Polityka prywatności to nie formalność do odhaczenia w stopce. To realizacja obowiązku informacyjnego z art. 13 RODO — i jeden z pierwszych dokumentów, na które patrzy UODO przy skardze. Najczęstszy problem nie polega na tym, że polityki nie ma, tylko że jest skopiowana z innej strony i opisuje przetwarzanie, którego dana firma w ogóle nie prowadzi.
Kto musi mieć politykę prywatności
Każdy, kto przetwarza dane osobowe — a przetwarza je praktycznie każda strona, która ma formularz kontaktowy, newsletter, konto użytkownika, koszyk albo choćby analitykę identyfikującą użytkowników.
RODO nie wymaga dokumentu pod nazwą „polityka prywatności”. Wymaga, żeby osoba, której dane dotyczą, otrzymała komplet informacji z art. 13 w momencie zbierania danych, w zwięzłej i przejrzystej formie. Polityka prywatności jest po prostu najwygodniejszym sposobem spełnienia tego obowiązku.
Obowiązkowe elementy
Komplet wynikający z art. 13 RODO:
- Tożsamość i dane kontaktowe administratora — pełna nazwa, adres, e-mail. Sam formularz kontaktowy nie wystarcza.
- Dane inspektora ochrony danych — jeśli został wyznaczony.
- Cele przetwarzania i podstawa prawna dla każdego celu osobno.
- Prawnie uzasadniony interes — jeśli to on jest podstawą, trzeba go nazwać (np. marketing bezpośredni, dochodzenie roszczeń).
- Odbiorcy danych — kategorie podmiotów, którym dane są ujawniane: hosting, poczta, płatności, kurier, księgowość.
- Przekazywanie poza EOG — jeśli występuje, wraz z podstawą zabezpieczeń.
- Okres przechowywania albo kryteria jego ustalania.
- Prawa osoby — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw.
- Prawo cofnięcia zgody — gdy podstawą jest zgoda, z zastrzeżeniem, że nie wpływa to na legalność wcześniejszego przetwarzania.
- Prawo skargi do Prezesa UODO.
- Czy podanie danych jest obowiązkowe i jakie są konsekwencje ich niepodania.
- Zautomatyzowane podejmowanie decyzji i profilowanie — jeśli występuje.
Cele i podstawy prawne — najtrudniejsza część
Tu popełnia się najwięcej błędów. Nie wystarczy napisać „przetwarzamy dane zgodnie z RODO”. Trzeba zestawić każdy cel z konkretną podstawą z art. 6:
- realizacja zamówienia — art. 6 ust. 1 lit. b (wykonanie umowy),
- wystawienie faktury i księgowość — art. 6 ust. 1 lit. c (obowiązek prawny),
- newsletter — art. 6 ust. 1 lit. a (zgoda),
- odpowiedź na zapytanie z formularza — art. 6 ust. 1 lit. b lub f,
- dochodzenie roszczeń — art. 6 ust. 1 lit. f (prawnie uzasadniony interes),
- analityka i marketing własny — art. 6 ust. 1 lit. f lub zgoda, zależnie od zakresu.
Ta lista wymusza coś pożytecznego: żeby ją napisać, trzeba najpierw wiedzieć, jakie dane i po co się zbiera. Dlatego kopiowanie cudzej polityki jest bez sensu — opisuje cudze procesy.
Okresy przechowywania
Nie wolno przechowywać danych „bezterminowo”. Trzeba podać okres albo kryterium jego ustalenia. Typowe rozwiązania:
- dane z zamówień — przez okres przedawnienia roszczeń,
- dokumentacja księgowa — przez okres wymagany przepisami podatkowymi,
- newsletter — do czasu cofnięcia zgody,
- dane z formularza kontaktowego — przez czas potrzebny do obsługi sprawy i rozsądny okres po niej.
Jeśli nie potrafisz określić okresu, podaj kryterium — na przykład „do czasu przedawnienia roszczeń wynikających z umowy”.
Cookies i zgody
Cookies to osobna warstwa. Korzystanie z plików cookies innych niż niezbędne do świadczenia usługi wymaga zgody użytkownika — uprzedniej, dobrowolnej i możliwej do wycofania.
Praktyczne konsekwencje, o których najczęściej się zapomina:
- baner musi umożliwiać odrzucenie równie łatwo jak zaakceptowanie — sam przycisk „Akceptuję” nie wystarcza,
- skrypty analityczne i marketingowe nie mogą ładować się przed wyrażeniem zgody,
- dalsze przeglądanie strony nie jest zgodą,
- zgodę trzeba dać się wycofać równie prosto, jak została udzielona.
W polityce (lub osobnej informacji o cookies) wymień kategorie plików, ich cel i przybliżony okres przechowywania.
Powierzenie danych — umowy z dostawcami
Hosting, system mailingowy, operator płatności, biuro rachunkowe, firma kurierska — wszyscy oni przetwarzają dane w Twoim imieniu. Z każdym z nich potrzebna jest umowa powierzenia przetwarzania (art. 28 RODO).
Zwykle nie trzeba jej negocjować: większość dostawców udostępnia gotowy wzór do akceptacji w panelu. Trzeba jednak wiedzieć, z kim się taką umowę ma — i wymienić kategorie tych odbiorców w polityce prywatności.
Najczęstsze błędy
- Skopiowana polityka opisująca procesy, których firma nie prowadzi — albo, co gorsza, z nazwą innej firmy w treści.
- Brak podstaw prawnych przy poszczególnych celach.
- „Przechowujemy dane bezterminowo” — sprzeczne z zasadą ograniczenia przechowywania.
- Baner cookies bez opcji odrzucenia albo ładujący skrypty przed zgodą.
- Brak informacji o prawie skargi do Prezesa UODO.
- Zgoda ukryta w regulaminie — zgoda musi być odrębna i dobrowolna, nie może być warunkiem zawarcia umowy, gdy nie jest do niej niezbędna.
Podsumowanie
- Polityka prywatności realizuje obowiązek informacyjny z art. 13 RODO.
- Każdy cel przetwarzania musi mieć przypisaną konkretną podstawę prawną.
- Podaj okres przechowywania albo kryterium jego ustalenia — nigdy „bezterminowo”.
- Wymień kategorie odbiorców i zawrzyj z nimi umowy powierzenia.
- Cookies inne niż niezbędne wymagają uprzedniej zgody, z możliwością równie łatwego odrzucenia.
- Nie kopiuj cudzej polityki — musi opisywać Twoje rzeczywiste procesy.
Podstawa prawna: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — w szczególności art. 5, 6, 12, 13, 15–22, 28 i 32; art. 173 ustawy Prawo telekomunikacyjne (cookies); ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.