آموزشها
قالبها
افزونه‌ها
آکادمی
هاست وردپرس
طراحی سایت
فرمانقانون GDPR چیست و چه اهمیتی برای سایت‌های ایرانی داره؟
- رادیو وردپرسمقالات آموزشی
- بروزرسانی شده در
اگه سایت، فروشگاه اینترنتی یا سرویس آنلاین دارید، احتمالاً اسم GDPR رو کنار پیام کوکیها و سیاست حفظ حریم خصوصی دیدید. این قانون مشخص میکنه کسب‌وکارها با اطلاعات شخصی افراد چطور رفتار کنن، چرا اونها رو جمع‌آوری کنن و چه زمانی حذفشون کنن.
GDPR فقط برای شرکت‌های بزرگ اروپایی نیست. یک کسب‌وکار ایرانی هم ممکنه با ارائه خدمات به افراد داخل اتحادیه اروپا یا بررسی رفتار اونها مشمول این قانون بشه. در ادامه خیلی ساده می‌بینیم قانون GDPR چیست، چه اطلاعاتی رو پوشش می‌ده و برای رعایت اصولش باید سراغ چه کارهایی برید.
آنچه در این مقاله می‌خوانید
قانون GDPR چیست؟
GDPR کوتاه‌شده عبارت General Data Protection Regulation و به معنی «مقررات عمومی حفاظت از داده‌ها» هست. این مقررات برای محافظت از اطلاعات شخصی افراد و مشخص‌کردن مسئولیت مجموعه‌هایی نوشته شده که این اطلاعات رو جمع‌آوری یا استفاده می‌کنن. متن کامل این مقررات در وب‌سایت رسمی قوانین اتحادیه اروپا در دسترسه.
اطلاعات شخصی یعنی هر داده‌ای که مستقیم یا غیرمستقیم به شناسایی یک فرد کمک میکنه. نام و ایمیل نمونه‌های ساده این اطلاعات هستن، ولی شناسههای آنلاین مثل آدرس IP هم ممکنه اطلاعات شخصی حساب بشن.
هدف GDPR اینه که افراد کنترل بیشتری روی اطلاعات خودشون داشته باشن. در طرف مقابل، کسب‌وکارها باید شفاف توضیح بدن چه اطلاعاتی می‌گیرن، چرا به اون نیاز دارن، چقدر نگهش می‌دارن و با چه شرکت‌هایی به اشتراک می‌ذارن.
این مقررات از ۲۵ مه ۲۰۱۸ قابل اجرا شده. دامنه اون فقط به محل دفتر یک شرکت محدود نیست و در بعضی شرایط، مجموعه‌های خارج از اتحادیه اروپا رو هم پوشش می‌ده. GDPR در کشورهای منطقه اقتصادی اروپا هم اجرا می‌شه؛ ولی جزئیات اجرای اون در هر کشور و بعضی قواعد محلی ممکنه فرق داشته باشه.
پادکست: قانون GDPR چیست؟
در این قسمت از پادکست میهن وردپرس، تعریف GDPR و اهمیت حفاظت از اطلاعات کاربران رو مرور می‌کنیم. برای جزئیات دقیق‌تر درباره دامنه اجرای قانون، حقوق کاربران و وظایف سایت‌های ایرانی، ادامه همین مقاله رو هم بخونید.
GDPR از چه اطلاعاتی محافظت میکنه؟
GDPR فقط از اطلاعاتی مثل نام و نام خانوادگی محافظت نمی‌کنه. هر اطلاعاتی که بشه با کمک اون یک فرد رو شناخت یا به فرد مشخصی ارتباط داد، ممکنه زیر پوشش این قانون قرار بگیره.
- اطلاعات هویتی و ارتباطی: نام، نشانی، ایمیل، شماره تلفن و شماره شناسایی.
- اطلاعات فنی: آدرس IP، شناسه دستگاه، بعضی کوکیها و اطلاعات موقعیت مکانی.
- اطلاعات مالی و خرید: سابقه سفارش، اطلاعات صورتحساب و جزئیات مربوط به پرداخت.
- دسته‌های ویژه اطلاعات شخصی: دادههای پزشکی و ژنتیکی، دادههای بیومتریک برای شناسایی یکتای فرد، باورهای مذهبی و دیدگاه‌های سیاسی. پردازش این اطلاعات شرایط سخت‌گیرانه‌تری داره.
