Polityka prywatności w firmie: co musi zawierać i kiedy aktualizować

Czego dokładnie wymaga polityka prywatności, żeby była zgodna z RODO?

Polityka prywatności to dokument, który informuje odwiedzających twoją stronę, co dokładnie robisz z ich danymi. Chodzi o to, by każdy, kto zostawi u ciebie chociażby adres e-mail w formularzu kontaktowym, wiedział, kim jest administrator danych, czyli firma decydująca o tym, jak te informacje są wykorzystywane. RODO, czyli ogólne rozporządzenie o ochronie danych, wymaga, żebyś jasno opisał cel przetwarzania, na przykład wysyłkę newslettera, oraz podstawę prawną, na przykład zgodę użytkownika. W dokumencie musisz też wskazać, jak długo będziesz przechowywać dane i komu możesz je udostępniać, na przykład firmie księgowej czy dostawcy hostingu. Równie ważne jest opisanie praw osoby, której dane dotyczą. Chodzi między innymi o prawo do dostępu, sprostowania danych, ograniczenia przetwarzania, przenoszenia danych, a także sprzeciwu i usunięcia danych. Użytkownik musi wiedzieć, że może wycofać zgodę w dowolnym momencie, a ty musisz podać kontakt z administratorem, czyli adres e-mail lub firmowy adres, pod którym można te prawa egzekwować. Brak polityki prywatności to nie jest przeoczenie, które ujdzie ci na sucho. Prezes Urzędu Ochrony Danych Osobowych może nałożyć karę sięgającą 20 000 000 EUR, a w przypadku przedsiębiorstwa nawet 4 procent jego całkowitego rocznego światowego obrotu. To realne ryzyko finansowe, dlatego warto traktować ten dokument jako stały element strony internetowej, a nie zło konieczne. Dobrze napisana polityka to też narzędzie budowania zaufania, bo pokazuje klientom, że podchodzisz do ich danych poważnie.

Jakie dane osobowe musisz w niej uwzględnić, jeśli prowadzisz firmę?

Zacznij od rzeczy najprostszej: kto odpowiada za dane na Twojej stronie. W polityce prywatności musisz wskazać administratora danych, czyli firmę, która decyduje o tym, co dzieje się z informacjami od użytkowników. Podaj pełną nazwę, adres i adres e-mail, pod który klient może się zgłosić. Bez tych danych dokument jest martwy, bo osoba odwiedzająca stronę nie ma się do kogo odezwać.

Dalej opisz, jakie dane faktycznie zbierasz. To nie musi być lista wszystkich możliwych informacji, tylko tych realnych dla Twojej firmy. Jeśli prowadzisz sklep internetowy, będziesz przetwarzać imię, nazwisko, adres dostawy i numer telefonu. Jeśli masz biuro rachunkowe, dojdą dane finansowe klientów. Ważne, żebyś określił cel przetwarzania, na przykład realizacja zamówienia albo założenie konta, oraz podstawę prawną, czyli przepis RODO, na którym się opierasz. Zgodnie z ogólnym rozporządzeniem o ochronie danych, czyli RODO, może to być wykonanie umowy, obowiązek prawny albo zgoda użytkownika. Ta zgoda musi być dobrowolna, świadoma i konkretna, więc nie możesz jej domniemywać z samego faktu, że ktoś odwiedził stronę.

Nie zapomnij o okresie przechowywania danych i o tym, komu je udostępniasz. Jeśli korzystasz z zewnętrznej firmy kurierskiej albo dostawcy hostingu, musisz ich wymienić jako odbiorców danych. Użytkownik ma prawo wiedzieć, czy jego dane trafiają do podmiotu przetwarzającego, który pomaga Ci w codziennej działalności, czy do kogoś zupełnie innego. Określ też, jak długo trzymasz informacje, na przykład przez okres przedawnienia roszczeń albo czas trwania umowy.

Na koniec wypisz prawa osoby, której dane dotyczą. Każdy użytkownik może poprosić o dostęp do swoich danych, ich sprostowanie, usunięcie, ograniczenie przetwarzania, a także wyrazić sprzeciw wobec przetwarzania. Jeśli działałeś na podstawie zgody, klient może ją w każdej chwili cofnąć. Wszystkie te prawa muszą być opisane prostym językiem, a nie prawniczym żargonem, bo polityka prywatności to nie tylko obowiązek, ale też narzędzie budowania zaufania między Twoją firmą a klientami.

