Polityka prywatności na stronie firmowej – co powinna zawierać

Polityka prywatności to zwykle ostatni link w stopce i jednocześnie dokument, który właściciele firm najczęściej kopiują od konkurencji albo z darmowego generatora. Efekt bywa taki, że tekst opisuje sklep internetowy, choć firma wykonuje remonty, albo wymienia narzędzia, których na stronie nigdy nie było.

Dobra polityka prywatności nie musi być długa ani pisana prawniczym językiem. Musi za to zgadzać się z tym, co naprawdę dzieje się z danymi osób, które odwiedzają Twoją stronę i kontaktują się z Tobą. Poniżej znajdziesz elementy, które powinny się w niej znaleźć, i pytania, na które warto odpowiedzieć sobie przed pisaniem.

Skąd bierze się ten obowiązek

Nazwa „polityka prywatności” nie pochodzi wprost z przepisów. To praktyczna forma spełnienia kilku obowiązków naraz. Najważniejszy wynika z art. 13 RODO: gdy zbierasz dane osobowe bezpośrednio od człowieka – przez formularz kontaktowy, zapis na wizytę czy newsletter – musisz go poinformować, kto i po co te dane przetwarza. Art. 12 RODO dodaje, że informacje mają być przekazane w zwięzłej, przejrzystej i zrozumiałej formie, jasnym i prostym językiem.

Drugi obszar to pliki cookies i podobne technologie. Od 10 listopada 2024 r. reguluje je art. 399 ustawy – Prawo komunikacji elektronicznej, który wymaga między innymi uprzedniego poinformowania użytkownika o celu zapisywania informacji w jego urządzeniu. Część tych informacji zwykle trafia właśnie do polityki prywatności albo do osobnej polityki cookies.

Kto odpowiada za dane i jak się z nim skontaktować

Na początku dokumentu wskaż administratora danych, czyli siebie lub swoją firmę: pełną nazwę, adres i dane kontaktowe. Najlepiej podać adres e-mail, na który ktoś faktycznie odpowiada, a nie skrzynkę, do której nikt nie zagląda. Jeśli wyznaczyłeś inspektora ochrony danych, podaj również jego dane kontaktowe. Mała firma usługowa często nie ma obowiązku jego powołania i wtedy nie trzeba tej funkcji wymyślać na siłę.

Jakie dane, po co i na jakiej podstawie

To najważniejsza część dokumentu i zarazem ta, w której gotowe wzory najczęściej zawodzą. Zamiast ogólnej formułki „przetwarzamy dane w celach marketingowych i statystycznych” opisz po kolei każdą sytuację, w której dane do Ciebie trafiają. W typowej stronie usługowej będą to na przykład:

• formularz kontaktowy lub e-mail – dane potrzebne do odpowiedzi na pytanie i przygotowania wyceny,
• rezerwacja wizyty online – dane do umówienia terminu i wysłania przypomnienia,
• newsletter – adres e-mail do wysyłki, zwykle na podstawie zgody,
• rozliczenia – dane z faktur, które musisz przechowywać na podstawie przepisów podatkowych,
• statystyki i reklamy – dane zbierane przez narzędzia analityczne i piksele reklamowe.

Przy każdym celu podaj podstawę prawną z art. 6 ust. 1 RODO. Najczęściej będzie to zgoda (lit. a), działania przed zawarciem umowy lub jej wykonanie (lit. b), obowiązek prawny (lit. c) albo prawnie uzasadniony interes administratora (lit. f). W tym ostatnim przypadku trzeba też napisać, na czym ten interes polega, np. „odpowiedź na wiadomość, która nie dotyczy zawarcia umowy”. Jeśli prowadzisz gabinet i przez stronę mogą trafiać do Ciebie informacje o zdrowiu, pamiętaj, że to szczególna kategoria danych (art. 9 RODO), która wymaga osobnego przemyślenia. Szczegóły dotyczące samego formularza opisujemy we wpisie o klauzuli informacyjnej przy formularzu kontaktowym.

