Polityka prywatności na stronie firmowej: co musi zawierać
Polityka prywatności musi powiedzieć, kto zbiera dane i jak się z nim skontaktować. Mówi też, po co i na jakiej podstawie prawnej dane są przetwarzane, komu są przekazywane i jak długo są trzymane. Wymienia prawa osoby, której dane dotyczą, w tym prawo skargi do Prezesa UODO, czyli Urzędu Ochrony Danych Osobowych. Tę listę podaje art. 13 RODO, unijnych przepisów o danych osobowych. Art. 12 wymaga, żeby tekst był zwięzły, napisany prostym językiem i łatwy do znalezienia, na przykład pod linkiem w stopce każdej podstrony.
- Art. 13 RODO wymaga, żeby przy zbieraniu danych podać osobie m.in.: kto jest administratorem, czyli kto decyduje o danych, i jak się z nim skontaktować. Do tego cele i podstawę prawną, odbiorców danych, czas przechowywania i prawa tej osoby.
- Art. 12 ust. 1 RODO każe przekazać te informacje zwięźle, przejrzyście i w łatwo dostępnej formie, jasnym i prostym językiem.
- Kontakt do inspektora ochrony danych (IOD), czyli osoby, która pilnuje danych w firmie, podaje się tylko wtedy, gdy firma go wyznaczyła.
- Za naruszenie praw osób z art. 12–22 RODO, w tym obowiązku informacyjnego, grozi kara do 20 mln euro albo do 4% rocznego światowego obrotu firmy (art. 83 ust. 5 RODO).
Kiedy strona potrzebuje polityki prywatności
Prawie zawsze. Wystarczy formularz kontaktowy, zapis na newsletter, sklep, konto klienta, czat, statystyki odwiedzin albo osadzony film czy mapa. W każdym z tych miejsc trafiają do Ciebie albo do innej firmy dane osobowe gościa: imię, e-mail, telefon, adres IP (numer jego połączenia z internetem).
RODO nazywa Cię wtedy administratorem danych. Każe też poinformować osobę o przetwarzaniu jej danych w chwili, gdy je zbierasz.
Polityka prywatności to najwygodniejszy sposób, żeby spełnić ten obowiązek dla całej strony naraz. Przy samym formularzu wystarczy wtedy krótkie zdanie z linkiem, na przykład „Administratorem danych jest Firma X. Szczegóły w polityce prywatności”.
Na stronie warto też opisać cookies, czyli małe pliki zapisywane w przeglądarce gościa. Art. 399 Prawa komunikacji elektronicznej wymaga jasnej informacji, po co strona coś zapisuje w urządzeniu gościa. Możesz to opisać w polityce prywatności albo w osobnej polityce cookies.
Co musi zawierać: lista z art. 13 RODO
Poniższa lista idzie po kolei za art. 13 ust. 1 i 2 RODO. Część punktów stosujesz tylko wtedy, gdy Cię dotyczą. Tak jest na przykład z IOD albo z przekazywaniem danych poza Europejski Obszar Gospodarczy (EOG), czyli Unię oraz Islandię, Liechtenstein i Norwegię.
| Co podać | Przykład prostego zapisu |
|---|---|
| Kto jest administratorem i jak się z nim skontaktować | Jan Kowalski Usługi Remontowe, ul. Przykładowa 1, 00-001 Miasto, biuro@twojadomena.pl |
| Kontakt do IOD, jeśli go wyznaczono | iod@twojadomena.pl |
| Cel i podstawa prawna każdego przetwarzania | Odpowiedź na zapytanie z formularza: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes (ważny powód firmy) |
| Jaki to interes, gdy podstawą jest art. 6 ust. 1 lit. f | Odpowiedź na pytania klientów i obrona przed roszczeniami |
| Odbiorcy albo kategorie odbiorców | Firma hostingowa, dostawca poczty, biuro rachunkowe, firma kurierska |
| Przekazanie poza EOG i zabezpieczenia | Narzędzie statystyk firmy z USA; podstawa przekazania według art. 45 albo 46 RODO, np. decyzja Komisji Europejskiej albo umowa ze standardowymi klauzulami |
| Jak długo trzymasz dane albo według jakiego kryterium | Do zakończenia rozmowy, a potem do upływu terminu przedawnienia roszczeń |
| Prawa osoby | Dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przeniesienie danych |
| Prawo do wycofania zgody, gdy podstawą jest zgoda | Zgodę na newsletter wycofasz linkiem w każdej wiadomości |
| Prawo skargi do organu nadzorczego | Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa |
| Czy podanie danych jest obowiązkowe i co, jeśli ich nie podasz | Bez adresu e-mail nie odpowiemy na zapytanie |
| Zautomatyzowane decyzje i profilowanie (ocena osoby przez program), jeśli są | Nie podejmujemy decyzji wyłącznie automatycznie |
Jak napisać ją po ludzku
Najlepiej ułożyć politykę według sytuacji, w których gość spotyka się z Twoją firmą, a nie według artykułów RODO. Zrób osobne krótkie części: „Gdy piszesz do nas przez formularz”, „Gdy zamawiasz”, „Gdy zapisujesz się na newsletter”, „Gdy przeglądasz stronę”.