Kiedy polityka prywatności wymaga aktualizacji, a kiedy wystarczy drobna poprawka?

Najprostsza odpowiedź brzmi: aktualizujesz politykę prywatności wtedy, gdy zmienia się którykolwiek fakt w niej opisany. Nie musisz czekać na kontrolę ani na sygnał od klientów. Wystarczy, że zmienisz formularz kontaktowy, dodasz nowe pole w zamówieniu albo zaczniesz wysyłać newsletter innym kanałem, a dokument, który wisi na Twojej stronie, przestaje być aktualny. Drobna poprawka to na przykład zmiana adresu e-mail do kontaktu z administratorem danych albo dopisanie nowego numeru telefonu. To nie wymaga przepisywania całego dokumentu, wystarczy podmienić kilka słów. Poważniejsza aktualizacja jest potrzebna, gdy zmienia się sam cel przetwarzania danych. Jeśli do tej pory zbierałaś dane tylko do realizacji zamówień, a teraz chcesz je wykorzystywać do marketingu, to nie jest kosmetyka, tylko nowa podstawa prawna. Podobnie, gdy zaczynasz udostępniać dane nowym odbiorcom, na przykład firmie księgowej albo przewoźnikowi, musisz to opisać w polityce. Z badania KPMG wynika, że 80 procent respondentów obawia się nadużywania danych przez sztuczną inteligencję, więc jeśli wprowadzasz narzędzia analityczne, które przetwarzają dane klientów w nowy sposób, użytkownicy mają prawo o tym wiedzieć. Trzecia sytuacja to zmiana okresu przechowywania danych. RODO wymaga, żebyś jasno określiła, jak długo trzymasz dane i kiedy je usuwasz. Jeśli skracasz albo wydłużasz ten czas, polityka musi to odzwierciedlać. Warto też pamiętać, że dokument, który informuje o przetwarzaniu danych, pełni funkcję budowania zaufania, a nie tylko spełnia obowiązek prawny. Regularne przeglądanie polityki, najlepiej raz na kwartał, pozwala wyłapać rozjazd między tym, co faktycznie robisz z danymi, a tym, co obiecujesz w treści. Zanim zmienisz cokolwiek w działaniu strony, sprawdź, czy polityka nadal mówi prawdę.

Co się dzieje, gdy polityki prywatności nie ma albo jest nieaktualna?

Brak polityki prywatności to nie jest wykroczenie, które ujdzie ci na sucho. Prezes Urzędu Ochrony Danych Osobowych, czyli instytucji pilnującej przestrzegania RODO, może nałożyć karę nawet do 20 milionów euro, a w przypadku przedsiębiorstwa do 4 procent jego całkowitego rocznego światowego obrotu. To nie są teoretyczne widełki, tylko realne konsekwencje, które potrafią zachwiać budżetem nawet sporej firmy.

Problem pojawia się też wtedy, gdy dokument jest, ale nikt go nie aktualizuje. Jeśli twoja strona zbiera adresy e-mail do newslettera, a polityka mówi tylko o plikach cookies, to użytkownik nie ma informacji, na jakiej podstawie prawnej przetwarzasz jego dane i jaki jest cel tego przetwarzania. Zgodnie z RODO taka zgoda musi być dobrowolna, świadoma i konkretna, a bez jasnego opisu w polityce trudno mówić o spełnieniu tych warunków.

Nieaktualny dokument to również problem wizerunkowy. Klienci, którzy wiedzą, że dane osobowe to coś więcej niż tylko imię i nazwisko, potrafią sprawdzić, czy firma traktuje ich poważnie. Raport UODO pokazuje, że większość Polaków twierdzi, że wie, jak zadbać o bezpieczeństwo swoich danych, a jednocześnie znaczna część nie zna konsekwencji ich wycieku. Ta grupa to twoi potencjalni klienci, którzy zwracają uwagę na to, komu powierzają swoje informacje.

Dlatego traktuj politykę prywatności jak elementarz twojej firmy w internecie. Ma ona wyjaśniać, kim jest administrator danych, w jakim celu je przetwarza, komu może je udostępniać i jakie prawa przysługują użytkownikowi. Jeśli tego w niej nie ma, to nie jest to tylko brak dokumentu, ale brak fundamentu zaufania, na którym budujesz relacje z klientami.

