#059: Przestrzegaj prawa na swojej stronie WWW - Wojciech Wawrzak

Czy nie dając możliwości wyboru checkboxa, tak jak to jest w idealnym świecie, tylko po prostu informując, że no już zbieramy Twoje dane, Twoją sesję, czy to jest OK? Zgodnie z aktualnymi wymaganiami, tak naprawdę ustandaryzowanymi w obrębie Unii Europejskiej, nie powinniśmy tego robić. Nie powinniśmy ładować niczego bez zgody użytkownika. Dopiero jak się zgodzi, możemy załadować. Sama informacja nie jest wystarczająca. I to oczywiście jest zagadnienie pod tytułem prawo sobie, a życie sobie. Bo nawet jak zajrzymy na serwisy, które niby mają ten mechanizm do zarządzania prywatnością i włączymy sobie jakąś wtyczkę śledzącą aktywność skryptów, to okaże się, że one i tak są ładowane wcześniej. Ale to jest kwestia egzekwowania prawa. Natomiast model,

Także sprawa jest trudna. Ja generalnie jestem jakiś sceptyczny w stosunku do tych założeń europejskiego poziomu prywatności, że my będziemy temu przeciwdziałać, bo prawda jest taka, że my temu nie jesteśmy w stanie skutecznie przeciwdziałać. Wszystkie te działania związane z uzyskiwaniem zgody są nieco pozorowane, bo wszyscy udają, że coś robią i wiedzą, że i tak na zapleczu coś się dzieje. Tak naprawdę jest to trochę walka z wiatrakami i tak całkowitego śledzenia chyba nigdy nie będziemy w stanie wyciąć. Jak już jesteśmy przy Googlu, to chciałbym dopytać o taką rzecz, wysyłanie danych poza Unię Europejską. No bo przykładowo Google Analytics 4 jest to narzędzie googlowe, pewnie na mocy prawa ze Stanów Zjednoczonych, serwery pewnie są w Stanach Zjednoczonych i tak dalej.

Jak to się ma teraz do tego, że my w Unii Europejskiej zbieramy te dane i one są wysyłane, znaczy zbieramy dane od użytkowników z Unii Europejskiej i te dane są później magazynowane w Google Analytics 4, który hostuje je w Stanach albo może gdzie indziej? No to jest podstawowe wyzwanie, że on jest Google Analytics czy narzędziami zewnętrznymi, bo one często bazują na infrastrukturze spoza Europy, a nawet jeżeli infrastruktura jest z Europy, to na przykład dostęp do danych ma obsługa techniczna Cindy, powiedzmy. Więc w zasadzie przekazywania tego danych poza Unię Europejską trudno jest uniknąć. Ale wychodząc od podstaw, o co tu w ogóle chodzi i dlaczego się tym zajmujemy? No dlatego się tym zajmujemy, że RODO, czyli to rozporządzenie poświęcone ochronie danych osobowych, przewiduje, że dane zasadniczo powinny być przetwarzane na terenie Unii Europejskiej.

Jeżeli mają być udostępniane do jakiegoś państwa trzeciego, To po pierwsze, one mogą być udostępniane wtedy, kiedy to państwo daje gwarancję, że ono chroni tak samo dane osobowe, jak one są chronione w Europie. Jeżeli takiej gwarancji nie daje, nie ma decyzji Komisji Europejskiej to stwierdzającej, to trzeba znaleźć inny instrument. To jest temat generalnie dość mocno skomplikowany. Myślę, że nie będziemy rozmawiać o samych mechanizmach transferu danych do państw trzecich, ale problem z Google Analytics, na który się nacięły firmy, które miały pewne postępowania kontrolne z tym związane, jest właśnie tego rodzaju. Że nie możemy argumentować, że w Google Analytics są dane anonimowe, bo jest chociażby adres IP, jest chociażby jakiś unikalny identyfikator użytkownika, który Google'owi pozwala tego użytkownika jednak zidentyfikować. W związku z tym, my korzystając z Google Analytics udostępniamy dane poza obszar Unii Europejskiej do Stanów Zjednoczonych i nie powinno się to odbywać.

