RODO a strona internetowa – temat brzmi bardziej groźnie, niż jest w praktyce. Dla typowej strony małej firmy sprowadza się do kilku konkretnych elementów, które da się wdrożyć raz i mieć z głowy.
Polityka prywatności
To dokument informujący odwiedzającego, jakie dane strona zbiera, w jakim celu i jak długo je przechowuje – na przykład dane z formularza kontaktowego czy anonimowe dane z analityki. Powinien być dostępny pod stałym linkiem, zwykle w stopce strony, i napisany w miarę możliwości zrozumiałym językiem, nie tylko prawniczym żargonem.
Formularz kontaktowy i zgoda
Jeśli strona ma formularz kontaktowy, warto dodać przy nim krótką informację, że wysyłając wiadomość, użytkownik zgadza się na przetworzenie podanych danych w celu udzielenia odpowiedzi, z linkiem do pełnej polityki prywatności. Nie musi to być rozbudowany checkbox blokujący wysyłkę – wystarczy jasna, widoczna informacja.
Banner cookies
Jeśli strona korzysta z analityki opartej o cookies (na przykład Google Analytics) albo narzędzi marketingowych, powinna poinformować o tym odwiedzającego i dać mu realny wybór, zanim jakiekolwiek dane zaczną się zbierać – zgoda musi być świadoma i dobrowolna, a nie domyślnie włączona. Da się tego uniknąć: na mojej własnej stronie korzystam z Umami Cloud, które działa bez analitycznych plików cookies. Brak cookies nie przesądza jednak samodzielnie o braku obowiązku uzyskania zgody w każdej konfiguracji.
Certyfikat SSL (https)
Choć to element techniczny, a nie prawny, szyfrowane połączenie jest dziś standardem przy każdej stronie zbierającej jakiekolwiek dane – od kilku lat wymagane też przez przeglądarki, które oznaczają strony bez SSL jako niebezpieczne.
RODO na stronach internetowych a dane w formularzu i newsletterze
Jeśli strona zbiera adresy e-mail do newslettera albo dane z formularza rekrutacyjnego, obowiązują te same zasady co przy formularzu kontaktowym: jasna informacja o celu przetwarzania, okresie przechowywania danych i możliwości wycofania zgody. Dodatkowo przy newsletterze konieczna jest odrębna, wyraźna zgoda – nie może być domyślnie zaznaczona ani ukryta w regulaminie.
Co to oznacza w praktyce przy nowej stronie
Przy każdym projekcie, który zawiera formularz kontaktowy lub analitykę, przygotowuję stronę z polityką prywatności, banerem cookies z domyślnie wyłączoną zgodą i informacją przy formularzu – to standardowy element wdrożenia, nie dodatkowa usługa. Jeśli budujesz nową stronę albo zastanawiasz się, czy obecna spełnia te podstawy, napisz przez formularz kontaktowy.
Czy prosta wizytówka bez formularza też musi mieć politykę prywatności?
Jeśli strona w ogóle nie zbiera żadnych danych (nie ma formularza, analityki ani cookies), formalnie nie przetwarza danych osobowych odwiedzających. W praktyce niemal każda strona ma choć podstawową analitykę, dlatego niemal każda strona potrzebuje polityki prywatności.
Czy to ja odpowiadam za zgodność strony z RODO, czy wykonawca?
Za przetwarzanie danych osobowych zebranych przez stronę odpowiada właściciel firmy, jako administrator danych, nie wykonawca strony. Dobry wykonawca przygotuje techniczne elementy (banner cookies, formularz ze zgodą), ale treść polityki prywatności i faktyczne zasady przetwarzania danych to decyzja właściciela firmy.
Czy to jest porada prawna?
Nie. To praktyczny przegląd technicznych elementów, które zwykle pojawiają się na stronie firmowej. W razie wątpliwości co do konkretnej sytuacji prawnej firmy warto skonsultować się z prawnikiem lub inspektorem ochrony danych.
Czy RODO dotyczy tylko dużych firm?
Nie. RODO obowiązuje każdy podmiot przetwarzający dane osobowe, niezależnie od wielkości – jednoosobowa działalność z formularzem kontaktowym na stronie podlega tym samym podstawowym zasadom co duża firma.
Co grozi stronie internetowej bez zgodności z RODO?
W praktyce dla małej firmy największym ryzykiem jest skarga odwiedzającego do Urzędu Ochrony Danych Osobowych, a nie automatyczna kara. Dopełnienie podstaw (polityka prywatności, banner cookies, zgoda przy formularzu) w większości przypadków w pełni zabezpiecza stronę.