Jak odróżnić politykę prywatności od regulaminu i wewnętrznej polityki ochrony danych?

Zacznij od regulaminu, bo to najłatwiejsze do odróżnienia. Regulamin sklepu internetowego opisuje zasady sprzedaży: jak złożyć zamówienie, jak wygląda płatność, kiedy można zwrócić towar. Polityka prywatności w ogóle się tym nie zajmuje. Ona dotyczy wyłącznie danych osobowych, czyli tego, kto i w jakim celu zbiera informacje o odwiedzających, jak długo je trzyma i komu może je udostępnić. Więcej zamieszania pojawia się przy wewnętrznej polityce ochrony danych. To dokument, który nigdy nie trafia na stronę internetową. Opisuje, jak Twoi pracownicy mają postępować z danymi w codziennej pracy: kto ma dostęp do bazy klientów, jak archiwizować dokumenty, co robić w razie włamania na firmowy komputer. Polityka prywatności to z kolei informacja dla osób z zewnątrz, które wchodzą na Twoją witrynę i zostawiają tam swój adres e-mail albo numer telefonu. Ta różnica ma praktyczne konsekwencje. Polityka prywatności musi być dostępna na każdej stronie internetowej, a jej brak traktowany jest jako naruszenie RODO. Prezes Urzędu Ochrony Danych Osobowych może za to nałożyć karę do 20 000 000 EUR, a w przypadku przedsiębiorstwa do 4 procent jego całkowitego rocznego światowego obrotu. Wewnętrzna polityka ochrony danych to obowiązek organizacyjny, który sprawdzany jest dopiero podczas kontroli, ale jej brak potrafi skomplikować życie, gdy dojdzie do wycieku danych.

Jak napisać politykę prywatności, która buduje zaufanie zamiast tylko spełniać wymóg?

Polityka prywatności to dokument, który ma dwa zadania naraz. Z jednej strony spełnia wymóg prawny wynikający z RODO, z drugiej mówi odwiedzającemu twoją stronę, co dokładnie dzieje się z jego danymi: kto je zbiera, po co, jak długo je trzyma i komu może je przekazać. Właśnie ta druga funkcja decyduje o tym, czy tekst buduje zaufanie, czy tylko odstrasza językiem prawniczym. Zacznij od danych administratora, czyli od tego, kto odpowiada za przetwarzanie danych osobowych. Podaj pełną nazwę firmy, adres i adres e-mail do kontaktu. To niby formalność, ale ma ogromne znaczenie praktyczne: osoba, która chce skorzystać z prawa do usunięcia danych albo sprzeciwu, musi wiedzieć, do kogo napisać. Następnie opisz cel przetwarzania i podstawę prawną, na przykład realizację umowy albo wyrażoną zgodę. Nie musisz cytować artykułów rozporządzenia, wystarczy jasny zapis, że dane z formularza kontaktowego służą tylko do odpowiedzi na zapytanie i nie są udostępniane podmiotom trzecim bez potrzeby. Kluczowy element, o którym często się zapomina, to okres przechowywania danych i prawa użytkownika. Wymień wprost, że każda osoba może żądać dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, a także przeniesienia do innego administratora. Dopisz, jak długo przechowujesz dane, na przykład przez czas trwania umowy, a po jej zakończeniu przez okres wymagany przepisami podatkowymi. Dzięki temu unikniesz sytuacji, w której ktoś pisze do ciebie z pytaniem, dlaczego jego dane wciąż są w systemie. Na koniec pamiętaj, że polityka prywatności to nie jest dokument pisany raz na zawsze. Aktualizuj ją za każdym razem, gdy zmienia się sposób przetwarzania danych, na przykład gdy dodajesz nowy formularz, zaczynasz korzystać z nowego narzędzia analitycznego albo zmieniasz podmiot przetwarzający. Zgodnie z danymi z badania KPMG, aż 80 procent respondentów obawia się nadużywania danych osobowych przez sztuczną inteligencję, więc im bardziej konkretny i przejrzysty jest twój dokument, tym mniejsze pole do nieufności. Zamiast gotowego wzoru polityki prywatności ściągniętego z internetu, postaw na własny tekst, który dokładnie opisuje twoją firmę i jej rzeczywiste praktyki.