Aproape orice site strânge date personale: un formular de contact cu nume și telefon, o comandă cu adresa de livrare, un cont de client, o adresă de email lăsată pentru newsletter. Din clipa aceea, Regulamentul general privind protecția datelor (GDPR) se aplică și site-ului tău — iar firma care îl găzduiește devine parte din poveste.
Articolul explică noțiunile pe înțeles; nu e consultanță juridică. Pentru situația firmei tale, întreabă un specialist în protecția datelor.
Pe scurt
- Pentru datele vizitatorilor tăi, tu ești operatorul; firma de găzduire care le stochează pe servere e, de regulă, persoană împuternicită.
- Între voi trebuie să existe un acord de prelucrare a datelor (articolul 28 din GDPR).
- Dacă datele pleacă în afara Spațiului Economic European, GDPR cere garanții suplimentare pentru transfer.
- Serverele din UE simplifică lucrurile, dar nu te scutesc de restul obligațiilor: politica de confidențialitate, securitatea datelor, banner de cookie-uri corect.
Operator și persoană împuternicită
GDPR împarte rolurile în două. Operatorul decide de ce și cum se prelucrează datele — firma ta, care pune formularul pe site. Persoana împuternicită prelucrează datele în numele operatorului, după instrucțiunile lui — de exemplu firma de găzduire, pe ale cărei servere stau baza de date a magazinului și căsuțele de email.
Rolurile contează pentru că din ele decurg obligațiile: operatorul răspunde față de vizitatori, iar persoana împuternicită trebuie să protejeze datele și să le folosească doar cum i se cere.
Acordul de prelucrare a datelor
Articolul 28 din GDPR cere un contract între operator și persoana împuternicită, care să spună ce date se prelucrează, în ce scop, cât timp, cu ce măsuri de securitate și ce se întâmplă cu ele la final. Pentru clienții NBT Host, acordul e publicat pe pagina acord de prelucrare a datelor și se aplică datelor pe care le găzduiești pe serverele noastre.
De ce contează unde sunt serverele
GDPR nu interzice găzduirea în afara Uniunii, dar transferul datelor personale în afara Spațiului Economic European e permis doar în condițiile din capitolul V al regulamentului: o decizie de adecvare a Comisiei Europene pentru țara respectivă sau garanții adecvate, cum ar fi clauzele contractuale standard. Asta înseamnă documente în plus și o verificare a furnizorului.
Când serverele sunt în UE, datele rămân sub aceleași reguli de la un capăt la altul. Serverele NBT Host sunt în Uniunea Europeană, închiriate de la un furnizor german de centre de date și administrate de echipa noastră, iar copia criptată a backupului e tot în UE. Toți furnizorii prin care trec datele sunt enumerați în politica de confidențialitate. Detalii despre infrastructură, pe despre NBT Host.
Atenție la serviciile pe care le adaugi tu pe site: un formular trimis printr-un serviciu extern, un chat, un instrument de analiză sau un pixel de reclame pot trimite date în afara UE, indiferent unde e găzduit site-ul.
Ce rămâne în grija ta
Serverele din UE sunt o parte a soluției. Ca operator, mai ai de făcut câteva lucruri:
- Politica de confidențialitate pe site: ce date strângi, de ce, cât timp le păstrezi, cui le dai și ce drepturi au oamenii.
- Cookie-urile: cele de analiză și de marketing pornesc doar după acord, iar refuzul e la fel de simplu ca acceptul. Regulile vin din GDPR și din legislația privind confidențialitatea comunicațiilor electronice (în România, Legea 506/2004).
- Securitatea: conexiune criptată prin certificat SSL, parole bune, autentificare în doi pași în panou, actualizări la timp.
- Copii de siguranță și un plan de restaurare — despre asta, în regula 3-2-1.
- Doar datele necesare: un formular de contact nu are nevoie de CNP sau de data nașterii.
Unde găsești sursele
Textul complet al regulamentului e pe EUR-Lex, iar autoritatea din România este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), care publică ghiduri și răspunsuri la întrebări frecvente.