Explicarea aspectelor esențiale în crearea unei politici de confidențialitate conforme cu GDPR

Când se prelucrează datele personale ale utilizatorilor din spațiul UE, este necesar să se conformeze GDPR și să se creeze o politică de confidențialitate adaptată la GDPR. Totuși, mulți nu înțeleg în detaliu GDPR-ul și, prin urmare, nu știu dacă site-ul lor trebuie să se conformeze sau cum să se conformeze.

Prin urmare, în acest articol, vom explica pe scurt GDPR-ul și punctele cheie pentru a crea o politică de confidențialitate conformă cu GDPR. De asemenea, vom prezenta situația din Japonia și exemple de companii renumite, așa că vă rugăm să le luați ca referință.

Despre GDPR și Politica de Confidențialitate

Ce reprezintă o politică de confidențialitate conformă cu GDPR? În acest articol, vom explica pe scurt ce este GDPR și care sunt obligațiile legate de politica de confidențialitate impuse de GDPR.

GDPR și Politica de Confidențialitate

GDPR este un regulament stabilit de UE care detaliază protecția datelor personale și modul lor de gestionare. GDPR se aplică în Spațiul Economic European (SEE: statele membre ale UE, excluzând Elveția, plus statele membre EFTA care sunt Islanda, Liechtenstein și Norvegia). Companiile japoneze pot fi, de asemenea, supuse acestui regulament în următoarele cazuri:

• Dacă oferă bunuri sau servicii persoanelor din UE
• Dacă monitorizează comportamentul persoanelor din UE

Subiectul datelor se referă la o persoană fizică identificată sau identificabilă, căreia îi sunt asociate datele personale.

Companiile care se încadrează în categoriile de mai sus trebuie să revizuiască și să actualizeze politica de confidențialitate (sau notificarea de confidențialitate). În cazul unei încălcări a GDPR, compania poate fi obligată să plătească o amendă de până la 20 de milioane de euro sau 4% din cifra de afaceri globală anuală.

Referință: Organizația Japoneză pentru Promovarea Comerțului | “Regulamentul General pentru Protecția Datelor (GDPR)”[ja]

Pentru a efectua tranzacții în siguranță cu țările din UE, este esențial să verificați politica de confidențialitate.

Informarea ‘Informare’ la momentul obținerii datelor personale conform GDPR

Conform GDPR, atunci când se obțin date personale, administratorul trebuie să furnizeze anumite informații subiectului datelor, iar articolul 12 alineatul (1) din GDPR descrie metoda de furnizare a informațiilor.

Informațiile trebuie să fie:

• Succinte, transparente, inteligibile și ușor accesibile
• Exprimate în termeni clari și simpli
• În cazul furnizării informațiilor copiilor, trebuie luate măsuri adecvate
• Furnizate în scris sau, dacă este cazul, prin mijloace electronice sau alte mijloace
• Dacă subiectul datelor solicită, informațiile pot fi furnizate verbal

În plus, articolul 12 alineatul (5) din GDPR stipulează că furnizarea informațiilor trebuie să fie gratuită. Verificați dacă politica de confidențialitate a companiei dvs. îndeplinește criteriile menționate mai sus și, dacă este necesar, efectuați revizuiri corespunzătoare.

Puncte de luat în considerare când revizuim politica de confidențialitate pentru conformitatea cu GDPR

GDPR prevede că, atunci când se obțin date personale direct de la subiectul datelor (Articolul 13 GDPR) sau de la alte surse decât subiectul datelor (Articolul 14 GDPR), administratorul datelor trebuie să specifice mai multe elemente subiectului datelor.

Elementele care trebuie specificate de către administrator includ următoarele:

• Identitatea administratorului și detaliile de contact precise
• Dacă există un reprezentant, identitatea și detaliile de contact precise ale acestuia
• Drepturile subiectului datelor de a accesa, corecta, șterge, restricționa, portabilitatea datelor și dreptul de a obiecta
• Scopul prelucrării datelor personale și baza legală a acesteia
• Perioada de timp în care datele personale vor fi stocate sau criteriile pentru determinarea acestei perioade
• Tipurile de date personale relevante

Printre elementele de specificat se numără și unele care nu sunt prezente în politicile de confidențialitate din Japonia, așadar acestea vor trebui să fie revizuite cu prioritate. Pentru politica de confidențialitate bazată pe Legea Japoneză de Protecție a Informațiilor Personale, vă rugăm să consultați articolul următor.

Articolul relevant: Ce trebuie să știți când creați o politică de confidențialitate bazată pe Legea Japoneză de Protecție a Informațiilor Personale?[ja]

Aici vom discuta punctele cheie de revizuire, concentrându-ne în special pe aspectele care nu sunt prezente în politica de confidențialitate bazată pe Legea Japoneză de Protecție a Informațiilor Personale.

