Najpierw zastrzeżenie

Robię strony, nie jestem prawnikiem. Ten tekst to praktyczne wskazówki z mojej pracy, nie porada prawna. Dotyczy typowej strony firmowej: kilka podstron, formularz kontaktowy, może analityka. Jeśli przetwarzasz dane o zdrowiu, profilujesz klientów albo prowadzisz sklep z kontami klientów, skonsultuj się z prawnikiem. Tam obowiązków i niuansów jest więcej, niż zmieści jeden wpis.

Źródła, do których warto zajrzeć samemu: tekst RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) oraz poradniki Urzędu Ochrony Danych Osobowych (UODO) na jego stronie.

Formularz kontaktowy: obowiązek informacyjny

Gdy ktoś wpisuje w formularz imię i e-mail, zbierasz dane osobowe. Art. 13 RODO mówi, że przy zbieraniu danych musisz tę osobę poinformować między innymi o tym:

  • kto jest administratorem danych, czyli pełna nazwa firmy i dane kontaktowe,
  • w jakim celu i na jakiej podstawie prawnej przetwarzasz dane,
  • komu je przekazujesz, na przykład firmie hostingowej albo dostawcy poczty,
  • czy dane trafiają poza Europejski Obszar Gospodarczy,
  • jak długo je przechowujesz albo jak ustalasz ten okres,
  • jakie prawa ma ta osoba: dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw i skarga do Prezesa UODO,
  • jak się z Tobą skontaktować w sprawie danych, a jeśli masz inspektora ochrony danych, to także z nim.

Nie trzeba wklejać tego wszystkiego pod formularzem. Praktyczny układ to jedno, dwa zdania przy przycisku „Wyślij” i pełna informacja w polityce prywatności. Na przykład: „Administratorem danych jest Firma X. Dane z formularza wykorzystam tylko do odpowiedzi na zapytanie. Szczegóły w polityce prywatności”. Wytyczne europejskich organów ochrony danych w sprawie przejrzystości dopuszczają takie warstwowe podawanie informacji.

Ostrożniej trzeba być w gabinetach, gdzie formularz łatwo zbiera dane o zdrowiu. Jak ułożyć zapis na wizytę bez pytania o objawy, opisałem przy stronach dla psychologów.

Czy przy formularzu potrzebny jest checkbox zgody?

Często nie jest potrzebny. Zgoda to tylko jedna z podstaw przetwarzania wymienionych w art. 6 ust. 1 RODO. Gdy ktoś pyta o wycenę, odpowiedź zwykle opiera się na działaniach podejmowanych na jego żądanie przed zawarciem umowy (lit. b) albo na prawnie uzasadnionym interesie, jakim jest odpowiedź na korespondencję (lit. f). Ta osoba sama do Ciebie napisała, więc wie, po co podaje dane.

Checkbox „wyrażam zgodę na przetwarzanie danych” przy takim formularzu bywa wręcz mylący, bo sugeruje inną podstawę niż ta, na której naprawdę działasz. Do tego każde dodatkowe pole to kolejny powód, żeby ktoś nie wysłał wiadomości.

Zgoda jest potrzebna, gdy chcesz z danymi zrobić coś więcej niż odpowiedzieć: zapisać kogoś do newslettera, wysyłać mu oferty e-mailem, przekazać dane partnerom. Wtedy dodajesz osobny checkbox, niezaznaczony domyślnie, z treścią, która mówi konkretnie, na co ktoś się zgadza. Na wysyłanie informacji handlowych e-mailem zgody wymaga także Prawo komunikacji elektronicznej.

Polityka prywatności: pełna informacja w jednym miejscu

Polityka prywatności to podstrona, na której opisujesz wszystkie sytuacje, w których strona styka się z danymi: formularz, poczta, cookies, analityka, osadzone treści, newsletter. Każdy cel osobno, z podstawą prawną i okresem przechowywania.

Musi opisywać Twoją firmę i Twoją stronę, nie stronę w ogóle. Jak to może wyglądać w praktyce, zobaczysz w mojej polityce prywatności, gdzie opisuję, co dzieje się z danymi na tej stronie.

Cookies: kiedy potrzebna jest zgoda

Od 10 listopada 2024 zasady dotyczące ciasteczek są w Prawie komunikacji elektronicznej (art. 399), które w tym zakresie zastąpiło Prawo telekomunikacyjne. Przepis dotyczy nie tylko cookies, ale każdego zapisywania i odczytywania informacji z urządzenia odwiedzającego, na przykład przez localStorage. W skrócie:

  • niezbędne, czyli takie, bez których usługa, o którą prosi odwiedzający, nie zadziała (koszyk, logowanie, zapamiętanie decyzji z banera), nie wymagają zgody,
  • analityczne zwykle wymagają zgody,
  • marketingowe, czyli piksele reklamowe i remarketing, wymagają zgody.

Dobrą praktyką jest opisać w polityce prywatności także te niezbędne, żeby odwiedzający wiedział, co strona zapisuje.

Jak powinien działać baner cookies

  • przycisk „Odrzuć” jest tak samo widoczny i łatwy jak „Akceptuj”, od razu, nie schowany w ustawieniach,
  • żadne pole nie jest zaznaczone domyślnie,
  • skrypty analityczne i reklamowe ładują się dopiero po zgodzie, nie przy wejściu na stronę,
  • decyzję można później zmienić, na przykład linkiem w stopce.

