт пояснює, які дані збирає (це та сама політика конфіденційності), збирає лише те, що потрібно для роботи форми чи сервісу, і дає відвідувачу спосіб зв’язатися з власником з питання своїх даних. Контактна адреса для цього зазвичай та сама, що в імпринті.

До персональних даних тут належить ширший список, ніж здається на перший погляд: ім’я й email з форми, IP-адреса відвідувача, ідентифікатор cookies аналітики, номер телефону в заявці на дзвінок, адреса доставки в замовленні. Сайт, який збирає хоча б одне з цього, уже підпадає під дію регламенту. Це стосується й автоматичного збору через скрипт аналітики, без жодної явної форми.

Cookies на сайті: банер і згода

Правило ePrivacy вимагає окремої згоди відвідувача перед тим, як на сторінці завантажаться нессенційні cookies: аналітика, реклама, пікселі соцмереж. Технічні cookies, без яких сайт не працює (наприклад кошик магазину), згоди не потребують.

Банер cookies на сайті має дати відвідувачу реальний вибір: прийняти, відхилити або налаштувати категорії окремо. Скрипти аналітики й реклами повинні чекати на згоду відвідувача. Банер, що просто лежить поверх сторінки, поки ці скрипти вже працюють, вимогу не виконує.

Типова помилка саме тут: кнопка тільки «Прийняти», без варіанта відмовитись, або аналітика вже працює в момент показу банера. Формально банер є, а вимога не виконана.

Умови продажу для інтернет-магазину

Цей пункт стосується лише e-shop. Умови продажу описують, як відбувається покупка: способи оплати, терміни й вартість доставки, порядок повернення товару і хто покриває витрати на повернення. Для покупця це відповідь на питання «що робити, якщо товар не підійде», ще до того, як він поклав щось у кошик.

Місце на сайті: окрема сторінка, на яку веде посилання з підвалу і з кошика перед оформленням замовлення. Найкраще ставити прапорець підтвердження прямо на кроці оплати. Розрахунок на те, що покупець сам знайде сторінку в меню, працює гірше.

Типова помилка: умови продажу скопійовані з іншого магазину разом з чужою назвою компанії або з умовами повернення, які реальний магазин не виконує. Якщо термін повернення на сторінці 30 днів, а служба підтримки на практиці відмовляє через два тижні, це саме та розбіжність, яка призводить до скарги.

Що з цього потрібно лендінгу, сайту фірми чи магазину?

Юридичний блок потрібен будь-якому типу сайту. Відрізняється лише те, наскільки він розгорнутий. У магазину додається ще один пункт, умови продажу, якого немає в лендінга чи презентаційного сайту фірми.

Що студія робить за замовчуванням?

У сайтах, які будує Chronicles studio, ці чотири блоки закладені одразу, ще на етапі розробки. Підвал має готове поле під дані власника, сторінка політики конфіденційності йде за шаблоном, який підлаштовується під реальний набір інструментів сайту, банер cookies блокує аналітику до згоди відвідувача, а для e-shop додається сторінка умов продажу. Для клієнтів у Чехії окремо готуємо поле під IČO і посилання на реєстр, детальніше на сторінці сайту для бізнесу в Чехії.

Чекліст перед запуском

1. У підвалі є назва компанії, реєстраційний номер і адреса.
2. Сторінка політики конфіденційності описує саме ті інструменти, які реально стоять на сайті.
3. Кожна форма посилається на політику конфіденційності поруч із кнопкою відправки.
4. У банера cookies є окрема кнопка «Відхилити», поруч із кнопкою «Прийняти».
5. Аналітика і реклама не запускаються до згоди відвідувача.
6. Для магазину є окрема сторінка умов продажу з доставкою, оплатою і поверненням.

Часті питання

Чи потрібен імпринт сайту, якщо в мене немає офісу?

Так. Імпринт прив’язаний до реєстрації бізнесу. Наявність окремого офісу для цього ролі не відіграє. Приватний підприємець без окремого приміщення вказує адресу для кореспонденції, яка зазначена в реєстрації, і той самий реєстраційний номер, що й будь-яка інша компанія.

Чи потрібна згода на cookies, якщо я використовую тільки Google Analytics?

Так. Google Analytics ставить cookies, які не є технічно необхідними для роботи сайту, тому підпадає під те саме правило, що й рекламні пікселі. Банер повинен з’явитися і отримати відповідь відвідувача до того, як скрипт аналітики почне збирати дані. Одночасний запуск банера й скрипта вимогу не виконує.

Чи можна взяти чужу політику конфіденційності як зразок?

Як зразок структури так, як готовий текст ні. Політика має описувати саме ті інструменти й форми, які стоять на конкретному сайті. Скопійований текст із чужого сайту зазвичай згадує сервіси, яких у тебе немає, і замовчує ті, що є.

Що буде, якщо на сайті немає жодного з цих блоків?

Сайт продовжує працювати технічно, ризик у іншому: скарга відвідувача чи запит наглядового органу з питань захисту даних, на який потрібно буде відповідати вже без підготовленої політики й без імпринту. Дешевше закласти ці блоки, включно з імпринтом сайту, одразу при створенні, ніж додавати їх під тиском запиту.

Якщо хочеш перевірити, чого саме бракує твоєму поточному сайту, зроби безкоштовну перевірку сайту: звіт покаже, які з цих чотирьох блоків відсутні або неповні.