RODO na stronie internetowej: co musi mieć strona firmy

RODO na stronie internetowej dotyczy każdej firmy, która przez stronę zbiera dane osobowe: imię, telefon, e-mail z formularza, zapis na newsletter, rezerwację czy zamówienie. Strona powinna mieć co najmniej obowiązek informacyjny przy formularzu, czyli krótką informację, kto przetwarza dane i w jakim celu, z odesłaniem do pełnej polityki prywatności, zgody tam, gdzie są potrzebne, na przykład na newsletter, szyfrowane połączenie i baner zgód na pliki cookies, jeśli używasz analityki lub pikseli. Za kulisami potrzebne są jeszcze umowy powierzenia z dostawcami narzędzi i zasady, jak długo przechowujesz zapytania.

Nie jestem prawnikiem. Opisuję to, co przy budowie strony wdrażam technicznie i co wynika wprost z przepisów. Treść dokumentów i ocenę, czy Twoja firma spełnia wszystkie obowiązki, warto skonsultować z prawnikiem od ochrony danych, zwłaszcza w branżach z danymi wrażliwymi, takich jak medycyna czy psychologia.

Jakie dane zbiera Twoja strona

Zanim zajmiesz się dokumentami, spisz, gdzie na stronie pojawiają się dane osobowe. W małej firmie to zwykle:

• formularz kontaktowy lub zapytanie o wycenę,
• formularz rezerwacji albo kalendarz wizyt,
• zapis na newsletter lub pobranie materiału w zamian za e-mail,
• zamówienia i konta klientów w sklepie,
• czat lub chatbot,
• pliki cookies i identyfikatory w narzędziach analitycznych i reklamowych.

Nie zapominaj o miejscach mniej oczywistych: formularz rekrutacyjny z CV, komentarze pod wpisami na blogu, nagrania rozmów z chatbota czy zdjęcia przesyłane do wyceny też zawierają dane osobowe.

Każde z tych miejsc ma swój cel i podstawę prawną, a często też innego dostawcę technicznego. Ta lista będzie potrzebna do polityki prywatności i do sprawdzenia umów.

Co powinno być na stronie

Obowiązek informacyjny przy formularzu

RODO wymaga, żeby osoba podająca dane wiedziała w chwili ich zbierania, kto jest administratorem, w jakim celu i na jakiej podstawie dane są przetwarzane, komu mogą być przekazane, jak długo będą przechowywane i jakie ma prawa. Przy formularzu wystarcza zwykle krótka informacja w kilku zdaniach z linkiem do pełnej treści. Przykład takiego dokumentu na tej stronie: klauzula informacyjna.

Polityka prywatności

Pełny opis wszystkich celów przetwarzania, narzędzi, odbiorców danych i praw użytkowników. Co dokładnie powinna zawierać, opisuję osobno w artykule polityka prywatności: wzór i zawartość.

Zgody, ale tylko tam, gdzie są potrzebne

Częsty błąd to obowiązkowy checkbox „Wyrażam zgodę na przetwarzanie danych” przy zwykłym formularzu kontaktowym. Odpowiedź na zapytanie, które ktoś sam wysłał, ma zwykle inną podstawę niż zgoda: podjęcie działań przed zawarciem umowy albo prawnie uzasadniony interes. Zgoda jest natomiast potrzebna na przykład do newslettera i innych informacji handlowych wysyłanych e-mailem lub SMS-em, a przepisy o komunikacji elektronicznej wymagają jej osobno. Zgoda musi być dobrowolna, niezaznaczona z góry i łatwa do wycofania.

Miejsce na stronie	Typowa podstawa	Czy potrzebny checkbox zgody
Formularz kontaktowy, zapytanie o wycenę	działania przed umową lub uzasadniony interes	zwykle nie, wystarczy informacja
Zamówienie w sklepie	wykonanie umowy, obowiązki księgowe	nie, akceptacja regulaminu to co innego
Newsletter, oferty e-mailem lub SMS-em	zgoda	tak, osobny i niezaznaczony
Analityka i piksele	zgoda na pliki cookies	tak, w banerze

Tabela pokazuje typowe sytuacje. Przy nietypowych celach, na przykład profilowaniu czy danych o zdrowiu, ocenę zostaw prawnikowi.

