Prin publicarea politicilor publice pe un Website, o companie trebuie să facă dovada clară a transparenței în prelucrarea datelor personale, asumându-și și dovedindu-și responsabilitatea. Asta poate asigura o etichetă de încredere pentru tot ecosistemul de business de care aparține.

În ”STUDIU CONFORMITATE GDPR POLITICI WEBSITE COMPANII IT” realizat de  GDPR READY, se face o analiză asupra existenței, dar și a conținutului politicilor publice de pe site-urile a 150 de companii de IT din România, ceea ce reprezintă o radiografie obiectivă a gradului de conformitate GDPR  pentru cei mai importanți jucători din industrie.

METODOLOGIE

Studiul de conformitate s-a bazat pe o analiză generală preponderent calitativă pe un număr de 150 de site-uri, ale unor companii din zona IT selectate pe baza rezultatelor de profit publicate de Registrul Comerțului. Scopul Analizei GDPR Ready este acela de a vedea în ce măsură companiile de IT din România au găsit resursele necesare pentru asigurarea alinierii la noul Regulament UE 679/ 2016. Paginile de Web care  conțin politicile publice ale organizației reprezintă cea mai elocventă carte de vizită pentru stadiul de conformitate în care se găsește o companie de top.

Companiile IT analizate sunt producători de echipamente hardware, producători software, integratori de sistem, furnizori de servicii Cloud și infrastructură, distribuitori, reselleri și magazine online.

Analiza a urmărit cu precădere modul în care pe site-urile din eșantionul de cercetare se regăsesc politicile publice ale organizației:

• Politica de confidențialitate (sau Politica de prelucrare a datelor personale),
• Pagina de Termeni și Condiții actualizată conform GDPR
• Pagina dedicată Politicii de Cookies, actualizată din perspectiva regulilor GDPR de obținere a consimțământului
• Prezența notificărilor de confidențialitate asociate oricărei formă de colectare a datelor personale ale vizitatorului unei pagini Web,
• Prezența formularelor de adresare a solicitărilor de acces la datele personale,
• Prezența informațiilor de contact ale DPO/ responsabilului cu protecția datelor personale.

Analiza s-a bazat pe evaluarea conținutului publicat pe site-urile din eșantionul studiat, pe baza unor criterii de analiză, cărora li s-a atribuit ponderi diferite, în funcție de importanța aspectului urmărit.

Forma de prezentare a conținutului

• Poziționare pe site
• Ușurința accesului la informație
• Vizibilitate
• Acuitatea informațiilor prezentate
• Structurarea conținutului la cerințele Art. 13 și 14 din GDPR

Prezența unor informații esențiale :

• Datele de contact pentru probleme de GDPR
• Adresa de contact DPO
• Drepturile persoanelor vizate – pondere specială
• Afișarea versiunii și a datei publicării pe site
• Drepturi de proprietate intelectuală
• Disclaimer site parteneri
• Date de contact
• Versiune
• Ce tipuri de Cookies se folosesc
• Perioada de activitate a acestora
• Cum se poate renunța la Cookies

Forme de publicare a barei de Cookies:

• Bară pop-up statică sau mobilă cu opțiune unică de acceptare a Politicii pentru continuarea navigării – pondere specială
• Bară cu notă de informare și link către Politica de Confidențialitate/ Detalii despre Cookies
• Bară cu posibilitate granulară de acord pentru fiecare categorie de Cookies – pondere specială
• Buton de Opt-Out (Renunțare) – pondere specială

Puteți găsi o descriere mai amplă a premiselor și metodologiei utilizate în articolul: ”ANALIZA GDPR READY: POLITICILE DE PE WEBSITE CA IMAGINE PUBLICĂ A CONFORMITĂȚII”, publicat în 29 mai 2019.

REZULTATE

Unul dintre obiectivele vizate de această analiză, care a studiat 150 de site-uri ale unor companii IT, a fost evaluarea generală a prezenței politicilor publice pe Website. Cele șase tipuri de politici studiate au fost analizate din perspectiva prezenței pe site-urile Web, criteriile de apreciere fiind prezența pe site, absența paginii respective sau prezența parțială (incompletă) – de exemplu, notificările specifice unei politici sunt descrise în alte pagini decât cele dedicate.

Care sunt principalele rezultate relevate de acest studiu?

