Grzegorz Kalmus
Autor
Czy każda strona internetowa potrzebuje polityki prywatności i regulaminu?
To jedno z najczęściej zadawanych pytań przez właścicieli stron internetowych. Krótka odpowiedź brzmi: tak, niemal każda strona potrzebuje co najmniej polityki prywatności. Regulamin jest obowiązkowy przede wszystkim dla sklepów internetowych i serwisów oferujących usługi online, ale coraz częściej rekomenduje się go również dla zwykłych stron wizytówkowych.
Podstawą prawną obowiązku posiadania polityki prywatności jest Rozporządzenie o Ochronie Danych Osobowych (RODO), czyli unijne rozporządzenie 2016/679, które obowiązuje od 25 maja 2018 roku. Dotyczy każdego podmiotu, który przetwarza dane osobowe osób fizycznych – a każda strona z formularzem kontaktowym, komentarzami czy nawet analityką (Google Analytics) przetwarza takie dane.
Jeśli prowadzisz stronę firmową i chcesz mieć pewność, że wszystkie dokumenty są prawidłowo zintegrowane z witryną, sprawdź naszą ofertę projektowania stron internetowych.
Co musi zawierać polityka prywatności zgodna z RODO (art. 13)
Artykuł 13 RODO precyzyjnie określa, jakie informacje administrator danych musi przekazać osobie, której dane zbiera. Poniżej znajdziesz listę wszystkich wymaganych elementów:
Dane administratora i dane kontaktowe
Polityka prywatności musi wskazywać, kto jest administratorem danych osobowych. Należy podać pełną nazwę firmy lub imię i nazwisko (w przypadku jednoosobowej działalności), adres siedziby, NIP oraz dane kontaktowe – adres e-mail lub numer telefonu. Jeśli firma powołała Inspektora Ochrony Danych (IOD), jego dane kontaktowe również muszą się tu znaleźć.
Cele i podstawy prawne przetwarzania
Dla każdego celu przetwarzania danych musisz wskazać odpowiednią podstawę prawną z art. 6 RODO. Najczęściej stosowane podstawy to:
- art. 6 ust. 1 lit. a – zgoda osoby, której dane dotyczą (np. newsletter, cookies marketingowe)
- art. 6 ust. 1 lit. b – wykonanie umowy lub podjęcie działań przed jej zawarciem (np. realizacja zamówienia w sklepie)
- art. 6 ust. 1 lit. c – obowiązek prawny (np. wystawianie faktur, przechowywanie dokumentów księgowych)
- art. 6 ust. 1 lit. f – prawnie uzasadniony interes administratora (np. marketing bezpośredni do obecnych klientów, analityka ruchu)
Odbiorcy danych i przekazywanie do państw trzecich
Należy poinformować, komu przekazujesz dane – np. firmom hostingowym, dostawcom oprogramowania (Google, Meta, systemy CRM), biurom rachunkowym czy kurierom w przypadku sklepu. Jeśli korzystasz z narzędzi od firm spoza UE (np. Google Analytics, Mailchimp), musisz wskazać, że dane mogą trafiać do państw trzecich i opisać mechanizmy zabezpieczające (standardowe klauzule umowne).
Okresy przechowywania danych
Dla każdego celu przetwarzania musi być określony czas, przez jaki dane będą przechowywane. Przykłady: dane z formularza kontaktowego – do czasu odpowiedzi i zakończenia współpracy, dane z zamówień – 5 lat ze względów podatkowych, dane dla celów marketingowych – do odwołania zgody.