برای مثال، یک فروشگاه اینترنتی ممکنه نام، شماره تماس، نشانی تحویل و سابقه خرید مشتری رو نگه داره. یک وبلاگ هم ممکنه از طریق فرم دیدگاه، آدرس ایمیل و IP بازدیدکننده رو ثبت کنه. ابزار آمار بازدید یا تبلیغات هم می‌تونه با کوکی و شناسه دستگاه، رفتار کاربران رو دنبال کنه.
البته هر کوکی به‌خودی‌خود اطلاعات شخصی نیست. باید ببینید داخل اون چه شناسه‌ای ذخیره می‌شه، برای چه کاری به کار می‌ره و آیا می‌شه داده‌هاش رو مستقیم یا غیرمستقیم به یک فرد ارتباط داد.
آیا قانون GDPR برای سایت‌های ایرانی هم مهمه؟
بله، ممکنه مهم باشه؛ ولی هر سایت ایرانی بهصورت خودکار مشمول GDPR نیست. طبق توضیح کمیسیون اروپا درباره دامنه اجرای GDPR، محل استقرار کسب‌وکار تنها معیار نیست. نوع فعالیت و ارتباط اون با افراد داخل اتحادیه اروپا هم اهمیت داره.
چه زمانی یک کسب‌وکار ایرانی ممکنه مشمول GDPR بشه؟
اگه کسب‌وکارتون به افراد داخل اتحادیه اروپا کالا یا خدمات ارائه بده، ممکنه GDPR درباره اون اجرا بشه. رایگان‌بودن خدمات هم لزوماً این موضوع رو عوض نمی‌کنه.
نشانه‌هایی مثل نمایش قیمت به یورو، ارسال کالا به کشورهای اتحادیه اروپا، تبلیغات مخصوص اون بازار یا ارائه نسخه‌ای از سایت برای مشتریان یک کشور اروپایی می‌تونن هدف‌گرفتن اون بازار رو نشون بدن. هیچ نشانه‌ای بهتنهایی همیشه تعیین‌کننده نیست و شرایط واقعی کسب‌وکار هم بررسی می‌شه.
حالت دیگه، ردیابی رفتار افراد داخل اتحادیه اروپاست. برای نمونه، اگه از ابزارهای تبلیغاتی برای ساخت پروفایل رفتاری، پیش‌بینی علاقه‌مندی‌ها یا نمایش تبلیغ هدفمند به این افراد استفاده می‌کنید، ممکنه فعالیتتون زیر پوشش GDPR قرار بگیره.
چه زمانی صرفاً بازدید یک کاربر اروپایی کافی نیست؟
اینکه سایتتون از اروپا باز بشه، بهتنهایی ثابت نمی‌کنه که بازار اتحادیه اروپا رو هدف گرفتید. بیشتر سایت‌های عمومی از کشورهای مختلف قابل دسترسی هستن و صرف این دسترسی معمولاً کافی نیست.
مثلاً یک فروشگاه فارسی که فقط داخل ایران ارسال داره و پرداخت اون هم ریالیه، صرفاً با یک بازدیدکننده اروپایی لزوماً مشمول GDPR نمی‌شه. ولی فروشگاهی که ارسال به آلمان، قیمت یورویی و تبلیغات مخصوص کاربران آلمان داره، شرایط متفاوتی پیدا میکنه.
یک سایت خدماتی هم اگه مشاوره آنلاین رو مشخصاً به مشتریان داخل اتحادیه اروپا عرضه کنه، ممکنه مشمول قانون بشه. برای یک وبلاگ فارسی عمومی، صرف خوانده‌شدن مقاله از اروپا معمولاً با هدف‌گرفتن بازار اروپا یکی نیست؛ هرچند نوع ردیابی کاربران همچنان باید جداگانه بررسی بشه.
مهم‌ترین اصول قانون GDPR کدوم هستن؟
اصول GDPR کمک می‌کنن قبل از نصب هر ابزار یا ساخت هر فرم، درباره نیاز واقعی به اطلاعات کاربران فکر کنید. کمیسیون اروپا اصول GDPR رو به زبان ساده توضیح داده.
