Genel Veri Koruma Yönetmeliği’nin kısaltması olan GDPR, web sitelerini kullanırken kullanıcıların gizliliğini koruyan bir Avrupa Birliği yasasıdır.
Kullanıcılardan GDPR’yi sade bir dille açıklamamızı ve WordPress sitenizi GDPR uyumlu hale getirmeye yönelik ipuçlarını paylaşmamızı isteyen onlarca e-posta aldık.
Bu makalede, GDPR ve WordPress hakkında bilmeniz gereken her şeyi açıklayacağız (karmaşık yasal şeyler olmadan).
Sorumluluk Reddi
Biz avukat değiliz ve bu web sitesindeki hiçbir şey hukuki tavsiye olarak değerlendirilmemelidir.
WordPress ve GDPR uyumluluğuna ilişkin nihai kılavuzumuzda kolayca gezinmenize yardımcı olmak için aşağıda bir içindekiler tablosu oluşturduk:
- What Is the GDPR?
- Does the GDPR Apply to My WordPress Website?
- What Is Required of Website Owners Under the GDPR?
- Is WordPress GDPR Compliant?
- Additional Areas on Your Website to Check for GDPR Compliance
- Best WordPress Plugins for GDPR Compliance
- Final Thoughts
- Expert Guides on Making Your WordPress Site GDPR-Compliant
- Additional Resources
GDPR Nedir?
Genel Veri Koruma Yönetmeliği (GDPR) 25 Mayıs 2018 tarihinde yürürlüğe giren bir Avrupa Birliği (AB) yasasıdır. GDPR’nin amacı, AB vatandaşlarına kişisel verileri üzerinde kontrol sağlamak ve dünya genelindeki kuruluşların veri gizliliği yaklaşımını değiştirmektir.
Yıllar boyunca Google gibi şirketlerden GDPR, yeni gizlilik politikaları ve bir dizi başka yasal konu hakkında düzinelerce e-posta almışsınızdır. Bunun nedeni, AB’nin düzenlemelere uymayanlara büyük cezalar getirmiş olmasıdır.
GDPR’nin gerekliliklerine uymayan işletmeler, bir şirketin yıllık küresel gelirinin %4’üne veya 20 milyon Avro’ya kadar (hangisi daha büyükse) büyük para cezalarıyla karşı karşıya kalabilir. Bu, dünya genelindeki işletmeler arasında yaygın bir paniğe neden olmak için yeterli bir sebep.
CCPA Nedir?
Kaliforniya eyaleti de 1 Ocak 2020 tarihinde benzer bir gizlilik mevzuatı yürürlüğe koymuştur, ancak potansiyel cezalar çok daha düşüktür.
Kaliforniya Tüketici Gizliliği Yasası (CCPA) Kaliforniya sakinlerinin kişisel bilgilerini korumak için tasarlanmıştır. Onlara, kendileri hakkında hangi kişisel bilgilerin toplandığını bilme, silinmesini talep etme ve verilerinin satışından vazgeçme hakkı verir.
Bu makalede GDPR’ye odaklanacağız, ancak bu makalede listelediğimiz adımların çoğu CCPA uyumlu olmanıza da yardımcı olacaktır.
Bu da bizi aklınıza gelebilecek büyük soruya getiriyor:
GDPR WordPress Web Sitem İçin Geçerli mi?
Cevap EVET. Bu, dünyanın her yerindeki (sadece Avrupa Birliği’ndeki değil) irili ufaklı her işletme için geçerlidir.
WordPress web sitenizin Avrupa Birliği ülkelerinden ziyaretçileri varsa, bu yasa sizin için geçerlidir.
Ama panik yapmayın. Bu dünyanın sonu değil.
GDPR bu yüksek para cezalarına kadar tırmanabilse de, önce bir uyarı, ardından bir kınama ve daha sonra veri işlemenin askıya alınmasıyla başlayacaktır.
Ve ancak yasayı ihlal etmeye devam ederseniz büyük para cezalarına çarptırılacaksınız.
AB sizi ele geçirmek isteyen şeytani bir hükümet değildir. Amacı, masum tüketicileri, mahremiyetlerinin ihlaliyle sonuçlanabilecek dikkatsiz veri kullanımından korumaktır.
Bize göre, azami para cezası büyük ölçüde Facebook ve Google gibi büyük şirketlerin dikkatini çekmeyi ve böylece bu düzenlemenin göz ardı edilmemesini amaçlamaktadır. Ayrıca, bu durum şirketleri insanların haklarını korumaya daha fazla önem vermeye teşvik etmektedir.
GDPR’nin neyi gerektirdiğini ve yasanın ruhunu anladığınızda, bunların hiçbirinin çok çılgınca olmadığını fark edeceksiniz.
Ayrıca WordPress sitenizi GDPR uyumlu hale getirmek için araçlar ve ipuçları paylaşacağız.
GDPR Kapsamında Web Sitesi Sahiplerinden Ne İsteniyor?
GDPR’nin amacı, kullanıcıların kişisel olarak tanımlayıcı bilgilerini (PII) korumak ve işletmeleri bu verileri nasıl topladıkları, sakladıkları ve kullandıkları konusunda daha yüksek bir standarda tabi tutmaktır.
Bu kişisel veriler kullanıcılarınızın adlarını, e-posta adreslerini, fiziksel adreslerini, IP adreslerini, sağlık bilgilerini, gelirlerini ve daha fazlasını içerir.
GDPR yönetmeliği 200 sayfa uzunluğunda olsa da, işte bilmeniz gereken en önemli unsurlar:
Kişisel Bilgi Toplamak İçin Açık Rıza Almalısınız
AB’de ikamet eden bir kişiden kişisel veri topluyorsanız, açık, belirli ve net bir onay veya izin almanız gerekir.
Başka bir deyişle, size kartvizitini veren veya web sitenizin iletişim formunu dolduran birine istenmeyen e-postalar gönderemezsiniz. Bu spam olur. Bunun yerine, pazarlama bülteninize katılmalarına izin vermelisiniz.
Açık rıza olarak kabul edilebilmesi için, olumlu bir onay gerektirmeniz gerekir. Onay kutusu varsayılan olarak işaretlenmemeli, açık ifadeler içermeli (yasal ifadeler olmamalı) ve diğer hüküm ve koşullardan ayrı olmalıdır.
