GDPR ziua Z

OK, a venit revelionul site-urilor europene, numit și GDPR. Acum multă vreme scriam cum voi implementa modificările cerute de GDPR și în ultimele zile am și făcut-o.

Am creat trei pagini:

• termene și condiții (btw, se zice termene, nu termeni, da?)
• politica de confidențialitate.
• politica privind fișierele tip cookie

Ultimele două sunt inspirate de la template-urile lui Răzvan Baciu și modificate de mine pentru ce face mai exact blogul și pentru o exprimare mai ușor de înțeles, că una dintre cerințele GDPR este să explici în limbaj cât de cât natural ce se întâmplă cu datele personale și cookie-urile plasate.

Dacă nu aveți chef să citiți acele pagini, vă spun eu pe scurt concluzia lui: nu colectez decât datele personale fără de care site-ul nu poate fi funcțional, adică mai exact serverul reține într-un log IP-urile și browserul cu care este accesat, iar când comentați se reține email-ul și adresa web pe care le introduceți cu mână voastră acolo. Aventura cu datele personale se oprește aici, că nu le prelucrez în nici un mod, nu le dau altora, nu trimit newsletter cu ele șamd.

Google Analytics colecta IP-ul (pentru a vedea de unde sunt utilizatorii), dar am activat funcția de anonimizare a IP-urilor.

În ce privește cookie-urile, nici aici nu se întâmplă ceva palpitant. Sunt de două tipuri, cele necesare site-ului (cookie care reține că ați văzut mesajul privind cookie-urile, cookie care reține datele cu care comentați ca să le găsiți precompletate, analytics ca să știu ce-i pe site etc) și cele opționale, de exemplu Trafic.ro. Investighez acum faptul că embed-urile de YouTube mai bagă și ele niște cookie-uri, folosite pentru a particulariza aspectul clipului video.

Cam asta a fost tot. În perioada următoare mai trebuie lucrat la felul în care diversele scripturi de verificare se înțeleg cu cache-ul și altele, dar nu am eu control acolo, ci depind de alții. Nici un plugin de afișat mesaj și blocat scripturi până la consimțământ nu e compatibil cu cele de cache, din motive de PHP și Javascript. Plănuiesc să mai modific una-alta și prin paginile de mai sus.

În ultima vreme am primit zeci de emailuri ce-mi cer să confirm că vreau să primesc în continuare informații de la diverse site-uri, agenții de PR, companii șamd.

Din câte știu eu, nu era nevoie să trimită acele emailuri, ba chiar consider o greșeală trimiterea lor. Din câte știu eu, există conceptul de interes legitim pentru a trimite comunicări spre anumite persoane (m-am înscris în trecut cu mâna mea la newsletter, ba chiar am confirmat asta printr-un prim mesaj de verificare; le-am fost client sau colaborator, așa că au un temei legitim al interesului legitim de a mă ține în continuare la curent cu oferte sau evoluția lucrurilor; sunt blogger și au temeiul legal al interesului legitim de a mă informa despre activitatea lor) și nu au motiv să-mi ceară să fiu de acord și în continuare cu acele emailuri. Detalii aici.

Problema este că m-am uitat pe câteva emailuri primite. Unii vor reply personal cu “da, bă, trimite în continuare”, alții au un sistem automatizat cu confirmare prin click șamd, unii doar mă informează că vor trimite în continuare mesaje. Simt că va trebui să le iau la mână pentru a nu risca să nu mai primesc deloc mesaje de la ei; nu de alta, dar multe știri interesante vin prin comunicate de presă.

M-am uitat rapid pe diverse site-uri și majoritatea nu respectă anumite cerințe GDPR. De exemplu, pe multe site-uri am fost întâmpinat cu un mesaj ce mă avertiza că se utilizează cookie-uri și buton de “Am înțeles”. GDPR-ul cere să oferi și posibilitatea de a refuza cookie-urile în funcție de categoria lor și de a reveni asupra decizie la un moment ulterior. Tipul cookie-urilor trebuie explicat în limbaj cât de cât uman.

Iată exemple de așa nu:

Iată exemple de așa da:

Mesajul acesta de pe site-ul Cookie Bot:

Mesajul de pe site-ul ibm.com, care oferă posibilitatea de a vedea mai multe detalii despre cookie-uri și de a folosi un slider pentru a alege nivelul de acceptare, plus zona avansată unde îți dau detalii despre fiecare cookie și serviciu în parte.

Mai mult, am văzut site-uri ce folosesc metoda “să-i confuzăm cu informații ca să accepte totul”. Dacă oferi butoane simple cu “sunt de acord” și “nu sunt de acord”, într-o bară afișată discret pe site, e foarte posibil ca oamenii să apese “nu” pentru că speră ca astfel să scape de reclame sau știu eu ce urmărire (ceea ce de multe ori este fals sau măcar în defavoarea vizitatorului, că eu aș prefera reclame pe interesele mele, nu la întâmplare).

Metoda de care spun este următoarea: fereastra de avertizare este foarte mare și blochează tot ecranul, iar butonul de “sunt de acord” este mare de tot în ea. Butoane de dezactivare a anumitor tipuri de cookie-uri sunt ascunse în diverse ale meniuri prin care trebuie să explorezi și să citești, ceea ce face mult mai probabil că oamenii vor da click pe “sunt de acord” ca să nu mai piardă timpul.

Câteva articole și resurse despre GDPR, în caz că încă mai studiați treaba asta:

• Ghid pentru WordPress de la wpbeginner.
• Discuția aceasta despre newsletter.
• Ghidul acesta de la 2Performant.
• Schimbări în pluginul Jetpack.
• Pagina de informare a Uniunii Europene.
• Textul directivei GDPR, în română. Pare lung, dar citiți-l că răspunde la multe întrebări.
• Cum e treaba cu consimțământul prelucrării datelor.
• 6 instrumente utile pentru gestionarea datelor.

Rămân la părerea că GDPR este o treabă bună și că avem nevoie de mai multe informații privind colectarea și prelucrarea datelor personale de către diverse servicii în această lume ce se mișcă tot mai mult spre digital.

Din păcate, este foarte confuz exprimat, tratează la grămadă site-urile mici ce practic nu prelucrează date personale și pe cele mari ce folosesc zeci de servicii de analiză și marketing, iar explicațiile în limbaj ușor de înțeles sunt puține și nu știi dacă te poți baza pe ele.

Companiile au avut mai mult de un an la dispoziție să se adapteze la GDPR și multe nu au făcut-o bine. Poate era nevoie de un calendar ceva mai permisiv privind diversele etape de implementare și mai multe informații. Nu mi se pare normal ca cineva cu un mic magazin online, să zicem, care ar trebui să gestioneze clienți și comenzi și “client service”, să piardă poate o lună de muncă informându-se și modificând pentru GDPR. De bloguri nici nu mai zic.