RODO na stronie internetowej brzmi bardziej groźnie, niż jest w praktyce. Dla typowej strony małej firmy sprowadza się do kilku konkretnych elementów, które da się wdrożyć raz i mieć z głowy.
Polityka prywatności
To dokument informujący odwiedzającego, jakie dane strona zbiera, w jakim celu i jak długo je przechowuje - na przykład dane z formularza kontaktowego czy anonimowe dane z analityki. Powinien być dostępny pod stałym linkiem, zwykle w stopce strony, i napisany w miarę możliwości zrozumiałym językiem, nie tylko prawniczym żargonem.
Formularz kontaktowy i zgoda
Jeśli strona ma formularz kontaktowy, warto dodać przy nim krótką informację, że wysyłając wiadomość, użytkownik zgadza się na przetworzenie podanych danych w celu udzielenia odpowiedzi, z linkiem do pełnej polityki prywatności. Nie musi to być rozbudowany checkbox blokujący wysyłkę - wystarczy jasna, widoczna informacja.
Banner cookies
Jeśli strona korzysta z analityki (na przykład Google Analytics) albo narzędzi marketingowych, powinna poinformować o tym odwiedzającego i dać mu realny wybór, zanim jakiekolwiek dane zaczną się zbierać. Na mojej własnej stronie banner domyślnie blokuje analitykę, dopóki odwiedzający sam nie kliknie “akceptuję” - to zgodne z zasadą, że zgoda musi być świadoma i dobrowolna, a nie domyślnie włączona.
Certyfikat SSL (https)
Choć to element techniczny, a nie prawny, szyfrowane połączenie jest dziś standardem przy każdej stronie zbierającej jakiekolwiek dane - od kilku lat wymagane też przez przeglądarki, które oznaczają strony bez SSL jako niebezpieczne.
Co to oznacza w praktyce przy nowej stronie
Przy każdym projekcie, który zawiera formularz kontaktowy lub analitykę, przygotowuję stronę z polityką prywatności, banerem cookies z domyślnie wyłączoną zgodą i informacją przy formularzu - to standardowy element wdrożenia, nie dodatkowa usługa. Jeśli budujesz nową stronę albo zastanawiasz się, czy obecna spełnia te podstawy, napisz przez formularz kontaktowy.
Czy prosta wizytówka bez formularza też musi mieć politykę prywatności?
Jeśli strona w ogóle nie zbiera żadnych danych (nie ma formularza, analityki ani cookies), formalnie nie przetwarza danych osobowych odwiedzających. W praktyce niemal każda strona ma choć podstawową analitykę, dlatego niemal każda strona potrzebuje polityki prywatności.
Czy to ja odpowiadam za zgodność strony z RODO, czy wykonawca?
Za przetwarzanie danych osobowych zebranych przez stronę odpowiada właściciel firmy, jako administrator danych, nie wykonawca strony. Dobry wykonawca przygotuje techniczne elementy (banner cookies, formularz ze zgodą), ale treść polityki prywatności i faktyczne zasady przetwarzania danych to decyzja właściciela firmy.
Czy to jest porada prawna?
Nie. To praktyczny przegląd technicznych elementów, które zwykle pojawiają się na stronie firmowej. W razie wątpliwości co do konkretnej sytuacji prawnej firmy warto skonsultować się z prawnikiem lub inspektorem ochrony danych.