Kullanıcılarınızın Kişisel Verileri Üzerinde Hakları Vardır
Bireyleri, verilerinin nerede, neden ve nasıl işlendiği ve saklandığı konusunda bilgilendirmelisiniz.
Birey, kişisel verilerini indirme ve unutulma hakkına sahiptir.
Bu, kişisel verilerini silmenizi talep etme hakkına sahip oldukları anlamına gelir. Bir kullanıcı abonelikten çıkma bağlantısını tıkladığında veya sizden profilini silmenizi istediğinde, bunu gerçekten yapmanız gerekir.
Hızlı Veri İhlali Bildirimleri Sağlamalısınız
Kuruluşlar, ihlalin zararsız olduğu ve bireysel veriler için risk oluşturmadığı düşünülmediği sürece, belirli türdeki veri ihlallerini 72 saat içinde ilgili makamlara bildirmelidir.
Bununla birlikte, bir ihlal yüksek riskli ise, şirket etkilenen kişileri de derhal bilgilendirmelidir.
Bu sayede, Yahoo’da olduğu gibi, satın alma işlemine kadar ortaya çıkmayan örtbasların önleneceği umulmaktadır.
Bir Veri Koruma Görevlisi Atamanız Gerekebilir
Halka açık bir şirketseniz veya büyük miktarda kişisel bilgi işliyorsanız, bir veri koruma görevlisi atamanız gerekir.
Küçük işletmeler için bu gerekli değildir. Şüpheniz varsa bir avukata danışın.
Gerekenlerin Sade İngilizce Özeti
Basit bir dille ifade etmek gerekirse, GDPR, işletmelerin insanlara istemedikleri e-postalar göndererek spam yapamamasını sağlar. İşletmeler ayrıca kişilerin verilerini açık rızaları olmadan satamazlar.
İşletmeler, istendiğinde kullanıcıların hesaplarını silmek ve e-posta listelerinden çıkarmak zorundadır. İşletmeler ayrıca veri ihlallerini bildirmek ve genel olarak veri koruma konusunda daha iyi olmak zorundadır.
Kulağa oldukça iyi geliyor, en azından teoride.
Ancak muhtemelen WordPress sitenizin GDPR uyumlu olduğundan emin olmak için ne yapmanız gerektiğini merak ediyorsunuzdur.
Bu gerçekten de web sitenize bağlıdır (bu konuya daha sonra değineceğiz).
Kullanıcılardan aldığımız en büyük soruyu yanıtlayarak başlayalım:
WordPress GDPR Uyumlu mu?
Evet, WordPress çekirdek yazılımı 17 Mayıs 2018’de yayınlanan WordPress 4.9.6’dan bu yana GDPR uyumludur. Bunu sağlamak için çeşitli GDPR geliştirmeleri eklenmiştir.
WordPress hakkında konuştuğumuzda, kendi kendine barındırılan WordPress.org’dan bahsettiğimizi unutmamak önemlidir. Bu WordPress.com’dan farklıdır ve aradaki farkı WordPress. com ve WordPress.org hakkındaki kılavuzumuzda öğrenebilirsiniz.
Bununla birlikte, web sitelerinin dinamik yapısı nedeniyle, hiçbir platform, eklenti veya çözüm %100 GDPR uyumluluğu sunamaz. GDPR uyum süreci, sahip olduğunuz web sitesinin türüne, hangi verileri depoladığınıza ve sitenizdeki verileri nasıl işlediğinize bağlı olarak değişecektir.
Peki, bunun düz İngilizce’de ne anlama geldiğini düşünüyor olabilirsiniz.
WordPress varsayılan olarak aşağıdaki GDPR geliştirme araçlarıyla birlikte gelir:
Yorumlar Onay Onay Kutusu
Mayıs 2018’den önce WordPress, yorumcunun adını, e-postasını ve web sitesini varsayılan olarak kullanıcının tarayıcısında bir çerez olarak saklıyordu. Bu, kullanıcıların favori bloglarına yorum bırakmalarını kolaylaştırıyordu çünkü bu alanlar önceden doldurulmuştu.
GDPR’nin izin gerekliliği nedeniyle, WordPress yorum formuna bir izin onay kutusu ekledi.
Kullanıcı bu kutuyu işaretlemeden yorum bırakabilir. Ancak, bunu her yaptıklarında adlarını, e-postalarını ve web sitelerini manuel olarak girmeleri gerekecektir.
İpucu: Onay kutusunun orada olup olmadığını görmek için test ederken oturumu kapattığınızdan emin olun.
Onay kutusu hala gösterilmiyorsa, temanız muhtemelen varsayılan WordPress yorum formunu geçersiz kılıyordur. İşte WordPress temanıza GDPR yorum gizliliği onay kutusunu nasıl ekleyeceğinize dair adım adım bir kılavuz.
Kişisel Verileri Dışa Aktarma ve Silme Özellikleri
WordPress, site sahiplerine GDPR’nin veri işleme gerekliliklerine uymaları ve kullanıcıların kişisel verilerini dışa aktarma ve kullanıcıların kişisel verilerini kaldırma taleplerini yerine getirmeleri için ihtiyaç duydukları araçları sunar.
Veri işleme özellikleri WordPress yöneticisi içindeki Araçlar menüsü altında bulunabilir. Buradan Kişisel Verileri Dışa Aktar veya Kişisel Verileri Sil seçeneğine gidebilirsiniz.
Gizlilik Politikası Oluşturucu
WordPress yerleşik bir gizlilik politikası oluşturucu ile birlikte gelir. Önceden hazırlanmış bir gizlilik politikası şablonuna sahiptir ve başka neler eklemeniz gerektiği konusunda size rehberlik eder. Bu, hangi verileri sakladığınız ve verilerini nasıl işlediğiniz konusunda kullanıcılara karşı daha şeffaf olmanıza yardımcı olur.
WordPress’te gizlilik politikasının nasıl oluşturulacağına ilişkin kılavuzumuzda daha fazla bilgi edinebilirsiniz.