Bazele legalității prelucrării datelor

Regulamentul General privind Protecția Datelor (GDPR) impune explicitarea „bazelor legalității prelucrării datelor”, o cerință care nu exista în legislația anterioară privind protecția datelor personale. Există șase temeiuri legale care justifică prelucrarea legală a datelor personale, conform articolului 6 din GDPR:

• Consimțământul persoanei vizate
• Executarea unui contract
• Obligația legală
• Interesele vitale
• Interesul public
• Interesele legitime

Dacă se aplică una dintre aceste șase baze, prelucrarea este considerată legală, așadar este important să specificăm acest lucru în politica de confidențialitate. Pentru persoanele de la care se obțin informații pentru prima dată, se poate obține consimțământul prin intermediul unei noi politici de confidențialitate.

Totuși, trebuie să acordăm atenție modului în care gestionăm utilizatorii care au consimțit deja. Persoanele care au dat consimțământul înainte de revizuirea politicii de confidențialitate vor trebui să își reînnoiască consimțământul.

În acest caz, o abordare posibilă este să includem una dintre cele șase baze legale în politica de confidențialitate și să solicităm consimțământul pentru revizuirea acesteia.

Categoriile de informații colectate și scopul utilizării acestora

În politica tradițională de confidențialitate, era obișnuit să se includă pe aceeași pagină informațiile colectate, scopul utilizării acestora și termenii și condițiile, obținând astfel un acord global. Totuși, conform Regulamentului General privind Protecția Datelor (GDPR), este necesar să se clarifice exact pentru ce anume își dau utilizatorii acordul.

Este recomandabil să se specifice scopul utilizării pentru fiecare categorie de informații colectate și să se obțină acordul separat pentru fiecare dintre acestea.

Clarificarea scopului utilizării

Regulamentul General privind Protecția Datelor (GDPR) stipulează că scopul utilizării informațiilor colectate trebuie să fie clar definit. De exemplu, un scop de utilizare precum “pentru îmbunătățirea serviciilor” poate fi considerat prea vag și, prin urmare, inadecvat.

În plus, este interzisă prelucrarea suplimentară a datelor într-un mod care nu este compatibil cu scopul inițial, așadar este important să acordați atenție acestui aspect când revizuiți politica de confidențialitate.

Dreptul la ștergere și dreptul la portabilitatea datelor

Este probabil ca multe companii să fi inclus deja în politicile lor de confidențialitate drepturi precum dreptul de acces și dreptul de rectificare. Totuși, sub Regulamentul General privind Protecția Datelor (GDPR), este necesară și includerea dreptului la ștergere și dreptului la portabilitatea datelor.

Dreptul la ștergere se referă la dreptul utilizatorilor de a solicita administratorului să șteargă datele personale. Dreptul la portabilitatea datelor înseamnă dreptul de a transfera datele personale către un alt serviciu.

De exemplu, se poate menționa transferul datelor și istoricului unui abonat de la compania de telefonie mobilă A la compania de telefonie mobilă B. Pentru a fi în conformitate cu GDPR, este necesar să se includă aceste drepturi în politica de confidențialitate.

Precizarea perioadei de stocare a datelor

Conform Regulamentului General privind Protecția Datelor (GDPR), este necesară precizarea explicită a “perioadei de stocare a informațiilor personale”, care nu era menționată în politicile de confidențialitate tradiționale. Dacă nu se poate determina o perioadă specifică, este posibilă conformitatea prin explicarea criteriilor de stabilire a perioadei de stocare.

Stadiul de conformitate GDPR al companiilor japoneze

Vă prezentăm informațiile din sondajul “Tendințele utilizării IT în companii 2021” (versiunea detaliată)[ja], realizat de Fundația Generală Japoneză pentru Promovarea Societății Informaționale și Economice și de către compania ITR Corporation.

Conform rezultatelor sondajului, numărul companiilor care sunt conforme cu GDPR este redus, iar cele care sunt în curs de conformare (în evaluare) reprezintă 26.1%, fiind majoritare. La momentul colectării datelor în 2021, există de asemenea o tendință către companii care nu au transferuri de date personale cu UE.

Rezultatele sondajului privind schimbul de date personale cu UE sunt următoarele:

După cum se poate vedea în graficul de mai sus, 44.4% dintre companii au răspuns că “în prezent nu există un schimb de date și nici nu este planificat pentru viitor”. 12% dintre companii au indicat că “au avut schimburi de date în trecut, dar după implementarea GDPR, datele sunt procesate separat în UE și Japonia”.