Prawa osób, których dane dotyczą
Polityka prywatności musi informować o prawach, jakie przysługują użytkownikom na mocy RODO:
- prawo dostępu do danych (art. 15)
- prawo do sprostowania danych (art. 16)
- prawo do usunięcia danych – „prawo do bycia zapomnianym” (art. 17)
- prawo do ograniczenia przetwarzania (art. 18)
- prawo do przenoszenia danych (art. 20)
- prawo do sprzeciwu (art. 21)
- prawo do wycofania zgody w dowolnym momencie
- prawo do wniesienia skargi do organu nadzorczego (w Polsce: Urząd Ochrony Danych Osobowych – uodo.gov.pl)
Więcej o wymaganiach RODO znajdziesz na stronie gdpr.eu oraz w wytycznych Europejskiej Rady Ochrony Danych na edpb.europa.eu.
Regulamin serwisu a regulamin sklepu internetowego – różnice
Wiele osób myli politykę prywatności z regulaminem lub używa tych pojęć wymiennie. To dwa różne dokumenty pełniące odmienne funkcje.
Regulamin serwisu internetowego
Regulamin serwisu to dokument określający zasady korzystania ze strony – prawa i obowiązki użytkowników, zasady korzystania z zamieszczonych treści, warunki komentowania czy wysyłania wiadomości przez formularz. Dla zwykłej strony firmowej nie jest obowiązkowy z punktu widzenia prawa, ale jest dobrą praktyką – szczególnie gdy strona zawiera treści chronione prawem autorskim lub umożliwia interakcję.
Regulamin sklepu internetowego
Regulamin sklepu to dokument obowiązkowy z mocy prawa – nakłada go ustawa o prawach konsumenta oraz kodeks cywilny. Musi zawierać m.in.:
- dane sprzedawcy (firma, adres, NIP, KRS)
- opis procedury składania zamówień
- dostępne metody płatności i dostawy z kosztami
- warunki i termin realizacji zamówień
- politykę zwrotów i reklamacji (konsument ma 14 dni na odstąpienie od umowy bez podania przyczyny)
- procedurę reklamacyjną
- informacje o możliwości pozasądowego rozwiązywania sporów
Jeśli budujesz sklep internetowy, dowiedz się więcej o naszej kompleksowej ofercie: tworzenie sklepów internetowych. Zapoznaj się też z przykładowym regulaminem sklepu internetowego, który przygotowaliśmy jako punkt wyjścia do własnego dokumentu.
Cookies i Consent Mode v2 – co zmienił Google w 2024 roku
Od marca 2024 roku Google wymaga wdrożenia Consent Mode v2 od wszystkich właścicieli stron korzystających z Google Analytics 4, Google Ads czy innych produktów reklamowych Google. To istotna zmiana, która wpływa bezpośrednio na to, jak musisz skonfigurować baner cookie na swojej stronie.
Czym jest Consent Mode v2?
Consent Mode v2 to mechanizm, który przekazuje do produktów Google informację o tym, czy użytkownik wyraził zgodę na poszczególne rodzaje plików cookie. Wyróżniamy dwa tryby:
- Basic mode – skrypty Google nie wczytują się w ogóle przed wyrażeniem zgody. Brak zgody = brak jakichkolwiek danych.
- Advanced mode – skrypty Google wczytują się zawsze, ale w trybie ograniczonym. Po wyrażeniu zgody przechodzą do pełnego trybu śledzenia. Pozwala to na modelowanie konwersji nawet bez pełnej zgody.
Aby być zgodnym z RODO i wymaganiami Google, baner cookie musi:
- pojawić się przed wczytaniem jakichkolwiek niezbędnych plików cookie (przynajmniej w basic mode)
- umożliwić granularny wybór zgód (analityczne oddzielnie, marketingowe oddzielnie)
- nie stosować tzw. „dark patterns” – przyciski „akceptuj” i „odrzuć” muszą być równoważne wizualnie
- przechowywać i respektować wybory użytkownika
Polityka cookies powinna być częścią polityki prywatności lub stanowić osobny dokument, w którym opisujesz każdy rodzaj stosowanych plików cookie (niezbędne, analityczne, marketingowe, funkcjonalne) wraz z ich nazwami i okresami ważności.