- قانونی، منصفانه و شفاف عمل کنید: کاربر باید بدونه چه اطلاعاتی ازش می‌گیرید و چرا از اون استفاده می‌کنید.
- هدف رو مشخص کنید: اطلاعات رو برای هدف روشن و اعلام‌شده بگیرید و بعداً بدون دلیل مناسب سراغ استفاده‌ای کاملاً متفاوت نرید.
- اطلاعات اضافی نگیرید: اگه ایمیل برای انجام کار کافیه، درخواست تاریخ تولد یا نشانی منزل منطقی نیست.
- اطلاعات رو درست نگه دارید: برای اصلاح دادههای اشتباه یا قدیمی مسیر مشخصی داشته باشید.
- داده‌ها رو بیشتر از زمان لازم نگه ندارید: برای بازبینی و حذف اطلاعات قدیمی، زمان‌بندی تعریف کنید.
- امنیت رو جدی بگیرید: از اطلاعات در برابر دسترسی غیرمجاز، افشا، تغییر یا نابودی محافظت کنید.
- اقدام‌هاتون رو ثبت کنید: باید بتونید نشون بدید برای رعایت این اصول چه کارهایی انجام دادید.
برای پردازش اطلاعات همیشه به رضایت کاربر نیاز دارید؟
نه. «پردازش» یعنی هر کاری که روی اطلاعات انجام می‌دید؛ از جمع‌آوری و ذخیره‌سازی گرفته تا استفاده، انتقال یا حذف. رضایت یکی از مبناهای قانونی پردازشه، ولی تنها مبنا نیست.
بر اساس راهنمای مبناهای قانونی پردازش داده، انجام قرارداد، رعایت الزام قانونی، حفاظت از منافع حیاتی یک فرد، انجام مأموریت عمومی و منفعت مشروع هم می‌تونن در شرایط مناسب مبنای پردازش باشن.
مثلاً یک فروشگاه برای ارسال سفارش به نشانی مشتری، معمولاً به اطلاعات تحویل نیاز داره. این پردازش می‌تونه برای اجرای قرارداد خرید لازم باشه و قرار نیست برای هر مرحله رضایت جداگانه‌ای گرفته بشه. در مقابل، استفاده تبلیغاتی از همون اطلاعات به بررسی و مبنای قانونی جداگانه نیاز داره.
وقتی رضایت رو انتخاب می‌کنید، رضایت باید آزادانه، آگاهانه، مشخص و روشن باشه. تیک ازپیش‌فعال یا جمله مبهمی که چند استفاده متفاوت رو یکجا تأیید میکنه، انتخاب واقعی به کاربر نمیده. پس‌گرفتن رضایت هم باید به سادگی اعلام اون باشه.
کاربران طبق GDPR چه حقوقی دارن؟
GDPR فقط برای کسب‌وکارها وظیفه نمی‌سازه؛ به افراد هم حقوق مشخصی می‌ده. نحوه پاسخ‌گویی به هر درخواست به شرایط و مبنای قانونی پردازش بستگی داره.
- حق اطلاع: فرد باید بدونه چه اطلاعاتی جمع می‌شه، چرا استفاده می‌شه و چه کسی به اون دسترسی داره.
- حق دسترسی: کاربر می‌تونه درباره پردازش اطلاعاتش سؤال کنه و نسخه‌ای از اونها بگیره.
- حق اصلاح: اطلاعات اشتباه یا ناقص باید با درخواست معتبر کاربر اصلاح بشن.
- حق حذف: کاربر در شرایط مشخص می‌تونه حذف اطلاعاتش رو بخواد؛ البته این حق مطلق نیست.
- حق محدودکردن پردازش: در بعضی شرایط، فرد می‌تونه بخواد استفاده از اطلاعاتش موقتاً محدود بشه.
- حق اعتراض: فرد ممکنه بتونه به بعضی پردازش‌ها، از جمله بازاریابی مستقیم، اعتراض کنه.
- حق انتقال‌پذیری داده: در شرایط مشخص، کاربر می‌تونه اطلاعاتی رو که ارائه داده در قالبی قابل استفاده دریافت کنه یا انتقال اون رو بخواد.
