Veebilehed on olnud Erkki Meidla tegevusvaldkonnaks juba pikka aega ning selle aja jooksul on ta end põhjalikult kurssi viinud vajalike seadustega, mis puudutavad kodulehti. Nüüd jagab ta oma teadmisi kõigile.
Olenevalt sellest, kas ettevõtte teeb kodulehel ise hooldustöid või ka uuendab täielikult kodulehte, peab igal juhul teadma mitmeid reegleid ja seaduseid, millest minu arvates on järgnevad kolm kõige tähtsamad:
Kõigis neis on seadussesse kirjutatud piiranguid, mis puudutavad just veebilehti ja nende sisu. Reklaamiseadus näiteks piirab veebiomanikke just sellega, et kodulehel ei tohi teha reklaami lastele ning peab jälgima mitmeid erinevaid n-ö "pahedega" seotud piiranguid. Need võivad minna kuni selleni välja, et Facebook.com (mille taga on ettevõte Meta Platforms, Inc.) ja Google.com (Google LLC) blokeerivad sinu lehe näitamise.
Nende kahe tehnohiiu ühed suurimad piirangud on näiteks sellised:
- Google ei luba teha reklaami tootegrupile CPD ehk kanepitoodetele, mille piir ei ületa mingit kindlat mahtu. Samas Euroopa Liidu direktiiv lubab seda. Siinkohal on Euroopa Liidu regulatsioon leebem, kui Google´i enda reeglid.
- Facebook ei luba aga näiteks Facebook Shop´i kasutada ettevõttetel, kes turustavad toidulisandeid või vitamiine. Kuigi osadel on õnnestunud sellest ka kuidagi mööda hiilida, sest olen saanud ise osta ning näinud ettevõtteid (näiteks apteeke), mille tooted on üleval Meta Shopis.
Unustatud autorikaitse
Autorikaitse seadus on veel omaette seadus, mida peaaegu 99% ettevõtetest ei järgigi.
Näiteks avastasin end ühel hetkel kohast, kus ei suuda leida Eesti riigi ID-kaardi CVI-d (stiiliraamatut või visuaalset identiteeti). Google´i abiga avastasin kiirelt ainult EV logo kasutamise juhendi (mis on leitav siit).
Teise äärmusena oli vaja kasutada ISIC kaardi kujundust, kuid kuskilt ei leidnud ma selle kohta infot ning kirjutasin kirja EYL-ile, kust sain sellise vastuse:
Huvitav on siin see, et neil on rohkem kui üks ettevõte, kellega nad koostööd teevad ja kelle kaudu pakuvad soodustust ISIC-kaardi omanikele. Paljud ettevõtted kasutavad seda kaarti enda kodulehel kui referentsi, et kaardi omanik saab soodustuse.
Kuid kas ISIC kaardi väljaandja ise teab, et neid viidatakse? On neile viide tagasi või on selleks kirjalik luba olemas?
Lihtsalt piltide kasutamine ja allalaadimine on äge, kuni kasutad pilti tasuta pildipangast.
Ehk siit ka küsimus, kas teil on kirjalikke nõusolekuid, et võite kasutada kodulehel kellegi visuaale?
Logode kasutamine kodulehel on täpselt samamoodi seotud autorikaitsega. Kas ja kui palju kasutatakse kodulehel näiteks Elisa logo ning kas Elisa on teadlik sellest või on seda kasutatud lihtsalt "enese paremast küljest näitamise eesmärgil"?
Olles ise teinud kodulehti, olen pidanud vajalikuks küsida luba just logo kasutamise kohta. Olen saanud "jah" ja "ei" vastuseid.
Andmekaitse ja koduleht - oluline teema, millest ei saa mööda vaadata
Kodulehti vaadates on tegelikult olemas üks lihtne reegel, mida peaks kindlasti kasutama.
Kui klient jõuab veebilehele, siis enne selle kohta Google Analyticsisse infot ei saadeta, kui klient on selleks loa andnud. Sama kehtib ka Facebook Pixeli ja muude samasuguste analüütikavahendite kohta. Kuni selleni välja, et kui kodulehel kasutatakse robotitõrjujat reCAPTCHA, peaks selle kohta olema vastav märge ka privaatsuspoliitikas.
Rääkides sellest, kuidas Google ja erinevad reCAPTCHA-d töötavad, on selge, et me tegelikult aitame tuvastada samalaadseid väljasid Google´i jaoks.
Ehk siis kui meile kuvatakse "palun valige pildilt ratas", siis Google kogub infot selle kohta, kas need pildid vastavad ratta tingimustele (loe selle kohta lähemalt siit).
Seega toimub masinõpe ja kogutakse infot just selle jaoks.
Kuna süsteemil on oma keskmine variatsioon olemas, kuidas inimesed joonistavad kassi, siis järgnevalt pildilt on näha, milline see tegelikult välja näeb. Ehk siinkohal me edastame infot Google´ile, et see on ratas ja tehisintellekt oskab seda hiljem paremini analüüsida.
Kunagi Google kirjutas, et hakkab müüma reklaami ka Google Mapsi ehk selle jaoks ongi vajalik, et google´it abistada, sest see ei suuda üksi andmeid töödelda. Lisan veel siia, et ühe päeva jooksul tehti reCAPTCHA päringuid üle 60 miljoni korra päevas (andmed 2018. aasta kohta).