25.9% au răspuns că “în prezent nu există un schimb de date, dar este planificat pentru viitor”, iar 17.6% sunt în situația de “a avea în prezent un schimb de date”, ceea ce indică faptul că numărul companiilor care vor interacționa cu UE în viitor ar putea crește, deși la momentul sondajului din 2021 numărul acestora este redus.

Sursa: JIPDEC／ITR ‘Tendințele utilizării IT în companii 2021′[ja]

Abordarea GDPR de către companiile renumite

Mulți dintre dumneavoastră doriți să revizuiți politica de confidențialitate pentru a fi în conformitate cu GDPR, dar s-ar putea să nu știți exact ce ar trebui să conțină aceasta. În acest articol, vom explica în detaliu cum au răspuns Google și Facebook la cerințele GDPR, ca exemple de practici ale companiilor în materie de conformitate.

Conformitatea Google cu GDPR

Google a anunțat următoarele măsuri pentru a se conforma GDPR:

• Îmbunătățirea transparenței față de utilizatori
• Îmbunătățirea controlului utilizatorilor asupra datelor lor
• Îmbunătățirea portabilității datelor
• Îmbunătățirea instrumentelor pentru consimțământul părinților și utilizarea adecvată a internetului de către copii
• Suport pentru utilizatorii de afaceri și parteneri
• Întărirea programului de conformitate cu privire la confidențialitate

Aici vom explica detaliile.

Referință: Google「Despre eforturile Google pentru conformitatea cu Regulamentul General privind Protecția Datelor (GDPR) al UE[ja]」

Îmbunătățirea transparenței față de utilizatori

Pentru a face mai ușor de înțeles informațiile pe care Google le colectează și motivele pentru care o face, îmbunătățim și actualizăm politica de confidențialitate pentru a facilita găsirea informațiilor. Alte aspecte menționate includ:

• Adăugarea de detalii suplimentare privind gestionarea, exportul și ștergerea informațiilor
• Includerea de videoclipuri și diagrame pe lângă text

De asemenea, am modificat setările pentru a facilita accesul la pagina de configurări ale confidențialității.

Îmbunătățirea gestionării de către utilizatori

Pentru a ne conforma cu Regulamentul General privind Protecția Datelor (GDPR), am îmbunătățit modul în care utilizatorii își gestionează datele. Modificările efectuate sunt următoarele:

• Posibilitatea de a vizualiza și șterge datele în secțiunea “Activitatea mea”
• Funcționalitatea de căutare după topic, dată și produs
• Verificarea setărilor de confidențialitate potrivite pentru fiecare utilizator
• Controlul și ascunderea reclamelor afișate
• Înțelegerea datelor prin intermediul Google Dashboard

De asemenea, chiar înainte de aplicarea GDPR, am făcut modificări pentru a facilita gestionarea informațiilor utilizatorilor și a reclamelor.

Îmbunătățirea portabilității datelor

Google oferă diverse servicii precum Google Photos, Drive, Calendar și Gmail. Măsurile pe care Google le-a implementat pentru a se conforma cu GDPR în ceea ce privește portabilitatea datelor sunt următoarele:

• Extinderea serviciilor și a opțiunilor de administrare care permit descărcarea datelor
• Adăugarea unei funcții care permite programarea descărcărilor periodice

Îmbunătățirea instrumentelor pentru consimțământul părinților și utilizarea adecvată a internetului de către copii

Google oferă aplicația Family Link pentru a sprijini părinții și copiii în utilizarea adecvată a internetului. Prin utilizarea Family Link, părinții pot crea conturi pentru copiii lor.

Aplicația permite stabilirea și gestionarea regulilor de acasă, cum ar fi “gestionarea timpului de utilizare” și “suspendarea temporară a dispozitivului”.

Suport pentru utilizatorii și partenerii de afaceri

Pentru a se conforma GDPR, am actualizat politica prin care partenerii Google (cum ar fi advertiserii și operatorii de site-uri) solicită consimțământul utilizatorilor în site-uri și aplicații. Alte aspecte menționate includ:

• Oferirea de instrumente pentru suport în conformitatea cu GDPR
• Înăsprirea procesului de certificare pentru companiile care utilizează serviciile de publicitate Google
• Actualizarea condițiilor de procesare a datelor
• Furnizarea de informații detaliate privind portabilitatea datelor și notificările de incidente de date

Întărirea Programului de Conformitate cu Privire la Confidențialitate

Pentru a ne conforma cu Regulamentul General privind Protecția Datelor (GDPR), implementăm întărirea Programului de Conformitate cu Privire la Confidențialitate. Detaliile sunt următoarele:

• Îmbunătățirea programului de confidențialitate
• Consolidarea procesului de revizuire a produselor

De asemenea, documentăm într-un mod mai cuprinzător procesarea datelor.

