🙃 ɐıunp zsɐɯoʇ :idle:
🇬🇧 Today on #blog a seemingly boring topic, but in practice insanely important in terms of taking care of online privacy. In a nutshell, about how to write a FRIENDLY #PrivacyPolicy without unnecessary legal hurdles.
https://blog.tomaszdunia.pl/rodo-gdpr-eng/
🇵🇱 Dzisiaj na #blog pozornie nudny temat, ale w praktyce szalenie istotny pod kątem dbania o prywatność w sieci. W skrócie o tym jak napisać PRZYJAZNĄ #PolitykaPrywatności bez zbędnych prawniczych utrudnień.
Kuba Orlik
@to3k @icd @agnieszka @arek @panoptykon
Agnieszka teraz ma ręce pełne roboty, bo szykuje nas do pewnego przełomu w naszych działaniach. Na moje nieprawnicze oko wygląda super! Cieszę się niezmiernie, że Rentgen się przydał, i miło widzieć kogoś, kto szanuje prawa swoich czytelników <3
🙃 ɐıunp zsɐɯoʇ :idle:
@icd @agnieszka @kuba @arek @panoptykon co o tym sądzicie? 😉 W końcu się zebrałem i wypociłem kawałek tekstu 😉
Kuba Orlik
@to3k @icd @agnieszka @arek @panoptykon
Jedna drooobna rzecz, której bym się przyczepił, to rozdzielenie punktów "Co" i "Dlaczego". Najlepiej, aby one występowały razem, poprzeplatane ze sobą. Wtedy unika się takich sytuacji, gdzie np. w banku zapisane jest:
"Przechowujemy twoje imię i nazwisko, numer telefonu, dowodu osobistego, PESEL, adres zamieszkania. (Co)
Dane przetwarzamy m.in. w celu świadczenia zamówionej usługi i w celach reklamowych. (Dlaczego"
Kuba Orlik
@to3k @icd @agnieszka @arek @panoptykon
W powyższym przypadku nie jest jasne, które dane są używane w którym celu (i przez to: na mocy której podstawie prawnej). Idealna polityka prywatności wyjaśniałaby to tak, że nie byłoby w tym zakresie żadnych wątpliwości
Kuba Orlik
@to3k @icd @agnieszka @arek @panoptykon rentgen ma swoją własną pamięć, aby można było łatwo skanować wiele podstron za jednym zamachem. W widoku raportu można kliknąć "wyczyść historię", aby wykonać świeży skan.
@arek chyba musimy tę opcję udostępnić w samym popupie 🤔
🙃 ɐıunp zsɐɯoʇ :idle:
@kuba
no Rentgen to jest potężne narzędzie 😉 Choć miałem jakiś dziwny problem z cachem, który pokazywał mi nieaktualne (już zablokowane) połączenia z domenami zewnętrznymi. Nawet CTRL+Shift+R nie pomagało. Chyba dopiero restart przeglądarki, albo nawet czyszczenie cache.
Arkadiusz Wieczorek
@kuba racja do rozważenia @to3k @icd @agnieszka @panoptykon
Agnieszka Rapcewicz
@to3k
W końcu znalazłam chwilę 😉 Przede wszystkim - super, że podjąłeś ten temat i opisujesz dokładnie, z jakich narzędzi korzystałeś. Myślę, że to bardzo cenne wskazówki dla innych. Podzielę się kilkoma uwagami:
1. Dane anonimowe, czyli takie, których nie da się przypisać do osoby fizycznej, to nie są dane osobowe. Nie musiałbyś więc o nich pisać, ale zgadzam się, że warto wspomnieć o tym dla transparentności.
@icd @kuba @arek @panoptykon
Agnieszka Rapcewicz
@to3k
2. Piszesz, że przetwarzasz dane w celu realizacji prawnie uzasadnionego interesu, a dalej, że "dane przetwarzane są do momentu cofnięcia zgody przez użytkownika". O cofaniu zgody mówimy wtedy, kiedy zbieramy zgody, aby móc dane przetwarzać. W przypadku prawnie uzasadnionego interesu dane są przetwarzane albo do czasu realizacji tego interesu (np. do upływu przedawnienia roszczeń) albo do momentu skutecznego wniesienia sprzeciwu (zależy co nastąpi wcześniej).
@icd @kuba @arek @panoptykon
Agnieszka Rapcewicz
@to3k
3. Napisałeś, że jest istotne, aby dane były przechowywane na terenie UE, bo "wtedy obowiązują europejskie przepisy GDPR". Przepisy RODO obowiązują też do przechowywania danych poza UE (szerzej: EOG), tylko wówczas mamy dodatkowe wymagania prawne, które trzeba spełnić, aby przechowywanie danych poza EOG było zgodne z prawem (ogólnie mówiąc, muszą zostać zagwarantowane odpowiednie zabezpieczenia dla tych danych).