- حقوق مربوط به تصمیم‌گیری خودکار: افراد در بعضی شرایط در برابر تصمیم‌هایی که فقط با پردازش خودکار گرفته میشن و اثر مهمی روی اونها دارن، حقوق ویژه‌ای دارن.
مثلاً درخواست حذف همیشه به معنی پاک‌شدن فوری همه سوابق نیست. اگه نگهداری بخشی از اطلاعات برای انجام یک تکلیف قانونی لازم باشه، ممکنه همون بخش تا پایان زمان لازم نگه داشته بشه.
سایت‌ها برای رعایت GDPR چه کارهایی باید انجام بدن؟
رعایت GDPR با نصب یک افزونه یا قراردادن یک بنر کوکی کامل نمی‌شه. اول باید مسیر اطلاعات رو در کسب‌وکارتون بشناسید و بعد تنظیمات فنی، متن‌های سایت و روندهای داخلی رو با اون هماهنگ کنید.
اطلاعات جمع‌آوری‌شده رو شناسایی کنید
فرم تماس، فرم عضویت، حساب کاربری، سفارش‌ها، دیدگاه‌ها، خبرنامه، آمار بازدید و ابزارهای تبلیغاتی رو بررسی کنید. برای هر مورد بنویسید چه اطلاعاتی گرفته می‌شه، دلیل جمع‌آوری چیه، کجا ذخیره می‌شه، چه کسی به اون دسترسی داره و چه زمانی حذف می‌شه.
خروجی این مرحله بهتره یک فهرست یا جدول ساده باشه که نوع اطلاعات، هدف، مبنای قانونی، محل ذخیره، گیرنده‌ها و زمان حذف رو کنار هم نشون بده. این جدول بعداً برای نوشتن سیاست حریم خصوصی و پاسخ به درخواست کاربران به کارتون میاد.
سرویس‌های بیرونی رو هم یادتون نره. ممکنه اطلاعات از سایتتون به سرویس ایمیل، میزبان سایت، درگاه پرداخت یا ابزار آمار منتقل بشه. این انتقال‌ها هم بخشی از مسیر داده هستن.
سیاست حفظ حریم خصوصی شفافی بنویسید
سیاست حفظ حریم خصوصی باید با زبان قابل فهم توضیح بده کنترل‌کننده اطلاعات چه شخص یا مجموعه‌ایه، چه اطلاعاتی می‌گیرید، مبنای استفاده از اونها چیه، اطلاعات چقدر نگه داشته میشن و کاربر چطور می‌تونه حقوقش رو پیگیری کنه. «کنترل‌کننده» یعنی مجموعه‌ای که هدف و روش اصلی استفاده از اطلاعات رو تعیین میکنه.
گیرنده‌های اطلاعات، انتقال احتمالی داده به کشورهای دیگه، راه ثبت شکایت و اطلاعات تماس مرتبط رو هم متناسب با وضعیت کسب‌وکارتون توضیح بدید. از کپی‌کردن یک متن آماده بدون تطبیق با ابزارها و فعالیت واقعی سایتتون خودداری کنید؛ چون متن سیاست باید با اتفاقی که واقعاً در سایت می‌افته هماهنگ باشه.
کوکیها و رضایت کاربران رو مدیریت کنید
کوکی فایل کوچیکی هست که مرورگر برای نگهداری اطلاعاتی مثل وضعیت ورود، سبد خرید یا شناسه آماری ذخیره میکنه. همه کوکیها کاربرد یکسانی ندارن.
کوکی‌های ضروری برای کار اصلی سایت لازم هستن؛ مثلاً نگه‌داشتن محصول داخل سبد خرید. کوکی‌های آماری و تبلیغاتی برای اندازه‌گیری رفتار یا هدف‌گیری تبلیغات استفاده میشن و معمولاً به بررسی جداگانه نیاز دارن.
قواعد ذخیره یا خواندن کوکیها فقط از GDPR نمیاد و به قوانین حریم خصوصی ارتباطات الکترونیکی و مقررات محلی کشور مخاطب هم مربوطه. GDPR بیشتر روی پردازش اطلاعات شخصی و معتبر بودن رضایت اثر می‌ذاره. برای همین باید نوع هر کوکی، کشور مخاطب و مبنای استفاده از اون رو جداگانه بررسی کنید.
