Polityka prywatności: wzór struktury i co w niej napisać

Polityka prywatności: wzór, którego szukasz, to tak naprawdę stała struktura, a nie gotowy tekst do skopiowania. Dobra polityka dla strony małej firmy ma zwykle dziesięć części: kto jest administratorem, jakie dane zbierasz i skąd, w jakich celach i na jakiej podstawie, komu je przekazujesz, czy trafiają poza Europejski Obszar Gospodarczy, jak długo je przechowujesz, jakie prawa ma użytkownik, jak działają pliki cookies i narzędzia, jak dbasz o bezpieczeństwo i kiedy dokument był zmieniony. Treść każdej części zależy od tego, co naprawdę dzieje się na Twojej stronie.

Dlatego nie podaję tu gotowego wzoru do wklejenia. Pokazuję, co powinno się znaleźć w każdej części, jak przygotować materiał dla prawnika albo sprawdzić tekst z generatora i jakie błędy w politykach powtarzają się najczęściej. Nie jestem prawnikiem: ostateczną treść dokumentu warto oddać do sprawdzenia specjaliście od ochrony danych.

Dlaczego skopiowany wzór zwykle nie pasuje

Polityka prywatności opisuje konkretne działania konkretnej firmy. Wzór z innej strony mówi o narzędziach, których nie używasz, pomija te, których używasz, a często cytuje przepisy, które w Polsce już nie obowiązują. Taki dokument nie spełnia swojej funkcji: użytkownik nie dowie się z niego, co dzieje się z jego danymi.

Generatory online są lepsze od kopiowania, bo pytają o narzędzia i cele. Wciąż jednak zależą od tego, co w nie wpiszesz, i nie znają specyfiki Twojej branży. Dają dobry szkic, który trzeba porównać z rzeczywistością i najlepiej oddać prawnikowi do przejrzenia.

Dziesięć części polityki prywatności

Część 1: administrator

Administrator to firma, która decyduje o celach i sposobach przetwarzania. W jednoosobowej działalności to właściciel, z nazwą firmy z CEIDG. Podaj adres do korespondencji i e-mail, pod którym ktoś faktycznie odpowiada na pytania o dane. Jeśli wyznaczyłeś inspektora ochrony danych, podaj też jego kontakt.

Części 2 i 3: dane, cele, podstawy

To najważniejsza i najczęściej zaniedbywana część. Każdy cel opisz osobno: odpowiedź na zapytanie z formularza, realizacja zamówienia, wystawienie faktury, newsletter, analityka strony, reklama i remarketing, obrona przed roszczeniami. Przy każdym podaj podstawę prawną, na przykład zgodę, umowę, obowiązek prawny lub prawnie uzasadniony interes. Ten sam e-mail może być przetwarzany w kilku celach i na kilku podstawach jednocześnie.

Części 4 i 5: odbiorcy i przekazywanie danych

Wypisz kategorie dostawców, a najlepiej konkretne narzędzia: platformę strony, pocztę, CRM, system do newslettera, Google Analytics, Meta. Wiele z nich ma serwery lub spółki matki poza EOG, więc trzeba opisać, na jakiej podstawie dane tam trafiają. Dla części firm z USA podstawą są unijno-amerykańskie ramy ochrony danych, czyli Data Privacy Framework, dla innych standardowe klauzule umowne. Szczegóły potwierdzisz w dokumentacji danego dostawcy.

Część 6: okres przechowywania

Podaj konkretne okresy albo kryteria. Faktury przechowuje się przez okres wymagany przepisami podatkowymi. Zapytania bez zlecenia możesz trzymać na przykład przez rok od ostatniego kontaktu. Dane z newslettera do czasu wycofania zgody. Zdanie „dane przechowujemy tak długo, jak to konieczne” bez żadnego kryterium nic nie mówi.

Część 7: prawa użytkownika

Wymień prawa wprost i napisz, jak z nich skorzystać: na jaki adres pisać, czy potrzebne jest potwierdzenie tożsamości, w jakim czasie odpowiadasz. Dodaj informację o prawie do skargi do Prezesa Urzędu Ochrony Danych Osobowych. Przy celach opartych na zgodzie zaznacz, że można ją wycofać w każdej chwili, a wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Część 8: cookies i narzędzia

Może być osobnym dokumentem, jak polityka cookies na tej stronie, albo rozdziałem polityki prywatności. Musi odpowiadać temu, co pokazuje baner zgód. Jak działa sam baner, opisuję w tekście czy muszę mieć baner cookies.

Części 9 i 10: bezpieczeństwo i zmiany

O zabezpieczeniach pisz ogólnie: szyfrowane połączenie, ograniczony dostęp, hasła i logowanie dwuetapowe. Szczegóły techniczne nie są potrzebne użytkownikowi, a mogłyby ułatwić życie komuś, kto szuka luk. Na końcu podaj datę ostatniej zmiany dokumentu.

Jak przygotować materiał dla prawnika

Prawnik napisze politykę szybciej i taniej, jeśli dostanie od Ciebie konkretne informacje. Przygotuj:

1. Listę formularzy i innych miejsc zbierania danych na stronie.
2. Listę narzędzi: platforma strony, poczta, CRM, mailing, analityka, piksele, czat, system rezerwacji.
3. Informację, co robisz z danymi po otrzymaniu: kto je czyta, gdzie je zapisujesz, czy wysyłasz oferty.
4. Okresy, przez jakie chcesz przechowywać dane.
5. Linki do umów powierzenia lub regulaminów dostawców.

Taką listę przygotowuję przy budowie strony, bo i tak muszę wiedzieć, jakie narzędzia ją tworzą. Szerzej o tym, co wymaga uwagi, piszę w artykule RODO na stronie internetowej.

Przykład: polityka po zmianach na stronie

Przykład umowny. Salon fryzjerski ma politykę prywatności z generatora sprzed kilku lat. Wspomina w niej Google Analytics w starej wersji i nie wspomina o pikselu Meta ani o systemie rezerwacji online, które dodano później. Przegląd z listą narzędzi pokazuje pięć rozbieżności. Prawnik aktualizuje dokument, salon zmienia datę aktualizacji, a baner cookies dostaje nowe kategorie zgodne z polityką. Całość zajmuje kilka dni, z czego najwięcej czasu zabiera zebranie informacji o narzędziach.

Najczęstsze błędy w politykach prywatności

• Tekst skopiowany z innej firmy, z jej nazwą w jednym z akapitów.
• Odwołania do nieaktualnych przepisów.
• Lista narzędzi, która nie zgadza się z tym, co ładuje strona.
• Brak podstawy prawnej przy poszczególnych celach.
• Ogólnikowe okresy przechowywania.
• Dokument ukryty, bez linku w stopce i przy formularzach.
• Brak daty ostatniej aktualizacji.

Przy nowej stronie wdrażam linki do dokumentów w stopce, przy formularzach i w banerze, a listę narzędzi przekazuję klientowi do polityki. Przykład dokumentu na tej stronie: polityka prywatności.

Lista kontrolna

• Polityka opisuje Twoją firmę, a nie firmę ze wzoru.
• Każdy cel ma podaną podstawę prawną.
• Lista narzędzi zgadza się z tym, co ładuje strona.
• Okresy przechowywania są konkretne.
• Link do polityki jest w stopce i przy każdym formularzu.
• Dokument ma datę aktualizacji i jest przeglądany przy każdej zmianie narzędzi.
• Treść sprawdził prawnik.