Agnieszka Rapcewicz
@to3k
4. Zakładka "komu" - tutaj też powinieneś wskazać dostawcę hostingu, bo on jest odbiorcą danych w rozumieniu RODO.
Agnieszka Rapcewicz
@to3k
5. Katalog praw podmiotów danych powinien być szerszy - poza prawem dostępu (to nie jest generalnie wgląd, lecz prawo do uzyskania konkretnych informacji wskazanych w RODO, jak również prawo do uzyskania kopii danych), sprostowania i usunięcia, użytkownik w tym konkretnym przypadku ma jeszcze prawo żądania ograniczenia przetwarzania oraz - co najważniejsze - wniesienia sprzeciwu wobec przetwarzania danych osobowych.
@icd @kuba @arek @panoptykon
Agnieszka Rapcewicz
@to3k
Powinieneś też wymienić prawo wniesienia skargi do PUODO.
@icd @kuba @arek @panoptykon
Agnieszka Rapcewicz
@to3k
Wyjdzie, że jako prawnik się czepiam 😉 ale tak na serio, ogólnie bardzo spoko polityka, jednak konieczne jest uzupełnienie o wskazane przeze mnie elementy. Mam nadzieję, że zostanie to odebrane jako konstruktywny feedback, bo tak miało być 🙂 Pozdrawiam
@icd @kuba @arek @panoptykon
Agnieszka Rapcewicz
@to3k
jasne 🙂
@icd @kuba @arek @panoptykon
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka
WOW dzięki wielkie, że w ogóle Ci się chciało 😉 Teraz muszę to na spokojnie przetrawić i wrócę pewnie z pytaniami (już nawet mam, ale muszę to spisać) licząc, że będę mógł wykorzystać jeszcze cenną wiedzę ekspertki 😉
Arkadiusz Wieczorek
@to3k lepszej niż @agnieszka nie znajdziesz ❤️
🙃 ɐıunp zsɐɯoʇ :idle:
@arek
No widzę i słyszałem już wcześniej w podcaście 😉
Agnieszka Rapcewicz
@to3k tak, wystarczy wpisać, że w razie uznania, że przetwarzanie danych narusza RODO, można wnieść skargę do PUODO. Ja zazwyczaj podaję (choć nie jest to obowiązkowe) że szczegółowe informacje, jak złożyć skargę, można znaleźć tutaj: https://uodo.gov.pl/pl/83/155
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka tutaj wystarczy po prostu napisać, że użytkownik ma prawo do wniesienia skargi do PUODO (jeżeli oczywiście widzi takie podstawy), czy muszę jeszcze wskazać jakiś link do informacji jak to zrobić?
Agnieszka Rapcewicz
@to3k dokładnie tak, jak masz prawnie uzasadniony interes, to nie trzeba zgody (a wręcz nie należy jej zbierać, skoro masz inną podstawę przetwarzania), więc nie ma czego cofać. Nie musisz nawet robić checkboxa "akceptuję politykę prywatności", bo w Polityce Ty przekazujesz po prostu informacje podmiotowi danych. Nie zawierasz z nim umowy, więc nie ma on czego akceptować.
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka U mnie dane osobowe zbierane są w dwóch przypadkach: formularz kontaktowy i komentarze. Załóżmy, że przy obu formularzach napiszę tekst „korzystając akceptujesz politykę prywatności (link do niej)”, czy to już jest zbieranie zgód? Nie rozumiem jakby różnicy między cofnięciem zgody a wyrażeniem sprzeciwu w takiej sytuacji 🤔 No chyba że chodzi tu o to, że jak mam prawnie uzasadniony interes (bo mam prawda?) to nie muszę wtedy w ogóle zgody, więc nie ma co cofać 🤔
Agnieszka Rapcewicz
@to3k Pod formularzem kontaktowym po prostu zamieszczasz skróconą informacje, kto jest administratorem, w jakim celu jest przetwarzanie danych oraz gdzie można znaleźć szczegółowe informacje o przetwarzaniu danych i przysługujących prawach (wraz z linkiem do Polityki prywatności). Tak, masz prawnie uzasadniony interes w przetwarzaniu danych przesyłanych w formularzu - po to, żeby odpowiedzieć na wiadomość. Z komentarzami temat jest trochę bardziej skomplikowany, ja zazwyczaj robię regulamin.
Agnieszka Rapcewicz
@to3k możesz zobaczyć na stronie @icd jak wygląda od strony prawnej temat komentarzy.
