BDAR ir duomenų apsauga svetainėse: ką privalo žinoti kiekvienas Lietuvos verslas

BDAR (Bendrasis duomenų apsaugos reglamentas) galioja nuo 2018 metų, tačiau daugelis Lietuvos smulkiojo verslo svetainių vis dar neatitinka reikalavimų. Baudos gali siekti iki 4% metinės apyvartos. Šiame gide – praktiškai, ką turite padaryti.

1. Privatumo politika – privaloma kiekvienai svetainei

Bet kuri svetainė, renkanti duomenis (net ir tik el. paštą per kontaktų formą), privalo turėti aiškią privatumo politiką. Ji turi atsakyti: kokius duomenis renkate, kam naudojate, kiek laiko saugote ir kaip vartotojas gali juos ištrinti.

• ✓Rinkimų tikslai – kodėl renkate vardą, el. paštą, telefono numerį
• ✓Duomenų saugojimo laikotarpis – pvz., "saugome 2 metus po paskutinio kontakto"
• ✓Trečiosios šalys – ar perduodate duomenis (pvz., Google Analytics, Mailchimp)
• ✓Vartotojo teisės – kaip gali prašyti ištrinti, ištaisyti ar eksportuoti duomenis
• ✓Kontaktinė informacija duomenų apsaugos klausimais

2. Slapukų sutikimas – ne tik iššokantis langas

Slapukų sutikimo juosta turi atitikti griežtus reikalavimus. Populiariausios klaidos: sutikimas jau iš anksto pažymėtas, nėra mygtuko 'Atsisakyti visų', arba analitiniai slapukai aktyvuojami prieš gaunant sutikimą.

// Teisingas slapukų sutikimo implementavimas Next.js
// 1. Google Analytics NEAKTYVUOJAMAS prieš sutikimą
// 2. Slapukai grupuojami pagal tipą

export function initAnalytics(consent: boolean) {
  if (!consent) return; // Nesikrauna be sutikimo
  
  // Tik po vartotojo sutikimo
  window.gtag('consent', 'update', {
    analytics_storage: 'granted',
    ad_storage: 'denied', // Reklamos slapukai visada atmesti
  });
}

3. Kontaktų formos ir el. pašto rinkinys

• ✓Aiškiai nurodykite, kam bus naudojamas el. paštas – pvz., "Naudosime tik atsakymui į jūsų klausimą"
• ✓Jei planuojate siųsti naujienlaiškius – reikia atskiro, aiškaus sutikimo žymimojo lauko
• ✓Neužpildyto lauko neturi būti iš anksto pažymėto
• ✓Turi būti nuoroda į privatumo politiką prie formos

4. El. parduotuvių specifiniai reikalavimai

El. parduotuvės renka daugiau duomenų – adresus, mokėjimų informaciją, pirkimų istoriją. Papildomi reikalavimai:

• ✓Klientas turi galėti atsisiųsti visus savo duomenis (duomenų perkeliamumas)
• ✓Sąskaitų duomenys – saugoti pagal LR buhalterinės apskaitos įstatymą (10 metų)
• ✓Mokėjimų kortelių duomenų negalima saugoti be PCI DSS sertifikacijos – naudokite Stripe/PaySera
• ✓El. laiškai su užsakymų informacija turi turėti "išsiregistruoti" galimybę