Klauzule informacyjne dla formularzy kontaktowych
Każdy formularz zbierający dane osobowe musi być opatrzony klauzulą informacyjną wynikającą z art. 13 RODO. Klauzula nie musi być długa – powinna być zwięzła i zrozumiała. Typowa klauzula pod formularzem kontaktowym powinna zawierać:
- informację, kto jest administratorem danych
- cel przetwarzania (odpowiedź na zapytanie)
- podstawę prawną (zazwyczaj art. 6 ust. 1 lit. f – prawnie uzasadniony interes)
- informację o prawach użytkownika (dostęp, sprostowanie, usunięcie, sprzeciw)
- link do pełnej polityki prywatności
Przykład prawidłowej klauzuli:
„Administratorem Twoich danych osobowych jest [nazwa firmy]. Dane przetwarzamy w celu odpowiedzi na Twoje zapytanie na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO). Masz prawo dostępu do danych, ich sprostowania, usunięcia oraz wniesienia sprzeciwu. Więcej informacji w polityce prywatności.”
Przy formularzach zapisu do newslettera lub przesyłaniu ofert handlowych podstawą prawną powinna być zgoda (art. 6 ust. 1 lit. a), a checkbox musi być odznaczony domyślnie – użytkownik musi aktywnie wyrazić zgodę.
Generatory polityki prywatności vs. indywidualny dokument – kiedy co wybrać?
W sieci dostępne są darmowe i płatne generatory polityk prywatności. Kiedy są wystarczające, a kiedy warto postawić na indywidualny dokument?
Kiedy generator może wystarczyć?
- Prosta strona wizytówkowa z jednym formularzem kontaktowym
- Strona niezbierająca szczególnych kategorii danych (danych wrażliwych)
- Brak skomplikowanej struktury przekazywania danych do wielu podmiotów
- Mały budżet i niska ekspozycja na ryzyko
Kiedy niezbędny jest indywidualny dokument?
- Sklep internetowy – wiele procesów przetwarzania, wiele podmiotów przetwarzających
- Strona zbierająca dane wrażliwe (zdrowotne, dotyczące przekonań religijnych itp.)
- Przekazywanie danych do wielu zewnętrznych dostawców
- Branże regulowane (medyczna, finansowa, prawnicza)
- Duży ruch i duża liczba użytkowników – wyższe ryzyko kontroli UODO
Kary za naruszenie RODO mogą sięgać 20 milionów euro lub 4% globalnego rocznego obrotu. Nawet dla małej firmy kontrola UODO i upomnienie wiążą się ze stratą czasu i reputacji.
Gdzie umieścić dokumenty prawne na stronie?
Prawidłowe umiejscowienie dokumentów prawnych ma znaczenie zarówno z perspektywy zgodności z przepisami, jak i użyteczności strony.
Stopka strony (footer)
Standardowym miejscem dla linków do polityki prywatności i regulaminu jest stopka strony – powinna być widoczna na każdej podstronie. Użytkownicy są przyzwyczajeni do szukania tych informacji właśnie tam. Linki powinny być wyraźnie oznaczone i dostępne na każdej stronie serwisu.
Formularz kontaktowy i zakupowy
Przy każdym formularzu zbierającym dane osobowe powinna znajdować się klauzula informacyjna lub przynajmniej link do polityki prywatności. W przypadku formularzy wymagających zgody (newsletter, marketing) należy zastosować checkbox z linkiem do dokumentu.
Baner cookie
Baner cookie musi zawierać link do polityki prywatności lub polityki cookies. Użytkownik przed wyrażeniem zgody powinien mieć możliwość zapoznania się z dokumentem.
Strona zamówienia w sklepie
W sklepie internetowym użytkownik musi potwierdzić zapoznanie się z regulaminem przed złożeniem zamówienia. Wymaga to checkboxa z linkiem do regulaminu – zazwyczaj przy przycisku „Zamów i zapłać”.
Kiedy i jak aktualizować dokumenty prawne?
