Czym jest polityka prywatności?
Polityka prywatności to tekst, w którym informujesz ludzi, co robisz z ich danymi osobowymi. Na stronie internetowej to zwykle osobna podstrona, podlinkowana w stopce. Spotkasz też nazwy „informacja o przetwarzaniu danych osobowych” albo „klauzula informacyjna”, przy czym klauzulą częściej nazywa się krótki tekst przy jednym formularzu.
Obowiązek wynika z RODO. Art. 12 wymaga, żeby informacje były przekazane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, i to nieodpłatnie. Art. 13 i 14 wymieniają, co trzeba napisać: art. 13 dotyczy danych zbieranych od samej osoby, np. przez formularz, a art. 14 danych pozyskanych z innego źródła.
W Polsce RODO uzupełnia ustawa z 10 maja 2018 r. o ochronie danych osobowych. To ona wskazuje Prezesa Urzędu Ochrony Danych Osobowych (Prezesa UODO) jako organ nadzorczy, do którego można składać skargi, i reguluje postępowanie przed nim. Sama lista informacji, które musisz podać, wynika jednak bezpośrednio z RODO.
Co musi się w niej znaleźć?
Gdy zbierasz dane od osoby, art. 13 RODO wymaga tych informacji:
- Kim jesteś: nazwa i dane kontaktowe firmy, czyli administratora danych, a jeśli masz siedzibę poza UE, ale oferujesz towary lub usługi w UE, także twojego przedstawiciela.
- Inspektor ochrony danych (IOD), jeśli go powołałeś, z danymi kontaktowymi.
- Cele i podstawa prawna. Dla każdego celu podstawa z art. 6 RODO: zgoda, umowa, obowiązek prawny albo prawnie uzasadniony interes. Wytyczne w sprawie przejrzystości podkreślają, że cele i podstawy prawne muszą być jasne.
- Twój prawnie uzasadniony interes, jeśli na nim się opierasz. Nazwij konkretny interes.
- Odbiorcy: kto otrzymuje dane, w tym podmioty przetwarzające, np. firma hostingowa czy dostawca poczty. Według wytycznych najbardziej przydatne jest wymienienie konkretnych odbiorców; jeśli podajesz tylko kategorie, opisz je możliwie dokładnie.
- Przekazywanie danych poza EOG: że do niego dochodzi, czy jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, a jeśli nie, jakie zabezpieczenie stosujesz i jak można otrzymać jego kopię. Wytyczne zalecają wymienienie krajów.
- Jak długo przechowujesz dane albo według jakich kryteriów ustalasz ten okres. Według wytycznych „tak długo, jak to konieczne” nie wystarczy.
- Prawa osoby: dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw i przenoszenie danych.
- Prawo do wycofania zgody w dowolnym momencie, jeśli przetwarzasz dane na podstawie zgody.
- Prawo do wniesienia skargi do organu nadzorczego, w Polsce do Prezesa UODO.
- Czy podanie danych jest obowiązkowe, np. dlatego, że są potrzebne do zawarcia umowy, i co się stanie, jeśli ktoś ich nie poda. Wytyczne dodają, że w formularzach online trzeba jasno oznaczyć pola obowiązkowe.
- Zautomatyzowane podejmowanie decyzji, w tym profilowanie, jeśli wywołuje skutki prawne lub podobnie istotne, z informacją o zasadach i konsekwencjach.
Osobnej uwagi wymaga prawo do sprzeciwu: art. 21 RODO wymaga, żeby najpóźniej przy pierwszej komunikacji wyraźnie zwrócić na nie uwagę i przedstawić je jasno i odrębnie od innych informacji.
Gdzie ją umieścić
Art. 13 wymaga przekazania informacji w momencie zbierania danych. Wytyczne w sprawie przejrzystości, które przyjęła Europejska Rada Ochrony Danych (EROD), wyjaśniają, co to oznacza na stronie internetowej:
- Link na każdej podstronie. Każda strona powinna mieć politykę prywatności z bezpośrednim, dobrze widocznym linkiem na każdej podstronie, pod powszechnie używaną nazwą, np. „Prywatność” albo „Polityka prywatności”. Link, który trudno zauważyć ze względu na położenie czy kolor, nie jest łatwo dostępny.
- Przy zbieraniu danych. Dobrą praktyką jest link do polityki prywatności obok każdego formularza, który zbiera dane osobowe, albo podanie informacji na tej samej stronie.
- Nie w regulaminie. Informacji nie można ukrywać wśród innych postanowień, np. w regulaminie sklepu.
- Warstwowo, jeśli jest długa. Warstwowa polityka prywatności pozwala przejść od razu do potrzebnej części zamiast przewijać całość. Pełne informacje powinny być jednak dostępne w jednym miejscu.
- W języku odwiedzających, jeśli kierujesz stronę do osób mówiących w innych językach, w rzetelnym tłumaczeniu.
Polityka prywatności, polityka cookies i baner cookie
Każdy z tych elementów ma inne zadanie:
- Baner cookie prosi o zgodę, zanim zapiszesz pliki cookie, które nie są niezbędne, i linkuje do szczegółów.
- Polityka cookies wyjaśnia, jakich plików cookie i podobnych technologii używasz, kto je ustawia i jak długo są przechowywane. W Polsce musi też informować, że warunki przechowywania plików cookie można ustawić w przeglądarce (art. 399 Prawa komunikacji elektronicznej).
- Polityka prywatności obejmuje wszystkie przetwarzane dane osobowe, także poza plikami cookie: formularze, zamówienia, newsletter, obsługę klienta.
