Polityka prywatności to dokument, który wyjaśnia odwiedzającym stronę, kto i w jakim celu przetwarza ich dane osobowe. Taki wymóg dotyczy praktycznie każdej witryny zbierającej dane - od formularza kontaktowego, przez newsletter, po sklep internetowy. Treść musi odpowiadać przepisom rozporządzenia o ochronie danych osobowych, które nakłada na administratorów konkretne obowiązki informacyjne. Poniżej znajdziesz elementy, jakie musi zawierać taki dokument, oraz kolejność, w jakiej dobrze je ułożyć.
Pierwszy element to jasne wskazanie podmiotu odpowiedzialnego za przetwarzanie danych. Podajesz pełną nazwę firmy albo imię i nazwisko osoby prowadzącej działalność, a do tego adres siedziby i sposób kontaktu - e-mail i ewentualnie numer telefonu. Jeśli powołano inspektora ochrony danych, jego dane do korespondencji również muszą się znaleźć w tej części dokumentu. Odbiorca strony musi wiedzieć, do kogo zwrócić się z pytaniem o swoje dane, a pominięcie tego punktu samo w sobie stanowi naruszenie obowiązku informacyjnego.
Kolejny krok to szczegółowe opisanie, jakie kategorie informacji strona gromadzi. Mogą to być dane podawane dobrowolnie w formularzach, treści zbierane automatycznie przez przeglądarkę, a także dane płatnicze przy transakcjach online. Każdej z tych grup musi towarzyszyć cel gromadzenia - inny będzie dla obsługi zamówienia, inny dla wysyłki newslettera, a jeszcze inny dla analizy ruchu na witrynie.
Przy opisie celów dobrze rozdzielić to, co niezbędne do realizacji usługi, od tego, co zbierane za dodatkową zgodą, ponieważ różnią się podstawą prawną przetwarzania.
Do każdego celu trzeba przypisać podstawę prawną wynikającą z przepisów o ochronie danych osobowych. Może to być zgoda użytkownika, konieczność wykonania umowy, obowiązek ciążący na administratorze albo tak zwany uzasadniony interes. Częstym błędem jest mylenie tych kategorii - na przykład traktowanie informacji potrzebnych do wysyłki zamówienia jako zbieranych na podstawie zgody, podczas gdy w rzeczywistości wynikają one z zawartej transakcji. Dokładne reguły ich przypisywania opisuje tekst o zasadach przetwarzania danych osobowych według RODO.
Polityka prywatności musi wskazywać, jak długo informacje będą przechowywane, albo przynajmniej jakimi kryteriami kieruje się administrator przy ustalaniu tego terminu. Te związane z realizacją umowy trzyma się zwykle do momentu przedawnienia ewentualnych roszczeń, marketingowe - do wycofania zgody, a wymagane przez przepisy podatkowe - przez czas określony w tych regulacjach. Nie da się podać jednej uniwersalnej zasady dla wszystkich kategorii, dlatego lepiej opisać sam mechanizm ustalania terminu niż sztywną liczbę.
Jeśli informacje trafiają do podmiotów zewnętrznych - firmy hostingowej, dostawcy systemu mailingowego, operatora płatności, kuriera - polityka prywatności musi to ujawnić. Nie chodzi o podawanie nazw konkretnych usługodawców, lecz o wskazanie kategorii odbiorców i celu udostępnienia. Osobno trzeba zaznaczyć, czy dokumentacja trafia poza obszar, w którym obowiązuje rozporządzenie o ochronie danych, ponieważ taki transfer wymaga dodatkowych zabezpieczeń.
Dokument musi wymieniać uprawnienia, jakie przysługują osobie, której dane dotyczą. Dobrze jest ująć je w formie listy, bo to ułatwia odbiorcy szybkie odnalezienie interesującej go informacji.
Dobrze dodać, w jaki sposób można skorzystać z tych uprawnień - najlepiej wskazać adres e-mail lub formularz kontaktowy, który trafia bezpośrednio do osoby odpowiedzialnej za ten obszar w firmie.
Strony korzystające z plików cookies muszą opisać ich rodzaje - techniczne, analityczne, marketingowe - oraz sposób, w jaki odwiedzający może zarządzać zgodami w tym zakresie. Ta sekcja często łączy się z osobnym dokumentem dotyczącym tylko tego tematu, choć równie dobrze może stanowić jej część. Czy taki zapis musi się znaleźć w regulaminie sklepu, wyjaśnia osobny tekst poświęcony temu zagadnieniu. Niezależnie od formy, odwiedzający musi mieć realną możliwość odmowy na elementy stosowane wyłącznie do celów marketingowych.
Polityka prywatności powinna też zawierać krótką informację o środkach technicznych i organizacyjnych stosowanych do ochrony tych zasobów - szyfrowaniu połączenia, ograniczeniu dostępu wyłącznie upoważnionym osobom, regularnych kopiach zapasowych. Taki zapis musi też przewidywać możliwość uaktualnienia treści wraz z nowymi przepisami lub zmianą sposobu działania strony, z zapewnieniem, że aktualna wersja zawsze widnieje pod stałym adresem. Pominięcie tej klauzuli nie jest błędem formalnym, ale w praktyce utrudnia wprowadzanie takich korekt bez wzbudzania wątpliwości odbiorców.
Wskazówka: politykę prywatności dobrze jest pisać prostym językiem, bez nadmiaru terminów prawniczych - dokument ma informować użytkownika, a nie zabezpieczać wyłącznie interes firmy.
Przed publikacją dobrze jest zestawić treść polityki prywatności z realnymi procesami w organizacji - czy każdy formularz na stronie ma swój odpowiednik w opisanych celach, czy lista odbiorców pokrywa się z faktycznie używanymi narzędziami. Rozbieżność między tym, co napisano w tekście, a tym, co dzieje się w praktyce, bywa jedną z przyczyn problemów wykrywanych podczas kontroli. Przykłady takich sytuacji i ich konsekwencje opisuje artykuł o karach za naruszenia RODO. Temu, kto dopiero buduje zasady ochrony danych od podstaw, przyda się też przewodnik po wdrażaniu RODO w firmie.
Nie ma takiego wymogu formalnego, ale rozdzielenie tych dwóch dokumentów ułatwia odbiorcy odnalezienie zapisów o danych osobowych bez przeszukiwania całego regulaminu sklepu.
Tak, jeśli witryna zbiera jakiekolwiek dane - choćby przez formularz kontaktowy czy pliki cookies analityczne, obowiązek informacyjny dotyczy również niewielkich serwisów.
W prostych przypadkach można oprzeć się na sprawdzonych wzorach, jednak przy bardziej złożonym przetwarzaniu danych lepiej skonsultować treść z prawnikiem specjalizującym się w ochronie danych osobowych.
Tak, każda zmiana sposobu przetwarzania danych, pojawienie się kolejnego narzędzia na stronie czy nowelizacja przepisów wymaga uaktualnienia treści i poinformowania odbiorców o jej aktualnej wersji.
Dobrze napisana polityka prywatności to dokument żywy, dopasowany do tego, co faktycznie dzieje się z informacjami na witrynie, a nie szablon skopiowany z innego serwisu. Im dokładniej opisane cele i podstawy przetwarzania, tym mniejsze ryzyko sporu z użytkownikiem albo zarzutu ze strony organu nadzorczego.
Komentarze
Brak odpowiedzi do “Jak napisać politykę prywatności dla strony internetowej?”
brak komentarzy