Bu üç özellik, varsayılan bir WordPress blogunu GDPR uyumlu hale getirmek için yeterlidir. Ancak, web sitenizin muhtemelen uyumlu olması gereken başka alanları da olacaktır.
GDPR Uyumluluğunu Kontrol Etmek İçin Web Sitenizdeki Ek Alanlar
Bir web sitesi sahibi olarak, veri depolayan veya işleyen çeşitli WordPress eklentileri kullanıyor olabilirsiniz ve bunlar GDPR uyumluluğunuzu etkileyebilir. Yaygın örnekler şunlardır:
- İletişim formları
- Analitik
- E-posta pazarlama
- Çevrimiçi mağazalar
- Üyelik siteleri
- Ve daha fazlası
Web sitenizde hangi WordPress eklentilerini kullandığınıza bağlı olarak, web sitenizin GDPR uyumlu olduğundan emin olmak için buna göre hareket etmeniz gerekecektir.
En iyi WordPress eklentilerinin birçoğu GDPR geliştirme özellikleri eklemiştir. Ele almanız gereken bazı ortak alanlara bir göz atalım.
Google Analytics
Çoğu web sitesi sahibi gibi siz de muhtemelen web sitesi istatistiklerini almak için Google Analytics kullanıyorsunuz. Bu, IP adresleri, kullanıcı kimlikleri, çerezler ve davranış profili oluşturmak için diğer veriler gibi kişisel verileri topluyor veya izliyor olabileceğiniz anlamına gelir.
GDPR ile uyumlu olmak için aşağıdakilerden birini yapmanız gerekir:
- Depolama ve işleme başlamadan önce verileri anonimleştirin.
- Çerezleri bildiren ve izlemeden önce kullanıcılardan onay isteyen bir kaplama ekleyin.
Google Analytics kodunu sitenize manuel olarak yapıştırıyorsanız bunların her ikisini de yapmak oldukça zordur. Ancak WordPress için en popüler Google Analytics eklentisi olan MonsterInsights‘ı kullanıyorsanız şanslısınız demektir.
Yukarıdaki süreci otomatikleştirmeye yardımcı olan bir AB uyumluluk eklentisi yayınladılar.
MonsterInsights ayrıca GDPR ve Google Analytics hakkında konuşan çok iyi bir blog gönderisine sahiptir. Sitenizde Google Analytics kullanıyorsanız bu yazıyı mutlaka okumalısınız.
İletişim Formları
WordPress‘te bir iletişim formu kullanıyorsanız, ekstra şeffaflık önlemleri eklemeniz gerekebilir. Bu, özellikle form girdilerini saklıyorsanız veya verileri pazarlama amacıyla kullanıyorsanız geçerlidir.
WordPress formlarınızı GDPR uyumlu hale getirirken göz önünde bulundurmanız gereken bazı hususları aşağıda bulabilirsiniz:
- Bilgilerini saklamak için kullanıcılardan açık onay alın.
- Verilerini e-posta listenize eklemek gibi pazarlama amaçları için kullanmayı planlıyorsanız kullanıcılardan açık onay alın.
- Formlar için çerezleri, kullanıcı aracısını ve IP izlemeyi devre dışı bırakın.
- Veri silme taleplerine uymak.
- Bir SaaS form çözümü kullanıyorsanız, form sağlayıcılarınızla bir veri işleme sözleşmeniz olduğundan emin olun.
İyi haber şu ki, WPForms, Gravity Forms veya Ninja Forms gibi bir WordPress eklentisi kullanıyorsanız bir veri işleme sözleşmesi düzenlemenize gerek yoktur.
Bu eklentiler form girişlerinizi WordPress veritabanınızda saklar, bu nedenle GDPR ile uyumlu kalmak için net bir açıklama içeren bir onay kutusu eklemeniz yeterlidir.
WPBeginner’da kullandığımız iletişim formu eklentisi WPForms, GDPR onay alanı eklemenizi, kullanıcı çerezlerini devre dışı bırakmanızı, kullanıcı IP toplamayı devre dışı bırakmanızı ve girişleri tek bir tıklamayla devre dışı bırakmanızı kolaylaştırmak için çeşitli GDPR geliştirmelerine sahiptir.
WordPress’te GDPR uyumlu formların nasıl oluşturulacağına ilişkin adım adım kılavuzumuza göz atabilirsiniz.
E-posta Pazarlama Opt-in Formları
İletişim formlarına benzer şekilde, açılır pencereler, kayan çubuklar, satır içi formlar ve diğerleri gibi herhangi bir e-posta pazarlama katılım formunuz varsa, kullanıcıları listenize eklemeden önce onlardan açık onay aldığınızdan emin olmanız gerekir.
Bu iki şekilde de yapılabilir:
- Kullanıcının katılmadan önce tıklaması gereken bir onay kutusu ekleyin.
- E-posta listenize çift giriş yapmanız yeterlidir.
OptinMonster gibi en iyi müşteri adayı oluşturma çözümleri, e-posta katılım formlarınızı uyumlu hale getirmenize yardımcı olmak için GDPR onayı onay kutuları ve diğer gerekli özellikleri ekledi.
Pazarlamacılar için GDPR stratejileri hakkında daha fazla bilgiyi OptinMonster blogunda okuyabilirsiniz.
e-Ticaret ve WooCommerce Mağazaları
WordPress için en popüler e-ticaret eklentisi olan WooCommerce kullanıyorsanız, web sitenizin GDPR ile uyumlu olduğundan emin olmanız gerekir.
Neyse ki MonsterInsights ekibi, bir WooCommerce mağazasının GDPR ile nasıl uyumlu hale getirileceğine dair derinlemesine bir kılavuz hazırladı.
Yeniden Hedefleme Reklamları
Web siteniz yeniden hedefleme pikselleri veya yeniden hedefleme reklamları yayınlıyorsa, kullanıcının onayını almanız gerekecektir.
Bunu Cookie Notice gibi bir eklenti kullanarak yapabilirsiniz. GDPR/CCPA için WordPress’te çerez açılır penceresinin nasıl ekleneceğine ilişkin kılavuzumuzda ayrıntılı talimatlar bulabilirsiniz.
Google Yazı Tipleri
Google Fonts, WordPress web sitenizdeki tipografiyi özelleştirmek için harika bir yoldur.
