Polityka prywatności i polityka cookies to dokumenty, które każda strona internetowa zbierająca dane użytkowników musi posiadać. Wynika to z przepisów RODO oraz dyrektywy ePrivacy. Brak tych dokumentów lub ich nieprawidłowa treść może skutkować naruszeniem prawa i odpowiedzialnością właściciela serwisu. Poniżej znajdziesz konkretny przegląd tego, co powinno się w nich znaleźć.
Polityka prywatności – co musi zawierać
Polityka prywatności to dokument informacyjny skierowany do użytkowników strony. Jej celem jest wyjaśnienie, jakie dane są zbierane, w jakim celu i na jakiej podstawie prawnej. RODO nakłada na administratora danych obowiązek przekazania tych informacji w sposób przejrzysty i zrozumiały.
Tożsamość i dane kontaktowe administratora
Dokument musi zawierać pełne dane administratora danych osobowych – nazwę firmy lub imię i nazwisko osoby fizycznej, adres siedziby oraz dane kontaktowe. Jeśli wyznaczono inspektora ochrony danych (IOD), jego dane kontaktowe również należy podać.
Cele i podstawy prawne przetwarzania danych
Polityka prywatności powinna precyzyjnie wskazywać, w jakim celu przetwarzane są dane użytkowników – na przykład obsługa zamówień, marketing, kontakt przez formularz. Każdemu celowi musi towarzyszyć wskazanie podstawy prawnej, np. zgoda użytkownika, uzasadniony interes administratora lub wykonanie umowy.
Okres przechowywania danych
Użytkownik ma prawo wiedzieć, jak długo jego dane będą przechowywane. Jeśli nie można podać konkretnego okresu, należy wskazać kryteria jego ustalania – na przykład czas trwania umowy lub wymogi przepisów podatkowych.
Prawa użytkownika
Dokument powinien informować o prawach przysługujących osobom, których dane dotyczą. Należą do nich:
- prawo dostępu do danych,
- prawo do sprostowania danych,
- prawo do usunięcia danych (tzw. prawo do bycia zapomnianym),
- prawo do ograniczenia przetwarzania,
- prawo do przenoszenia danych,
- prawo do wniesienia sprzeciwu,
- prawo do wniesienia skargi do organu nadzorczego (w Polsce: Prezes UODO).
Odbiorcy danych i przekazywanie do państw trzecich
Jeśli dane są przekazywane podmiotom zewnętrznym – np. firmom hostingowym, dostawcom systemów mailingowych, platformom analitycznym – należy to wskazać. W przypadku przekazywania danych poza Europejski Obszar Gospodarczy konieczne jest poinformowanie o zabezpieczeniach stosowanych przy takim przekazaniu.
Zautomatyzowane podejmowanie decyzji i profilowanie
Jeśli strona korzysta z mechanizmów profilowania lub automatycznego podejmowania decyzji, użytkownik musi być o tym poinformowany wraz z wyjaśnieniem konsekwencji takiego przetwarzania. W przypadku większości stron firmowych ten punkt nie ma zastosowania.
Polityka cookies – co musi zawierać
Polityka cookies reguluje kwestię plików cookie i podobnych technologii śledzących używanych na stronie. Jest wymagana na podstawie dyrektywy ePrivacy, implementowanej w Polsce w ustawie Prawo telekomunikacyjne. Samo posiadanie tego dokumentu nie zwalnia jednak z obowiązku uzyskania zgody na pliki cookie – do tego służy osobny mechanizm (baner lub widget zgód).
Definicja i rodzaje cookies
Polityka powinna wyjaśniać, czym są pliki cookie i jakie ich rodzaje są stosowane na stronie. Standardowy podział obejmuje:
- cookies niezbędne – konieczne do działania strony, nie wymagają zgody,
- cookies analityczne – służą do analizy ruchu, np. Google Analytics,
- cookies marketingowe – używane do remarketingu i personalizacji reklam,
- cookies funkcjonalne – zapamiętują preferencje użytkownika, np. język strony.
Cel stosowania plików cookie
Dla każdej kategorii cookies dokument powinien wskazywać konkretny cel ich stosowania. Użytkownik musi rozumieć, dlaczego dana technologia jest używana i co się dzieje z danymi przez nią zbieranymi.
Czas przechowywania cookies
Polityka cookies powinna podawać, jak długo poszczególne pliki cookie pozostają aktywne – czy są to cookies sesyjne (usuwane po zamknięciu przeglądarki), czy trwałe, oraz jak długo w przypadku tych trwałych.
Podmioty trzecie i zewnętrzne skrypty
Jeśli na stronie działają narzędzia zewnętrzne – takie jak piksel Meta, Google Tag Manager, YouTube czy Hotjar – ich obecność powinna być ujawniona. Warto wskazać, kto jest operatorem takich narzędzi i gdzie użytkownik może znaleźć ich polityki prywatności.
Zarządzanie zgodami i ustawienia przeglądarki
Dokument powinien wyjaśniać, w jaki sposób użytkownik może zarządzać plikami cookie – zarówno przez ustawienia przeglądarki, jak i przez mechanizm zgód dostępny na stronie. Warto wskazać, że wyłączenie niektórych cookies może wpłynąć na działanie serwisu.
Jak dbać o aktualność dokumentów
Polityka prywatności i polityka cookies to dokumenty wymagające regularnej aktualizacji. Każda zmiana w używanych narzędziach, formularzach, systemach analitycznych czy partnerach zewnętrznych powinna być w nich odzwierciedlona. Warto również oznaczać datę ostatniej aktualizacji bezpośrednio w dokumencie, co zwiększa przejrzystość wobec użytkowników i organów kontrolnych.
FAQ - najczęstsze pytania
Czy polityka prywatności i polityka cookies to ten sam dokument?
Nie – to dwa odrębne dokumenty regulowane różnymi przepisami. Polityka prywatności wynika z RODO i dotyczy przetwarzania danych osobowych, natomiast polityka cookies opiera się na dyrektywie ePrivacy i odnosi się do plików cookie oraz technologii śledzących. Można je umieścić na jednej podstronie, ale powinny być wyraźnie rozdzielone.
Czy baner cookie zastępuje politykę cookies?
Nie – baner służy do zbierania zgód użytkownika, natomiast polityka cookies to osobny dokument informacyjny opisujący rodzaje plików cookie, ich cel i czas przechowywania. Oba elementy muszą działać równolegle, żeby serwis spełniał wymagania prawne.
Jak często należy aktualizować te dokumenty?
Dokumenty powinny być aktualizowane za każdym razem, gdy zmienia się coś istotnego – nowe narzędzie analityczne, zmiana dostawcy hostingu, nowy formularz kontaktowy. Dobrą praktyką jest też przegląd całości raz na rok, nawet jeśli żadne zmiany nie były wprowadzane.
Czy sklep internetowy musi mieć coś więcej niż zwykła strona firmowa?
Tak – sklep przetwarza dane w celach związanych z realizacją zamówień, płatnościami i ewentualnym marketingiem, co wymaga dokładniejszego opisania podstaw prawnych i odbiorców danych. Należy też uwzględnić podmioty obsługujące płatności online oraz firmy kurierskie jako odbiorców danych osobowych.
Co grozi za brak polityki prywatności lub jej nieaktualną treść?
Prezes UODO może nałożyć administracyjną karę pieniężną – w przypadku firm do 20 mln euro lub 4% całkowitego rocznego obrotu, w zależności od tego, która kwota jest wyższa. W praktyce kary dla małych firm są rzadkością, ale ryzyko naruszenia praw użytkowników i postępowania wyjaśniającego jest realne.