GDPR a diskuzní fórum (fyzická osoba)

15. 7. 2017 18:54:09

Mám vlastnoručne napsané diskuzní fórum, ve kterém zapisuju každý přístup do logu (cookies, IP adresa, atd.), abych mohl eliminovat různé nežádoucí jevy, které obvykle provozování diskuzího fóra doprovází (skrytá reklama, trollení atd.). Jsem fyzická osoba, mám 0 zaměstnanců na fóru, mám na fóru AdSense, uživatelé mohou přispívat buď zcela anonymně nebo se registrují přes přezdívka + emailová adresa.

Týká se mě GDPR a poud ano, co z toho pro mě plyne?

(Snažil jsem se to vygooglit, ale moc moudrý z toho nejsem. Na jednom místě jsem zaznamenal, že když mám 0 zaměstnaců, tak se mě to netýká, ale nikde jinde jsem to nenalezl potvrzené a připadá mi to trochu divné. Také mi není jasné, když se uživatelé neregistrují jménem, ale jen emailem, jestli to je možné považovat za "možnost jednoznačně identifikovat danou osobu" a tím pádem spadat pod GDPR atd.)

15. 7. 2017 18:54:09

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290211

David Musil

(69 hodnocení)

15. 7. 2017 23:15:41

Odpoved od jednoho z pracovniku UOOU:

Podle meho se na nej vztahuje. Jde predevsim o ochranu, protoze zapisuje cookies, IP adresy pristupu, emaily uzivatelu.

15. 7. 2017 23:15:41

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290210

Adam Gajdečka

(47 hodnocení)

16. 7. 2017 00:10:08

Vztahuje se

16. 7. 2017 00:10:08

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290209

sthr

16. 7. 2017 08:30:09

Dík za odpovědi. OK, čili to vypadá, že vlastně na každého, kdo porovozuje (např.) diskusní fórum, se to zřejmě vztahuje, nebo ne? (viz též dotaz č. 5)

1. Takže z povinností, které vím, že mám: Pochopil jsem, že budu muset při registraci nechat lidi odsouhlasit, že to ukládám. Dále budu muset obeslat všecny emaily v databázi a vyžádat si od nich zpětně svolení. Co když to někdo zpětně nebo při registraci neschválí? Já to můžu bez toho provozovat jen těžko, skoro denně odmazávám nějakou reklamu a abych poznal, jestli to je reklama, mi ten log výrazně pomáhá. V regulích GDPR ale je, že odmítnutí uživatelem nemá být důvodem k odmínutí poskytnutí služby provozovatelem.

2. Jak mám požadovat souhlas s ukládáním IP (a cookies) u neregistrovaných uživatelů (kteří na mém fóru mohou taky diskutovat)? A to i zpětně?

3. Má právo na zapomnění i ten, u koho jsem si uložil jen IP (a cookie) nebo jen ti s emailem? (právo na zapomnění = musím být schopen vymazat všechno o uživateli z běžícího systému i všech backupů)

4. Jaké další povinnosti mám?

5. Takže na každou věc, kde se ukládají emaily, se vztahuje GDPR? Je možné provozovat diskusní fórum bez toho, aby to pod GDPR spadalo?

6. Vztahuje se GDPR i na každou věc, kde se ukládá jen IP adresa, tj. na každý server s běžícím logem?

7. Jak budou právo na zapomnění řešit věci typu Wikipedie, kde je aktivita uživatele rozpuštěna do obsahu článku modifikovaného následnými úpravami dalších uživatelů? Nebo se na obsah právo na zapomnění nevztahuje na vytvořený obsah a vztahuje se jen na IP adresu, cookie otisk, email atd.?

16. 7. 2017 08:30:09

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290208

Adam Gajdečka

(47 hodnocení)

16. 7. 2017 08:33:26

Zajímavostí je řešení záloh. Když někdo se bude chtít z vašeho logu vymazat, tak by tento log asi neměl být s těmito údaji v zálohách na serverech atd.

Taky ve všem nemám jasno. :-(

16. 7. 2017 08:33:26

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290207

sthr

16. 7. 2017 08:50:28

No, ale já (a bezpochyby i ostatní) to v zálohách potřebuju. Když se mi odejde server, tak obnovení bez logů je mi k ničemu.

Jinak budu rád za jakoukoliv odpověď k ostatním bodům.

16. 7. 2017 08:50:28

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290206

Adam Gajdečka

(47 hodnocení)

16. 7. 2017 08:58:05

V regulích GDPR ale je, že odmítnutí uživatelem nemá být důvodem k odmínutí poskytnutí služby provozovatelem.

V někdy to ale nejde, třeba takový eshop potřebuje údaje pro odeslání zboží.

2. myslím že to není potřeba u IP (to nejde řešit) a s tím cookies tam má být taková ta lišta "Souhlasím s ukládáním souborů cookies"

3. s tím emailem ano

4. někdo si může vyžádat informace které o něm shromažďujete

5. asi to nejde :-( nebo velmi velmi těžko

16. 7. 2017 08:58:05

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290205

skranc

(5 hodnocení)

16. 7. 2017 20:47:08

GDPR pro Vás platí zcela jistě. Pracujete s osobními daty ať již jsou to e-maily, IP a cookies.