Powinny odsyłać jedna do drugiej. Polityka prywatności wspomina o narzędziach analitycznych i marketingowych, o podstawie prawnej (zwykle zgodzie) i o przekazywaniu danych poza Europę, a po szczegóły plików cookie odsyła do polityki cookies. Baner cookie linkuje do obu. Wycofanie zgody musi być równie łatwe jak jej wyrażenie, więc w obu tekstach napisz, gdzie można zmienić wybór dotyczący plików cookie. Korzystasz z Google Analytics? Więcej w poradniku Google Analytics a RODO.
Cookie Confirm wyświetla baner, który zapisuje zgodę każdego odwiedzającego i linkuje do twojej polityki cookies i polityki prywatności.
Polityka prywatności sklepu internetowego
Sklep internetowy przetwarza więcej danych niż zwykła strona, więc jego polityka prywatności musi opisywać więcej:
- Zamówienia: dane potrzebne do realizacji i dostawy, na podstawie umowy (art. 6 ust. 1 lit. b RODO). Napisz, że bez nich nie zrealizujesz zamówienia.
- Faktury: ustawa o VAT (art. 112) nakazuje przechowywać faktury do upływu terminu przedawnienia zobowiązania podatkowego, czyli według art. 70 § 1 Ordynacji podatkowej co do zasady przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Podstawą prawną jest obowiązek prawny (art. 6 ust. 1 lit. c RODO).
- Reklamacje i zwroty: dane potrzebne do rozpatrzenia reklamacji lub odstąpienia od umowy, np. numer rachunku do zwrotu pieniędzy, i jak długo je przechowujesz.
- Płatności: wymień operatora płatności i napisz, czy sam otrzymujesz dane karty lub rachunku.
- Dostawa: wymień przewoźników i operatorów paczkomatów, którzy otrzymują adres dostawy.
- Newsletter: w Polsce wysyłka informacji handlowej e-mailem wymaga uprzedniej zgody odbiorcy (art. 398 Prawa komunikacji elektronicznej). Dyrektywa ePrivacy pozwala państwom członkowskim na wyjątek dla własnych klientów i podobnych produktów, ale polska ustawa go nie przewiduje. Zgodę zbierasz więc osobnym, niezaznaczonym domyślnie polem, a nie automatycznie przy zamówieniu.
- Opinie: jeśli serwis opinii zaprasza klientów po zakupie, wymień go i napisz, jakie dane mu przekazujesz.
- Konto klienta: napisz, jak długo przechowujesz konto i co dzieje się po okresie braku aktywności.
- Platforma sklepu: Shoper, WooCommerce, Shopify czy inna platforma jest zwykle twoim podmiotem przetwarzającym. Potrzebujesz z nią umowy powierzenia przetwarzania danych (art. 28 RODO) i wymieniasz ją wśród odbiorców.
Najczęstsze błędy
- Skopiowany, ogólny tekst. Polityka z innej strony albo z generatora opisuje inne narzędzia i inne dane. Jeśli nie odpowiada temu, co naprawdę robi twoja strona, nie jest przejrzysta.
- Ogólnikowe cele. Wytyczne w sprawie przejrzystości podają przykłady sformułowań, które nie są wystarczająco jasne, np. wykorzystywanie danych do rozwijania nowych usług, do badań albo do oferowania spersonalizowanych usług, bez wyjaśnienia, co to oznacza.
- Brak podstawy prawnej dla każdego celu. Jedno ogólne zdanie w stylu „przetwarzamy dane zgodnie z RODO” nic nie mówi.
- Amerykańskie narzędzia bez informacji o przekazywaniu danych. Analityka, e-mail marketing i hosting często pochodzą z USA. Wymień dostawcę, kraj i zabezpieczenie, np. EU-US Data Privacy Framework albo standardowe klauzule umowne.
- „Tak długo, jak to konieczne”. Podaj okres albo kryteria.
- Brak informacji o Prezesie UODO. Ludzie muszą wiedzieć, że mogą złożyć skargę do organu nadzorczego.
- Nieaktualna treść. Każda nowa wtyczka, narzędzie czy podmiot przetwarzający może zmienić to, co musisz napisać.
Wzór
Poniżej znajdziesz wzór polityki prywatności, który możesz skopiować. Uzupełnij wszystko, co jest w [nawiasach kwadratowych], usuń sekcje, których nie potrzebujesz, i dopisz brakujące przetwarzanie, tak żeby tekst opisywał to, co naprawdę robi twoja strona lub twój sklep. Wzór nie jest poradą prawną: jeśli nie masz pewności, czy pasuje do twojej sytuacji, daj go do sprawdzenia prawnikowi.
Potrzebujesz też polityki cookies? Skorzystaj z naszego wzoru polityki cookies, a o zasadach dotyczących plików cookie w Polsce przeczytasz w poradniku Przepisy o plikach cookie w Polsce.
Źródła
- EUR-Lex: rozporządzenie (UE) 2016/679 (RODO), art. 6, 7, 12, 13, 14, 21, 27, 28 i 77
- ISAP: ustawa z 10 maja 2018 r. o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781
- ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 398, 399 i 400)
- ISAP: ustawa z 11 marca 2004 r. o podatku od towarów i usług (art. 112)
- ISAP: ustawa z 29 sierpnia 1997 r. Ordynacja podatkowa (art. 70 § 1)
- Dyrektywa ePrivacy 2002/58/WE (wersja skonsolidowana), art. 13
- Grupa Robocza Art. 29: Wytyczne w sprawie przejrzystości na mocy rozporządzenia 2016/679 (WP260 rev.01)
- EROD: Wytyczne Grupy Roboczej Art. 29 przyjęte przez EROD
- UODO: Kontakt z Urzędem Ochrony Danych Osobowych
- UODO: Jeśli chcesz złożyć skargę
- Komisja Europejska: Decyzja stwierdzająca odpowiedni stopień ochrony dla EU-US Data Privacy Framework