Ancak, Google Fonts’un GDPR düzenlemelerini ihlal ettiği tespit edilmiştir. Bunun nedeni, Google’ın bir yazı tipi her yüklendiğinde ziyaretçinizin IP adresini günlüğe kaydetmesidir.
Neyse ki, web sitenizin GDPR uyumlu olması için bunu halletmenin birkaç yolu var. Örneğin, yazı tiplerinizi yerel olarak yükleyebilir, Google Fonts’u başka bir seçenekle değiştirebilir veya devre dışı bırakabilirsiniz.
Google Fonts‘u nasıl gizlilik dostu hale getireceğinize ilişkin kılavuzumuzdan nasıl yapacağınızı öğrenebilirsiniz.
GDPR Uyumluluğu için En İyi WordPress Eklentileri
GDPR uyumluluğunun bazı kısımlarını otomatikleştirmenize yardımcı olabilecek birkaç WordPress eklentisi vardır.
Ancak, web sitelerinin dinamik yapısı nedeniyle hiçbir eklenti %100 uyumluluk sunamaz.
GDPR ile %100 uyumluluk sunduğunu iddia eden WordPress eklentilerine dikkat edin. Muhtemelen ne hakkında konuştuklarını bilmiyorlar ve onlardan tamamen kaçınmak sizin için en iyisi.
GDPR uyumluluğu için önerilen eklentiler listemiz aşağıdadır:
- Google Analytics kullanıyorsanız MonsterInsights ‘ı kullanmanızı ve AB uyumluluk eklentisini etkinleştirmenizi öneririz.
- WPForms en kullanıcı dostu WordPress iletişim formu eklentisidir ve GDPR alanları ve diğer özellikleri sunar.
- Cookie Notice, AB çerez bildirimi eklemek için popüler bir ücretsiz eklentidir ve MonsterInsights ve diğerleri gibi en iyi eklentilerle iyi bir şekilde entegre olur.
- GDPR Çerez Onayı, sitenizde bir uyarı çubuğu oluşturmanıza olanak tanır, böylece kullanıcı çerezleri kabul edip etmemeye karar verebilir ve CCPA’nın yanı sıra GDPR’yi de kapsar.
- WP Frontend Delete Account, kullanıcıların sitenizdeki profillerini otomatik olarak silmelerini sağlayan ücretsiz bir eklentidir.
- OptinMonster, GDPR uyumlu olurken dönüşümleri artırmak için akıllı hedefleme özellikleri sunan gelişmiş potansiyel müşteri oluşturma yazılımıdır.
- PushEngage, ziyaretçiler sitenizden ayrıldıktan sonra onlara hedefli anlık mesajlar göndermenizi sağlar ve tamamen GDPR uyumludur.
- Smash Balloon size canlı yayınları yerleştirmek ve Facebook, Twitter, Instagram, YouTube, TripAdvisor ve daha fazlasından gönderileri göstermek için GDPR uyumlu bir yol sunar.
- Shared Counts eklentisi, varsayılan paylaşım düğmelerini izleme çerezleriyle yüklemek yerine, paylaşım sayılarını görüntülerken statik paylaşım düğmelerini yükler.
Uyumluluğu artırmak için en iyi WordPress GDPR eklentileri uzman seçimimizde daha fazla seçenek bulacaksınız.
Başka bir WordPress eklentisinin öne çıkıp çıkmadığını ve önemli GDPR uyumluluk özellikleri sunup sunmadığını görmek için eklenti ekosistemini izlemeye devam edeceğiz.
Son Düşünceler
GDPR Mayıs 2018’den beri yürürlüktedir.
Belki de bir süredir WordPress web siteniz var ve GDPR uyumluluğu için çalışıyorsunuz. Ya da yeni bir web sitesine yeni başlıyor olabilirsiniz.
Her iki durumda da paniğe gerek yok. Sadece uyumluluk için çalışmaya devam edin ve bunu en kısa sürede tamamlayın.
Büyük para cezaları sizi endişelendiriyor olabilir. Para cezasına çarptırılma riskinin asgari düzeyde olduğunu unutmayın. Avrupa Birliği’nin web sitesinde, önce bir uyarı, ardından bir kınama alacağınız ve yasalara uymamanız ve bilerek görmezden gelmeniz halinde para cezalarının son adım olduğu belirtilmektedir.
Unutmayın ki AB’nin amacı sizi ele geçirmek değil. Bunu kullanıcı verilerini korumak ve insanların çevrimiçi işletmelere olan güvenini yeniden tesis etmek için yapıyorlar.
Dünya dijitalleştikçe bu standartlara ihtiyacımız var. Son zamanlarda büyük şirketlerin veri ihlalleriyle birlikte, bu standartların küresel olarak uyarlanması önemlidir.
Bu herkes için iyi olacaktır. Bu yeni kurallar tüketici güveninin artmasına ve dolayısıyla işinizin büyümesine yardımcı olacaktır.
Bu eğitimin WordPress blogunuzda nasıl GDPR uyumlu hale geleceğinizi öğrenmenize yardımcı olacağını umuyoruz. Web sitenizi nasıl GDPR uyumlu hale getireceğinizle ilgili uzman kılavuzlarımızı da görmek isteyebilirsiniz.
WordPress Sitenizi GDPR Uyumlu Hale Getirmek İçin Uzman Kılavuzları
- WordPress’te GDPR Yorum Gizliliği Opt-in Onay Kutusu Nasıl Eklenir
- GDPR/CCPA için WordPress’te Çerez Açılır Penceresi Nasıl Eklenir
- WordPress Web Sitenizin Çerez Kullanıp Kullanmadığını Nasıl Anlarsınız?
- WordPress’te GDPR Uyumlu Formlar Nasıl Oluşturulur?
- Google Yazı Tipleri Nasıl Gizlilik Dostu Hale Getirilir?
- WordPress Web Sitenizde Google Yazı Tipleri Nasıl Devre Dışı Bırakılır
- WordPress’te Gizlilik Politikası Nasıl Eklenir?
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Yasal Uyarı
Biz avukat değiliz ve bu web sitesindeki hiçbir şey yasal tavsiye olarak değerlendirilmemelidir. Web sitelerinin dinamik yapısı nedeniyle, hiçbir eklenti veya platform %100 yasal uyumluluk sunamaz.