Najczęstszy błąd techniczny, jaki widzę: baner wygląda poprawnie, ale analityka albo piksel reklamowy startuje, zanim ktokolwiek kliknie. Sprawdzisz to sam. Otwórz stronę w oknie prywatnym, włącz narzędzia deweloperskie przeglądarki (F12) i zajrzyj do listy ciasteczek oraz zakładki z ruchem sieciowym, zanim cokolwiek klikniesz w banerze.

Analityka bez cookies

Są narzędzia analityczne, które nie zapisują niczego na urządzeniu odwiedzającego. Przy nich baner może nie być potrzebny. Może, bo zależy to od tego, jak dokładnie dane narzędzie działa. Sprawdź dokumentację dostawcy. Pamiętaj też, że nawet bez cookies narzędzie może przetwarzać dane osobowe, na przykład adres IP, więc i tak opisujesz je w polityce prywatności.

Czcionki Google i filmy z YouTube

Gdy strona pobiera czcionki z serwerów Google, przeglądarka każdego odwiedzającego łączy się z Google i przekazuje mu swój adres IP, zanim ktokolwiek na cokolwiek się zgodzi. Podobnie zwykły odtwarzacz YouTube: łączy się z Google od razu po wczytaniu strony, nawet jeśli nikt nie włączy filmu. Praktyczne rozwiązania:

  • hostuj czcionki lokalnie, na tym samym serwerze co strona; licencje większości czcionek z Google Fonts na to pozwalają,
  • wideo pokazuj najpierw jako miniaturę, a odtwarzacz ładuj dopiero po kliknięciu,
  • jeśli osadzasz film od razu, użyj trybu youtube-nocookie.com; ogranicza ciasteczka, ale połączenie z Google nadal następuje,
  • to samo dotyczy map Google, okienek czatu i przycisków mediów społecznościowych.

Umowy powierzenia z dostawcami

Dane z formularza nie leżą tylko u Ciebie. Trafiają na serwer firmy hostingowej, do skrzynki u dostawcy poczty, czasem do CRM albo narzędzia do newslettera. Ci dostawcy przetwarzają dane w Twoim imieniu, więc art. 28 RODO wymaga umowy powierzenia przetwarzania danych.

Duzi dostawcy zwykle mają ją w regulaminie albo do zaakceptowania w panelu. Sprawdź to u każdego z nich i zapisz, gdzie leży umowa. Jeśli któryś przesyła dane poza Europejski Obszar Gospodarczy, napisz o tym w polityce prywatności.

Bezpieczeństwo i przechowywanie zgłoszeń

RODO wymaga zabezpieczeń odpowiednich do ryzyka (art. 32). Na stronie firmowej oznacza to w praktyce:

  • HTTPS na całej stronie, nie tylko na podstronie z formularzem,
  • aktualny system i dodatki, bo nieaktualne wtyczki to częsta droga włamań,
  • formularz z polami potrzebnymi tylko do odpowiedzi; PESEL, data urodzenia czy adres zamieszkania w formularzu kontaktowym to zwykle zbędne ryzyko,
  • dostęp do zgłoszeń tylko dla osób, które ich potrzebują.

Zdecyduj też, jak długo trzymasz zgłoszenia. Zapytanie, z którego nic nie wyszło, nie musi leżeć w skrzynce latami. Jeśli z zapytania powstała umowa, część danych przechowujesz dłużej, zgodnie z przepisami o rachunkowości i podatkach. W polityce prywatności podajesz okres albo kryteria, według których go ustalasz.

Najczęstsze błędy

  • polityka prywatności skopiowana z innej firmy, z cudzą nazwą albo narzędziami, których Twoja strona nie używa,
  • baner cookies bez przycisku „Odrzuć” albo z odrzuceniem schowanym w ustawieniach,
  • analityka i piksele reklamowe uruchamiane przed zgodą,
  • newsletter wysyłany do osób, które tylko zadały pytanie przez formularz,
  • formularz kontaktowy zbierający PESEL albo inne dane bez potrzeby,
  • brak informacji, kto jest administratorem danych.

RODO to tylko jeden punkt z listy. Resztę, czyli to, czego klient szuka na stronie, opisałem w tekście co powinna mieć strona firmowa. HTTPS, szybkość i podstawy SEO sprawdzisz w minutę w bezpłatnym audycie strony.

Jak to wygląda u mnie

Strony buduję z czcionkami hostowanymi lokalnie i bez zbędnych skryptów śledzących. Baner cookies dodaję tylko wtedy, gdy strona naprawdę używa śledzących ciasteczek. Formularz zbiera tylko te pola, które są potrzebne.

Treść polityki prywatności przygotowujesz Ty albo Twój prawnik, bo to Ty znasz swoje procesy i odpowiadasz za dane. Ja wstawiam ją na stronę i dbam o techniczną zgodność, czyli o to, żeby strona robiła to, co polityka obiecuje.

Masz pytanie o swoją stronę? Napisz do mnie kilka zdań. Odpisuję osobiście, w 24 h w dni robocze.