Forum obecně je poměrně oříšek. Aktuálně s týmem u jednoho fora GDPR zavádíme a poslední konsensus, který jsme našli by spočíval v tom, že forum nebude pracovat na základě souhlasů jak je tomu nyní, ale na základě oprávněného zájmu. Předělá se tedy právní status zpracování osobních dat. Je to totiž poměrně levná a forum nijak neomezující varianta.

Prostě s GPR to není jen tak, že řeknete mám fórum a dostanete přesný návod co dělat. Pokud chcete zavést GDPR kvalitně a taky ekonomicky potřebujete skloubit požadavky GDPR specialisty, právníka, manažera a IT. Vyplatí se nějaká počáteční konzultace, kde dostanete směr a pokud si následující kroky provedete sami vyjde to v zásadě na pár korun.

K Vašim dotazům:

1) Pokud budete používat souhlas, pak je to tak jak píšete. Pokud odmítne prostě jeho registraci zrušíte a data smažete. Musíte udělat něco jako možnost anonymního vložení příspěvku. Toto vše za předpokladu, že budete pracovat na bázi souhlasu.

2) Neřešit přes souhlas, ale specifikovat oprávněný zájem

3) Právo na zapomnění má ten, kdo doloží totožnost. Pokud zpracováváš cookie (to je na jeho počítači) a IP (tato je nejednoznačná) jak prokáže svoji totožnost? Je to nesmysl u těchto uživatelů se tím nemusíš vůbec zabývat.

4) vzhledem k uživatelům je to: transparentnost, legálnost, minimalizace, výpis, přenositelnost, výmaz různě se to prolíná a liší podle právního titulu zpracování dat

5) myslím, že není....podle mého názoru bude vždy forum pod GDPR spadat

6) ano vztahuje, ale je to většinou oprávněný zájem provozovatele. logy se ukládají kvůli testování, bezpečnosti a dalšímu. Podobně jako zálohy.

7) Autorem článku bude anonymní osoba, text podléhá autorskému právu nikoliv osobním údajům. Dojde tedy pravděpodobně k výmazu nebo anonymizaci autora

16. 7. 2017 20:47:08

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290204

sthr

16. 7. 2017 22:32:48

Děkuju za obsáhlou odpověď, zítra si to prostudu pořádně ještě jednou, rád na některé věci dozeptal. Ale jednu otázku bych měl hned:

Co znamená formulace "forum nebude pracovat na základě souhlasů jak je tomu nyní, ale na základě oprávněného zájmu"? Vyooglil jsem si, co to je oprávněný zájem, ale moc moudrý z toho nejsem.

Ještě jednou dík.

16. 7. 2017 22:32:48

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290203

skranc

(5 hodnocení)

17. 7. 2017 08:54:54

Podle GDPR existuje několik právních titulů ke zpracování osobních údajů a souhlas je pouze jeden z nich. Jsou to:

- Souhlas

- Právní povinnost

- Veřejný zájem či výkon veřejné moci

- Plnění či uzavření smlouvy

- Oprávněný zájem

- Životně důležitý zájem

Souhlas je nejvíce problematický, protože sice dává nejvíce možností ke zpracování, ale zároveň nejvíce povinností. Pokud je to tedy možné a neomezuje to nijak činnost je lepší se mu vyvarovat.

To je právě o tom, že GDPR nemusí být takový strašák jak na první pohled vypadá. Pokud třeba u nás někomu navrhujeme řešení GDPR pak se snažíme o maximální jednoduchost a využití všech prostředků. Přeci jen i GDPR říká, že vynaložené prostředky musí být adekvátní :))

17. 7. 2017 08:54:54

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290202

David

(13 hodnocení)

17. 7. 2017 15:41:39

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290201

skranc

(5 hodnocení)

17. 7. 2017 17:33:45

až 20 000 000 EUR nebo 4% celosvětového obratu společnosti. Podle toho, co je vyšší.

PS: Nevyplatí se to

17. 7. 2017 17:33:45

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290200

Zdeněk

(4 hodnocení)

17. 7. 2017 18:03:45

Mohu se zeptat z jakých zdrojů čerpáte informace o GDPR ? Děkuji

17. 7. 2017 18:03:45

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290199

skranc

(5 hodnocení)

17. 7. 2017 19:58:12

Tak primárně z českého překladu GDPR a ze školení, která jsem absolvoval. Je něco co Vám nesedí nebo na co máte jiný názor?

17. 7. 2017 19:58:12

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290198

sthr

17. 7. 2017 20:53:12

Měl bych nějaké doplňující dotazy ještě:

1., 2. Můžu tedy fórum provozovat na základě Oprávněného zájmu a souhlas nepožadovat? Čili jen někam napsat, co ukládám a proč a že to je můj oprávněný zájem (nebo jak se to dělá) a tím to je vyřízené?

6. Vážně se GDPR vztahuje na všechno, kde se zapamatovává IP adresa? Mám dojem, že jsem někde četl, že ti je jen tam, kde se IP adresa (nevím, jestli i Cookie?) dá spárovat s nějakým konkrétním člověkem.

8. Nahrazuje GDPR současné "EU Cookie nařízení", nebo budou platit vedle sebe?

9. Chápu to správně, že "právo na zapomnění" se vztahuje jen na osobní údaje, ale ne na obsah vytvořený uživatelem.

díky

17. 7. 2017 20:53:12

https://webtrh.cz/diskuse/gdpr-a-diskuzni-forum-fyzicka-osoba#reply1290197