Pentru o clasificare generală a fost analizată distribuția procentuală a indicelui de conformitate GDPR rezultat în urma criteriilor de analiză aplicate:

• 16% dintre companiile IT studiate nu au nicio formă de referire la politicile GDPR
• 11% dintre paginile studiate au un indice redus de conformitate (1%-25%)
• 47% dintre companiile de IT studiate au un nivel mediu-redus de conformitate (26%-50%)
• 25% dintre paginile Web studiate au un indice peste mediu de conformitate (51%-75%)
• Doar 1% – o companie de IT a îndeplinit criteriile asociate unui indice bun de conformitate (peste 75%)

Din analiza Politicilor de conformitate reiese că: Doar 63% dintre site-urile companiilor de IT au o Politică de Confidențialitate, 29% nu au o astfel de politică, deci nu se aliniază principiului de transparență privitor la protecția datelor personale. Restul de 8% au  politică incompletă: Fie nu au actualizat conținutul de pe site, fie conținutul publicat nu atinge toate elementele esențiale care trebuie să existe într-o astfel de politică.

Din perspectiva analizei paginilor de Termeni și Condiții: Doar 41% dintre siteuri au o pagină de Termeni & Condiții, în timp ce 49% nu au o astfel de pagină, deși aceasta ar trebui să se regăsească pe orice site public.

La analiza prezenței și conținutului paginilor de Cookies se relevă că: Doar 42% dintre companiile IT folosesc Cookies și au o pagină dedicată Politicii de Cookies, 40% dintre paginile studiate nu au o astfel de politică, iar 18% dintre Politicile afișate sunt incomplete, neoferind toate elementele de cunoaștere esențiale sau sunt neactualizate.

În fine, cele 91 de  site-uri care afișează o bară de Cookies au fost analizate din perspectiva conformității cu regulile GDPR de obținere a consimțământului, modul de afișare și conținutul barelor de Cookies, prezența sau nu a unor casete de acceptare predefinite, precum și prezența unei casete de REJECT alături de cea de ACCEPT. Rezultatele indică faptul că:

• 81% Dintre siteurile firmelor IT studiate nu sunt conforme cu criteriile GDPR de obținere a consimțământului afișând pe bara de Cookies mesaje din care reiese că navigarea pe pagina respectivă este condiționată de acceptarea de Cookies, singura opțiune a vizitatorilor fiind apăsarea butonului de OK sau acceptarea de Cookies. În această categorie intră și site-urile care oferă explicații legate de posibilitatea de dezactivare pentru Cookies opționale, dar accesul la aceste setări este condiționat de acceptarea generală. Cu alte cuvinte ești obligat să accepți, pentru a dezactiva Cookies-urile nedorite după aceea, ceea ce este în totală contradicție cu modul de obținere necondiționată și neimpusă a consimțământului.
• 16% din siturile studiate oferă navigatorilor prin intermediul unei bare de opțiuni granulare, posibilitate setării categoriilor de Cookies acceptate. Problema este că la jumătate dintre aceste site-uri (8%), casetele de bifare vin cu opțiunea de acceptare predefinită, ceea ce este o altă încălcare a regulilor de obținere a unui consimțământ. Deci un utilizator care nu dorește Cookies de marketing sau pentru terți trebuie se dezactiveze casetele respective, în cazul în care observă acest lucru. Marea majoritate nu sunt atenți la aceste detalii.
• Doar 9% dintre siteurile studiate afișează pe bara de Cookies opțiunea de RENUNȚARE la Cookies (butonul de opt-aut). GDPR spune clar că un consimțământ ar trebui să fie retras la fel de ușor cum a fost acordat și că orice buton de ACCEPT de pe o bară de Cookies trebuie să fie însoțit de un buton similar de REFUZ, care trebuie să asigure utilizatorul că încă de la deschiderea paginii dorite, nu rămân setate decât cookie-urile funcționale, care nu au nicio relevanță din perspectiva prelucrării datelor personale.

Din dorința de a vedea care dintre companiile IT din România  sunt mai bine pregătite pentru GDPR, am făcut o analiză a indicilor de conformitate pentru principalele categorii de companii IT cercetate: producători de echipamente hardware, producători software, integratori de sistem, furnizori de servicii Cloud și infrastructură, distribuitori, reselleri și magazine online.

Iată câteva considerații sugerate de rezultatele acestei analize:

• Cele mai ridicate nivele de conformitate pentru politicile publice de pe Website le au furnizorii de echipamente hardware (sisteme de calcul, rețele și comunicații (medie de 53%), integratorii de sistem (medie 46%) și magazinele online (medie 43%).
• La polul opus se găsesc companiile IT din categoriile reselleri (medie index conformitate 28%) și distribuitorii de echipamente și soluții software (medie 33%)
• Medie de conformitate destul de mică (39%) a reieșit pentru furnizorii de soluții și aplicații software, care prin natura activității acționează de multe ori ca operatori de date asociați pentru datele personale ale clienților lor, cărora le asigură servicii de mentenanță și suport. Aceeași constatare care naște multe semne de întrebare pentru furnizorii de servicii de infrastructură și Cloud care prin media scăzută de doar 40% arată că nu sunt suficient de pregătiți pentru demonstrarea conformității prin politicile publicate pe site.