Şüpheye düştüğünüzde, yargı alanlarınız ve kullanım durumlarınız için geçerli tüm yasalara uygun olup olmadığınızı belirlemek için uzman bir internet hukuku avukatına danışmak en iyisidir.
Ek Kaynaklar
- Jacques Mattheij’den GDPR Histerisi Bölüm I ve Bölüm II
- Avrupa Komisyonu tarafından hazırlananVeri Koruma Bilgi Grafiği
- Avrupa Komisyonu tarafındanGDPR İlkeleri
- GDPR ve MonsterInsights – Google Analytics GDPR uyumluluğu hakkında bilmeniz gereken her şey
- WPForms için GDPR Geliştirme Özellikleri – WordPressformlarınız için GDPR uyumluluğu hakkında bilmeniz gereken her şey
- WooCommerce ve GD PR – çevrimiçi mağazanız için GDPR uyumluluğu hakkında bilmeniz gereken her şey
- OptinMonster ve GD PR – GDPR uyumluluğu ve e-posta pazarlama katılım formları hakkında bilmeniz gereken her şey
If you liked this article, then please subscribe to our YouTube Channel for WordPress video tutorials. You can also find us on Twitter and Facebook.
Teresa Cuervo
I use Jetpack plugin for my contact form and stats (among others) How to make their contact form compliant?
Thanks
Dan
One thing that people don’t seem to be discussing is the comment section. Right here, in this very form, you just asked me for my email address, as does every standard WP comment form. But nowhere are you telling me what this email address will be used for. You aren’t using it for follow up because I’m not going to subscribe to that option.
The default WP comment behaviour is just to ask for people’s email address but with no particular purpose, which also goes against GDPR, right? You have to have a purpose to ask for someone’s data now.
This seems so obvious that I wonder what I’m missing. They clearly thought about comments and added that new cookie comment check-box, so why is nothing mentioned about the email address collection in the first place?
Faizan
Thelanguage you use o explain this GDPR issue,is tremendously unique. ALL in one solution for small projects like mine. From this I get to know completely about GDPR and Now I can analyze where i have to improve.
Thanks
Rahadian
Wonderful guide, I thought this compliance is not affecting me, although I wonder what is this “GDPR compliance” people talking about, and this article provide me with clear explanation. Now I know I should update my website and must follow this compliance. Thank you for sharing this information.
Q
Thank you for a very detailed explanation AND most of all for curbing panic. I can look at decent solutions and implement GDPR compliance on my website with ease now that I know what it entails.
Himadri Saha
Hi, Thanks for your nice, clear and explanatory article. I am using Sumome to generate my subscriber base. Do you have any idea whether this is GDPR compliant?
Editorial Staff
Hi Himdari,
You’d have to ask the Sumo team as to what they’re doing about GDPR
Yönetici
Aliyy Oke
What a succinct and we’ll informative article. This article has quite enlightenment effect on understanding what GDPR is. Until now I never knew that this law is just going to be taking its effect from 25th of May and there has been a lot buzzes and news of it here and there for a long time now. Thank you for the wonderful post.
Waqas
I run a cybersecurity news website and I have never collected anything from any visitor other than email for sending readers notifications about new news articles.
Do I have to go through all this headache as well? Also, do we have to show GDPR compliance popup to visitors like we do with cookie consent popup?
Thanks for the great article.
Gary Sonnenberg
I think you’re going to get a lot of hits on this article.
I agree with others that it’s the best one out there so far. Thanks!
Jeff Coombs
Hey!
How would I know – or – what can I do on my WordPress site to make sure there are no cookies being used so I don’t have to have the cookie warning or any other policy (GDPR etc) to worry about?
(I just have a few “how-to” guides on there, nothing else – no comments etc or any contact boxes etc).
* Thank you for taking the time to create this GDPR post – greatly appreciated!
JC.
Cheryl Harrison
Other sources say that GDPR applies only to people/company in the EU, NOT to EU citizens who happen to be in the US.
We have enabled country blocking so our site is simply not available anywhere but the US and Canada.
Is it your (non-legal) opinion that we therefore do not need to comply?
glenda taylor
I have used WP Simple Membership Plug in on my website. What do I need to do to update the forms there?
WPBeginner Support
Hi Glenda,
Individual plugins will address GDPR compliance on their own. Please reach out to plugin’s support and they will point you in the right direction.
Yönetici
rodrigo
Congratulations for a very informative and well explained article. A very good starting point for further reading.
Tamara
Thank you for this
About the plugins you recommend, so you recommend downloading ALL OF THEM right?
Thank you
Tamara
Editorial Staff
They’re all good plugins. You can use the ones that you need
Yönetici
Carolyn Astfalk
This is a very helpful article. I’d previously addressed all of these issues in the fashion you recommend, but there is one thing I cannot find an answer to despite searching and posting in multiple places:
What about WP blog subscriptions? Nothing in the WP or JetPack updates that I can find provides that check box of consent for blog subscribers. Don’t those email and WP subscriptions require consent too?
WPBeginner Support
Hi Carolyn,
They have addressed some of these issues, to learn more please contact their support forums and they will point you in the right direction.
Yönetici
Dan
Understanding Title 9 is key.
Here’s a link,
http://www.privacy-regulation.eu/en/article-9-processing-of-special-categories-of-personal-data-GDPR.htm
Dan
This is a good resources as well,
https://www.compliancejunction.com/gdpr-for-small-business/
Quoting below –
What effect could the GDPR have on small businesses?
For the purposes of the GDPR, a small business is classified as one with fewer than 250 employees. Any business with more than 250 employees is required to comply with the GDPR and is required to nominate a Data Protection Officer (DPO).
Businesses with fewer than 250 employees are required to comply with the GDPR if their data processing could affect the rights and freedoms of individuals, if they process personal data on a regular basis, or if they process data which is covered by Article 9 of the GDPR, which includes sensitive data such as that relating to religious beliefs. If any of these apply to a small business, it needs to ensure that it complies with all aspects of the GDPR.
Dan
You are omitting the part of GDPR that gives exemptions to companies with less than 200 employees. At least I didn’t see any mention of it.