Tulles tagasi privaatsusmooduli juurde, kehtib reegel, et enne, kui klient luba pole andnud, ei tohi tema andmeid töödelda ja ettevõte tulevikus ei tea, palju ja kust külastusi tuleb. Kas tulevikus asi paremaks läheb, ei oska öelda, aga pigem olen veendunud, et see läheb aina raskemaks just ettevõttele, kes soovivad saada infot, mida klient kodulehel teeb.
GDPRi moodul töötab nii, et veel enne, kui klient luba pole andnud, ei saada see näiteks Google Analyticsisse infot. Aga kui klient on juba lehel olnud ja sirvinud juba nelja erinevat lehekülge ja siis alles nõustub tingimustega, siis nüüd on võimalik näha ka Google Analytcisis tema infot.
Aga see pole enam õige analüütika, kuna landing page ehk maandumisleht läheb kirja siis juba mitmenda lehena. Seega, kas ja mida saame me niimoodi tulevikus analüüsida, ei oska isegi spekuleerida.
GDPR - kas peavalu või leevendus?
Nüüd siis mooduli juurde, mida ma olen ise otsinud pikalt, mis vastaks just nendele tingimustele mida AKI või GDPR sätestab.
Andmekaitse Inspektsioon vastas mulle niimoodi, kuidas GDPR-i nõusolekut küsida:
Nõusoleku bänner peaks sisaldama kolme võimalust (1) kasutaja saab korraga nõustuda kõigi küpsistega (st nii vajalikud kui mittevajalikud), (2) kasutaja saab keelduda küpsistest (st rakenduvad ainult vajalikud küpsised) ning (3) kasutaja saab täiendavalt hallata, millised mittevajalikud küpsised ta lubab.
Näiteks ei soovi kasutaja reklaamiküpsiseid, kuid statistika (analüütika) küpsistega on nõus.
Siinkohal peab silmas pidama, et näiteks sisuhaldusplatvormil Wordpress ei ole võimalik neid funktsioone keelata, kuna WordPressi tegijad on ise öelnud, nemad otseselt ega kaudselt ei kogu ühtegi analüütikat.
Kuidas GDPRi plugin töötab ja mis funktsioonid sellel on, saab selgeks järgmisest videost:
Seejuures on sõnaselgelt direktiivis ette nähtud, et küpsiste kasutamiseks peab olema isiku eelnev nõusolek, v.a juhul, kui andmete tehnilise salvestamise ja juurdepääsu ainus eesmärk on edastada sidet elektroonilises sidevõrgus või kui see on teenuse osutajale hädavajalik infoühiskonna teenuse osutamiseks.
Hädavajalikud küpsised on näiteks kasutaja sessiooni, keele-eelistuse või autentimise küpsised. Need otseselt ei mõõda midagi, vaid toetavad veebilehe põhifunktsioone.
Nõusoleku kohustust (küpsistele, mis vajavad nõusolekut) on kinnitanud ka Euroopa Kohus 1.10.2019 asjas number C-673/171. Euroopa Kohus on otsuses veel rõhutanud, et nõusolek kolmandate osapoolte küpsiste kasutamiseks tuleb võtta sõltumata sellest, kas tegemist on isikuandmetega või mitte.
Hea on endiselt tõdeda fakti, et Andmekaitse Inspektsioon ei trahvi esmalt ettevõtteid, vaid suunatakse neid parandusettepanekutega seaduskuulekaks hakkama.
Miljonitrahve ei saja niisama kaela
Selgitan lühidalt ka seda, et igale rikkumisele ei järgne automaatselt karistust, eriti veel maksimummääras miljonitrahve, mis on mõeldud eelkõige suurte rahvusvaheliste ettevõtete (näiteks sotsiaalmeediaplatvormide nagu Facebook) ohjeldamiseks.
Ettevõtjale potentsiaalselt määratava trahvi suurus sõltub väga mitmetest konkreetse juhtumi ja ettevõttega seotud asjaoludest, lähtub ettevõtte iseärasusest ning rikkumise suurusest.
Kui oled alustav ettevõte, uue veebilehe omanik või mõtled sellele, et soovid endale uut veebilehte, siis palun mõtle enne nendele küsimustele:
1. Kas Google Analytics on mulle vajalik ja kui on, kas ma suudan ja oskan erinevaid analüütika ja reklaami küpsised vastavalt seadusele korrektselt paigaldada või mitte?
2. Lisades kodulehele kontaktvormi, siis mõtle järgi, kas see on hea? Kas mul on selle kohta ülestähendusi tehtud? Kuidas ma töötlen, kuidas ma talletan, kui kaua ma neid andmeid alles hoian?
3. Kui kodulehel on reCAPTCHA, siis kas ma olen selle kohta kirjutanud, mis see on ja milliseid andmeid kogub?
4. Kas ma kasutan veebimajutuse enda analüütikaprogrammi või midagi muud? Lisatasu eest saab ka, näiteks plausible.io. Kas mul on selle kohta võimalik kuskilt lugeda? Kas kogutakse automaatselt infot?
5. Kas mul on uudiskirjaga liitumise vorm kodulehel? Kas seal on välja toodud, mis programmi/ettevõtet ma kasutan? Kui tihti ma saadan kirju?
