RODO na stronie firmowej: minimum, które musisz mieć
Na firmową skrzynkę przychodzi wiadomość: „w trakcie audytu wykryliśmy nieprawidłowości w przetwarzaniu danych osobowych na Państwa stronie, prosimy o pilny kontakt”. Podpisana kancelarią, o której nikt nigdy nie słyszał, z linkiem do formularza. Większość takich maili to nagabywanie albo zwykły phishing, ale robią swoje: przez tydzień myślisz o RODO zamiast o robocie i nie wiesz, czy naprawdę masz problem.
Zwykła strona firmowa, bez sklepu i bez newslettera, dotyka danych osobowych w dwóch miejscach: formularz kontaktowy i statystyki odwiedzin. Tyle. Reszta strasznych opowieści dotyczy podmiotów przetwarzających dane na skalę, o której hydraulik z Piaseczna nawet nie myśli. Poniżej minimum, które faktycznie musisz mieć. To nie jest porada prawna, tylko lista wpadek, które przy stawianiu stron widzimy najczęściej.
Co na Twojej stronie jest w ogóle daną osobową
Dane osobowe to każda informacja pozwalająca wskazać konkretną osobę. Imię i mail z formularza są nią oczywiście. Numer telefonu w treści zapytania też. Ale daną osobową jest również identyfikator, który Google Analytics zapisuje w przeglądarce odwiedzającego, bo pozwala rozpoznać tę samą osobę przy kolejnej wizycie.
I na tym kończy się lista dla typowej strony usługowej. Zdjęcia realizacji, cennik, opis firmy, mapa dojazdu: to nie są dane osobowe klientów. Jeśli wrzucasz zdjęcia pracowników z imionami, dochodzi trzeci obszar, ale to kwestia zgody wewnątrz firmy, a nie ustawień strony.
Rozróżnienie ma praktyczny sens, bo dwa źródła danych oznaczają dwa obowiązki: powiedzieć ludziom, co robisz z ich danymi (polityka prywatności i klauzula przy formularzu), i zapytać o zgodę tam, gdzie prawo jej wymaga (baner cookies przed uruchomieniem analityki).
Polityka prywatności: co musi w niej być
Polityka prywatności to nie ozdoba w stopce, tylko wykonanie obowiązku informacyjnego. Ma odpowiadać na pytania osoby, której dane zbierasz, napisane tak, żeby dało się je zrozumieć bez prawnika.
| Element | Co konkretnie wpisać |
|---|---|
| Administrator danych | Pełna nazwa firmy, adres, NIP, mail kontaktowy. Nie „nasza firma” |
| Cele i podstawa prawna | Odpowiedź na zapytanie z formularza (art. 6 ust. 1 lit. b lub f), statystyki odwiedzin (zgoda) |
| Odbiorcy danych | Kto jeszcze widzi dane: firma hostingowa, dostawca poczty, Google przy analityce |
| Czas przechowywania | Konkretny okres albo kryterium, np. „do zakończenia korespondencji i przez rok po niej” |
| Prawa osoby | Dostęp, sprostowanie, usunięcie, sprzeciw, skarga do Prezesa UODO |
| Dobrowolność | Czy podanie danych jest wymagane i co się stanie, gdy ktoś ich nie poda |
| Cookies | Jakie pliki i po co, wyłącznie te faktycznie używane |
Skopiowanie polityki z cudzej strony wygląda na oszczędność pięciu minut, a jest miną. Przenosisz do siebie czyjąś nazwę i NIP (widzieliśmy politykę z danymi firmy z zupełnie innej branży), czyjeś narzędzia, czyjeś okresy przechowywania. Jeśli dokument wymienia newsletter i płatności online, których u siebie nie masz, opisuje cudzą firmę, nie Twoją. Do tego cudzy tekst bywa utworem chronionym prawem autorskim.
Druga strona tej samej pułapki: polityka deklarująca analitykę, której na stronie nie ma. Dokument ma opisywać stan faktyczny w obie strony.
Baner cookies: zgoda ma być prawdziwa
Sam obowiązek pytania o cookies wynika z przepisów o komunikacji elektronicznej, a RODO dokłada wymagania co do samej zgody: dobrowolna, konkretna, świadoma i możliwa do wycofania. Z tego biorą się trzy rzeczy, które odróżniają baner działający od banera na pokaz.
Po pierwsze, kolejność. Analityka nie może się uruchomić, zanim odwiedzający kliknie „zgadzam się”. Baner, który wyświetla się na wierzchu, a pod spodem skrypt już zdążył zapisać cookie, jest gorszy niż jego brak, bo dokumentuje naruszenie. To najczęstszy błąd techniczny, jaki widujemy przy audytach starych stron.
Po drugie, symetria. Przycisk odmowy ma być tak samo widoczny i tak samo łatwy do kliknięcia jak przycisk zgody. Baner z jednym wielkim „OK” i szarym linkiem „ustawienia” w rogu nie zbiera ważnej zgody, bo wybór nie jest realny.
Po trzecie, powrót. Wycofanie zgody musi być równie proste jak jej udzielenie, więc na stronie potrzebny jest stały punkt, przez który odwiedzający otwiera baner ponownie i zmienia zdanie. Zwykle jest to link „ustawienia cookies” w stopce. Kliknięcie „nie zgadzam się” powinno też skasować wcześniej zapisane pliki analityczne, a nie tylko przestać zbierać nowe.
Cookies niezbędne, czyli te utrzymujące sesję i bezpieczeństwo, zgody nie wymagają. Jeśli Twoja strona nie ma analityki, kontaktu z mediami społecznościowymi ani map z zewnętrznym śledzeniem, baner nie jest Ci potrzebny wcale. Strona bez cookies wymagających zgody, która i tak wyświetla banerek, wygląda na skopiowaną z szablonu.
