Polityka prywatności strony powinna wyjaśniać rzeczywiste przetwarzanie danych: kto je otrzymuje, po co, na jakiej podstawie i co użytkownik może zrobić. Dokument skopiowany z innego sklepu często opisuje nieużywane narzędzia, pomija faktycznych dostawców i przypisuje wszystkim danym jeden okres przechowywania. Poprawna redakcja zaczyna się więc od sprawdzenia strony, a nie od zamiany nazwy firmy we wzorze.
Poniżej znajdziesz strukturę dokumentu i fragmenty do uzupełnienia. To punkt wyjścia dla typowej strony firmowej lub sklepu, a nie gotowa polityka pasująca do każdej działalności. Obowiązek informacyjny wynika przede wszystkim z art. 12–14 RODO. Rozporządzenie nie nakazuje natomiast, aby każdy administrator używał jednego dokumentu o tytule „polityka prywatności”.
Ustal zakres dokumentu i sposób dotarcia do użytkownika
Strona może zbierać dane przez formularz, zamówienie, konto, newsletter i narzędzia osadzone w treści. Przeglądarka może też przekazywać identyfikatory i dane techniczne, zanim odwiedzający cokolwiek wpisze. Sprawdź zarówno pola widoczne na ekranie, jak i usługi uruchamiane przez kod strony. Do listy dopisz skrzynki pocztowe, CRM oraz miejsca, do których trafiają eksporty.
Polityka dostępna w stopce jest użyteczna, ale sama obecność linku nie rozstrzyga, czy informację przekazano w odpowiednim momencie. Przy formularzu lub zapisie warto pokazać krótką pierwszą warstwę z administratorem, celem i odsyłaczem do właściwego fragmentu. Całość powinna być łatwo dostępna przed przekazaniem danych. Nie ukrywaj jej za obowiązkowym logowaniem ani zgodą na reklamowe pliki cookies.
Dla danych pozyskanych od osoby stosuje się co do zasady art. 13: informację przekazuje się przy ich zbieraniu. Gdy dane pochodzą z innego źródła, art. 14 przewiduje rozsądny termin, nie dłuższy niż miesiąc, z wcześniejszym terminem pierwszego kontaktu lub pierwszego ujawnienia innemu odbiorcy, jeżeli takie zdarzenie następuje wcześniej. Istnieją ustawowe wyjątki, które trzeba ocenić, a nie założyć na podstawie publicznego charakteru źródła.
Jeżeli potrzebujesz odrębnej informacji dla pracowników, kandydatów lub monitoringu, skorzystaj ze wskazówek do klauzuli informacyjnej RODO. Ta strona koncentruje się na dokumentacji serwisu internetowego. Łączenie wszystkich grup osób w jednym długim tekście może utrudniać znalezienie informacji dotyczących konkretnej sytuacji.
Administrator i kontakt: wskaż podmiot, który decyduje
Podaj tożsamość i dane kontaktowe administratora, a w stosownych przypadkach także jego przedstawiciela. Nazwa sklepu lub domena nie zawsze wskazuje osobę prawną albo przedsiębiorcę prowadzącego działalność. Użytkownik powinien wiedzieć, do kogo kieruje pytanie i kto odpowiada za wykorzystanie danych. Jeśli wyznaczono inspektora ochrony danych, podaj jego dane kontaktowe.
Numer NIP może pomóc w identyfikacji przedsiębiorcy, ale nie jest samodzielnym, powszechnie wymaganym polem art. 13 RODO. Nie wpisuj też fikcyjnego inspektora, gdy firma go nie wyznaczyła. Ogólny kontakt do spraw prywatności można zorganizować bez nazywania tej osoby IOD. Sprawdź, czy podany adres e-mail działa i czy wiadomości nie trafiają do nieobsługiwanej skrzynki.
Fragment do uzupełnienia: administrator
Administratorem danych związanych z [zakres serwisu] jest [pełna nazwa lub imię i nazwisko przedsiębiorcy], z którym można skontaktować się pod adresem [adres] oraz [e-mail lub inny skuteczny kontakt]. [Jeżeli dotyczy: kontakt z inspektorem ochrony danych: dane kontaktowe].
