Cum implementezi GDPR pe site-ul tău WordPress

GDPR este noua reglementare UE legată de protecția datelor personale ale persoanelor fizice care a intrat în vigoare pe 25 mai 2018.

Nu am scris acest articol înainte de intrarea în vigoare pentru că am așteptat să văd ce unelte apar pentru ușurarea implementării, m-am documentat și am implementat pe site-urile personale cât și pentru Simplenet.

În primul rând, GDPR nu este motiv de panică, nu e apocalipsa.

E o lege de bun simț care vrea să responsabilizeze proprietarii de site-uri ca să înțeleagă ce date personale colectează și pentru ce motiv le colectează. Dacă nu le folosesc să nu le mai colecteze, iar dacă le folosesc să ceară acceptul vizitatorilor și să fie transparenți cu privire la colectarea și prelucrarea acestora.

Pentru că datele personale ale persoanelor vizate le aparțin acestor persoane și nu putem noi, proprietarii de site-uri, să facem ce vrem cu ele. Avem nevoie de acceptul acestora pentru a colecta și prelucra într-un anumit fel aceste date.

Am un simplu blog, de ce trebuie să fiu compliant cu GDPR?

Pentru că salvezi date personale fără să știi că le salvezi.

Dacă ai pus pe site-ul tău un videoclip de pe Youtube, în browserul vizitatorului se salvează niște cookies. Dacă ai butoane de share pe site, la fel. Nici măcar nu trebuie să dea click pe buton, doar vizitând pagina se salvează cookie-urile respective.

Aceste cookies sunt considerate date personale pentru că pot identifica o persoană, urmăresc vizitatorul de pe un site pe altul, creează profiluri demografice etc.

Problema este că uneori site-ul tău le salvează degeaba, nu îți folosesc ție la nimic, le salvezi ca să facă bani Google și Facebook de pe urma lor.

Ok, ce fac ca să fiu compliant cu GDPR?

În principiu, trebuie să demonstrezi că înțelegi și respecți drepturile persoanelor fizice ale căror date personale le salvezi și prelucrezi.

Totodată, ar trebui să și respecți efectiv drepturile, nu doar să scrie în politica de confidențialitate că le respecți. Dacă o persoană îți cere să-i ștergi toate datele, de exemplu, sau să o dezabonezi de la newsletter, trebuie să respecți solicitarea respectivei persoane.

După cum spuneam mai sus, sunt chestii de bun simț. Dacă îți respecți vizitatorii site-ului și clienții ale căror date personale le colectezi, ești deja pe drumul cel bun.

Cea mai ușoară metodă de a implementa GDPR pe site-ul tău WordPress este să folosești o soluție externă, un serviciu specializat pe acest lucru, cum ar fi:

• Iubenda
• Cookiebot
• Onetrust
• TrustArc
• CrownPeak
• Tealium
• Clym

Varianta asta ușoară costă bani, dar nu există nicio metodă să fii compliant cu GDPR fără să plătești – ori plătești cu bani ori plătești cu timp și efort.

Implementarea e cât se poate de complexă și presupune atât muncă de configurare sau chiar de programare, cât și consiliere legală de la un avocat specializat. În special în cazul afacerilor online, unde mai este nevoie și de o implementare la nivel administrativ, nu doar la nivel de site.

Vă poate fi de ajutor și kit-ul GDPR de la avocatoo.ro. Nu l-am testat, dar puteți lua legătura cu oamenii de acolo pentru informații mai detaliate.

Cum am implementat eu GDPR

În continuare voi prezenta cum am implementat GDPR pe site-urile mele. Trebuie să menționez că nu sunt avocat și acest tutorial nu ține loc de consultanță legală.

Pentru a fi compliant cu GDPR avem nevoie de următoarele:

• o pagină cu politica de confidențialitate
• informații despre cookies (pot fi incluse în politica de confidențialitate)
• consimțământ explicit pentru colectarea datelor (cookie banner notice)
• posibilitatea de retragere a consimțământului
• unelte pentru exercitarea drepturilor (export date, ștergere date).