Formularz kontaktowy: klauzula zamiast checkboxa na wszystko
Najpopularniejszy błąd przy formularzach polega na wstawieniu obowiązkowego checkboxa „wyrażam zgodę na przetwarzanie moich danych osobowych” i uznaniu tematu za zamknięty. Tymczasem gdy ktoś sam pisze do Ciebie z pytaniem o wycenę, podstawą przetwarzania jest kontakt na jego żądanie, a nie zgoda. Zgoda wymuszona, bez której nie da się wysłać wiadomości, i tak nie byłaby dobrowolna.
Pod formularzem ma być krótka informacja: kto jest administratorem, po co zbierasz dane, jak długo je trzymasz i gdzie przeczytać całość. Dwa zdania i link do polityki prywatności wystarczą. Osobnej, dobrowolnej zgody potrzebujesz dopiero wtedy, gdy chcesz robić coś więcej niż odpowiedzieć: dopisać kogoś do newslettera albo wysyłać oferty w przyszłości. Wtedy checkbox jest na miejscu, ale odznaczony domyślnie i niewymagany do wysłania zapytania.
Trzecia rzecz dotyczy tego, dokąd trafia zgłoszenie. Skrzynka na darmowym serwisie daje Ci mniejszą kontrolę nad tym, komu powierzasz dane, niż poczta na własnej domenie. Samą konstrukcję formularza rozkładamy na części we wpisie o formularzu kontaktowym.
Google Analytics po odmowie zgody
Google wymaga dziś od stron w Europie tak zwanego trybu zgody, czyli mechanizmu, który przekazuje do jego skryptów informację o decyzji odwiedzającego. W praktyce działa to tak: domyślnie wszystko jest zablokowane, a dopiero kliknięcie zgody odblokowuje zapis cookies.
Co widzisz w statystykach, gdy część ludzi odmawia? Google dostaje wtedy sygnał bez identyfikatora i część danych modeluje, więc liczby są przybliżone. Dla małej firmy to bez większej różnicy, bo nie podejmujesz decyzji na podstawie odległości między 180 a 195 wizytami. Ważniejsze, ile z nich skończyło się telefonem albo wysłanym formularzem, o czym piszemy w tekście o tym, skąd wiedzieć, czy strona przynosi klientów.
Jeśli analityka Cię nie interesuje, masz prawo jej po prostu nie mieć. Strona bez śledzenia to najprostsza zgodność z RODO, jaka istnieje, kosztem wiedzy o tym, co się na niej dzieje.
Pięć błędów, które widać z ulicy
- Brak polityki prywatności albo link w stopce prowadzący do pustej podstrony.
- Baner z jednym przyciskiem „OK” i bez możliwości odmowy.
- Analityka startująca przed decyzją odwiedzającego.
- Formularz bez informacji, kto jest administratorem i po co zbiera dane.
- Polityka skopiowana z innej strony, z cudzą nazwą firmy w środku.
Wszystkie pięć sprawdzisz sam w kwadrans. Szerszą listę rzeczy do przeklikania po starcie zebraliśmy w poradniku o tym, jak sprawdzić, czy strona działa.
Co dostajesz gotowe, a co i tak musisz zrobić sam
W Sitario opisujesz firmę w formularzu i po około godzinie oglądasz gotową stronę. Część RODO jest w niej ustawiona od razu, bo to robota techniczna, a nie decyzja właściciela: podstrona polityki prywatności uzupełniona Twoimi danymi z zamówienia, baner cookies z równorzędnym przyciskiem odmowy, analityka odpalana dopiero po zgodzie, link „ustawienia cookies” w stopce do zmiany decyzji i czyszczenie plików analitycznych przy jej cofnięciu. Jeśli w ogóle nie chcesz statystyk, analitykę można wyłączyć i wtedy baner nie pojawia się wcale. Cena strony to 249 zł jednorazowo z pierwszym rokiem hostingu, więc nie ma tu osobnej pozycji „pakiet RODO”, którą doliczano by przy kasie.
Czego automat za Ciebie nie zrobi? Nie oceni, czy prowadzisz procesy wymagające dodatkowych dokumentów: monitoring w lokalu, kartoteki pacjentów, rekrutację, marketing bezpośredni. Nie napisze umów powierzenia z biurem rachunkowym ani systemem rezerwacji. Nie ustali, jak długo naprawdę trzymasz maile od klientów, bo to Twoja decyzja. W branży z danymi wrażliwymi, gabinet lekarski i kancelaria na czele, strona jest najmniejszą częścią Twojego RODO i warto zamówić audyt całej firmy.
Podsumowanie
Dla zwykłej strony usługowej minimum sprowadza się do czterech rzeczy: własna, prawdziwa polityka prywatności, baner cookies z realnym wyborem i możliwością zmiany zdania, analityka uruchamiana dopiero po zgodzie i krótka klauzula przy formularzu. Nic z tego nie wymaga kancelarii i wszystko sprawdzisz w kwadrans.
Reszta, czyli rejestry czynności, umowy powierzenia i procedury wewnętrzne, dzieje się poza stroną i zależy od tego, jak działa firma. Mail od nieznanej kancelarii zignoruj, a zamiast tego otwórz swoją stronę i przejdź pięć punktów z listy wyżej. Jeżeli hosting, certyfikat i domena też są dla Ciebie mgłą, tłumaczymy je bez żargonu we wpisie o hostingu, domenie i SSL.