Veebilehe vastavus GDPR-ile: mida see tegelikult nõuab

Enamik veebis leiduvaid GDPR-i nõuandeid on kirjutatud juristidele või neile, kes ostavad privaatsuspoliitika generaatorit. Väga vähe on kirjutatud inimesele, kes peab avama redaktori ja midagi päriselt muutma.

See juhend on mõeldud just temale. Käime läbi, mida isikuandmete kaitse üldmäärus (GDPR) veebilehelt ja selle taga olevatelt süsteemidelt nõuab, ning sõnastame selle asjadena, mida tuleb ehitada, seadistada või kustutada. Teeme seda tööd ELis tegutsevatele ettevõtetele alates 2018. aastast, mil määrust hakati kohaldama, ja see, mis valesti läheb, on selle ajaga vaevu muutunud.

Üks asi kohe alguses: GDPR ei muutunud uute määruste lisandumisega lihtsamaks. See muutus olulisemaks, sest peaaegu kõik ELi digireeglite praeguses laines eeldab, et teie isikuandmetega on asjad juba korras.

Alustage ausast andmete inventuurist

Peaaegu kõik ebaõnnestunud GDPR-i projektid, mis oleme üle võtnud, kukkusid läbi samas kohas. Meeskond kirjutas kõigepealt poliitika ja avastas andmed alles hiljem.

Enne kõike muud kaardistage, milliseid isikuandmeid teie veebileht tegelikult kogub. Mitte seda, mida toote spetsifikatsioon ütleb, vaid seda, mis on andmebaasis, logides, analüütikaplatvormis, CRM-is, klienditoe tööriistas, turundusautomaatika lahendustes, veajälgijas, CDN-i logides ja lehel olevates kolmandate osapoolte skriptides.

Praktikas tähendab see järgmist:

• Käige skeem läbi. Iga veerg, mille järgi saab inimese tuvastada kas otse või koos mõne teise veeruga.
• Vaadake päris lehe laadimisel võrgukaarti. Iga väljaminev päring domeenile, mida te ei halda, on võimalik isikuandmete edastus, sest IP-aadress koos kasutajaagendiga on isikuandmed.
• Kontrollige, mida teie veajälgija salvestab. Pinujäljed sisaldavad tavapäraselt e-posti aadresse, tokeneid ja päringute sisu.
• Kontrollige logide säilitamist. Igaveseks säilitatavad IP-aadressidega pöördumislogid on üks sagedasemaid leide ja üks lihtsamini parandatavaid.

Pange see kirja isikuandmete töötlemise toimingute registrina. Artikkel 30 nõuab seda niikuinii enamikult organisatsioonidelt ning inseneridele kasulik versioon on tabel, kus on süsteem, andmed, eesmärk, õiguslik alus, säilitamisaeg ja vastuvõtjad.

Valige õiguslik alus iga eesmärgi, mitte iga süsteemi jaoks

Artikkel 6 annab kuus õiguslikku alust. Kõige sagedasem viga, mida näeme, on ühe aluse valimine kogu tootele.

Teil on peaaegu kindlasti korraga mitu eesmärki. Tellimuse täitmise alus on leping. Pettusekontrolli alus on tavaliselt õigustatud huvi või juriidiline kohustus. Arvete hoidmine seadusega nõutud aja jooksul on juriidiline kohustus. Turundusliku e-posti alus on enamikus liikmesriikides nõusolek. Mittehädavajalik analüütika vajab nõusolekut, kuid selle tingivad lõppseadmele juurdepääsu käsitlevad e-privaatsuse reeglid, mitte GDPR ise.

Praktiline tagajärg on see, et teie andmemudel peab teadma, millist eesmärki iga kirje teenib. Kui te ei suuda turundusprofiili tellimuse kirjest eraldada, ei saa te turunduse vastuväidet arvesse võtta ilma tellimuste ajalugu rikkumata. See eraldus on skeemi otsus ja seda on valus tagantjärele lisada.