Polityka prywatności i regulamin to dokumenty żywe – wymagają aktualizacji przy każdej zmianie procesów przetwarzania danych lub warunków świadczenia usług.
Kiedy zaktualizować politykę prywatności?
- Dodajesz nowe narzędzia marketingowe lub analityczne (nowy pixel, nowy CRM)
- Zmieniasz dostawcę hostingu lub poczty e-mail
- Wprowadzasz nowe formularze lub funkcje zbierające dane
- Zmieniają się przepisy prawa (nowe wytyczne UODO, nowe dyrektywy UE)
- Zmieniasz cele przetwarzania lub okresy przechowywania danych
Jak informować o zmianach?
Przy istotnych zmianach powinieneś poinformować użytkowników – np. przez e-mail (jeśli masz ich adresy), powiadomienie na stronie lub wymóg ponownego zaakceptowania dokumentu. W przypadku zmian nieistotnych wystarczy aktualizacja z nową datą w nagłówku dokumentu.
Dobrą praktyką jest prowadzenie historii zmian dokumentu (np. w formie tabeli na końcu) – szczególnie w przypadku sklepów internetowych.
FAQ – najczęściej zadawane pytania
Czy mała firma jednoosobowa też musi mieć politykę prywatności?
Tak. RODO nie uzależnia obowiązku od wielkości firmy. Jeśli zbierasz dane osobowe (choćby adresy e-mail z formularza kontaktowego), masz obowiązek poinformowania o tym fakcie w polityce prywatności.
Czy polityka prywatności pobrana z internetu jest legalna?
Wzory z internetu mogą być punktem wyjścia, ale muszą być dostosowane do Twojej konkretnej sytuacji – wpisz dane swojej firmy, opisz swoje procesy przetwarzania. Skopiowany dokument, który nie odzwierciedla rzeczywistości, jest gorszy niż brak dokumentu – może świadczyć o nierzetelności.
Jak długo przechowywać dane z formularzy kontaktowych?
Nie ma jednej odpowiedzi – zależy od celu. Jeśli zapytanie przekształciło się w współpracę, dane klienta przechowujesz przez czas trwania umowy plus wymagany prawem okres po jej zakończeniu (zazwyczaj 5 lat dla celów podatkowych). Zapytania bez odpowiedzi można usuwać po kilku miesiącach.
Czy baner cookie jest obowiązkowy na każdej stronie?
Baner cookie jest obowiązkowy, jeśli używasz plików cookie wymagających zgody – czyli wszystkich poza ściśle niezbędnymi do działania strony. Google Analytics, Facebook Pixel, reklamy remarketingowe – wszystkie wymagają zgody użytkownika przed uruchomieniem.
Co grozi za brak polityki prywatności?
Urząd Ochrony Danych Osobowych może nałożyć karę administracyjną, upomnienie lub nakaz zaprzestania przetwarzania. W praktyce najczęściej zaczyna od upomnienia i wezwania do usunięcia naruszeń. Jednak nawet samo postępowanie jest kosztowne czasowo i wizerunkowo.
Podsumowanie – zrób to dobrze od początku
Polityka prywatności i regulamin to nie formalności do odhaczenia – to fundament zaufania między Tobą a użytkownikami Twojej strony. Dobrze napisane dokumenty chronią Cię prawnie, budują wiarygodność i pokazują, że traktujesz prywatność swoich klientów poważnie.
Jeśli tworzysz nową stronę lub przebudowujesz istniejącą, zadbaj o to, by dokumenty prawne były integralną częścią projektu – a nie dodatkiem na końcu. Sprawdź nasz cennik usług, aby dowiedzieć się, co obejmuje kompleksowa realizacja strony internetowej.
Masz pytania dotyczące zgodności swojej strony z RODO lub potrzebujesz pomocy w przygotowaniu dokumentów prawnych zintegrowanych z nową witryną? Skontaktuj się z nami – chętnie doradzimy.
