RODO i obowiązki prawne strony firmowej - co musi mieć mała firma

Strona firmowa to nie tylko wizytówka, ale też miejsce, w którym przetwarzasz cudze dane. Wystarczy formularz kontaktowy, licznik odwiedzin albo mapa dojazdu, żeby pojawiły się konkretne obowiązki. Większość właścicieli małych firm dowiaduje się o nich przypadkiem: z maila od klienta, z artykułu w internecie albo, w najgorszym wariancie, ze skargi. Tymczasem lista rzeczy do zrobienia jest krótsza, niż się wydaje, i w zdecydowanej większości przypadków da się ją zamknąć w jedno popołudnie. W tym artykule porządkujemy, co typowa strona usługowa musi zawierać, czym różni się informacja od zgody, dlaczego przycisk odmowy musi być równie łatwy jak przycisk akceptacji i gdzie przebiega granica między rozsądną ostrożnością a przesadą, która utrudnia klientom kontakt.

Dlaczego to dotyczy także najmniejszej firmy

Panuje przekonanie, że przepisy o ochronie danych to sprawa dużych organizacji: banków, sklepów internetowych, firm z działem prawnym. Jednoosobowa działalność z prostą stroną wizytówką wydaje się poza zasięgiem tych regulacji.

To przekonanie jest mylne z prostego powodu. Obowiązki wynikają nie z wielkości firmy, tylko z faktu przetwarzania danych osób fizycznych. Jeśli klient wpisuje w formularz imię i numer telefonu, przetwarzasz jego dane. Jeśli serwer zapisuje adresy IP odwiedzających - również. Rozmiar firmy wpływa na to, ile formalności trzeba dopełnić, ale nie na to, czy w ogóle.

Dobra wiadomość jest taka, że dla typowej strony usługowej lista jest krótka i powtarzalna. Zła jest taka, że bywa realizowana pobieżnie: skopiowana skądś polityka prywatności z cudzą nazwą firmy, baner cookies bez przycisku odmowy, zgoda zaznaczona domyślnie „dla wygody klienta". Każda z tych rzeczy jest gorsza niż jej brak, bo tworzy pozór spełnienia obowiązku.

Nasza teza brzmi: część formalna strony jest elementem projektu, a nie dodatkiem po jego zakończeniu - i jeśli potraktować ją poważnie od początku, kosztuje niewiele i przy okazji buduje zaufanie. Zastrzeżenie, które trzeba postawić od razu: poniższy tekst jest przeglądem typowych sytuacji, a nie poradą prawną. Zakres obowiązków zależy od tego, co robisz z danymi i w jakiej branży działasz.

Tło: skąd wzięły się te wszystkie banery

Obecny stan rzeczy jest wynikiem kilku nakładających się warstw regulacji, które powstawały w różnym czasie i z różnych powodów.

Najstarsza dotyczy usług świadczonych drogą elektroniczną i obowiązku identyfikacji przedsiębiorcy. Jej sens jest prosty: klient ma wiedzieć, z kim ma do czynienia i gdzie tę osobę znaleźć, jeśli coś pójdzie nie tak. Stąd wymóg podania nazwy, adresu i danych kontaktowych.

Druga warstwa to RODO, czyli unijne rozporządzenie o ochronie danych osobowych, obowiązujące od 2018 roku. Wprowadziło ono zasadę, że każde przetwarzanie danych musi mieć podstawę prawną, a osoba, której dane dotyczą, musi wiedzieć, kto je przetwarza, w jakim celu i jak długo. Stąd wzięły się polityki prywatności w obecnej formie i klauzule pod formularzami.

Trzecia warstwa dotyczy przechowywania informacji w urządzeniu użytkownika - czyli plików cookies i podobnych mechanizmów. W Polsce reguluje to prawo komunikacji elektronicznej, a zasada jest taka: na to, co niezbędne do działania strony, zgoda nie jest potrzebna; na wszystko ponad to - jest.

Warto rozróżnić trzy pojęcia, które w praktyce najczęściej się myli. Obowiązek informacyjny to konieczność poinformowania, co robisz z danymi - realizuje się go polityką prywatności i klauzulą przy formularzu; nie wymaga niczyjej zgody. Zgoda to odrębna podstawa przetwarzania, potrzebna tam, gdzie nie ma innej - na przykład przy newsletterze czy narzędziach statystycznych. Uzasadniony interes to podstawa pozwalająca przetwarzać dane bez zgody, gdy jest to niezbędne do prowadzenia działalności, na przykład do zapewnienia bezpieczeństwa serwera.

Luka w powszechnym rozumieniu tematu polega na tym, że wszystko wrzuca się do jednego worka pod hasłem „RODO" i próbuje rozwiązać jednym banerem. Tymczasem baner cookies rozwiązuje tylko jedną z trzech warstw.

