Polityka prywatności na stronie internetowej: obowiązek

Krótka odpowiedź: tak, polityka prywatności na stronie internetowej jest praktycznie obowiązkowa, bo niemal każda strona przetwarza dane osobowe: przez formularz kontaktowy, newsletter, statystyki czy pliki cookies. Obowiązek wynika z RODO, które nakazuje poinformować użytkownika, kto jest administratorem danych, jakie dane zbiera, w jakim celu, na jakiej podstawie prawnej, komu je przekazuje i jak długo przechowuje, a także o prawach użytkownika. Polityka prywatności to co innego niż zgoda na cookies i co innego niż regulamin. Gotowy wzór jest dobrym punktem startu, ale trzeba go dopasować do tego, jakie dane naprawdę zbierasz i jakich narzędzi używasz.

Polityka prywatności to dokument, który większość właścicieli stron traktuje jak formalność do odhaczenia. W praktyce to jedyne miejsce, w którym uczciwie mówisz odwiedzającemu, co robisz z jego danymi, a od 2018 roku (wejście RODO) jest to wymóg, nie uprzejmość. Poniżej wyjaśniam, kiedy polityka jest obowiązkowa, co musi zawierać, czym różni się od zgody na cookies i od regulaminu oraz czy wystarczy gotowy wzór.

Czy polityka prywatności na stronie internetowej jest obowiązkowa

W praktyce dla firmowej strony tak. RODO nakłada obowiązek informacyjny na każdego, kto przetwarza dane osobowe, a stroną, która nie zbiera żadnych danych, jest dziś rzadkość. Wystarczy formularz kontaktowy (imię, e-mail), zapis na newsletter, statystyki odwiedzin albo pliki cookies narzędzi analitycznych czy reklamowych, żeby przetwarzanie danych miało miejsce. Nawet zwykła wizytówka firmy prawie zawsze ma formularz albo statystyki, więc politykę prywatności powinna mieć. Brak takiego dokumentu to nie tylko ryzyko kary, ale i sygnał dla klienta, że firma nie traktuje jego danych poważnie. Dlatego politykę prywatności traktuj jak standardowy element strony, tak samo jak stopkę z danymi firmy.

Co powinna zawierać polityka prywatności

RODO dość precyzyjnie mówi, o czym trzeba poinformować. Poniższa tabela zbiera elementy, których brak najczęściej wychodzi przy kontroli albo skardze użytkownika.

Kluczowe jest, żeby polityka odpowiadała rzeczywistości. Jeśli używasz narzędzia analitycznego, systemu do newslettera i formularza, wszystkie trzy muszą się w polityce znaleźć jako miejsca, gdzie dane trafiają. Polityka opisująca stan, którego nie ma, jest gorsza niż jej brak, bo wprowadza w błąd.

Czym różni się polityka prywatności od zgody na pliki cookies

To dwie różne rzeczy, choć często mylone. Polityka prywatności to dokument informacyjny: opisuje całość przetwarzania danych i jest dostępna pod stałym linkiem, zwykle w stopce. Zgoda na cookies to mechanizm działania w czasie rzeczywistym: baner, który pyta użytkownika o zgodę na pliki cookies inne niż niezbędne (analityczne, marketingowe) i pozwala je zaakceptować lub odrzucić, zanim się załadują. RODO i przepisy o cookies wymagają, żeby zgoda była dobrowolna i uprzednia, więc baner z jednym przyciskiem akceptuję, bez możliwości odmowy, nie spełnia wymogów. W skrócie: polityka prywatności mówi, co robisz z danymi, a baner cookies zbiera zgodę, zanim zaczniesz. Powinny współgrać: baner odsyła do polityki, a polityka opisuje, jakie cookies stosujesz.

Polityka prywatności a regulamin: to nie to samo

Polityka prywatności i regulamin to dwa osobne dokumenty o różnych funkcjach. Regulamin mówi o zasadach korzystania z usługi lub sklepu: jak składa się zamówienie, jak wygląda reklamacja, jakie są prawa i obowiązki stron. Polityka prywatności mówi wyłącznie o danych osobowych: co zbierasz i dlaczego. Nie łącz ich w jeden plik ani nie zastępuj jednego drugim, bo mają inną podstawę prawną (regulamin: ustawa o świadczeniu usług drogą elektroniczną; polityka: RODO). Więcej o tym, kiedy potrzebujesz regulaminu i co ma zawierać, opisałem w tekście o regulaminie strony internetowej. Zwykła wizytówka firmy najczęściej potrzebuje tylko polityki prywatności, a sklep obu dokumentów naraz.

Jeśli dopiero budujesz stronę firmy, oba dokumenty warto zaplanować od początku, a nie doklejać w pośpiechu przed startem. Zobacz, jak wygląda gotowa strona firmowa z kompletem podstron prawnych, oraz ile kosztuje tania strona internetowa dla małej firmy razem z polityką prywatności i banerem cookies w standardzie.

Czy do polityki prywatności wystarczy gotowy wzór

Gotowy wzór jest dobrym punktem wyjścia, ale nie kropką. Problem z wzorami jest zawsze ten sam: opisują dane i narzędzia, których wcale nie używasz, albo pomijają te, których używasz. Przeklejona polityka, w której figuruje narzędzie analityczne, którego nie masz, albo brakuje twojego systemu do newslettera, jest niezgodna z rzeczywistością, a to podważa jej sens. Rozsądne podejście: weź sprawdzony wzór lub skorzystaj z generatora, a potem przejdź go punkt po punkcie i dopasuj do faktów: swoje dane jako administratora, realną listę narzędzi (hosting, poczta, analityka, reklama, newsletter), rzeczywiste cele i okresy przechowywania. Przy stronach przetwarzających dane wrażliwe albo dane na dużą skalę warto dać dokument do sprawdzenia specjaliście od ochrony danych. Dla typowej strony firmowej dobrze dopasowany wzór w zupełności wystarcza.

Najczęstsze błędy przy polityce prywatności

Podsumujmy pułapki. Brak polityki na stronie, która ewidentnie zbiera dane przez formularz i statystyki. Polityka przeklejona z innej firmy, z jej nazwą i narzędziami. Rozjazd między treścią polityki a rzeczywistością (opisane narzędzia, których nie ma, albo pominięte te, które są). Baner cookies bez możliwości odrzucenia zgody, czyli pozorna zgoda. Brak informacji o prawach użytkownika i o możliwości skargi do organu nadzorczego. I błąd techniczny: link do polityki zakopany tak, że trudno go znaleźć, zamiast stałego miejsca w stopce każdej podstrony. Polityka prywatności nie musi być długa ani napisana trudnym językiem, ale musi być prawdziwa, aktualna i łatwo dostępna. To najtańszy sposób, żeby pokazać klientowi, że jego dane są u ciebie traktowane poważnie.