Szyfrowanie i bezpieczeństwo

Strona zbierająca dane musi działać przez HTTPS, czyli z aktywnym szyfrowaniem SSL. Dziś to standard u większości dostawców, ale warto sprawdzić, czy wszystkie podstrony i formularze go używają. Dostęp do skrzynki, CRM i panelu strony powinien być chroniony silnym hasłem i najlepiej logowaniem dwuetapowym.

Co dzieje się za kulisami

Umowy powierzenia

Dane z formularza trafiają zwykle do kilku miejsc: na serwer platformy strony, do skrzynki e-mail, do CRM, czasem do komunikatora. Każdy z tych dostawców przetwarza dane w Twoim imieniu, więc RODO wymaga umowy powierzenia przetwarzania. Duzi dostawcy, tacy jak platformy stron, systemy CRM czy narzędzia do mailingu, mają takie umowy w regulaminach albo do zaakceptowania w panelu. Sprawdź, czy je masz, i zanotuj, gdzie dane są przechowywane, bo przekazanie poza Europejski Obszar Gospodarczy wymaga dodatkowych zabezpieczeń.

Okres przechowywania

Zapytanie, które nie skończyło się zleceniem, nie powinno leżeć w skrzynce i CRM latami. Ustal okres, na przykład rok od ostatniego kontaktu, opisz go w polityce i co jakiś czas usuwaj stare wpisy. O porządku z danymi w systemie do obsługi klientów piszę w artykule CRM a RODO.

Prawa użytkowników

Każdy może zapytać, jakie dane o nim masz, poprosić o ich poprawienie lub usunięcie. Potrzebny jest adres kontaktowy do takich spraw i wiedza, gdzie szukać danych: w skrzynce, w CRM, w narzędziu do mailingu. Na prośbę trzeba odpowiedzieć bez zbędnej zwłoki, co do zasady w ciągu miesiąca.

Przykład: strona firmy księgowej

Przykład umowny. Firma księgowa ma stronę z formularzem zapytania, zapisem na newsletter o zmianach w przepisach, GA4 i pikselem Meta. Wdrożenie wygląda tak:

1. Przy formularzu krótka informacja o administratorze, celu i linku do polityki, bez obowiązkowego checkboxa zgody.
2. Przy newsletterze osobny, niezaznaczony checkbox zgody na informacje handlowe e-mailem.
3. Baner cookies, który uruchamia GA4 i piksel dopiero po zgodzie.
4. Polityka prywatności z listą narzędzi i dostawców.
5. Zaakceptowane umowy powierzenia z platformą strony, CRM i narzędziem do newslettera.
6. Zasada usuwania zapytań bez zlecenia po roku.

Całość została przejrzana przez prawnika firmy przed publikacją. Po pół roku firma dodaje czat na stronie, więc aktualizuje politykę prywatności o nowego dostawcę i sprawdza jego umowę powierzenia, zanim czat zacznie działać.

Najczęstsze błędy

• Polityka prywatności skopiowana z innej strony, z narzędziami, których firma nie używa.
• Obowiązkowa zgoda na przetwarzanie danych przy zwykłym formularzu kontaktowym.
• Jeden checkbox łączący zgodę na kontakt, newsletter i regulamin.
• Brak umów powierzenia z dostawcami narzędzi.
• Zapytania przechowywane bez końca w skrzynce i arkuszach.
• Piksele uruchamiane przed zgodą na cookies. Zasady opisuję w tekście czy muszę mieć baner cookies.

Przy budowie strony wdrażam technicznie formularze, banery i linki do dokumentów. Treść dokumentów prawnych dostarcza klient albo jego prawnik. Zakres prac przy nowej stronie opisuję przy usłudze strony firmowe.

Lista kontrolna

• Masz spis miejsc, w których strona zbiera dane.
• Przy każdym formularzu jest krótka informacja z linkiem do polityki.
• Zgody zbierasz tylko tam, gdzie są potrzebne, osobno i bez zaznaczania z góry.
• Strona działa w całości przez HTTPS.
• Masz umowy powierzenia z dostawcami narzędzi.
• Wiesz, jak długo przechowujesz zapytania i kto je usuwa.
• Dokumenty sprawdził prawnik.