Komu przekazujesz dane i jak długo je przechowujesz

Prawie każda strona korzysta z usług zewnętrznych firm: hostingu, skrzynki pocztowej, systemu rezerwacji, narzędzia do newslettera, biura rachunkowego. RODO wymaga informacji o odbiorcach danych lub ich kategoriach. Czytelnik powinien się dowiedzieć, że np. „wiadomości z formularza są przechowywane na serwerach dostawcy hostingu i poczty elektronicznej”. Jeśli któreś narzędzie przekazuje dane do państwa spoza Europejskiego Obszaru Gospodarczego – co zdarza się przy usługach firm z USA – polityka powinna o tym wspominać.

Osobny punkt to okres przechowywania. Wystarczy uczciwa odpowiedź dla każdego celu, np. „korespondencję przechowujemy przez rok od zakończenia rozmowy, chyba że dojdzie do zawarcia umowy”, „dane z faktur – przez okres wymagany przepisami podatkowymi”, „adres w newsletterze – do czasu wypisania się”. Te terminy to tylko przykłady. Ustal własne i trzymaj się ich w praktyce, bo dokument, który obiecuje usuwanie danych po roku, a skrzynka pamięta wiadomości sprzed pięciu lat, niczego nie załatwia.

Prawa osób, których dane dotyczą

Polityka musi wymieniać prawa, z których może skorzystać klient, w zakresie, w jakim przysługują mu w danej sytuacji: dostęp do danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw wobec przetwarzania oraz – jeśli podstawą jest zgoda – cofnięcie zgody w dowolnym momencie. Trzeba też poinformować o prawie do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. UODO wyjaśniał, że przepisy wymagają informacji o samym prawie do skargi, a nie podawania adresu urzędu. Jeśli w starszej polityce masz nieaktualny adres, możesz go po prostu usunąć.

Dopisz także, czy podanie danych jest dobrowolne i co się stanie, jeśli ktoś ich nie poda, np. „bez numeru telefonu nie potwierdzimy rezerwacji”. Ostatnia rzecz to informacja, czy dane służą do zautomatyzowanego podejmowania decyzji, w tym profilowania. W małej firmie usługowej odpowiedź zwykle brzmi „nie”, ale powinna paść wprost.

Cookies i narzędzia osadzone na stronie

Część o cookies powinna opisywać to, co faktycznie działa na stronie: pliki niezbędne do działania (np. zapamiętanie wyboru w banerze), statystyki, piksele reklamowe, osadzone mapy i filmy. Każde z tych narzędzi może zapisywać informacje w urządzeniu użytkownika. Dlatego przed napisaniem tej części poproś wykonawcę strony o listę wszystkich zewnętrznych skryptów. O tym, jak powinien działać sam mechanizm zgody, przeczytasz w tekście o banerze cookies, a o narzędziach mierzących ruch – we wpisie o analityce i pikselach reklamowych.

Błędy i kolejność pracy

Co widać na pierwszy rzut oka

• Powoływanie się na ustawę o ochronie danych osobowych z 1997 r. – to znak, że tekst nie był aktualizowany od lat.
• Opis kont użytkowników, koszyka i płatności na stronie, która jest prostą wizytówką.
• Brak informacji o narzędziach, które realnie działają, np. czacie, mapie czy pikselu reklamowym.
• Jeden długi blok tekstu bez śródtytułów, którego nie da się wygodnie przeczytać na telefonie.
• Dokument ukryty tak, że trzeba go szukać. Link w stopce i przy każdym formularzu to rozsądne minimum.

Jak się do tego zabrać

1. Spisz wszystkie miejsca, w których strona zbiera dane: formularze, zapisy, czat, newsletter, narzędzia zewnętrzne.
2. Dla każdego z nich ustal cel, podstawę prawną, odbiorców i okres przechowywania.
3. Napisz tekst prostym językiem, z nagłówkami odpowiadającymi tym sytuacjom.
4. Wracaj do dokumentu przy każdej zmianie na stronie – nowy system rezerwacji czy kampania reklamowa to sygnał do aktualizacji.

Jeżeli przetwarzasz dane wrażliwe, na przykład w gabinecie lekarskim lub psychologicznym, poproś o przejrzenie dokumentu prawnika albo specjalistę od ochrony danych.

Ten tekst ma charakter informacyjny i nie zastępuje porady prawnej.