Conformitatea Facebook cu GDPR

Facebook a anunțat următoarele măsuri ca răspuns la GDPR:

• Verificarea obținerii informațiilor din reclamele afișate
• Selectarea informațiilor din profil
• Verificarea tehnologiei de recunoaștere facială (UE & Canada)
• Termeni de serviciu actualizați și acord privind datele
• Introducerea funcțiilor ușor de utilizat pentru accesarea, ștergerea și descărcarea informațiilor
• Informații destinate tinerilor

Aici vom explica detaliile.

Referință: Facebook „Conformitatea cu Regulamentul General privind Protecția Datelor (GDPR) și oferirea de noi protecții pentru confidențialitate”

Verificarea obținerii informațiilor din reclamele afișate

Partenerii Facebook folosesc informații obținute prin clicuri pe butonul „Like” sau prin intermediul uneltelor furnizate de Facebook pentru a afișa reclame. Utilizatorii sunt informați despre reclame și pot alege dacă permit partenerilor să folosească aceste informații pentru afișarea reclamelor.

Selectarea informațiilor din profil

Profilurile de pe Facebook pot conține și face publice informații despre vederi politice, credințe religioase sau relații personale. Utilizatorii pot alege dacă doresc să continue să facă publice aceste informații și dacă permit utilizarea lor în reclame.

Informațiile din profil pot fi selectate sau șterse oricând cu ușurință, dacă utilizatorul dorește acest lucru.

Verificarea tehnologiei de recunoaștere facială (UE & Canada)

Facebook oferă utilizatorilor din statele membre UE și Canada opțiunea de a alege dacă să folosească sau nu tehnologia de recunoaștere facială. De asemenea, utilizatorii din alte regiuni pot face această alegere liber.

Termeni de serviciu actualizați și acord privind datele

Utilizatorilor li se va cere să accepte termenii de serviciu și politica de date, care includ informații detaliate despre funcționarea serviciului.

Introducerea funcțiilor ușor de utilizat pentru accesarea, ștergerea și descărcarea informațiilor

Prin utilizarea „Instrumentului de gestionare a datelor personale”, utilizatorii pot verifica și șterge datele personale. De asemenea, pot descărca și exporta datele cu ușurință.

Funcția de log a activităților pe dispozitive mobile a fost actualizată pentru a permite utilizatorilor să verifice mai ușor ce informații au partajat în trecut.

Informații destinate tinerilor

Facebook a implementat deja restricții specifice pentru utilizatorii adolescenți, care includ:

• Restricții privind categoriile de reclame
• Interzicerea utilizării recunoașterii faciale (sub 18 ani)
• Restricții privind vizualizarea și căutarea informațiilor partajate de adolescenți

De asemenea, setările inițiale sunt concepute astfel încât informațiile să nu fie „publice”.

Pentru a se conforma GDPR, Facebook a stabilit reguli suplimentare. În cazul utilizatorilor din statele membre UE, este necesar acordul părinților pentru vizualizarea reclamelor și pentru publicarea informațiilor din profil (cum ar fi credințele religioase și vederile politice).

În alte regiuni, utilizatorii pot alege dacă permit utilizarea datelor obținute de la parteneri pentru afișarea reclamelor și dacă pot face publice informații personale în profilul lor.

Concluzie: GDPR are un domeniu mai larg pentru datele personale decât legislația japoneză și necesită conformare

Regulamentul General privind Protecția Datelor (GDPR) include diverse prevederi, cum ar fi „clarificarea scopului utilizării pentru fiecare informație colectată”, „explicitarea dreptului de ștergere și a dreptului la portabilitatea datelor” și „explicitarea perioadei de păstrare”, extinzând astfel domeniul drepturilor utilizatorilor față de legislația tradițională japoneză.

În cazul încălcării GDPR, este necesar să se plătească amenzi substanțiale, iar companiile care prelucrează informații personale în interiorul UE trebuie să se conformeze GDPR. Companiile care își desfășoară activitatea în UE sau care intenționează să se extindă în viitor trebuie să elaboreze o politică de confidențialitate conformă cu GDPR.

Ghidul măsurilor implementate de firma noastră

Firma de avocatură Monolith este specializată în IT, având o experiență bogată în domeniul internetului și al dreptului. În ultimii ani, afacerile globale s-au extins semnificativ, iar necesitatea verificărilor legale efectuate de experți este în continuă creștere. Firma noastră oferă soluții pentru problemele legate de dreptul internațional.

Domeniile de practică ale firmei de avocatură Monolith: Drept internațional și afaceri externe[ja]