Minimum, które powinna mieć typowa strona usługowa

Poniższa lista opisuje sytuację najczęstszą: strona informacyjna z formularzem kontaktowym, ewentualnie ze statystykami odwiedzin.

Dane identyfikujące firmę. Nazwa, forma prawna, adres, numer NIP, a w przypadku spółek również KRS, plus dane kontaktowe. Najwygodniej w stopce, widoczne z każdej podstrony.

Polityka prywatności. Dokument, który odpowiada na pytania: kto jest administratorem danych, jakie dane zbierasz, w jakim celu, na jakiej podstawie, jak długo je trzymasz, komu je przekazujesz i jakie prawa ma osoba, której dotyczą. Kluczowe jest to, żeby opisywała Twoją stronę, a nie stronę, z której szablon został skopiowany.

Klauzula przy formularzu. Krótka informacja z odesłaniem do polityki prywatności, umieszczona tam, gdzie klient wpisuje dane. Nie musi to być ściana tekstu - wystarczy zdanie i link.

Zgody rozdzielone według celów. Jeśli poza odpowiedzią na zapytanie chcesz wysyłać newsletter albo materiały handlowe, to osobny cel i osobna zgoda. Łączenie ich w jedno pole jest błędem, który zdarza się bardzo często.

Baner zgód, jeśli używasz narzędzi nieniezbędnych. Statystyki odwiedzin, narzędzia reklamowe, mapy osadzone z zewnętrznych serwisów - to wszystko wykracza poza to, co niezbędne do wyświetlenia strony.

Baner cookies: gdzie najczęściej popełnia się błąd

Baner zgód jest elementem, który widać najbardziej, i jednocześnie tym, który najczęściej bywa zrobiony źle. Trzy błędy powtarzają się szczególnie często.

Brak realnej możliwości odmowy. Baner z jednym przyciskiem „Akceptuję" albo z odmową ukrytą w rozwijanych ustawieniach nie daje wyboru, tylko go pozoruje. Zasada jest prosta: odmowa musi być tak samo łatwa jak zgoda. Jeśli akceptacja zajmuje jedno kliknięcie, odmowa też.

Ładowanie narzędzi przed decyzją. Baner, który pyta o zgodę, podczas gdy skrypty statystyk i reklam już się wczytały, jest ozdobą bez znaczenia. Narzędzia mają startować dopiero po kliknięciu, a nie przy wejściu na stronę. Sami rozwiązujemy to tak, że skrypty zewnętrzne w ogóle nie są wczytywane, dopóki nie ma zgody - można to sprawdzić w narzędziach przeglądarki, patrząc, czy przed kliknięciem wychodzą jakiekolwiek zapytania na zewnątrz.

Brak możliwości zmiany decyzji. Zgodę można wycofać w każdej chwili, a to znaczy, że na stronie musi być do tego dostęp - najprościej odnośnikiem w stopce. Baner, który po jednym kliknięciu znika na zawsze, tego nie zapewnia.

Osobna uwaga dotyczy zakresu. Baner nie jest potrzebny do wszystkiego. Zapamiętanie zawartości koszyka, sesji zalogowania czy samej decyzji o zgodzie to rzeczy niezbędne do działania serwisu. Dokładanie banera na stronie, która nie używa żadnych narzędzi zewnętrznych, jest nadgorliwością, która pogarsza korzystanie ze strony i niczego nie chroni.

Baner zgód nie jest tarczą prawną. Jest interfejsem do decyzji, która ma realne skutki techniczne - jeśli po odmowie nadal coś się ładuje, baner jest tylko dekoracją.

Formularz kontaktowy: gdzie kończy się rozsądek

Formularz to miejsce, w którym najłatwiej przesadzić w obie strony. Jedni nie mają tam nic, inni piętrzą tak wiele klauzul, że pole wysyłki znika pod ścianą drobnego druku.

Szczególnie warto zwrócić uwagę na wiersz o zakresie danych. Zasada minimalizacji mówi, że zbierasz tylko to, co niezbędne do celu. To nie tylko wymóg prawny, ale też dobra praktyka projektowa - krótszy formularz przynosi więcej zapytań, o czym piszemy szerzej w tekście o formularzu kontaktowym. Rzadko się zdarza, żeby wymóg prawny i interes handlowy szły w tę samą stronę tak wyraźnie.

Dwa podejścia i nasze stanowisko

W praktyce małych firm widać dwa sposoby radzenia sobie z tym tematem i oba mają koszty.

Podejście minimalistyczne. Firma robi jak najmniej: krótka polityka prywatności, brak banera, zero klauzul. Argument: strona ma być prosta, a klient i tak tego nie czyta. Mocna strona - nic nie przeszkadza w korzystaniu ze strony. Słaba - jeśli strona faktycznie używa narzędzi wymagających zgody, obowiązek pozostaje niespełniony, a w razie skargi trudno się bronić argumentem o wygodzie.