Gdy kilka spółek prowadzi wspólny serwis, nie wystarczy wymienić ich nazw bez przypisania ról. Ustal, kto odpowiada za zamówienia, marketing i konto użytkownika. Jeżeli podmioty wspólnie ustalają cele i sposoby określonego przetwarzania, przeanalizuj współadministrowanie i wymagania art. 26. Wspólna marka sama w sobie nie tworzy ani nie wyklucza takiej relacji.
Cele, podstawy prawne i dane wymagane w formularzach
Opisuj cele oddzielnie. Obsługa zapytania, zawarcie umowy, rozliczenie podatkowe, obrona przed roszczeniami i wysyłka newslettera nie są jedną czynnością „w celu działalności firmy”. Każdy cel powinien mieć odpowiednią podstawę, zakres danych i czas przechowywania. Pomaga w tym analiza podstaw prawnych z art. 6 RODO.
Art. 6 ust. 1 lit. b może obejmować dane niezbędne do umowy z osobą, której dotyczą, albo do działań przed jej zawarciem podejmowanych na jej żądanie. Nie obejmuje automatycznie dowolnej analityki ani danych wszystkich pracowników klienta będącego spółką. Dla kontaktów służbowych może być właściwy uzasadniony interes, ale wymaga to oceny konkretnego celu, konieczności i wpływu na osobę.
Jeżeli podstawą jest uzasadniony interes, opisz ten interes, zamiast podawać sam numer przepisu. Przy zgodzie wskaż możliwość jej wycofania. Przy obowiązku prawnym ustal, jaki obowiązek uzasadnia dany zakres informacji. Formularz nie powinien żądać numeru PESEL tylko dlatego, że takie pole było w kupionym szablonie. Informacja o przetwarzaniu nie usuwa obowiązku minimalizacji danych.
Powtarzalny blok dla jednej czynności
W celu [konkretny cel] przetwarzamy [zakres danych]. Podstawą jest [właściwa przesłanka i uzasadnienie; przy lit. f także interes]. Podanie [dane] jest [wymogiem ustawowym, umownym, warunkiem zawarcia umowy albo dobrowolne]. Bez tych danych [rzeczywisty skutek]. Dane przechowujemy przez [okres lub możliwe do zrozumienia kryteria].
Rozróżnij obowiązek podania danych od praktycznej niemożności świadczenia usługi bez nich. Adres dostawy może być potrzebny do wysłania paczki, natomiast data urodzenia zwykle wymaga innego uzasadnienia. Przy każdym polu sprawdź, czy jest obowiązkowe technicznie i czy odpowiada temu opis. Użytkownik nie powinien odkrywać dopiero po wysłaniu formularza, że dobrowolne pole blokuje realizację zamówienia.
Odbiorcy i role dostawców
Wymień odbiorców lub ich dostatecznie określone kategorie. Sformułowanie „zaufani partnerzy” nie wyjaśnia, czy chodzi o hosting, operatora płatności, firmę kurierską czy podmioty prowadzące własny marketing. Opisz, kto otrzymuje dane i w jakim celu, z dokładnością pozwalającą zrozumieć przepływ informacji. Nazwy konkretnych usług mogą być pomocne, zwłaszcza gdy użytkownik styka się z nimi podczas zakupów.
Nie nazywaj każdego dostawcy podmiotem przetwarzającym. Firma realizująca usługę według instrukcji administratora może pełnić tę rolę, natomiast inny odbiorca może działać jako odrębny administrator w zakresie własnych obowiązków. Ustal role na podstawie rzeczywistego działania i warunków usługi. Polityka prywatności nie zastępuje umowy lub innego wiążącego aktu prawnego wymaganego przez art. 28 dla powierzenia.
Sprawdź również podwykonawców i zdalny dostęp do danych. Samo wskazanie dostawcy hostingu nie wyjaśnia udziału narzędzia obsługi klienta czy systemu wysyłającego wiadomości. Ustal, czy dane są przekazywane stale, czy jedynie w określonych sytuacjach. Takie rozróżnienie daje użytkownikowi więcej informacji niż długa lista firm, które być może kiedyś zostaną wykorzystane.