W każdej części podaj cel, podstawę, odbiorców i czas przechowywania. Czytelnik od razu znajdzie to, co go dotyczy.
Urząd Ochrony Danych Osobowych pisze, że informacje mają być jasne, proste i zrozumiałe dla osoby, której dane przetwarzasz. Zdanie „dane przetwarzamy zgodnie z obowiązującymi przepisami” nic nie mówi. Zdanie „Twój e-mail z formularza widzimy tylko my i nasz dostawca poczty, a usuwamy go rok po zakończeniu rozmowy” mówi wszystko.
Najczęstsze błędy w politykach z szablonu
- Polityka skopiowana z innej strony wymienia narzędzia, których nie używasz. Pomija za to te, które naprawdę działają, na przykład czat albo piksel reklamowy, czyli kod, który mierzy skuteczność reklam.
- Brak informacji o czasie przechowywania danych albo zapis „przez okres niezbędny” bez żadnego kryterium.
- Jedna podstawa prawna dla wszystkiego, zwykle zgoda, także tam, gdzie dane są potrzebne do wykonania umowy.
- Dane IOD w firmie, która go nie wyznaczyła, albo nazwa i adres innej firmy, z której pochodził szablon.
- Link do polityki tylko na stronie głównej, a nie w stopce każdej podstrony i przy formularzach.
- Brak informacji o osadzonych mapach, filmach i czcionkach z cudzych serwerów, które łączą przeglądarkę gościa z inną firmą.
Jak sprawdzić to samemu
- Spisz wszystkie miejsca na stronie, w których zbierasz dane: formularze, zapis na newsletter, koszyk, konto, czat, rekrutacja. Każde z nich powinno mieć swoją część w polityce.
- Otwórz stronę w oknie prywatnym i naciśnij F12, żeby otworzyć narzędzia przeglądarki. W zakładce Sieć (Network) przejrzyj adresy cudzych serwerów. Każda firma, do której trafiają dane gości, powinna być w polityce jako odbiorca.
- Sprawdź, czy link do polityki prywatności jest w stopce każdej podstrony i obok każdego formularza.
- Przeczytaj politykę tak, jakbyś był klientem. Jeśli po dwóch minutach nie wiesz, co się dzieje z Twoim e-mailem z formularza, trzeba ją uprościć.
Co sprawdza bezpłatny skan
- Szukamy linku do polityki prywatności na stronie głównej i do 3 podstron. Liczy się adres ze słowami w rodzaju polityka-prywatnosci, privacy albo rodo albo fraza „polityka prywatności” w tekście. Brak takiego linku to błąd krytyczny.
- Bezpłatny skan nie ocenia treści polityki. Pokazuje za to, co powinno się w niej znaleźć: wykryte skrypty śledzące, cookies ustawiane przed zgodą i czcionki ładowane z serwerów Google.
Skan sprawdza stronę główną i do 3 podstron. Wynik dostajesz w około minutę.
Kiedy zlecić to komuś: Treść polityki to zadanie dla Ciebie albo prawnika, bo tylko Ty wiesz, jakie dane i po co zbierasz. Pomoc techniczna przydaje się, żeby spisać wszystkie narzędzia, które naprawdę łączą się z gośćmi strony. Przyda się też przy linkach obok formularzy. Zobacz pełny audyt.
Pytania i odpowiedzi
Czy mogę skorzystać z darmowego generatora polityki prywatności?
Możesz, jeśli potem dopasujesz wynik do swojej strony. Generator nie wie, jakich narzędzi używasz ani jak długo trzymasz dane. Sprawdź każdy punkt z tabeli powyżej.
Czy polityka prywatności i polityka cookies to dwa osobne dokumenty?
Nie muszą być. Ważne, żeby gość dostał informacje z art. 13 RODO i informację o celu cookies z art. 399 Prawa komunikacji elektronicznej. Jeden dobrze ułożony dokument zwykle wystarcza.
Czy muszę wyznaczyć inspektora ochrony danych?
Mała firma zwykle nie musi. RODO wymaga IOD między innymi wtedy, gdy główna działalność polega na regularnym obserwowaniu osób na dużą skalę. Tak samo przy przetwarzaniu na dużą skalę danych szczególnych, na przykład o zdrowiu (art. 37 RODO).