Czy jednoosobowa firma musi mieć politykę prywatności?
Tak, ale RODO nie wymaga dokumentu o konkretnej nazwie „Polityka Prywatności”. Jednoosobowa firma, która przetwarza dane osobowe klientów lub użytkowników, musi spełnić obowiązek informacyjny. Najczęściej robi to właśnie za pomocą polityki prywatności umieszczonej na stronie internetowej.
Czy JDG musi mieć politykę prywatności?
Podstawą jest art. 13 RODO, który nakłada na administratora danych obowiązek poinformowania osoby o tym, kto i w jakim celu przetwarza jej dane. Dotyczy to także osoby prowadzącej jednoosobową działalność gospodarczą. Forma prawna firmy nie zwalnia z obowiązków wynikających z RODO.
Polityka prywatności jest więc narzędziem realizacji obowiązku informacyjnego, a nie dokumentem, którego nazwę wprost narzuca RODO. Jeśli prowadzisz stronę internetową, formularz kontaktowy, newsletter, sklep internetowy albo przyjmujesz dane klientów w inny sposób, informacje o przetwarzaniu powinny być dla nich łatwo dostępne, zrozumiałe i aktualne.
Nie oznacza to konieczności przygotowania obszernego dokumentu prawniczego. Treść powinna odpowiadać rzeczywistym procesom w firmie. Innych informacji będzie potrzebować fotograf prowadzący prostą stronę wizytówkę, a innych właściciel sklepu internetowego korzystający z wielu usług zewnętrznych.
Polityka prywatności a dokumentacja wewnętrzna
Te dwa rodzaje dokumentów bywają mylone, choć pełnią różne funkcje. Pierwszy jest skierowany do klientów i użytkowników, drugi pomaga przedsiębiorcy wykazać, że właściwie organizuje ochronę danych.
| Cecha | Polityka prywatności zewnętrzna | Dokumentacja wewnętrzna |
|---|---|---|
| Cel | Realizacja obowiązku informacyjnego wobec osób, których dane dotyczą | Opisanie zasad i środków ochrony danych oraz wykazanie rozliczalności |
| Odbiorca | Klient, użytkownik strony lub inna osoba przekazująca dane | Przedsiębiorca, pracownicy i współpracownicy |
| Treść | Informacje o administratorze, celach, podstawach i prawach osoby | Procedury, zasady dostępu, reagowanie na incydenty i zabezpieczenia |
| Forma | Najczęściej podstrona na stronie internetowej lub klauzula informacyjna | Dokumenty i procedury dopasowane do sposobu działania firmy |
RODO nie nakazuje każdej JDG posiadania dokumentu zatytułowanego „Polityka bezpieczeństwa”. Art. 24 RODO wymaga jednak wdrożenia środków pozwalających wykazać zgodność przetwarzania z przepisami, a odpowiednie polityki mogą być jednym z takich środków. Zakres dokumentacji zależy od rodzaju, skali i ryzyka przetwarzania.
Co musi zawierać informacja dla klienta?
Zakres informacji wynika przede wszystkim z art. 13 RODO. W typowej polityce prywatności lub klauzuli informacyjnej powinny znaleźć się:
- Dane administratora – imię i nazwisko przedsiębiorcy, nazwa firmy, adres oraz dane kontaktowe.
- Cele przetwarzania – na przykład realizacja zamówienia, odpowiedź na wiadomość, obsługa reklamacji lub wysyłka newslettera.
- Podstawa prawna – na przykład wykonanie umowy, obowiązek prawny, zgoda albo prawnie uzasadniony interes administratora.
- Okres przechowywania danych – wskazanie, jak długo dane będą przechowywane albo według jakich kryteriów ten okres jest ustalany.
- Prawa osoby, której dane dotyczą – między innymi prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz wniesienia sprzeciwu, gdy przepisy je przewidują.
W zależności od sytuacji trzeba także wskazać odbiorców danych, informację o przekazywaniu danych poza Europejski Obszar Gospodarczy, prawo do cofnięcia zgody oraz możliwość wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Treść należy dopasować do faktycznie używanych narzędzi, na przykład systemu płatności, hostingu, newslettera czy analityki internetowej.
O czym pamiętać jako właściciel JDG?
Brak informacji dostępnej dla klienta może oznaczać naruszenie zasady przejrzystości. Sama nazwa dokumentu nie przesądza jednak o zgodności z RODO. Polityka powinna opisywać rzeczywiste działania firmy, być napisana prostym językiem i aktualizowana po zmianie sposobu zbierania lub wykorzystywania danych.
Najkrócej: nie musisz mieć dokumentu o nazwie „Polityka Prywatności”, ale musisz prawidłowo informować osoby o przetwarzaniu ich danych. W większości firm umieszczenie takiej polityki na stronie jest najprostszym sposobem spełnienia tego obowiązku.
Treść ma charakter informacyjny i nie stanowi indywidualnej porady prawnej. Ocena obowiązków zależy od konkretnych procesów przetwarzania danych w przedsiębiorstwie.