Transfery poza EOG: opis musi odpowiadać usłudze
Zweryfikuj, dokąd dane faktycznie trafiają, także przez wsparcie techniczne lub podwykonawców. Nie wpisuj automatycznie „nie przekazujemy danych poza Unię Europejską” tylko dlatego, że serwer ma europejski adres. Oceniaj konkretną konfigurację, umowę, podmioty otrzymujące dane i charakter dostępu. Nie każdy zagraniczny element oznacza jednak tę samą sytuację prawną.
Gdy planowany jest transfer do państwa trzeciego, informacja powinna wskazywać stosowny mechanizm: istnienie albo brak decyzji stwierdzającej odpowiedni stopień ochrony oraz, w odpowiednich przypadkach, zabezpieczenia i sposób uzyskania ich kopii lub zapoznania się z nimi. Ogólne zapewnienie „stosujemy standardy RODO” nie zastępuje tej informacji. Szczegóły oceny opisuje przewodnik po transferach danych poza EOG.
Komisja Europejska opisuje ramy EU–US Data Privacy Framework jako mechanizm dotyczący uczestniczących organizacji amerykańskich spełniających jego warunki. Nie jest to podstawa dla wszystkich odbiorców w USA. Sprawdź konkretny podmiot i zakres uczestnictwa. Jeżeli opierasz transfer na innym mechanizmie, polityka powinna wskazywać właśnie ten mechanizm, a nie nazwę programu używaną w materiale reklamowym dostawcy.
Retencja: nie wpisuj jednego okresu dla wszystkich danych
Art. 13 i 14 wymagają podania okresu przechowywania albo, gdy nie można go ustalić, kryteriów jego wyznaczania. Kryterium powinno pozwalać zrozumieć, od czego zależy koniec przechowywania. Zdanie „tak długo, jak będzie to potrzebne” bez odniesienia do celu zwykle niewiele wyjaśnia. Rozdziel dokumenty rozliczeniowe, historię konta, zgłoszenia do pomocy i dane marketingowe.
Nie przenoś okresu przechowywania faktur na całe konto klienta i wszystkie wiadomości. Obowiązek zachowania dokumentacji podatkowej może uzasadniać określony zakres danych, ale nie oznacza potrzeby utrzymywania pełnego profilu zakupowego. Podobnie możliwość dochodzenia roszczeń wymaga ustalenia właściwych terminów i niezbędnych dowodów. Nie jest automatycznym uzasadnieniem zachowania każdej kopii na zawsze.
Uzgodnij treść z działaniem systemów. Jeżeli polityka przewiduje usunięcie nieaktywnego konta, ustal, kto uruchamia proces i co dzieje się z danymi w narzędziach pomocniczych. Kopie zapasowe wymagają osobnych zasad odtwarzania i wygaszania; ich istnienie nie powinno powodować powrotu usuniętych danych do zwykłego użycia bez oceny. W przykładach podawaj wyłącznie terminy, które firma potrafi stosować.
Prawa użytkownika i decyzje automatyczne
Wyjaśnij prawo dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia z uwzględnieniem warunków ich zastosowania. Nie obiecuj, że każde żądanie zawsze prowadzi do usunięcia wszystkich danych. Przenoszenie dotyczy określonych danych i przetwarzania opartego na zgodzie lub umowie, prowadzonego w sposób zautomatyzowany. Sprzeciw wobec marketingu bezpośredniego ma odrębny, stanowczy skutek: dane nie mogą być dalej przetwarzane w tym celu.
Podaj sposób wycofania zgody i zaznacz, że nie wpływa ono na zgodność z prawem przetwarzania przed jej wycofaniem. Poinformuj o prawie wniesienia skargi do organu nadzorczego. UODO wyjaśnia, że klauzula nie musi zawierać adresu siedziby Urzędu. Jeżeli go podajesz, zadbaj o aktualność; prosty odsyłacz do właściwych informacji ogranicza ryzyko pozostawienia starego adresu.
Sprawdź, czy firma podejmuje decyzje wyłącznie automatycznie, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę. Nie wpisuj mechanicznie „nie stosujemy profilowania”, gdy system ocenia zachowanie klienta. Z drugiej strony zwykłe sortowanie produktów nie musi stanowić decyzji z art. 22. Gdy przepis ma zastosowanie, informacja musi obejmować istotne zasady działania, znaczenie i przewidywane konsekwencje.