اگه طبق قواعد قابل اجرا برای کوکی‌های غیرضروری به رضایت نیاز دارید، اونها رو قبل از انتخاب کاربر فعال نکنید. دکمه‌های قبول و رد باید واضح باشن و کاربر بعداً هم بتونه انتخابش رو تغییر بده.
از اطلاعات کاربران محافظت کنید
دسترسی اعضای تیم رو به اندازه نیازشون محدود کنید. رمزهای قوی و ورود دومرحله‌ای داشته باشید، وردپرس و افزونه‌ها رو به‌روز نگه دارید و نسخه پشتیبان رو در فضای امن ذخیره کنید. برای مقایسه دو ابزار امنیتی شناخته‌شده هم می‌تونید راهنمای مقایسه Wordfence و All in One WP Security رو بخونید.
شرکت‌هایی رو که به اطلاعات کاربران دسترسی دارن بررسی کنید. اگه یک شرکت اطلاعات رو از طرف شما پردازش میکنه، «پردازشگر» شماست. قرارداد، مسئولیت‌ها، محل نگهداری داده، سطح دسترسی و اقدام‌های امنیتی اون باید با نوع پردازش و خطرهای اون هماهنگ باشه.
وظایف تکمیلی کسب‌وکارتون رو بررسی کنید
بسته به اندازه، نوع فعالیت و خطر پردازش، ممکنه وظایف دیگه‌ای هم داشته باشید. این وظایف می‌تونن شامل نگهداری سوابق فعالیت‌های پردازش، ارزیابی اثر حفاظت از داده برای پردازش‌های پرخطر و تعیین مسئول حفاظت از داده در شرایط خاص باشن.
اگه کسب‌وکارتون خارج از اتحادیه اروپاست ولی مشمول GDPR می‌شه، ماده ۲۷ در بعضی شرایط انتخاب یک نماینده داخل اتحادیه رو لازم می‌دونه. قواعد انتقال اطلاعات به خارج از منطقه اقتصادی اروپا هم باید جداگانه بررسی بشن. برای تشخیص دقیق این تکلیف‌ها بهتره شرایط واقعی کسب‌وکارتون رو با متخصص حقوقی بررسی کنید.
برای درخواست‌های کاربران آماده باشید
یک ایمیل یا فرم مشخص برای درخواست‌های مربوط به اطلاعات شخصی بسازید. داخل تیم هم معلوم کنید چه کسی درخواست رو بررسی میکنه، اطلاعات مرتبط رو از کجا پیدا میکنه و پاسخ چطور ثبت می‌شه.
قبل از تحویل، اصلاح یا حذف اطلاعات، هویت درخواست‌کننده رو به روشی متناسب بررسی کنید. ولی برای این بررسی، اطلاعات اضافی و غیرضروری نگیرید.
پاسخ به درخواست‌های مربوط به حقوق افراد معمولاً باید حداکثر تا یک ماه بعد از دریافت درخواست داده بشه. اگه درخواست پیچیده باشه یا تعداد درخواست‌ها زیاد باشه، این زمان در شرایط مشخص می‌تونه تا دو ماه دیگه تمدید بشه؛ ولی باید حداکثر تا پایان ماه اول، دلیل تمدید رو به فرد خبر بدید. تاریخ دریافت، بررسی هویت، تصمیم و پاسخ نهایی رو هم ثبت کنید.
اگه رخنه اطلاعاتی اتفاق افتاد، چه کاری باید انجام بدید؟
رخنه اطلاعاتی فقط هک‌شدن سایت نیست. ارسال فایل مشتریان برای فرد اشتباه، گم‌شدن لپ‌تاپ بدون محافظت، دسترسی غیرمجاز به حساب مدیر یا حذف تصادفی اطلاعات بدون نسخه پشتیبان هم ممکنه رخنه اطلاعات شخصی باشه. البته هر اتفاق فنی الزاماً گزارش‌پذیر نیست و میزان خطر اون برای افراد باید بررسی بشه.
اول جلوی ادامه رخنه رو بگیرید و جزئیات اون رو ثبت کنید. مشخص کنید چه اطلاعاتی درگیر شده، رخنه روی چند نفر اثر گذاشته و چه خطری برای اونها داره. بعد اقدام‌های کاهش خطر رو شروع کنید.
