Paljudel ettevõtetel on veebilehel privaatsustingimused ehk privaatsuspoliitika olemas. See aga ei tähenda veel, et isikuandmete töötlemine oleks inimese jaoks piisavalt selge või et ettevõte täidaks korrektselt isikuandmete kaitse üldmäärusest tulenevat teavitamiskohustust.
Andmekaitse tagamisel ei piisa üksnes sellest, et vajalik dokument on koostatud ja veebilehele lisatud. Oluline on ka see, kas inimene saab privaatsuspoliitikat lugedes tegelikult aru, milliseid andmeid tema kohta kogutakse, miks seda tehakse, kellele andmeid edastatakse ja kui kaua neid säilitatakse.
Privaatsuspoliitika ei ole formaalne kohustus. Privaatsustingimuste (andmekaitsetingimuste) eesmärk ei ole üksnes GDPR-i nõuete formaalne täitmine. Nende kaudu peab ettevõte andma inimesele selge ja ausa ülevaate oma andmetöötlusest.
Levinud probleem on, et privaatsuspoliitikas kajastatu ei vasta tegelikule andmetöötlusele.
Üks sagedasemaid puudusi on see, et privaatsustingimused on koostatud kunagi varem, kuid ettevõtte tegevus on vahepeal muutunud.
Näiteks võib ettevõte olla võtnud kasutusele uue kliendihaldussüsteemi; uudiskirja saatmise platvormi; tehisaru kasutava töövahendi; veebilehe analüütika- või turundustööriistad; uue makse- või autentimislahenduse; videovalve; automatiseeritud värbamislahenduse.
Kui neid tegevusi privaatsuspoliitika ei kajastata, ei vasta dokument enam ettevõtte tegelikule andmetöötlusele.
Probleem võib olla ka vastupidine, st privaatsustingimustes kirjeldatakse tegevusi, mida ettevõte tegelikult ei tee. Ka see muudab teabe eksitavaks.
Teine sage probleem on õiguslike aluste vale või liiga üldine kasutamine.
Näiteks ei saa kogu andmetöötlust põhjendada nõusolekuga. Lepingu täitmiseks vajalik andmetöötlus tugineb üldjuhul lepingule, raamatupidamisandmete säilitamine seadusest tulenevale kohustusele ning osa turva- või analüütikatoiminguid võib põhineda õigustatud huvil.
Kui ettevõte tugineb õigustatud huvile, peab ta olema hinnanud, kas tema huvi kaalub üles inimese õigused ja vabadused. Pelgalt fraasist „töötleme andmeid õigustatud huvi alusel“ ei piisa.
Samuti peavad veebilehe privaatsustingimused olema kooskõlas ka sellega, milliseid küpsiseid ja jälgimistehnoloogiaid veebileht tegelikult kasutab.
Privaatsuspoliitikat tuleks uuendada alati, kui ettevõtte andmetöötluses toimub oluline muudatus. Ülevaatus on vajalik näiteks siis, kui kasutusele võetakse uus infosüsteem või teenusepakkuja; alustatakse uut turundustegevust; muudetakse klienditeenuse protsessi; võetakse kasutusele tehisaru; laiendatakse tegevust uuele turule; muutuvad andmete säilitamise põhimõtted; lisanduvad uued andmete saajad või töötlejad.
Mõistlik on privaatsuspoliitika ja isikuandmetega seotud protsessid üle vaadata regulaarselt, näiteks kord aastas.
Läbipaistvus loob usaldust. Selged privaatsustingimused ei ole ainult juriidiline kohustus. Need aitavad luua usaldust kliendi, töötaja ja koostööpartneriga.
Kui inimene saab aru, mida tema andmetega tehakse, väheneb arusaamatuste ja kaebuste oht. Samuti aitab korrektne teavitus ettevõttel endal paremini mõista, milliseid andmeid tegelikult kogutakse ja kas kogu andmetöötlus on vajalik.
Privaatsuspoliitika koostamisel tuleks seetõttu alustada mitte dokumendipõhjast, vaid ettevõtte tegelike andmeprotsesside kaardistamisest.
Alles seejärel saab koostada andmekaitsetingimused, mis on ühtaegu õiguspärased, täpsed ja inimesele arusaadavad.