Nõusolek peab olema päris ja see tuleb salvestada

Kui toetute nõusolekule, peab see olema vabatahtlik, konkreetne, teadlik ja ühemõtteline ning teil peab olema võimalik seda hiljem tõendada.

Konkreetselt:

• Midagi mittehädavajalikku ei käivitu enne kasutaja tegevust. Sinna kuuluvad analüütika koodijupp, reklaamipiksel, vestlusvidin, kolmanda osapoole CDN-ist laaditav font ja A/B-testimise skript.
• Keeldumine peab olema sama lihtne kui nõustumine. Sama kiht, sama nähtavus, sama arv klõpse. Järelevalveasutused peavad kõike muud pettemustriks ja on selles järjekindlad olnud.
• Nõusolek on eesmärgipõhine. Üks lüliti, mis katab „analüütika, turunduse ja isikupärastamise“, ei ole konkreetne.
• Nõusoleku tagasivõtmine on sama lihtne kui andmine. Püsiv link või ujuv nupp, mitte e-kiri klienditoele.
• Säilitage tõend: ajatempel, nõusolekustring või iga kategooria olek, bänneri versioon ja tekst, mida kasutajale näidati. Ilma versioonita ei saa te kaheaastast nõusolekukirjet kaitsta.

Järelevalve ei ole siin teoreetiline. 2025. aasta septembris määras Prantsusmaa andmekaitseasutus samal päeval küpsiste kasutamise eest trahvi Google’ile 325 miljonit eurot ja Sheinile 150 miljonit eurot. Mõlemas kaasuses oli otsustav tehniline lahendus, mitte poliitika tekst: küpsised paigaldati enne igasugust kasutaja tegevust ja keeldumisnupud tegelikult ei keeldunud.

Ka nende reeglite ümber käib muutus. Komisjoni digiomnibuse ettepanek viiks lõppseadme nõusoleku GDPR-i enda alla ja muudaks brauseritasandi signaalid siduvaks. Nõukogu liigub vastupidises suunas: teadaolevalt jätab tema 2. oktoobri 2026. aasta läbirääkimisteksti eelnõu küpsiste nõusoleku e-privaatsuse direktiivi artikli 5 lõikesse 3 ja loobub mõlemast uuest GDPR-i artiklist. 10. oktoobri 2026. aasta seisuga ei olnud nõukogu seda seisukohta veel vastu võtnud ja läbirääkimised parlamendiga ei olnud alanud. Kirjutasime komisjoni ettepaneku mõjust artiklis küpsiste nõusolek pärast digiomnibust.

Ehitage andmesubjekti õiguste mehhanism varakult

Artiklid 15 kuni 22 annavad inimestele õiguse tutvuda oma andmetega, neid parandada, kustutada, nende töötlemist piirata, need üle kanda ja esitada vastuväiteid. Vastamiseks on teil üks kuu, keerulistel juhtudel saab seda pikendada kolme kuuni.

Meeskonnad kipuvad esimesi taotlusi käsitsi lahendama, mis toimib kuni hetkeni, mil enam ei toimi. Mida vajate juba enne, kui taotlusi tuleb palju:

Otsingut, mis leiab inimese kõigist süsteemidest. E-posti aadressi põhjal tagastab see kõik: konto, tellimused, klienditoe pöördumised, turundusprofiili, analüütika identifikaatori ja logid. Kui inimene peab meeles pidama, et andmeid hoiab ka kolmanda osapoole arvustusplatvorm, unustab keegi selle lõpuks ära.

Kustutamise teekonda, mis arvestab säilitamiskohustusi. Õigus andmete kustutamisele ei ole absoluutne. Arved tuleb maksuseaduste tõttu tavaliselt alles hoida. Vaja on pehmet kustutamist koos eesmärgipõhise lõpliku kustutamisega, et saaksite turundusprofiili eemaldada ja raamatupidamiskirje alles jätta ning et ka raamatupidamiskirje ise aeguks graafiku järgi.