در این بخش، «کنترل‌کننده» مجموعه‌ایه که هدف و روش اصلی پردازش رو تعیین میکنه و «پردازشگر» اطلاعات رو از طرف اون پردازش میکنه. طبق راهنمای هیئت اروپایی حفاظت از داده درباره رخنه‌ها، اگه رخنه احتمالاً برای حقوق و آزادی افراد خطر داشته باشه، کنترل‌کننده باید اون رو معمولاً حداکثر تا ۷۲ ساعت بعد از آگاهی به نهاد ناظر مربوط اعلام کنه. اگه گزارش دیرتر انجام بشه، دلیل تأخیر هم باید ارائه بشه. پردازشگر هم باید بعد از آگاهی، رخنه رو بدون تأخیر ناموجه به کنترل‌کننده خبر بده.
اگه رخنه احتمال خطر بالایی برای افراد داشته باشه، باید بدون تأخیر ناموجه به افراد درگیر هم اطلاع بدید. پیام باید روشن توضیح بده چه اتفاقی افتاده، چه پیامدی ممکنه داشته باشه و افراد برای محافظت از خودشون چه کاری می‌تونن انجام بدن.
جریمه نقض GDPR چقدره؟
ماده ۸۳ متن رسمی GDPR دو سطح اصلی برای سقف جریمه‌های اداری مشخص میکنه. سقف سطح پایین‌تر می‌تونه به ۱۰ میلیون یورو یا ۲ درصد گردش مالی سالانه جهانی سال مالی قبلی برسه؛ هرکدوم بیشتر باشه. برای دسته‌ای از تخلف‌های جدی‌تر، سقف می‌تونه ۲۰ میلیون یورو یا ۴ درصد گردش مالی سالانه جهانی سال مالی قبلی باشه؛ باز هم هرکدوم بیشتر باشه.
این رقم‌ها جریمه ثابت همه تخلف‌ها نیستن. نهاد ناظر عواملی مثل ماهیت و شدت تخلف، مدت ادامه اون، تعداد افراد آسیب‌دیده، اقدام‌های امنیتی، سابقه تخلف، میزان همکاری و تلاش مجموعه برای کم‌کردن خسارت رو بررسی میکنه.
جریمه مالی هم تنها پیامد احتمالی نیست. نهاد ناظر می‌تونه متناسب با شرایط، دستور اصلاح روش پردازش، پاسخ به درخواست کاربر، محدودکردن پردازش یا توقف بعضی انتقال‌های داده رو هم صادر کنه. پس تیتر «جریمه ۲۰ میلیون یورویی» نباید این تصور رو بسازه که هر اشتباهی حتماً چنین جریمه‌ای داره.
چک‌لیست ساده GDPR برای سایت‌های ایرانی
- یک جدول از اطلاعات شخصی، هدف جمع‌آوری، مبنای قانونی و محل ذخیره اونها بسازید.
- برای هر دسته از اطلاعات، زمان نگهداری و روش حذف امن رو ثبت کنید.
- سیاست حفظ حریم خصوصی رو ساده، شفاف و هماهنگ با عملکرد واقعی سایت بنویسید.
- فرم‌ها رو بررسی کنید و فیلدهای اضافی یا متن‌های رضایت مبهم رو کنار بذارید.
- فهرست کوکیها رو بسازید و امکان قبول، رد و تغییر انتخاب رو هرجا لازمه در اختیار کاربر بذارید.
- فهرست شرکت‌ها و سرویس‌های دریافت‌کننده داده و قراردادهای مرتبط با اونها رو نگه دارید.
- دسترسی اعضای تیم، رمزها، به‌روزرسانی‌ها و نسخه‌های پشتیبان رو بررسی کنید.
- یک مسیر مشخص برای دریافت، ثبت، احراز هویت و پاسخ به درخواست کاربران بسازید.
- یک برنامه مکتوب برای شناسایی، ثبت، مهار و گزارش رخنه اطلاعاتی آماده کنید.
- نیاز به نماینده داخل اتحادیه، ثبت فعالیت‌ها، ارزیابی اثر، مسئول حفاظت از داده و قواعد انتقال بین‌المللی رو بررسی کنید.