Podejście asekuracyjne. Firma dokłada wszystko, co znajdzie: rozbudowany baner z wieloma zakładkami, zgody pod każdym polem, długie klauzule. Argument: lepiej mieć więcej niż mniej. Mocna strona - trudno zarzucić brak starań. Słaba - im więcej przeszkód, tym mniej zapytań, a nadmiar zgód tam, gdzie nie są potrzebne, bywa oceniany jako wprowadzanie w błąd co do podstawy przetwarzania.

Nasze stanowisko jest pośrednie i sprowadza się do jednej reguły: dopasuj część formalną do tego, co strona naprawdę robi. Jeśli używasz statystyk - potrzebujesz banera z realną odmową. Jeśli nie używasz - nie potrzebujesz. Jeśli wysyłasz newsletter - potrzebujesz osobnej zgody. Jeśli tylko odpisujesz na zapytania - nie. Ta prosta zasada rozwiązuje większość dylematów lepiej niż kopiowanie rozwiązań od większych firm, które przetwarzają dane w zupełnie innej skali.

Praktyka: jak to poukładać w jedno popołudnie

Krok 1. Wypisz, co Twoja strona faktycznie robi z danymi. Formularz, newsletter, statystyki, mapa, czcionki zewnętrzne, czat, rezerwacje. Lista będzie krótsza, niż się spodziewasz.

Krok 2. Przy każdej pozycji zapisz cel i podstawę. „Formularz - odpowiedź na zapytanie". „Statystyki - zgoda". „Logi serwera - bezpieczeństwo". To szkielet przyszłej polityki prywatności.

Krok 3. Napisz politykę prywatności pod swoją stronę. Możesz zacząć od wzoru, ale musisz go przejść linijka po linijce i usunąć wszystko, co Ciebie nie dotyczy. Polityka wspominająca o profilowaniu, którego nie prowadzisz, jest gorsza niż krótsza i prawdziwa.

Krok 4. Sprawdź baner w praktyce. Otwórz stronę w oknie prywatnym i sprawdź, czy przed kliknięciem cokolwiek się ładuje. Kliknij „Odrzucam" i sprawdź, czy decyzja jest respektowana. Poszukaj w stopce miejsca, w którym można ją zmienić.

Krok 5. Uporządkuj formularz. Usuń pola bez uzasadnienia, rozdziel zgody, odznacz wszystkie domyślnie zaznaczone pola.

Krok 6. Ustal zasadę przechowywania i trzymaj się jej. Skrzynka pełna zapytań sprzed lat to nie tylko kwestia formalna, ale też realne ryzyko, gdyby ktoś uzyskał do niej dostęp.

Krok 7. W sprawach wątpliwych zapytaj prawnika. Zwłaszcza jeśli działasz w branży przetwarzającej dane wrażliwe - medycznej, psychologicznej, prawnej - gdzie wymagania są wyższe niż w typowej usłudze.

Największą trudnością wdrożeniową bywa krok trzeci. Kuszące jest wzięcie gotowego dokumentu i podmienienie nazwy firmy. Problem w tym, że taki dokument opisuje cudze narzędzia i cudze procesy, więc w praktyce jest nieprawdziwy - a nieprawdziwa polityka prywatności nie chroni przed niczym. Nasze strony oddajemy z polityką pisaną pod konkretny zakres wdrożenia; przykład takiego dokumentu można zobaczyć w naszej własnej polityce prywatności.

Perspektywy: więcej przejrzystości, mniej obchodzenia zasad

Kierunek zmian jest dość jednoznaczny i warto go uwzględnić, planując stronę na dłużej.

Po pierwsze, rośnie nacisk na to, żeby zgoda była realna, a nie pozorna. Rozwiązania utrudniające odmowę - ukryte przyciski, wielokrotne potwierdzenia, kolorystyka sugerująca jedyny właściwy wybór - są coraz częściej kwestionowane. Warto projektować banery tak, jakby obie decyzje były równie mile widziane, bo to zarówno bezpieczniejsze, jak i uczciwsze wobec odwiedzających.

Po drugie, rośnie znaczenie dostępności serwisów internetowych, rozumianej jako możliwość korzystania z nich przez osoby z różnymi ograniczeniami. Wymogi w tym obszarze rozszerzają się na kolejne grupy podmiotów, a niezależnie od obowiązków jest to po prostu dobra praktyka: czytelne czcionki, odpowiedni kontrast, opisy zdjęć i obsługa klawiaturą pomagają wszystkim.