Politica de confidențialitate

Politica de confidențialitate ar trebui să conțină următoarele informații:

• informații de contact ale proprietarului site-ului
• informații de contact ale autorității naționale pentru protecția datelor
• datele pe care le colectezi
• la ce folosești datele pe care le colectezi
• cine mai are acces la date (parteneri – contabilitate, curier, host etc)
• cum asiguri securitatea datelor
• informații despre cookies
• care sunt drepturile persoanelor ale căror date le colectezi
• cum pot să-și exercite drepturile.

Un model de politică de confidențialitate se găsește în interfața de administrare WordPress. Intri la Setări > Confidențialitate apoi faci click pe linkul „Consultă ghidul nostru”.

Eu am folosit un model de politică de confidențialitate generat de către pluginul GDPR Framework pe care l-am tradus în română. L-am modificat cu informațiile aferente pentru fiecare site în parte pe care am folosit politica.

Politica noastră e mai complexă pentru că nu avem doar un simplu blog, dar te poți inspira din ea; mai poți găsi template-uri de politici de confidențialitate și cookies și aici.

După ce ai creat pagina cu politica, trebuie s-o adaugi într-un meniu de navigare, de obicei în footer-ul site-ului.

Ce date colectăm, ce facem cu ele?

În cadrul politicii de confidențialitate trebuie declarat și ce date personale colectează site-ul tău. Deci trebuie să știm ce date personale salvăm.

După cum menționam mai sus, câteodată salvăm date fără să vrem sau fără să știm.

Pentru a identifica ce date personale colectăm e necesar un audit al propriului site pentru a înțelege cum funcționează și cum stochează date. Fiecare site e diferit, folosește teme și pluginuri diferite și are diverse implementări.

Ce cookie-uri colectezi pe un blog simplu

Pe un blog simplu colectezi date prin:

• formularul de comentarii WordPress
• cookies.

Datele colectate prin formularul de comentarii sunt cele completate de comentator (nume, adresă de email, website) precum și adresa IP și un identificator de browser (user agent). Aceste date sunt folosite pentru combaterea spam-ului.

Cookie-urile plasate default de WordPress sunt cele din comentarii (nume, email, website). Începând cu versiunea 4.9.6, pentru a fi compliant cu GDPR, a fost introdusă o bifă prin care comentatorul să-și dea acceptul dacă dorește ca aceste cookies să fie salvate în browser.

Ce cookie-uri colectezi pe un magazin online

Dacă ai un magazin online, mai colectezi date și prin formularul de comandă al produselor/serviciilor de pe site. Datele astea nu ai voie să le folosești decât la procesarea comenzii: facturare, livrare etc.

Alte site-uri pot colecta date prin pluginuri de atragere de lead-uri, formulare de contact sau formulare de abonare la newsletter. Persoanele trebuie să știe clar ce faci cu datele pe care le colectezi, nu poți să trimiți mailuri cu oferte celor care nu s-au abonat în mod explicit la newsletter.

Un truc pe care îl făceau unele magazine era să pună o casetă gata bifată la finalizarea comenzii prin care clientul era automat abonat la newsletter. Nu mai este legal acest lucru. Poți avea caseta, dacă vrei, dar nu ai voie să fie gata bifată. Vizitatorul trebuie s-o bifeze în mod expres dacă dorește abonarea la newsletter.

Alte date (cookie-uri) pot fi colectate de diverse pluginuri WordPress: butoane de social media, coduri de urmărire gen Google Analytics sau embed-uri de pe alte site-uri (videoclipuri de pe Youtube, de exemplu).

Toate acestea trebuie identificate. Odată ce am identificat ce date colectăm și cum le colectăm, trebuie să decidem dacă vrem să le colectăm, dacă chiar avem nevoie de ele sau nu.

Identificare cookies

O metodă de a identifica ce cookies salvează site-ul tău este să folosești un free trial de la unul din serviciile prezentate mai sus (One Trust, de exemplu). Îți vor scana toate paginile site-ului și vor face o listă cu toate cookie-urile și le vor împărți pe categorii.

O altă metodă, mai grea, este să identifici tu manual cookie-urile.

Dacă folosești browserul Google Chrome, ștergi cookies și cache din browser apoi intri pe site, faci click dreapta undeva pe pagină apoi pe Inspect, mergi la secțiunea Application, apoi la Storage, apoi la Cookies (în Safari e Inspect Element, Storage, Cookies).