Editorial Staff
I believe that part is specific to requiring a Data Protection Officer. However I do agree that risk of penalty is lower for smaller businesses, but it doesn’t mean that they shouldn’t do their best to comply.
-Syed
Yönetici
Brian77
WordPress 4.9.6 is not GDPR-compliant, not at all, sorry. Core-content in backend available to all user roles including subscriber is hosted on third party servers without information and/or consent. User IPs are stored in database without notice, just look for session_token. User IPs are stored for comments. User email is used in filename for GDPR data export. Exported meta fields from user profile are hardcoded, export will be incomplete in most cases. And there are a lot of of bugs like privacy policy page can not be edited by editors, your clients need full admin access to edit that page now, good luck with that.
Wayne Rose
What a great article, the first bit of sense i have read about the mysterious GDPR, I found that this was informative to start off with and also helpful with advising on plug-ins to add to my website to help make it compliant.
Thank you very much, i can now breathe a sigh of relief!
Dawson Johnson
Amazing article, thanks so much.
A few questions:
— With regard to MonsterInsights, is the “anonymize IP” feature in the free version sufficient for GDPR compliance with regard to Google Analytics? Or is there critical functionality associated with the paid version (and EU Compliance Addon)?
— I’m a bit concerned about third-party ads (via networks like Taboola, RevContent, etc). What exactly is and isn’t required of publishers given that we in no way control or process the data that they collect / cookies they store?
— With regard to Cookie Plugins, are there any that A) actually block third-party cookies on your site based on a lack of consent or opt-out and B) can be geotargeted to EU users?
I’m a US based publisher, so I don’t want to show opt-out messages (and risk losing track / ad dollars) to visitors who are outside Europe.
WPBeginner Support
Hi Dawson,
Please see MonsterInsights’ blog post for more details.
You will need to reach out to each network, and most likely they will already have documentation on how to prepare for GDPR compliance.
As for cookie plugins, surely there will be more plugins coming out to address different requirements.
Yönetici
stefan
Hi,
Not identifying people that post on your blog can be dangerous for many sites. If someone threatens to sue you and you have insurance, I think you need to inform about it and be able to identify the person so that you can protect yourself against legal claims. As a result, you can’t ask for consent because if you do, the person have to right to be forgotten. So, I am using legitimate interest. By the way, I think the privacy policy offers by WordPress is missing some GDRP requirements such as the identification of the legal basis for each processing.
Stephanie Markou
By far one of the best articles on GDPR compliance when it comes to plugins and websites. Do you have any examples of privacy policies that show data categories and GDPR compliant terms that would cover plugins in general (in lieu of listing every single plugin used on a website). Thank you!
Elvis Nyamekye
Hi, I just wanted to say thanks for writing this article. Didn’t really understand this GPDR Update until today. Thanks so much.
McCool Travel
Wonderful guide to GDPR. Answers many of the question I had. Thank you.
Riccardo
The best article about GDPR compliance for Wordpress that I have read so far! Thank you!
Editorial Staff
Thanks Ricardo
Yönetici
Eleni
Hello, thanks for all these information but I do have one last question. My blog is personal, which means I do not give analytics or data to no-one, or I don’t have advertises.
Do I still have the obligation to obey to the new regulations?
Thanks in advance
Editorial Staff
Hi Eleni,
According to the regulation, yes if you have a website (personal or business or anything else) you would still have to comply. You can wait and see how they enforce it on small personal blogs since there is no precedent of that yet, but if all you have to do is anonymize IP addresses on your analytics, then it’s not that big of a deal
Yönetici
Trish
Thanks for the great article. I’m using your Insert Headers and Footers plug-in, how do I anonymize IP addresses on that?
Editorial Staff
That plugin only offers you the ability to add scripts. It does not have functionality like anonymizing IPs because that’s specific to individual scripts that you might be loading.
Andrei
Hi guys,
First of all thank you for this great article.
I have a question regarding the export personal data tool.
If my understanding is correct, a user can access his personal data by contacting the admin and waiting for an email response. I may be wrong, but it’s not a very user-friendly approach. And it also puts a big load on the admin if working with a big user database.
Is there a way to make this process automatically? Maybe a plugin that automatically exports & downloads the user, instead of having the admin do it manually?
Cheers,
Andrei
WPBeginner Support
Hi Andrei,
Hopefully, soon there will be some plugins available to automate the process. Right now, a user will have to contact an admin.
Yönetici
Peter Derek
Thank you for your informative article which I will read more thoroughly. However, I am obliged at this point to mention an issue which has caught my eye. You make mention of ‘EU citizens’ and ‘EU resident’ which are incorrect terms. No one can be legally resident in the EU as such, but only in their respective countries. The EU is not a country, but a bureaucracy which is basically an economic entity that enables free trade among its separate member states and has its own regulations to which member states are subject. The countries of Europe are situated in a landmass geographically, but each have their own identity and culture. Therefore it would be more accurate to refer to the GDPR in terms of relevance to member countries.
Editorial Staff
Hi Peter,
I am glad you found the article helpful. My goal with this article is to break down things to it’s simplest level. While the distinction exists on local levels, from the sake of this article any long-term resident of an EU member nation is considered an EU resident.
The law is being passed by EU as a whole with signatures from each member nation.
Yönetici
Benjamin
This is the best Guide i’ve been reading so far about GDPR. Thank you very much!
Editorial Staff
Thanks Benjamin, glad you found it helpful
Yönetici
Agnes
Thanks for the detailed info? Beyond the legal stuff, practical help and tools to make it possible are very needed here.
Editorial Staff
Hi Agnes, we added the tools in this article that can help you automate parts of the GDPR process.
Yönetici
Che
Hi, Can we write our own privacy policy or do we need a lawyer?
Also, can we copy the privacy policy of another site (certain sentences)?
Editorial Staff
Hi Che,
You can most definitely use the default WordPress privacy policy through the generator in 4.9.6. Just make sure you add everything that you’re collecting because there’s no such thing as one-size fits all.
Yönetici
Sieglinde
I am still confused. My website has a Add To Cart button but the shopping cart is at PayPal, not on my computer, they advise me when I have an order by email so I can ship to the name and address given the item ordered. I have not heard boo from PayPal about these regulations. I don’t store anything other than the name of the buyer and the ship-to address given to me.
