GDPR klepe na dveře. Pokud si ukládáte jakákoliv osobní data (například email) musíte být procesně připraveni a mít uzavřené zpracovávatelské smlouvy odpovídající požadavkům GDPR. Samozřejmě záleží na tom jaký web provozujete. Někdy se dá GDPR vyhnout úplně, tím že se všech osobních dat zbavíte, odstraníte skripty reklamních systémů a analytiku nahradíte "hloupým" počítadlem návštěvnosti, které bude pracovat jen s anonymními daty. Ve většině případů to ale nepůjde. GDPR čelí i WordPress nejrozšířenější redakční systém na světě, který pohání více jak čtvrtinu z milionu nejnavštěvovanějších stránek na internetu. Může na něm jet malá prezentace, blog ale i velké diskuzní fórum anebo e-shop. WordPress komunita si uvědomuje, že většina z webů postavených na WordPress bude potřebovat se splněním GDPR pomoct.

V čem je u WordPress problém

GDPR se u čisté instalace WordPress týká když:
  • Uživatel zadá do komentáře svůj email, případně reálné jméno a heslo.
  • Pokud máte veřejnou nastavenou možnost registrovat se.
  • Pokud jsou zde vytvořené účty skutečných lidí.
  • Když WordPress uloží uživateli do prohlížeče cookie o přihlášeném uživateli.
Pokud je mi známo tak do čisté instalace WordPress se dále nijak osobní data dostat nemohou.

Komentáře

Do komentářů může uživatel vložit své jméno a musí email. Automaticky se uloží do databáze i IP adresa. To jsou tři osobní údaje. Pokud máte komentáře zapnuté, tak byste u formuláře měli mít odkaz na vaše prohlášení o nakládání s osobními údaji. Tam je třeba specifikovat vše podle norem GDPR. Může se jednat o jednoduchou stránku, kde bude popsáno jaká data sbíráte, k čemu je potřebujete a bude potřebovat, jak dlouho je budete využívat, kdo další k nim má přístup (zpracovatelé) a jaký je postup k jejich odstranění. Samozřejmě se zpracovateli je nutné uzavřít zpracovatelskou smlouvu. Pokud máte komentáře zakázané, tak tohle řešit nemusíte.

Možnost registrace

Pokud se u vás kdokoliv může registrovat, tak součástí registrace musí být i odkaz na prohlášení o nakládání s osobními údaji. Z pohledu GDPR si vedete databázi lidí. Mimo jméno, příjmení, emailu může patřit mezi osobní údaje i přezdívka, AIM (AOL Instant Messenger), Yahoo IM, Jabber / Google Talk, Google+, Uživatelské jméno Twitteru, URL adresa profilu na Facebooku a Osobní informace. Tahle pole pokud mohou přím i nepřímo identifikovat člověka jsou podle GDPR osobní údaj (Článek 4, 1.)) Pokud je registrace zakázaná, tak tohle neřešíte.

Vytvořené účty skutečných lidí

Jestli jste se rozhodli založit si magazín a každému redaktorovi vytvořili účet s jeho jménem a emailovou adresou, tak se na váš web také vztahují pravidla GDPR. Jak tohle vyřešit je obtížnější. Emailové adresy nemusí být funkční a jména zcela anonymní.

Cookies

Cookie je považován za osobní údaj pokud podle něj lze identifikovat konkrétního člověka. Tedy nese unikání identifikátor, který jej spojí s reálným účtem ve WordPress. To se děje u přihlášených uživatelů. Tady by se dalo hodně polemizovat. Ale pokud vede na anonymní účet, který nevede na skutečného člověka, tak by to mohlo být v pořádku.

Závěr

Zakázat registraci a komentáře by mělo stačit k vyhnutí se GDPR. Případně si udělat plugin, který zabrání ukládat emaily a IP adresy do databáze alespoň v čitelné formě (jednosměrné šifrování).

Problém nastává když chcete WordPress rozšířit

WordPress je skvělý protože z něj můžete udělat cokoliv. Pluginy které se tak jednoduše instalují však mohou být obrovské, co do velikosti tak i využití databáze. Často také komunikují se servery třetí strany. Co přitom přesně dělají většinou netušíme a ani nás to radši nezajímá. Ovšem od zavedení GDPR už by mělo. Samozřejmě tu máme pluginy, které už svou podstatou váš WordPress zařadí mezi weby, co potřebují splňovat GDPR - eshop, diskuzní fórum atd. U těch to ale čekáte a zařadíte se podle toho. Mnoho lidí si ale neuvědomuje, že je daleko více pluginů, které už budou vyžadovat speciální "ošetření", aby vyhovovali GDPR Například plugin Akismet na boj se spamem, který býval součástí každé instalace WordPress a stále je součástí více jak 5M instalací, odesílá komentáře k posouzení na server. Nejedná se přitom jen o test textu komentáře. Součástí je kompletně všechna políčka formuláře, tedy včetně jména a emailu, dále informace z prohlížeče, IP adresa a obsah WordPress cookie. Tedy pro GDPR celkem pohroma. Tohle bez svolení uživatele poslat nemůžete. Dále tu máme třeba pluginy, které sledují návštěvnost a co lidi dělají. Aby toho mohli docílit většinou potřebují uživateli dát unikátní cookie, podle které jej dokáží identifikovat a spárovat třeba s IP adresou. Pokud je navíc registrován anebo napsal komentář propojí jej s emailem a jménem co použil. K takovémuto sledování nově potřebujete souhlas. Problémem by mohli být i pluginy na zálohování. Pokud už máte nějaká osobní data v databázi je třeba vědět kam se zálohují a jestli ten dotyčný splňuje všechny podmínky GDPR. V případě že se jedná o nějakou managed službu, tak s ním musíte mít zpracovatelskou smlouvu. Popravdě, co přesně plugin dělá a kam posílá data byste měli vědět už teď. Většina lidí jim však slepě věří anebo možné problémy vidět nechtějí. Tohle je také jeden z důvodů proč GDPR vzniklo. Co přesně, který plugin dělá vám dokáže říct jedině autor pluginu a programátor co má s WordPress zkušenosti.

WordPress to chce změnit

WordPress komunita se rozhodla, že je třeba začít evidovat, co který plugin dělá a jaký vliv to může mít na soukromý uživatele. Proto vznikl projekt GDPR for WordPress. Přímo do jádra WordPress budou přidány mechanizmy, které umožní autorům označit osobní informace. Díky centrální evidenci, pak půjde snadno vyhovět požadavkům GDPR - například na vymazání všech osobních dat od konkrétního člověka, který o to požádal anebo mu je zpřístupní. WordPress bude vědět, kde přesně má který plugin uložené informace a dokáže je smazat. WordPress vám pomůže sdělit informace proč se která data sbírají, jaký je jejich účel a jak dlouho budou držena.

Závěr

Pokud se to WordPress podaří a vývojáři své pluginy na nové funkcionality upraví, tak bude mít WordPress oproti konkurenčním CMS zase kus náskok. Zvláště když za porušení GDPR mohou být pokuty až 20M EUR.