این چک‌لیست نقطه شروع خوبیه، ولی جای بررسی حقوقی شرایط واقعی کسب‌وکارتون رو نمی‌گیره. نوع مشتریان، ابزارهای سایت و شیوه پردازش اطلاعات می‌تونه تکلیف هر مجموعه رو متفاوت کنه.
سؤال‌های پرتکرار
آیا هر سایت ایرانی باید GDPR رو رعایت کنه؟
نه. هر سایت ایرانی بهصورت خودکار مشمول GDPR نیست. ولی اگه سایت به افراد داخل اتحادیه اروپا کالا یا خدمات ارائه بده یا رفتار اونها رو ردیابی کنه، ممکنه مشمول این قانون بشه.
آیا صرف بازدید یک کاربر اروپایی، سایت رو مشمول GDPR میکنه؟
معمولاً نه. در دسترسبودن عمومی سایت یا یک بازدید اتفاقی بهتنهایی نشون نمیده که بازار اتحادیه اروپا رو هدف گرفتید. نوع خدمات، تبلیغات، زبان، ارز، ارسال کالا و شیوه ردیابی کاربران هم اهمیت دارن.
آیا برای استفاده از همه اطلاعات باید رضایت کاربر رو بگیرید؟
نه. رضایت فقط یکی از مبناهای قانونی پردازشه. اجرای قرارداد، الزام قانونی، منافع حیاتی، مأموریت عمومی و منفعت مشروع هم ممکنه در شرایط مناسب مبنای پردازش باشن.
کاربر می‌تونه حذف همه اطلاعاتش رو درخواست کنه؟
کاربر در شرایط مشخص حق درخواست حذف داره، ولی این حق مطلق نیست. مثلاً اگه نگهداری بخشی از اطلاعات برای رعایت یک تکلیف قانونی لازم باشه، ممکنه همون بخش فوراً حذف نشه.
مهلت گزارش رخنه اطلاعاتی چقدره؟
اگه رخنه احتمالاً برای حقوق و آزادی افراد خطر داشته باشه، کنترل‌کننده معمولاً باید اون رو حداکثر تا ۷۲ ساعت بعد از آگاهی به نهاد ناظر اعلام کنه. پردازشگر هم باید رخنه رو بدون تأخیر ناموجه به کنترل‌کننده خبر بده. رخنه‌های دارای خطر بالا باید بدون تأخیر ناموجه به افراد درگیر هم اطلاع داده بشن.
جریمه GDPR همیشه ۲۰ میلیون یورو هست؟
نه. ۲۰ میلیون یورو یا ۴ درصد گردش مالی سالانه جهانی، هرکدوم بیشتر باشه، سقف جریمه برای دسته‌ای از تخلف‌های جدی‌تره. مبلغ نهایی با توجه به شدت، مدت، پیامد و شرایط هر تخلف تعیین می‌شه.
جمع‌بندی: GDPR برای سایت شما چه معنایی داره؟
حالا می‌دونید قانون GDPR چیست و چرا محل ثبت شرکت تنها معیار اجرای اون نیست. اگه از ایران به افراد داخل اتحادیه اروپا کالا یا خدمات ارائه می‌دید یا رفتار اونها رو زیر نظر می‌گیرید، بهتره دامنه شمول این قانون رو دقیق‌تر بررسی کنید.
حتی اگه کسب‌وکارتون مشمول GDPR نباشه، شفافیت، جمع‌آوری حداقلی اطلاعات، تعیین زمان حذف و حفاظت درست از داده‌ها اعتماد کاربران رو بیشتر میکنه. از شناخت اطلاعاتی که می‌گیرید شروع کنید و بعد سراغ سیاست حریم خصوصی، کوکیها، امنیت و روند پاسخ به درخواست‌ها برید.
شرایط هر کسب‌وکار فرق داره و این مقاله اطلاعات عمومی ارائه می‌ده. اگه درباره شمول GDPR، انتخاب نماینده، انتقال بین‌المللی داده یا مبنای قانونی پردازش مطمئن نیستید، بهتره از متخصص حقوقی آشنا با حفاظت از داده کمک بگیرید.
برای ارسال نظر لطفا ابتدا ثبتنام کنید یا وارد شوید.