Po trzecie, przybywa narzędzi zewnętrznych wpinanych w strony - czatów, systemów rezerwacji, widgetów opinii. Każde z nich to potencjalny odbiorca danych i osobna pozycja w polityce prywatności. Warto przyjąć zasadę, że nowe narzędzie dokłada się świadomie, a nie „bo było za darmo".

Podsumowanie

Zaczęliśmy od tezy, że część formalna strony jest elementem projektu, a nie dodatkiem doklejanym na końcu. Wynika z niej wszystko, co opisaliśmy wyżej.

Obowiązki dotyczą także najmniejszej firmy, bo wynikają z przetwarzania danych, a nie z wielkości działalności. Minimum dla typowej strony usługowej jest krótkie: dane identyfikujące firmę, prawdziwa polityka prywatności, klauzula przy formularzu, rozdzielone zgody i baner zgód wtedy, gdy faktycznie używasz narzędzi nieniezbędnych. Kluczowa zasada brzmi: informujesz zawsze, o zgodę pytasz tam, gdzie nie masz innej podstawy. Baner musi dawać realną możliwość odmowy, a odmowa musi mieć rzeczywisty skutek techniczny - inaczej jest dekoracją.

Największym błędem nie jest brak wiedzy prawniczej, tylko kopiowanie cudzych rozwiązań bez sprawdzenia, czy pasują do Twojej strony. Dokument opisujący narzędzia, których nie masz, i baner ładujący skrypty przed zgodą to pozory, które nie chronią przed niczym, a przy okazji utrudniają klientom kontakt.

Jeśli chcesz mieć tę część poukładaną od pierwszego dnia, napisz do nas - każdą stronę oddajemy z polityką prywatności napisaną pod jej rzeczywisty zakres, banerem z działającym przyciskiem odmowy i formularzem, który zbiera tylko to, co potrzebne. Zakres prac i ceny znajdziesz w cenniku. W sprawach wątpliwych, zwłaszcza w branżach przetwarzających dane wrażliwe, warto dodatkowo skonsultować się z prawnikiem - ten tekst ma pomóc się do takiej rozmowy przygotować, a nie ją zastąpić.

Najczęstsze pytania

Czy strona wizytówka bez formularza też potrzebuje polityki prywatności?

Zwykle tak. Nawet bez formularza serwer zapisuje logi z adresami IP, a jeśli korzystasz z map, czcionek zewnętrznych czy statystyk, dane odwiedzających trafiają do podmiotów trzecich. Polityka prywatności jest wtedy najprostszym sposobem spełnienia obowiązku informacyjnego.

Czy potrzebuję banera cookies, jeśli nie mam reklam?

Baner jest potrzebny wtedy, gdy strona zapisuje w przeglądarce coś więcej niż dane niezbędne do jej działania - na przykład statystyki odwiedzin czy narzędzia reklamowe. Jeśli strona nie używa żadnych takich narzędzi, baner nie jest konieczny, a jego dokładanie na wszelki wypadek tylko utrudnia korzystanie ze strony.

Czy zgoda w formularzu może być zaznaczona domyślnie?

Nie. Zgoda musi być dobrowolna, świadoma i wyrażona aktywnym działaniem, więc pole zaznaczone z góry jej nie spełnia. Warto też rozdzielić zgody - inna dotyczy odpowiedzi na zapytanie, inna wysyłki newslettera.

Jakie dane firmy muszą być na stronie?

Przedsiębiorca świadczący usługi drogą elektroniczną powinien podać dane identyfikujące: nazwę, adres, dane kontaktowe oraz numery identyfikacyjne, takie jak NIP, a w przypadku spółek również numer KRS. Najprościej umieścić je w stopce i w polityce prywatności.

Czy muszę mieć regulamin na stronie usługowej?

Regulamin jest wymagany przy usługach świadczonych drogą elektroniczną - na przykład w sklepie, przy zamówieniu online czy przy koncie użytkownika. Zwykła strona informacyjna z formularzem kontaktowym najczęściej go nie potrzebuje, choć bywa przydatny, gdy opisujesz zasady współpracy.

Jak długo mogę przechowywać wiadomości z formularza?

Tak długo, jak jest to potrzebne do obsługi sprawy, a po jej zakończeniu przez okres uzasadniony na przykład ewentualnymi roszczeniami. Warto ustalić własną zasadę, zapisać ją w polityce prywatności i faktycznie się jej trzymać, zamiast trzymać wszystko bezterminowo.

Czy ten artykuł zastępuje poradę prawną?

Nie. To przegląd typowych obowiązków, który ma pomóc uporządkować temat i przygotować się do rozmowy ze specjalistą. Zakres obowiązków zależy od tego, co dokładnie robisz z danymi, w jakiej branży działasz i jakich narzędzi używasz - w sprawach wątpliwych warto skonsultować się z prawnikiem.