Ülekantavat eksporti. Struktureeritud, üldkasutatav, masinloetav. JSON sobib. Renderdatud HTML-lehe PDF ei sobi.

Vastuväite märget, mida loeb kogu süsteem. Profiilianalüüsi vastu esitatud vastuväide peab profiilianalüüsi päriselt peatama, ka pakktöös, mis käivitub kell 3 öösel ega kontrolli seda märget.

Säilitamine on töö, mitte rida poliitikas

Säilitamise piiramine on põhimõte, mida rikuvad kõige sagedamini muidu hästi ehitatud süsteemid, sest andmete kustutamiseks peab keegi kirjutama ja ajastama töö, mida keegi ei palu.

Määrake igale andmekategooriale eluiga ja seejärel rakendage see. Pöördumislogid, seansikirjed, pooleli jäänud ostukorvid, kinnitamata registreerumised, suletud klienditoe pöördumised, vanad varukoopiad ja analüütika toorandmed vajavad kõik aegumistähtaega. Varukoopiad vajavad erilist tähelepanu: kui taastamine äratab kustutatud isikuandmed uuesti ellu, on teie kustutamine poolik. Tavaline lahendus on dokumenteeritud varukoopiate roteerimine koos maksimaalse vanusega ning kustutamiste uuesti rakendamine pärast iga taastamist.

Edastused, alamtöötlejad ja koht, kus teie süsteemid päriselt töötavad

Andmete edastamine väljapoole Euroopa Majanduspiirkonda vajab õiguslikku mehhanismi: sertifitseeritud USA vastuvõtjate puhul tavaliselt ELi ja USA andmekaitseraamistik, mujal standardsed andmekaitseklauslid koos edastamise mõjuhinnanguga.

Inseneri vaade on lihtsam kui juristi oma: teadke, kus teie andmed füüsiliselt asuvad. See tähendab iga teenuse pilveregiooni, varukoopiate asukohta, hallatud andmebaasi regiooni, CDN-i servaseadistust ja, mis oluline, iga kasutatava SaaS-tööriista klienditoe korraldust. Frankfurdis majutatud teenusepakkuja, kelle klienditugi pääseb toodangukeskkonnale ligi väljastpoolt Euroopa Majanduspiirkonda, teeb samuti edastuse.

Üldjuhul soovitame hoida isikuandmeid ELi regioonides, kui selle vastu ei räägi tugev põhjus. See kõrvaldab terve vaidluste kategooria ja hinnavahe on tavaliselt tühine.

Pidage alamtöötlejate nimekirja ja hoidke see ajakohane. Artikkel 28 nõuab igaühega kirjalikku andmetöötluslepingut ja just seda nimekirja küsivad teie kliendid ka hoolsuskontrolli käigus.

Vaikimisi turvalisus seadistusena

Artikkel 32 nõuab asjakohaseid tehnilisi ja korralduslikke meetmeid. See on meelega ebamäärane, kuid veebilehe miinimumtase 2026. aastal seda ei ole:

• TLS kõikjal, HSTS sisse lülitatud, segasisu puudub.
• Paroolid räsitud tänapäevase mälumahuka funktsiooniga ja isikuandmeid sisaldavatel kontodel on võimalik kasutada mitmikautentimist.
• Andmebaasid ja varukoopiad on talletatuna krüpteeritud.
• Juurdepääs toodangukeskkonna isikuandmetele on rollipõhiselt piiratud ja logitud ning seda vaadatakse päriselt üle.
• Pseudonüümimine, kus see on võimalik: räsige analüütikas identifikaator ja hoidke vastavustabel eraldi ning juurdepääsupiirangutega.
• Testitud taastamine, mitte lihtsalt varukoopia.

Artiklis 25 sätestatud lõimitud ja vaikimisi andmekaitse tähendab, et privaatsust hoidev valik on see, mille saate ilma midagi tegemata. Uudiskirja märkeruut on märkimata. Profiili nähtavus on privaatne. Valikulised väljad on valikulised.

