Кав'ярня у Львові не працює в Європейському Союзі й не має там представництва. Але до неї заходять туристи з Польщі й Німеччини, а меню відкривається за посиланням з будь-якої країни.
Розберемо, коли європейські правила справді стосуються українського закладу, а коли ні.
Коли GDPR вас стосується
Регламент застосовується до компаній поза ЄС у двох випадках.
Ви пропонуєте товари чи послуги людям у ЄС. Ключове слово тут «пропонуєте». Не «до вас випадково зайшов німець», а саме цілеспрямовано працюєте на цю аудиторію.
Ознаки, які на це вказують: сайт іншими мовами ЄС, ціни в євро, реклама, націлена на країни ЄС, доставка туди.
Ви відстежуєте поведінку людей у ЄС. Аналітика, реклама з таргетингом, профілювання.
Тепер практично. Кав'ярня з українським меню, до якої заходять туристи, під GDPR не підпадає: вона не пропонує послуги в ЄС, вона працює у Львові.
Той самий заклад, який зробив меню польською й англійською й запустив рекламу на польських туристів, уже ближче до сірої зони.
Заклад, який возить доставку в Польщу, підпадає однозначно.
Чим це відрізняється від українського закону
Український Закон про захист персональних даних побудований на тій самій логіці, що й GDPR: мета, підстава, мінімум даних, права людини.
Різниця в трьох речах.
Строки реакції. GDPR вимагає відповісти на запит людини протягом місяця. Український закон дає тридцять днів на розгляд, і практика м'якша.
Повідомлення про витік. GDPR вимагає повідомити наглядовий орган за 72 години. В Україні такої жорсткої вимоги для звичайного бізнесу немає.
Штрафи. Це головна відмінність. GDPR передбачає до 20 мільйонів євро або 4% світового обороту. Українські штрафи для малого бізнесу вимірюються тисячами гривень.
Тому питання «чи підпадаємо ми під GDPR» для закладу це переважно питання про розмір ризику, а не про те, що робити.
Що робити в обох випадках
Хороша новина: набір дій майже однаковий, і він не складний.
Збирати мінімум. Тільки те, без чого не працює конкретна функція.
Пояснювати, навіщо. Політика приватності зрозумілою мовою, а не юридичним суржиком.
Питати згоду там, де вона потрібна. Розсилка, аналітика, кукі поза необхідними.
Давати можливість відкликати згоду. Одним натисканням.
Виконувати запити на видалення. І мати технічну можливість це зробити.
Захищати дані. Паролі, доступи, резервні копії.
Знати, кому ви передаєте дані. Платіжний провайдер, сервіс розсилок, хостинг.
Це і є весь список. Він однаковий і для українського закону, і для GDPR, різниця лише в жорсткості строків.
Про банери згоди на кукі
Якщо ваш сайт працює на українську аудиторію, банер на пів екрана з довгим текстом не потрібен.
Необхідні кукі (сесія, кошик, мова) не вимагають згоди ніде. Згода потрібна для аналітики й реклами.
Мінімальний чесний варіант: невеликий рядок унизу з поясненням і двома кнопками, прийняти й налаштувати. Без темних патернів, де «прийняти» велика зелена, а «відмовитися» захована в третьому меню.
Гостьове меню за QR-кодом зазвичай узагалі не потребує банера, якщо в ньому немає сторонньої аналітики й реклами. Це аргумент за те, щоб її туди й не ставити.
Коли варто піти до юриста
Не в загальному випадку, а конкретно:
Ви возите доставку в ЄС.
У вас мережа з юридичною особою в ЄС.
Ви передаєте дані гостей партнеру за кордон. Не платіжному провайдеру, а саме партнеру: маркетингова агенція, франчайзі, спільна програма лояльності.
До вас прийшов запит від людини з ЄС із посиланням на GDPR.
Стався витік даних.
У решті випадків списку вище достатньо.
Що зробити цього тижня
- Перевірте, чи є на вашому сайті політика приватності й чи можна її прочитати без юридичної освіти.
- Перевірте, чи вказано в ній, кому ви передаєте дані.
- Перевірте, чи є робоча адреса для запитів і хто її читає.
- Перевірте, чи є в меню стороння аналітика. Якщо є й вона не потрібна, приберіть.
- Перевірте, чи можна видалити дані конкретного гостя.
П'ять пунктів, дві години. Вони закривають більшість реального ризику незалежно від того, який закон до вас застосовується.
