Polityka prywatności – co to jest i co powinna zawierać?

Polityka prywatności to dokument informacyjny, który wyjaśnia użytkownikom, kto, w jakim celu i na jakiej podstawie przetwarza ich dane osobowe. RODO nie wymaga dokumentu o konkretnej nazwie, ale nakłada obowiązek informacyjny, opisany przede wszystkim w art. 13 i 14. Polityka prywatności jest najczęściej stosowaną formą spełnienia tego obowiązku.

Czym jest polityka prywatności?

Polityka prywatności porządkuje informacje o przetwarzaniu danych na stronie internetowej, w sklepie, aplikacji lub innej usłudze online. Użytkownik powinien z niej dowiedzieć się między innymi, jakie dane są zbierane, do czego służą, jak długo będą przechowywane i komu mogą zostać przekazane.

Podstawą tych informacji jest obowiązek informacyjny wynikający z RODO, czyli Rozporządzenia UE 2016/679. Przepisy nie nakazują wprost publikowania dokumentu zatytułowanego „Polityka prywatności”. Wymagają jednak, aby administrator danych przekazał osobie, której dane dotyczą, jasne, zrozumiałe i łatwo dostępne informacje o przetwarzaniu.

Polityka prywatności nie jest więc „papierem dla świętego spokoju”. Dobrze przygotowany dokument pomaga użytkownikowi świadomie zdecydować, czy chce podać dane, a administratorowi uporządkować procesy zachodzące na stronie.

Czy każda strona musi mieć politykę prywatności?

Nie każda strona musi posiadać dokument o tej konkretnej nazwie. Jeżeli jednak zbierasz lub wykorzystujesz dane osobowe, musisz zrealizować obowiązek informacyjny. W praktyce dotyczy to większości serwisów internetowych, także prostych stron firmowych.

Sprawdź, czy na stronie występują sytuacje wskazane na poniższej liście:

• Formularz kontaktowy – użytkownik podaje na przykład imię, adres e-mail lub numer telefonu.
• Newsletter – zapisujesz adres e-mail i wysyłasz wiadomości marketingowe lub informacyjne.
• Analityka i pliki cookies – korzystasz z narzędzi mierzących ruch, zachowanie użytkowników albo prowadzących remarketing.
• Rejestracja użytkownika – tworzysz konto, przechowujesz dane logowania lub historię aktywności.
• Sprzedaż internetowa – przetwarzasz dane potrzebne do realizacji zamówienia, płatności, dostawy, reklamacji lub rozliczeń.

Jeżeli zaznaczyłeś choć jeden punkt, potrzebujesz przejrzystej informacji o przetwarzaniu danych. W przypadku strony wizytówkowej bez formularzy i dodatkowych narzędzi zakres obowiązków może być mniejszy, ale nadal trzeba przeanalizować działanie serwisu, pliki cookies i dostawcę hostingu.

Dokument powinien być dostępny zanim użytkownik przekaże dane. Najczęściej umieszcza się go w stopce strony oraz przy formularzach, rejestracji i składaniu zamówienia. Sam link do polityki prywatności nie zastępuje zgody tam, gdzie zgoda jest wymagana.

Co powinna zawierać polityka prywatności?

Treść dokumentu trzeba dopasować do rzeczywistych procesów i narzędzi używanych na stronie. Nie wystarczy skopiować wzoru z innego serwisu, ponieważ każdy administrator może korzystać z innych formularzy, dostawców płatności, systemów analitycznych czy narzędzi marketingowych. Rzetelna polityka powinna obejmować co najmniej:

• Dane administratora – nazwę podmiotu, adres i dane kontaktowe, a w razie potrzeby także kontakt do inspektora ochrony danych.
• Cele przetwarzania – na przykład obsługę formularza, realizację zamówienia, wysyłkę newslettera, prowadzenie konta lub analizę działania strony.
• Podstawy prawne – wskazanie, czy dane są przetwarzane na podstawie zgody, umowy, obowiązku prawnego albo prawnie uzasadnionego interesu administratora.
• Kategorie danych – na przykład imię, adres e-mail, numer telefonu, adres dostawy, dane transakcyjne, adres IP lub identyfikatory online.
• Okres przechowywania – konkretny czas albo kryteria, według których ustala się, jak długo dane pozostają w systemie.
• Odbiorców danych – takie podmioty jak firmy kurierskie, operatorzy płatności, dostawcy hostingu, systemy mailingowe, księgowość lub narzędzia analityczne.
• Prawa użytkownika – między innymi prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia i wniesienia sprzeciwu, a także prawo do skargi do Prezesa UODO.
• Pliki cookies i narzędzia zewnętrzne – ich rodzaje, cele stosowania, czas działania oraz sposoby zarządzania zgodami i ustawieniami przeglądarki.
• Profilowanie lub zautomatyzowane decyzje – jeżeli strona wykorzystuje je do personalizacji reklam, rekomendacji lub segmentacji użytkowników.

Dokument powinien być napisany językiem zrozumiałym dla odbiorcy. Precyzja prawna nie wymaga tworzenia długich, nieczytelnych zdań. Trzeba też aktualizować politykę po zmianie narzędzi, dostawców, celów przetwarzania lub funkcji strony.

Polityka prywatności a polityka bezpieczeństwa – czym się różnią?

Te dokumenty mogą dotyczyć podobnych zagadnień, ale mają innych odbiorców i inne zadania. Polityka prywatności jest przeznaczona dla użytkowników, natomiast polityka bezpieczeństwa opisuje wewnętrzne zasady ochrony danych w organizacji.

Dlaczego warto zadbać o ten dokument?

Przejrzysta polityka prywatności ułatwia realizację obowiązku informacyjnego i pokazuje, że administrator wie, jakie dane przetwarza. Jest też elementem doświadczenia użytkownika. Łatwy dostęp do informacji ogranicza niepewność i wzmacnia wiarygodność strony.

Najważniejsze jest dopasowanie dokumentu do faktycznego działania serwisu. Polityka obejmująca formularz, newsletter, analitykę i cookies, z których strona rzeczywiście korzysta, będzie znacznie bardziej użyteczna niż ogólny wzór skopiowany z innej witryny.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W przypadku rozbudowanego sklepu, profilowania użytkowników lub przetwarzania danych na dużą skalę warto skonsultować dokument ze specjalistą.