If people sign up for my wordpress.com blog to “follow”, all I have is their email address and actually am personally never in touch with them. So what do I need to do?
Editorial Staff
Hey there,
You would need to update your privacy policy and add what information you store. Add a cookies notice on your blog if you’re adding cookies on the user’s browser and that’s about it.
Yönetici
Mark Corder
According to this (very helpful!) article, WP 4.9.6 now has Comments Consent by default. I’m always running the latest version (and I do have the new Privacy setting) but I don’t see this showing on my Comment forms, nor do I see a way to turn it on. I am running a “subscribe” plugin (Subscribe to Comments Reloaded) and this is all I see. Could this be blocking it? Otherwise, how do I activate this feature?
Editorial Staff
Hi Mark,
WordPress 4.9.6. added the comment consent box by default. Are you logged out when you’re checking this?
Yönetici
Mark Corder
Yes – I’ve logged-out, cleared both the WP cache and the browser’s, forced refreshes, tried different browsers … everything I can think of. I installed a clean version of WP 4.9.6 on a test server with NO plugins, and I can see it there – but not on any of the live sites I manage.
I’m still trying things … If I discover the problem, I’ll let you know. In the meantime, anyone have any ideas?
Mark Corder
OK, after a lot of reading and digging through the WP files, this seems to be a problem with some themes. As of WP 4.9.6, a “$cookies_consent” parameter was added, and while virtually all themes will have their own Comments Forms, many of them will not make use of this parameter – hence the fact that it doesn’t show up. For more information on what’s happening here (and needs to happen), see this article at WordPress.org : https://make.wordpress.org/core/2018/05/17/changes-that-affect-theme-authors-in-wordpress-4-9-6/ .
While this explains the problem and offers a way to fix it, I’m afraid this level of hacking to include a new parameter in the array may be beyond the average person that WPBeginner is focused on… So what to do?
* Contact your theme’s author and ask if they plan to update their theme to include this parameter … and best of luck to you.
* Switch to a theme that’s GDPR compliant and will show this checkbox option on the Comments Form. (The “bundled” WP themes like Twenty Seventeen and such have all been updated to show it.)
I predict that in the future you’re going to get a lot of questions about this very issue – you may even want to write a dedicated article about it!
And while I’m waiting to hear back from a couple of theme developers, I plan to roll up my sleeves and try adding this parameter myself. (Said the fearless code-hacker – who uses child-themes and backs everything up first!)
I hope this helps explain why this feature is probably not showing up for lots of others … and keep up the great work, folks!
Editorial Staff
Thanks for the link Mark. We’re going to work on getting this guide up ASAP
Marge
The comment consent box isn’t showing up for me, either. I’m logged out and using an incognito browser. I have seen others say the same thing in another forum.
Maria Spyrou
Hi! It seems I have the same problem here! I’m running Wordpress 4.9.6 and there is no consent checkbox for Comments. It goes without saying that I wasn’t logged in when I checked. Any ideas?
Laura Weed
And what do we do about Wordpress.com blogs? I wrote a privacy policy and I enabled the cookies notice, even though it does not go away when you click accept and close.
You also forgot Article 21. If your website is accessible and collects data from EU citizens, but you are not located in the EU, you are required to have a representative that IS located in the EU in case a local supervising authority needs to get hold of you. This is mandatory.
Editorial Staff
Hi Laura,
Data protection officer is not mandatory. You can review the infographic that we linked to in additional resources section of this article which is by the European Union themselves.
This is what it says in regards to a Data Protection Officer:
“This is not always obligatory. It depends on the type and amount of data you collect, whether processing is your main business and if you do it on a large scale.”
I’m certain more services will come out and offer representative services at scale for affordable prices.
Yönetici
Karin
This is good news .. unless I’m missing something loll
Guess this means that WP will stop sharing our IP’s addresses every time we comment – was not crazy about that .. Wish I knew that before to ensure my VPN’s always active loll But I was a newbie n guess I missed it
All good. I love WP, I love blogging there; been meeting some really great people. Thanks
Mike C
“around the world (not just in the European Union).”
Please, I’d like to know the source of this information. EU laws do not, and can not apply to US citizens. As I understand, GDPR will only apply to multi national corporations, i.e. ones that have some business unit(s) registered in the EU. Please cite the US statute that states GDPR regulations apply to US citizens operating a business out of the USA. I’ve not been able to find one, and no one has been able to point me to one as of yet. I think all this fear mongering is just plain wrong. EU regulations apply in the EU and US regulations apply in the US. The US has its own privacy related laws. Please advise?
Editorial Staff
Hi Mike,
By doing business online and making your website available to the entire world, you expose yourself to the jurisdiction of each state and country. It is a quite common argument that EU laws like GDPR does not apply here in US. That’s actually not true. We just haven’t seen them strictly enforced on companies outside of EU (or large multi-national corporation). This does not mean that it can’t happen.
A foreign government or entity can bring a legal case against you (for any reason), win in their respective jurisdiction and file for a motion in your local jurisdiction for a judgement claim. As you can imagine, the cost of doing this is very high, and this is why it doesn’t happen often.
However saying it can’t happen would be a mistake.
Again I’m no lawyer, and as I stated in the article above, people won’t get fined right away. You’ll get a warning first, then reprimand, and then fine. A lot of fear mongering is being done around fines right now, and I wanted to clarify that here in this article.
-Syed
Yönetici
Neghie Thervil
Since you’re not a lawyer, maybe it’s best not to give this kind of advice. There is a lot of misinformation in your comment and is the kind of info that causes widespread unnecessary panic.
Barbara Holtzman
As the “EU” launched two massive lawsuits against Alphabet (Google and Android) and Facebook as soon as the law went into effect, it’s pretty clear this law was and is a thinly veiled ruse to “get” those two companies.
As a one to sometimes three-person shop, with a company that rarely grosses over $1k (although I’m hoping to crank it up to $10k over time), the EU can have a fun go at me for the couple bucks in fines they might get.