Trebuie să verifici toate paginile site-ului pentru a identifica cookies, lucru destul de greu de făcut manual.

Unele pagini sunt similare din punct de vedere al cookie-urilor salvate, deci ar fi de verificat:

• prima pagină
• pagina WordPress cu arhive (categorii, etichete, de ex)
• pagina unui articol
• pagini pe care știți că ați pus embeduri de pe alte site-uri
• pagină de abonare la newsletter
• pagina cu formular de contact
• pagini cu alte formulare sau chestii care salvează date (survey etc).

Ideal e să folosești un serviciu specializat, după cum spuneam mai sus, care scanează automat toate paginile site-ului.

Categorii cookie-uri

Odată identificate, cookie-urile trebuie împărțite pe categorii:

• esențiale pentru funcționarea site-ului
• statistice (Google Analytics, de ex)
• social media (Facebook, Youtube, etc)
• de publicitate (retargeting, remarketing, etc).

Conform GDPR, atunci când un vizitator intră pe site, el trebuie anunțat că salvezi cookies. Trebuie să-i prezinți ce cookies salvezi și trebuie să își dea acceptul pentru salvarea acestor cookies.

Nu e ok să pui toate cookie-urile ca fiind esențiale și să fie doar un buton de acceptare, trebuie să poată fi acceptate sau refuzate pe fiecare categorie în parte.

Totodată, trebuie să ai și o pagină gen cookie settings, de unde vizitatorul să poată să-și retragă acceptul dacă ți l-a dat în trecut sau să-și dea acceptul dacă în trecut a refuzat și acum s-a răzgândit.

Dacă un vizitator a refuzat categoria de cookie-uri social media, de exemplu, ar trebui ca atunci când vizitează site-ul să fie blocate scripturile social media, să nu i se afișeze videoclipul embed de pe YouTube sau butoanele de share sau ce scripturi mai sunt blocate în cadrul categoriei respective.

Complicat, nu?

E destul de complicat de implementat, nu am găsit vreun plugin WordPress care să facă totul automat.

Pluginurile WordPress pe care le-am testat sunt:

• GDPR Framework
• GDPR
• Cookie Notice

Niciunul nu mi s-a părut complet, toate au nevoie de implementări adiționale, unele destul de complexe pentru un user obișnuit.

De aceea recomand soluțiile externe specializate, chiar dacă sunt contracost, mai ales pentru site-urile care chiar au nevoie să salveze cookies.

Vorbesc aici de site-urile care fac retargeting, remarketing, optimizarea ratei de conversie, site-uri care fac business și vor să facă bani.

Să scăpăm de cookie banner notice

Există o soluție care mie mi se pare cea corectă. Este exact în spiritul legii, adică să nu salvăm date personale decât dacă avem un motiv legal de a face asta.

Soluția este să eliminăm cookie-urile neesențiale, să nu le mai colectăm.

Conform legii, dacă nu colectăm cookies care sunt considerate date personale atunci nu e obligatoriu să cerem consimțământul vizitatorului pentru a salva cookies.

Deci dacă nu salvăm decât cookie-uri esențiale, nu suntem obligați să afișăm notificarea respectivă și scăpăm și de implementările complexe cu blocarea scripturilor și cookie settings.

Mi se pare ilogic să-ți strici designul și experiența de utilizare a site-ului afișând notificarea pentru acceptul de cookies ca să salvezi niște cookies pe care nu le folosești, nu?

Hai să vedem cum facem.

Am identificat deja ce cookies salvează site-ul iar dintre toate acestea cele cu probleme (date personale) sunt:

• cookies Google Analytics
• cookies butoane share (Facebook)
• cookies Youtube

Nu folosesc funcțiile demographics sau remarketing din Google Analytics, nici Google Adsense sau Adwords așa că nu am nevoie de ele.

Astfel, m-am logat în contul meu Google Analytics și am configurat următoarele:

Disable Data Sharing

1. Click Administrator.
2. Click Setările contului.
3. Scroll până la Setări de permitere a accesului la date și dezactivează toate bifele.
4. Acceptați Amendamentul privind procesarea datelor.
5. Click Salvați.