Rikkumisest teatamiseks on vaja tegevusjuhendit

Seitsekümmend kaks tundi teadasaamisest järelevalveasutusele teatamiseni ei ole pikk aeg, eriti kui rikkumine avastatakse reede õhtul. Pange tähele, et digiomnibuse ettepanek pikendaks selle üheksakümne kuue tunnini, kuid see ei ole veel seadus.

Valmistuge ette: kes kuulutab välja intsidendi, kes hindab, kas see puudutas isikuandmeid, kes võtab ühendust järelevalveasutusega, mida teade sisaldab ja kuidas teavitate mõjutatud inimesi, kui oht on suur. Kirjutage see nimeliste rollidega tegevusjuhendina ja harjutage seda korra läbi. Esimene kord seda kasutada ei tohiks olla esimene kord seda lugeda.

Veebileht ise

Osa GDPR-ist on lehel nähtav ja üksikasjad tasub korda teha, sest just neist inimesed teatavad.

Privaatsusteates tuleb esitada vastutava töötleja andmed ja kontakt, eesmärgid ja õiguslikud alused, vastuvõtjad ja vastuvõtjate kategooriad, edastamise mehhanismid, säilitamisajad, kõigi õiguste loetelu koos õigusega esitada kaebus järelevalveasutusele ning see, kas toimub automatiseeritud otsuste tegemine. Kirjutage see keeles, millest tavaline inimene aru saab. Mitmekihilised teated, kus lühiversioon viitab üksikasjadele, toimivad paremini kui tekstimüür.

Vormid peaksid koguma ainult seda, mida vajate. Iga väli on põhjendus, mille peate võib-olla esitama. Kui turundusnõusoleku märkeruut on tellimusega samal esitamisel, peab see olema eraldi märkimata ja eraldi sõnastatud.

Kolmandate osapoolte manused on vaikne läbikukkumine. YouTube privaatsust parandavas režiimis, kaardid klõpsuga laaditava kohatäite taga, fondid enda serverist, mitte kolmanda osapoole CDN-ist. Igaüks neist on väike muudatus ja igaüks kõrvaldab ühe leiu.

Mis läheb kõige sagedamini valesti

Piisava arvu auditite järel kordub sama lühike nimekiri:

1. Analüütika laaditakse enne nõusolekut, tavaliselt seetõttu, et sildihalduri seadistas turundus ja insenerid ei vaadanud seda kunagi üle.
2. Keeldumisnupud käivitavad nõusoleku ikkagi, sest kolmanda osapoole skript käitub vaikimisi nii.
3. Säilitamistöid pole üldse, mitte ühegi tabeli jaoks.
4. Kustutamine ei jõua varukoopiate, logide ega CRM-ini.
5. Privaatsusteade kirjeldab andmevoogu, mis muutus poolteist aastat tagasi.
6. Alamtöötlejate nimekirjad lõpevad kolme ilmse teenusepakkujaga.
7. Nõusolekukirjetes puudub näidatud teksti versioon.

Ükski neist ei ole raske probleem. See on lihtsalt töö, mida pole kellelegi määratud.

Abi saamine

Kui soovite olemasolevale veebilehele teist pilku, teeme tehnilisi GDPR-i auditeid, mille tulemus on prioriseeritud tööde nimekiri, mitte aruanne: mida parandada, mis järjekorras ja iga punkti juures ajahinnang. Kui ehitate midagi uut, on andmemudeli ja nõusolekuarhitektuuri kohe alguses õigesti tegemine tunduvalt odavam.

Tegeleme ka ELi vastavusnõuetega laiemalt, sealhulgas ligipääsetavuse ja Euroopa turule sisenemisega. Kirjutage meile aadressil office@c9group.dev.

Me ehitame tarkvara. Me ei anna õigusnõu ja konkreetse nõude tõlgendamine on teie õigusnõustaja pädevuses. Meie saame tagada, et süsteem teeb seda, mida teie õigusnõustaja ütleb, et see peaks tegema.