More likely I’ll just block all non-US IP addresses [Israel can stay too, the EU will never let them in], and refuse to communicate or do any business with anyone in the EU. Since most of the research I do is US based anyway, and academic research at that, most likely no one will care.
I’ve always had a double-opt-in, don’t share any info with anyone policy, and my data is double anonymized with a proprietary algorithm. I don’t mind adding all the cookie and privacy warnings and such, so I’m probably in compliance anyway. But I don’t like the EU telling the rest of the world what it can and can’t do by fiat.
I hope Google and Facebook pull out of the EU along with me. Watching that and the fallout afterward will really be a hoot.
Christine Robinson
What are the rules for a non-hosted WordPress.com website? Only used for personal posts, not marketing anything. But I do have worldwide followers. Noticed you addressed WordPress.org only. Thank you!
Editorial Staff
Hi Christine, everything we do on WPBeginner is focused for helping self-hosted WordPress.org users.
I’d recommend reaching out to WordPress.com team to see what they’re doing about GDPR for their hosted sites.
-Syed
Yönetici
Vatsala Shukla
Thanks for the simple plain English post. I’ve shared it forward in a Facebook Group where one of the Group members had concerns about GDPR. Thank you for validating my understanding about GDPR and what we need to do for compliance without overwhelm.
Editorial Staff
Cheers
Yönetici
Luis Aquino
Thank you, thank you, thank you for a an easy to understand article!
Editorial Staff
You’re welcome Luis
Yönetici
Christos
Hello,
I’ve been using the free version for a while and could not be happier.
However, with regards to the GDRP integration, is that available only with a payment plan?
Thank you for a great plug-in! (Already a subscriber and happy to remain one)
Christos
Editorial Staff
Hi Christos, which plugin are you talking about?
For MonsterInsights, the EU compliance addon is available on paid plans only. For WPForms, it has enhancements for both Lite and Pro users (depending on individual needs).
Yönetici
Carole
Our website is for our organization and informational in nature. We don’t sell anything or have a blog. Do I still need to be GDPR compliant?
Editorial Staff
If you’re storing user’s data or adding cookies to their browsers, then yes
Yönetici
Vidya SUry
That’s a concise guide. Jetpack offers the cookie banner with a cookie policy. Today there was a pop up on the dashboard announcing help with the WP Privacy Policy–helping to populate the Privacy Policy subheadings.
My question is: why would one need a GDPR plug in when WP’s tools are available?
Also, how does the export/erase data work? From where do website visitors request that info?
Thanks Syed
Editorial Staff
Not everyone will need third-party GDPR plugins. It will depend on the type of site you have and your needs. If you’re using Google Analytics, then you would need the MonsterInsights EU compliance addon that either anonymizes IP address or integrates with a cookie notices plugin.
Adding an email in your privacy policy that a visitor can use to email you to request data export / erasure would work sufficiently. Alternatively, you can use a form plugin like WPForms to create a form on your site for that.
Yönetici
Fernando Tellado
Hi!
Sorry but WordPress isn’t GDPR compliant because it lacks of the first layer of information that must be agreed by the user. Las version of WordPress only doesn’t save the cookie but doesn’t have a place where to inform to the user that his name, IP, email, etc are going to be saved to the database, and doesn’t have the (not checked) checkbox to agree to this personal data storing.
Curiously, WooCommerce’s next version will include this type of feature in the new Privacy & Accounts tab.
Hugs!
Editorial Staff
Let’s see if WordPress adds that. I am not a lawyer, but in my opinion this can be addressed in the privacy policy. When the user submits the comment, they understand this information is being stored. However if you want to use their information for something other than just displaying comment (i.e sending a comment notification, email newsletters, etc) then you have to get additional consent.
I also expect a lot more plugins to come out to solve GDPR related issues
Yönetici
Alison Rayner
Thank you for producing an easy to understand and follow article on GDPR – the first time I’ve come across something that’s relevant and cuts through all the jargon!
Editorial Staff
Glad you found it helpful Alison
Yönetici
Pat Sonnenstuhl
I do not do financial transaction, nor store any information on my websites. I do charge any money for my sites. will i still need to go thru these costly hoops ?
Pat
Editorial Staff
Hi Pat, if you’re not using Google Analytics or adding any cookies to user’s browser, then you don’t need to do anything
Yönetici
Farukh
Thank you so much for posting this article. I was waiting from many days to listen your thoughts on GDPR. It is helpful and specially simple english. Thank you so much for helping on this matter.
Editorial Staff
You’re welcome Farukh
Yönetici
Julie Strietelmeier
I’d like to know what to do about Amazon affiliate links. How do we become compliant with them? I’ve tried to ask Amazon but they will not provide any advice.
Editorial Staff
Depending on who you ask, you will get differing opinions. Some will say because the referral cookies don’t get added on your site, you don’t have to do anything regarding affiliate links (it’s the merchant’s responsibility).
Others will recommend to use a cookie notice on your site and add Affiliate Links section in your privacy policy.
Yönetici
Julie Strietelmeier
I’ve been trying to find someone’s privacy policy where they mention affiliate links from Amazon and others like Skimlinks but haven’t been successful yet. Do you know of one that I can “borrow”?
Editorial Staff
Not yet, but we will be updating our privacy policy to add that in the coming days.
Christos
That actually makes sense – cookie disclaimer and affiliate notice. I use an affiliate notice in the base footer of my site and a cookie consent.
As long as we are transparent with all that we do there can be no comebacks – theoretically!!!
Christos
Dave Soucy
Nicely done. I’ll be sending my clients to read this instead of re-inventing the wheel and writing my own version.
Editorial Staff
Thanks Dave – glad you found it useful
Yönetici
Kichtrickster
Thanks for the article, great points! I honestly feel ready, but still feel like after a few days I’ll find out some stuff that will be totaly new for me.
https://www.omnisend.com/blog/gdpr-hub/the-3-foundations-of-the-gdpr/ for example here they say that you even need consent to see and save their IP information and such, and so much more. So I mean they disagree with cookie policy? Too bad then, can’t follow ’em anymore. Tough luck really.
Editorial Staff
Yes you do need their consent to store IP information. That’s why in our guide we recommend that you anonymize IP for Google Analytics and use Cookie Notice or similar solution to get permission.
Yönetici