Cookies, podobne technologie i Prawo komunikacji elektronicznej
W Polsce przechowywanie informacji w urządzeniu i dostęp do niej reguluje obecnie art. 399 Prawa komunikacji elektronicznej. Przepis nie ogranicza się do danych osobowych ani do plików nazwanych cookies. Przewiduje uprzednią informację i zgodę, z wyjątkiem operacji koniecznych do transmisji komunikatu lub dostarczenia usługi żądanej przez użytkownika w ustawowym zakresie.
Nie każda strona musi mieć rozbudowany baner zgód. Jeżeli wykorzystuje wyłącznie technologie mieszczące się w wyjątku, nie twórz pozornej zgody na działanie niezbędne. Nadal sprawdź obowiązki informacyjne wynikające z przetwarzania danych osobowych. Jeżeli natomiast działa reklama lub analityka wymagająca zgody, sam tekst polityki nie zastępuje wcześniejszego wyboru użytkownika.
Dla każdej technologii ustal cel, dostawcę, okres działania i moment uruchomienia. Etykieta „analityczne” nie przesądza o zwolnieniu, a nazwa „niezbędne” nie zmienia reklamowego celu. Sprawdź zachowanie po odmowie i po zmianie ustawień. W praktyce warto porównać zasady zgody na cookies z obecnym kontekstem PKE i wcześniejszego Prawa telekomunikacyjnego.
Fragment o rzeczywiście używanych technologiach
W serwisie używamy [nazwa technologii i dostawca] do [cel]. Informacja jest przechowywana przez [czas lub kryterium]. [Jeżeli dotyczy: technologia uruchamia się po zgodzie udzielonej w panelu]. Ustawienia można zmienić przez [działający mechanizm]. Technologie niezbędne opisujemy osobno: [zakres i uzasadnienie].
Zgoda na cookies nie jest zgodą na newsletter. Art. 398 PKE dotyczy przesyłania informacji handlowych, w tym marketingu bezpośredniego, przy użyciu wskazanych w nim środków. Oddziel uprawnienie do kontaktu od podstawy przetwarzania danych w RODO. Sam zakup albo wysłanie pytania nie jest zgodą na każde przyszłe działanie promocyjne.
Składanie wzoru w kompletną politykę
Po przygotowaniu opisów czynności zbuduj dokument w kolejności odpowiadającej użytkownikowi: administrator, sytuacje przetwarzania, odbiorcy, transfery, przechowywanie, prawa, technologie i informacje o zmianach. Nie publikuj nawiasów z instrukcjami ani alternatywnych podstaw prawnych pozostawionych do wyboru. Każdy fragment powinien opisywać decyzję już podjętą przez firmę.
Porównaj dokument z rejestrem czynności przetwarzania, umowami z dostawcami i ustawieniami serwisu. Nie wszystkie pola rejestru są obowiązkowymi elementami polityki, a rejestr nie zastępuje informacji dla osoby. Wspólne ustalenia o celach, odbiorcach i retencji powinny jednak pozostawać spójne. Nie trzeba obiecywać automatycznego generowania dokumentów, aby utrzymywać taką zgodność.
Przeprowadź próbę na konkretnym scenariuszu. Osoba bez konta kupuje produkt, odmawia reklamy, a później składa reklamację. Sprawdź, czy potrafi znaleźć informacje o każdym z tych etapów i czy dane nie trafiają mimo odmowy na listę newslettera. Odrębne zagadnienia sprzedaży rozwija przewodnik RODO dla sklepów internetowych.
Sprawdź zgodność opisu z formularzem i panelem zgód
Wyobraź sobie sklep, w którym polityka opisuje jedynie zamówienia i kontakt, ale dodana niedawno wtyczka wysyła zdarzenia zakupowe do platformy reklamowej. Redakcja nowego akapitu jest tylko częścią naprawy. Najpierw ustal, czy przekazywanie danych ma odpowiednią podstawę, czy potrzebna zgoda została zebrana i czy wysyłka następuje w odpowiednim momencie. Informacja o odbiorcy nie zastępuje warunków legalności operacji.