Disable Data Collection for Advertising Features

1. Click Administrator.
2. În coloana din mijloc, la Setări pentru proprietăți, selectează Informații de urmărire apoi click pe Culegerea datelor.
3. Dezactivează cele 2 bife: Remarketing și Funcții pentru rapoartele privind funcțiile publicitare.
4. Click Salvați.

Disable User-ID

În mod normal ar trebui să fie dezactivat, dar verificați.

1. Click Administrator.
2. În coloana din mijloc, la Setări pentru proprietăți, selectează Informații de urmărire apoi click pe User-ID.
3. Dacă bifa din partea de jos e deja inactivă, nu mai faceți nimic. Dacă e activă, dezactivați-o și Salvați.

Anonymize IP

Am renunțat la plugin-ul de Google Analytics pe care îl foloseam și am băgat manual codul de tracking la care am adăugat linia de cod pentru anonimizare prezentată aici.

Dacă nu te simți confortabil să lucrezi cu liniile de cod manual, o altă variantă este să folosești pluginul pentru Google Analyics numit CAOS – acesta are în setări o bifă pentru Anonymize IP.

Bun, am scăpat de cookie-urile Google Analytics care reprezintă date personale, în rest Google Analytics va funcționa normal.

Cum scăpăm de cookies Facebook

Niște oameni de bine au făcut un plugin pentru butoane de share care este compliant cu GDPR, adică nu salvează cookies, scripturi de tracking, absolut nimic ce reprezintă date personale.

Pluginul se numește Shared Counts.

Am înlocuit pluginul de butoane de share cu acest plugin care e compliant cu GDPR și am eliminat astfel și cookie-urile Facebook.

Alte cookies?

Alte cookies pe care le-am mai identificat sunt cele YouTube.

Am câteva videoclipuri embed de pe YouTube pe unele pagini de pe site și, din fericire, nu sunt multe așa că le pot modifica manual. Dacă ai mai multe se poate face un search & replace cu un plugin WordPress sau direct în baza de date.

Am înlocuit în codul sursă al embed-ului youtube.com cu youtube-nocookie.com, e o variantă de embed fără cookies.

Cam asta a fost.

Am identificat ce cookies se salvează și le-am eliminat pe cele de care nu aveam nevoie, rămânând doar cele strict necesare, pentru care nu am nevoie de acceptul vizitatorilor pentru că nu sunt considerate date personale.

Astfel am eliminat nevoia de a avea un cookie banner notice.

Atenție, am prezentat ce cookies aveam eu pe blogul meu personal, e posibil ca voi pe site-uri să aveți și alte cookies, fiecare site e diferit.

Drepturile persoanelor vizate

Avem politică de confidențialitate, am rezolvat și cookie-urile, știm ce date salvăm și la ce le folosim, a mai rămas să respectăm drepturile persoanelor ale căror date le colectăm.

Începând cu versiunea 4.9.6, există în WordPress unelte pentru exportul datelor personale și pentru ștergerea acestora pe care le putem folosi în cazul în care ni se solicită acest lucru. Am pus date de contact în politica de confidențialitate ca să ne poată contacta cine dorește să-și exercite aceste drepturi.

Alte considerente

Am încercat să simplific pe cât posibil toată tevatura cu GDPR-ul. Dar e o chestiune cât se poate de complexă.

Ceea ce am descris în acest articol se potrivește în general pentru bloguri și site-uri simple. În cazul magazinelor sau al altor afaceri online nu e suficient de implementat câteva chestii pe site, ci e nevoie și de unele implementări de natură administrativă.

De exemplu, noi la Simplenet, am mai făcut următoarele:

• am numit un DPO (data protection officer)
• am cerut un DPA (data processing agreement) de la toți partenerii unde stocăm datele clienților
• redactăm un DPA pe care să-l oferim la rândul nostru clienților noștri
• am făcut angajaților un training pentru protecția datelor.

Sper ca acest articol să vă fi ajutat în înțelegerea și implementarea GDPR-ului pe site-urile voastre, dacă am omis ceva nu ezitați să lăsați comentarii. Voi încerca să răspund la întrebări sau vă voi direcționa către resurse relevante.