La o analiză generală de poziționare a companiilor de IT față de nivelul de conformitate evaluat pentru alte verticale industriale (vezi rezultatele ”ANALIZA GDPR READY: POLITICILE DE PE WEBSITE CA IMAGINE PUBLICĂ A CONFORMITĂȚII”, publicată în 29 mai 2019, reiese că media de 37% a companiilor de IT este mult mai mică decât a companiilor din retail, utilități, automotive și telecom, care par mult mai preocupate de imaginea publică a conformității GDPR (medie 57-58%).

GREȘELI FRECVENTE

Printre cele mai frecvente greșeli întâlnite la companiile de IT se numără:

• Omiterea menționării drepturilor persoanei vizate, obligatorie în orice informare a acestora
• Neactualizarea conținutului paginii cu Politica dă Confidențialitate – multe site-uri fac trimitere la Legea 677/ 2001 sau pe Site este afișat mesajul: ”Compania noastră este Operator de date personale înregistrat în Registrul național cu Nr…….”
• Lipsa sau neactualizarea paginii de Termeni & Condiții în spiritul GDPR
• Obligativitatea Acceptării utilizării de Cookies ca o condiționare a continuării navigării pe site
• Prezența unui meniu granular de acceptare a diferitelor categorii de Cookies cu casete Pre-bifate
• Lipsa posibilității de Opt-Out la acceptarea utilizării de Cookies: 91% dintre site-urile care au o politică de Cookies.
• Bara de Cookies este plasată în așa fel încât maschează prezența celorlalte politici, de regulă la partea inferioară a site-ului.
• Politicile publice, deși există, sunt greu de găsit

CONCLUZII

Lipsa preocupărilor legate de publicarea sau actualizarea Politicilor Publice de pe Website poate fi o constatare îngrijorătoare și o radiografie transparentă a modului în care organizațiile din România, în cazul de față un eșantion cât de reprezentativ pentru industria de IT,  sunt dispuse să învestească în alinierea la GDPR.

Așa cum spuneam și în concluziile Analizei publicate în luna mai, prezența acestor politici pe site reprezintă o carte de vizită, o declarație publică a preocupărilor unei companii pentru conformitate și asumarea responsabilității. Companiile din industria IT, fie că sunt producători, integratori, distribuitori, reselleri sau furnizori de servicii, acționează prin esența activității lor fie ca operatori, fie ca procesatori de date personale pentru întreaga gamă de categorii de date personale, de cele mai multe ori cu caracter special sau senzitive.

Faptul că 29% dintre companiile de IT nu au o politică de confidențialitate publicată pe site, iar 79% nu au notificări legate de prelucrarea datelor personale pe care le colectează prin intermediul formularelor online, nu poate fi decât îngrijorător cu privire la seriozitatea cu care e abordată conformitatea. Asta ridică mari semne de întrebare cu privire la nivelul general de pregătire la nivel de organizație.  Este greu de crezut că o organizație care nu e preocupată de imaginea sa publică se poate apropia de un nivel de conformitate acceptabil în privința proceselor, procedurilor și politicilor aplicate pe plan intern.

Prin esența activităților lor, companiile de IT trebuie să fie în linia întâi a bătăliei pentru asigurarea condițiilor tehnologice optime necesare pentru prelucrarea oricăror tipuri de date, din care datele personale nu reprezintă decât o parte. Faptul că o companie IT nu are o politică publică de confidențialitate și, de cele mai multe ori o politică de Securitate IT pentru proprii angajați, poate reduce foarte mult credibilitatea și garantarea soluțiilor și serviciilor oferite clienților. Directorilor  informatici, dar mai ales managerilor le revine responsabilitatea de a demonstra faptul că pot să aibă grijă de propriile lor date personale și de cele ale clienților și partenerilor.   

DESPRE ”STUDIU DE CONFORMITATE GDPR POLITICI WEBSITE COMPANII IT” – Un proiect de cercetare conceput și realizat de GDPR READY. Toate drepturile rezervate.  Cei interesați pot solicita Broșura cu același nume (8 pag) disponibilă în format electronic.