Następnie porównaj cztery sytuacje: nowy użytkownik bez wyboru, odmowa technologii opcjonalnych, zgoda na wybrany cel i późniejsze wycofanie. Sprawdź także podstrony koszyka oraz płatności, bo narzędzie może działać inaczej niż na stronie głównej. Opisz w polityce stan rzeczywiście wdrożony, a nie planowane ustawienia, których nikt jeszcze nie skonfigurował. Wynik przeglądu powinien wskazywać konkretną usługę i osobę odpowiedzialną za zmianę.
Podobnie przejdź przez formularz kontaktowy. Czy załącznik trafia do skrzynki, zewnętrznego systemu obsługi i kopii na serwerze? Czy numer telefonu jest potrzebny do każdej odpowiedzi? Czy dostawca wykorzystuje treść również do własnych celów? Takie pytania pozwalają poprawić zarówno informację o odbiorcach, jak i zakres zbieranych danych. Nie trzeba ujawniać w publicznej polityce haseł ani szczegółowej architektury zabezpieczeń.
Na koniec sprawdź kontakt do realizacji praw. Odpowiedź na wniosek powinna nastąpić bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania. Przedłużenie o dwa dalsze miesiące wymaga uwzględnienia złożoności lub liczby żądań oraz poinformowania w pierwszym miesiącu o przedłużeniu i przyczynach. Jeżeli administrator nie podejmuje działań, art. 12 ust. 4 wymaga podania powodów bez zbędnej zwłoki, najpóźniej w miesiąc, wraz z informacją o skardze i sądowej ochronie prawnej. Nie zastępuj tej obsługi automatycznym potwierdzeniem odbioru wiadomości.
Publikacja, aktualizacja i dowód przekazania informacji
Oznacz wersję i datę obowiązywania polityki. Zachowaj poprzednie wersje oraz informację, gdzie i kiedy były udostępniane. Nie musisz wymuszać zgody na samą informację, aby wykazać jej przekazanie. W zależności od kanału dowodem może być wersja formularza, zapis wysłanej wiadomości lub dokumentacja wdrożenia strony.
Zmiana dostawcy, nowy cel albo nowy sposób śledzenia użytkownika powinny uruchamiać przegląd. Jeżeli planujesz użycie danych do innego celu, odpowiednią informację trzeba przekazać przed dalszym przetwarzaniem zgodnie z art. 13 ust. 3 lub art. 14 ust. 4. Samo opublikowanie nowej wersji nie tworzy podstawy prawnej ani nie rozszerza starej zgody.
Wyznacz osobę odpowiedzialną za kontakt między marketingiem, IT i obsługą klienta. W małej firmie może to być jedna funkcja, która przed wdrożeniem nowej wtyczki pyta o przepływ danych i aktualizuje odpowiedni opis. Taki proces jest praktyczną rekomendacją organizacyjną; jego postać powinna odpowiadać rzeczywistej skali serwisu.
Najczęstsze pytania
Czy użytkownik musi zaakceptować politykę prywatności?
Nie jako warunek samego przekazania informacji. Jeśli określony cel wymaga zgody, zbierz odrębną, konkretną decyzję i zapewnij możliwość odmowy. Pole „akceptuję politykę” nie rozwiązuje wszystkich kwestii RODO i może zaciemniać różnicę między informowaniem, zgodą oraz zawarciem umowy.
Czy można opublikować wzór bez zmian?
Nie, jeżeli nie odpowiada działaniu strony. Nawet prosty serwis różni się dostawcą hostingu, formularzami i technologiami. Usuń nieistniejące czynności, uzupełnij rzeczywiste kontakty i ustal retencję. Kontrola opisu w przeglądarce jest równie istotna jak korekta językowa dokumentu.
Czy polityka zastępuje obsługę praw osób?
Nie. Informacja musi prowadzić do działającej procedury. Sprawdź, kto odbiera wnioski i wyszukuje dane w poszczególnych narzędziach. Obietnica łatwego kontaktu nie pomoże, jeśli skrzynka jest nieaktywna lub nikt nie potrafi powiązać konta użytkownika z eksportami używanymi przez marketing.