Agnieszka Rapcewicz
@to3k w przypadku formularza każde zapytanie traktujesz w zasadzie oddzielnie. Jeśli ktoś napisze, teoretycznie może wnieść sprzeciw, skoro opierasz się na prawnie uzasadnionym interesie, ale w praktyce tego nie zrobi (jeśli chce otrzymać odpowiedź 🙂). Może też być tak, że jeśli korespondujecie w temacie jakiejś usługi, którą wykonasz, to chcesz zostawić korespondencję na wypadek ewentualnych roszczeń że strony klienta. To też Twój prawnie uzasadniony interes.
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka tutaj znowu sprzeciw, który jest dla mnie niejasny. Rozumiem, że ten sprzeciw nie jest równoznaczny z usunięciem, bo tu chodzi o możliwość przetwarzania dla danej osoby w przyszłości tak? A co w przypadku, gdy doda znowu komentarz lub napisze przez formularz kontaktowy? Wtedy to jest nowa zgoda na przetwarzanie czy mam to jakoś zablokować? Choć tu pytanie jak to technicznie zrobić 🤔
Agnieszka Rapcewicz
@to3k osoba może wnieść wówczas sprzeciw, ale możesz gi nie uwzględnić, bo powiesz, że Twój interes stoi wyżej niż jej prawa (masz zasadne prawo bronić się przed roszczeniami z jej strony) i nie usuniesz tych danych. Może być też tak z kolei, że stwierdzisz - ok, w sumie ten mój prawnie uzasadniony interes się skończył, nie potrzebuję już danych do niczego, wobec tego uwzględniam sprzeciw i usuwam dane. Z komentarzami jest inaczej, jak napisałam już w innym miejscu.
Agnieszka Rapcewicz
@to3k w przypadku komentarzy Ty też powinieneś je moderować, a jeśli naruszają zasady, które powinieneś opisać w regulaminie - możesz sam podjąć decyzję o ich usunięciu. Temat nie jest tak łatwy do wyjaśnienia w ramach wpisów tu na Mastodonie...
Agnieszka Rapcewicz
@to3k przypuszczam, że nie wyjaśniłam wszystkiego, pewnie masz jeszcze jakieś pytania... co do uzasadnionego interesu robiliśmy niedawno odcinek, może on trochę rozjaśni? Wiem, że może to nie być łatwe do zrozumienia.
Zgodę na przetwarzanie danych bierzemy tylko wtedy, kiedy nie ma innego wyjścia, tzn. nie jesteśmy w stanie podciągnąć przetwarzania pod żadną inną podstawę (umowa, obowiązek prawny czy właśnie prawnie uzasadniony interes).
Agnieszka Rapcewicz
@to3k zgoda musi być dobrowolna (podmiot nie może być zmuszony np. do wyrażenia zgody skoro dane są potrzebne do zawarcia umowy). Zgodę można też zawsze cofnąć bez negatywnych konsekwencji dla podmiotu danych.
Agnieszka Rapcewicz
@to3k Super, cieszę się, że mogłam pomóc 🙂
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka Wręcz przeciwnie, o dziwo chyba wszystko rozumiem na podstawie odpowiedzi, a także tego że było wskazane w którym kierunku mam patrzeć i trochę też doczytałem na boku 😉 Pozostaje mi teraz skorygować moja politykę prywatności na blogu i wpis o tym 😉
Agnieszka Rapcewicz
@to3k 🙂❤️
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka Aha no i oczywiście jeszcze raz dziękuję Pani Mecenas 😉 Powinien istnieć taki tytuł MODO - Mistrzyni Ochrony Danych Osobowych 😁
Agnieszka Rapcewicz
@to3k możesz napisać Polish Data Protection Authority (President of the Polish Personal Data Protection Office)
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka (Chyba) ostatnie pytanie. Czy jak blog jest międzynarodowy (nie tylko po polsku) tj. polityka prywatności jest dostępna również w wersji angielskiej to też wskazuję tutaj PUODO czy jest jakieś międzynarodowe określenie na to stanowisko?
Agnieszka Rapcewicz
@to3k nie musi. Co do zasady powinien do polskiego organu, ale może też złożyć u siebie - wówczas niemiecki organ ją przekaże do polskiego urzędu.
🙃 ɐıunp zsɐɯoʇ :idle:
@agnieszka dobrze rozumiem, że jeżeli administratorem jest Polak, a np. Niemiec ma problem z jego polityką prywatności to Niemiec musi zgłosić sprawę do polskiego PUODO, a nie do jakiegoś niemieckiego odpowiednika? 🤔
０７６萌ＳＮＳ is a social network, courtesy of ０７６. It runs on GNU social, version 2.0.2-beta0, available under the GNU Affero General Public License.
All ０７６萌ＳＮＳ content and data are available under the Creative Commons Attribution 3.0 license.