Polityka prywatności dla firmy — co musi zawierać

Polityka prywatności to dokument, w którym wyjaśniasz osobom odwiedzającym stronę, co robisz z ich danymi osobowymi. Brzmi jak formalność dla dużych firm, ale dotyczy też jednoosobowej działalności — wystarczy, że na stronie jest formularz kontaktowy.

Czy Twoja strona potrzebuje polityki prywatności?

Prawie na pewno tak. Obowiązek informacyjny wynika z art. 13 RODO i dotyczy sytuacji, w której zbierasz dane osobowe bezpośrednio od osoby, której one dotyczą. Na stronie małej firmy dzieje się to zwykle przez:

• formularz kontaktowy lub formularz wyceny (imię, e-mail, telefon),
• system rezerwacji wizyt,
• zapis na newsletter,
• narzędzia analityczne i reklamowe, które zapisują pliki cookie i identyfikatory urządzeń,
• osadzone elementy zewnętrzne, np. mapę, film lub widżet opinii.

Jeśli Twoja strona to wyłącznie tekst i numer telefonu, bez formularzy, analityki i osadzonych elementów, danych przez nią nie zbierasz. W praktyce takich stron jest niewiele — a gdy dodasz choćby statystyki odwiedzin, sytuacja się zmienia.

Co musi zawierać — lista z art. 13 RODO

RODO nie podaje gotowego wzoru, ale wymienia informacje, które musisz przekazać. W języku polityki prywatności oznacza to następujące punkty.

Kto jest administratorem danych

Pełna nazwa firmy zgodnie z wpisem w CEIDG lub KRS, adres i dane kontaktowe — przynajmniej e-mail. Jeśli wyznaczyłeś inspektora ochrony danych (małe firmy zazwyczaj nie muszą), podaj też jego kontakt.

W jakim celu i na jakiej podstawie przetwarzasz dane

Każdy cel osobno, z podstawą prawną. Przykłady typowe dla małej firmy:

• odpowiedź na zapytanie z formularza,
• umówienie i obsługa wizyty lub zlecenia,
• wystawienie faktury i prowadzenie księgowości,
• statystyki odwiedzin strony,
• wysyłka newslettera.

Jeśli powołujesz się na prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), napisz, na czym on polega — np. „odpowiedź na pytanie przesłane przez formularz”.

Komu przekazujesz dane

Nie musisz wymieniać każdej firmy z nazwy, ale musisz wskazać odbiorców lub ich kategorie: dostawcę hostingu, biuro rachunkowe, system rezerwacji, dostawcę poczty e-mail, narzędzia analityczne. Jeśli któryś z nich przekazuje dane poza Europejski Obszar Gospodarczy, polityka powinna o tym informować i wskazywać, na jakiej podstawie się to odbywa.

Jak długo przechowujesz dane

Konkretny okres albo kryterium jego ustalenia. Na przykład: zapytania z formularza — do czasu zakończenia korespondencji i ewentualnego przedawnienia roszczeń; dokumenty księgowe — przez okres wymagany przepisami podatkowymi.

Jakie prawa ma osoba, której dane dotyczą

RODO wymaga poinformowania o prawie do:

• dostępu do danych i otrzymania ich kopii,
• sprostowania danych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych,
• sprzeciwu wobec przetwarzania,
• cofnięcia zgody w dowolnym momencie — jeśli przetwarzanie opiera się na zgodzie,
• wniesienia skargi do organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych.

Czy podanie danych jest obowiązkowe

Wyjaśnij, czy podanie danych jest wymogiem umownym lub ustawowym i co się stanie, jeśli ktoś ich nie poda — np. „bez numeru telefonu nie możemy potwierdzić wizyty”.

Profilowanie i zautomatyzowane decyzje

Jeśli je stosujesz, musisz o tym poinformować. Mała firma usługowa zwykle tego nie robi — wtedy wystarczy jedno zdanie, że dane nie służą do zautomatyzowanego podejmowania decyzji.

Pliki cookie to osobny temat

Informacja o plikach cookie często trafia do polityki prywatności albo do osobnej polityki cookies. Obowiązek uzyskania zgody na zapisywanie informacji na urządzeniu użytkownika wynika z przepisów o komunikacji elektronicznej, nie tylko z RODO. W uproszczeniu: pliki niezbędne do działania strony nie wymagają zgody, a analityczne i marketingowe — tak. Baner cookie powinien pozwalać te drugie odrzucić równie łatwo, jak zaakceptować.

Wypisz w dokumencie narzędzia, których faktycznie używasz. Jeśli usunąłeś ze strony piksel reklamowy, usuń go też z polityki.

Gabinety i dane o zdrowiu

Jeśli prowadzisz gabinet psychologiczny, fizjoterapeutyczny lub stomatologiczny, uważaj na formularze. Informacje o stanie zdrowia to szczególna kategoria danych (art. 9 RODO), do której przetwarzania potrzebna jest odrębna podstawa. Najprostsza zasada: w formularzu na stronie pytaj tylko o to, co niezbędne do umówienia wizyty — imię, kontakt, preferowany termin. Szczegóły zdrowotne zbieraj na wizycie, w dokumentacji, a nie przez stronę.

To samo dotyczy np. trenerów personalnych czy gabinetów kosmetycznych, które w ankietach pytają o przeciwwskazania. Taką ankietę lepiej przeprowadzić na miejscu niż przez publiczny formularz.

Gdzie umieścić politykę prywatności

• W stopce każdej podstrony — to miejsce, w którym ludzie jej szukają.
• Przy każdym formularzu — krótka informacja z linkiem, np. „Administratorem danych jest… Szczegóły w polityce prywatności”.
• W banerze cookie — link do zasad dotyczących plików cookie.

Dokument powinien być napisany zrozumiałym językiem. RODO wprost wymaga, by informacje były przekazywane w zwięzłej, przejrzystej i łatwo dostępnej formie. Dwie strony prostego tekstu są lepsze niż dwadzieścia stron skopiowanych formułek.

Najczęstsze błędy

1. Polityka skopiowana z innej strony — z cudzą nazwą firmy, narzędziami, których nie używasz, albo celami, których nie realizujesz.
2. Nieaktualna treść — dodałeś system rezerwacji lub czat, a dokument o nim nie wspomina.
3. Brak okresu przechowywania albo ogólnik „przez czas nieokreślony”.
4. Pominięte prawo skargi do Prezesa UODO.
5. Polityka ukryta — tylko w jednym miejscu, bez linku przy formularzu.

Krótka lista kontrolna

Zanim opublikujesz dokument, sprawdź, czy odpowiada na pytania:

• Kto zbiera dane i jak się z nim skontaktować?
• Jakie dane, w jakim celu i na jakiej podstawie?
• Komu je przekazujesz i czy trafiają poza EOG?
• Jak długo je przechowujesz?
• Jakie prawa ma klient i gdzie może złożyć skargę?
• Jakich plików cookie używa strona i jak wycofać zgodę?

Więcej materiałów, w tym poradniki dla administratorów, publikuje Urząd Ochrony Danych Osobowych.

Jak to wygląda w KreatorStron

Polityka prywatności, regulamin i baner cookies są w zakresie naszych planów — przygotowujemy je na podstawie danych Twojej firmy i narzędzi, których faktycznie używa strona, a gdy dodajesz np. rezerwacje, aktualizujemy dokumenty. Co dokładnie obejmuje każdy plan, sprawdzisz w cenniku. Jeśli dopiero zaczynasz, zajrzyj też do poradnika Jak założyć stronę internetową firmy.