Jasne. No pewnie, nie wiem, czy już tworzyłeś taki materiał na swoim blogu, bo też dodajmy, że prowadzisz podcast, więc może to jest temat na odcinek podcastu u Ciebie w Twoim podcaście. Wiesz co, ja ci powiem szczerze, jestem trochę zmęczony tymi tematami związanymi z wymogami prawnymi w Unii Europejskiej co do prywatności. Ostatnio nie publikuję na ten temat materiałów, bo to jest takie zadanie pod tytułem, ty przedstawiasz coś, po czym dostajesz pięć komentarzy, no a jak to, a inni tak robią. No i oczywiście, że inni tak robią i będą tak robić, bo tak wygląda biznes. Nie do końca mamy możliwość realnego nad tym zapanowania. A co więcej, w sektorze małych firm, małych przedsiębiorców, takich, z którymi ja głównie pracuję na co dzień, temat jest tym bardziej odległy, że u nas w Polsce w zasadzie nie ma żadnych postępowań kontrolnych w zakresie plików cookies, narzędzi śledzących.

Ja jeszcze tylko bym dodał o hostowaniu stron WWW np. w firmach hostingowych z Unii Europejskiej, spoza Unii Europejskiej. Czy tutaj znowu wracamy do tematu wysyłania danych poza Unię Europejską? To jest bliźniaczy temat? No najczęściej tak, bo najczęściej w związku z tym, że my hostujemy stronę na serwerze, to w naszej bazie danych często odkładają się pewne dane osobowe o użytkownikach, o zamówieniach, O przesłanych formularzach kontaktowych, opinie, no cokolwiek. Jeżeli mamy dane osobowe w naszej bazie danych, no to ten nasz hostingodawca je przechowuje. Dla nas najbezpieczniej byłoby, żeby on je przechował w infrastrukturze zlokalizowanej w Unii Europejskiej. No i na tym etapie bym po prostu dokonywał selekcji naszego wyboru hostingodawcy, bo jesteśmy w stanie znaleźć hostingodawców, którzy będą mieli serwery w Unii Europejskiej.

I dla nas jest to bezpieczniejsze, bo nie musimy spełniać wymogów transferu danych do USA. No i tutaj wykupując usługę hostingową mamy też regulamin, jakąś tam umowę, coś tam czekujemy na starcie, żeby móc założyć hosting, więc już te firmy trochę dbają o to, one się zabezpieczają, my akceptując ten regulamin Warto, żebyśmy go przeczytali pewnie, ale że tak powiem w większości przypadków, jeżeli firma jest na przykład z Polski, hostuje w Polsce czy tam w Unii Europejskiej i ten regulamin jest poprawny, no to chyba nie mamy się czym martwić. Wiesz, martwić się powinniśmy zawsze, natomiast odchodząc od danych osobowych, bo to jest taki temat, który mało kogo interesuje, bo im się wydaje to niepraktyczne.

Może być przez użytkownika po prostu odbierana jako jakiś skam, no bo skoro nie ma na niej żadnego dokumentu prawnego, nie ma nawet na niej danych administratora, to w tym świecie, gdzie użytkownicy się przyzwyczaili do Terms of Use, Privacy Policy, do tych różnych zgód, To może budzić taką konsternację, czy ja czasem nie trafiłem na jakiś skam? Ok, rozumiem. No chyba, że mówimy o stronach spoza Unii Europejskiej, no to tam nie muszą być takie informacje zawarte, ale z drugiej strony nie powinna taka strona być dostępna dla użytkowników Unii Europejskiej, czyli powinna być zablokowana. Był, pamiętam, taki case, jak wchodziło to słynne RODO, miałem takie narzędzie, taka stronę do archiwizowania różnych artykułów z sieci. I oni tam po prostu te wszystkie linki, taka przechowalnia jakby, i to w pewnym momencie zostało wyłączone tam na ileś miesięcy, bo nie dostosowali tego RODO dla użytkowników z Unii i serwis był w ogóle niedostępny, był wyłączony.