RODO i cookies: co musi być?

DefinicjaPolityka prywatności to strona, na której firma wyjaśnia, jakie dane osobowe zbiera, po co, na jakiej podstawie, komu je przekazuje, jak długo przechowuje i jakie prawa ma odwiedzający. Baner cookies to okno, w którym odwiedzający zgadza się albo nie na zapisywanie w przeglądarce informacji niepotrzebnych do działania strony, np. do statystyk czy reklam.

Jakie przepisy dotyczą strony firmowej?

Dwa zestawy przepisów. RODO, czyli unijne rozporządzenie o ochronie danych osobowych, mówi, jak zbierać i wykorzystywać dane ludzi, np. z formularza czy maila. Zasady dotyczące cookies, czyli małych plików, które strona zapisuje w przeglądarce, są w art. 399 Prawa komunikacji elektronicznej, obowiązującego od 10 listopada 2024 roku. Wcześniej był to art. 173 Prawa telekomunikacyjnego.

Nad przestrzeganiem RODO w Polsce czuwa Prezes Urzędu Ochrony Danych Osobowych (UODO). Ten artykuł porządkuje podstawy i nie jest poradą prawną; przy sklepie, danych o zdrowiu czy rozbudowanym marketingu warto zapytać prawnika.

Co musi zawierać polityka prywatności?

Odpowiedzi na pytania, które odwiedzający mógłby zadać o swoje dane. Najważniejsze informacje wymagane przez art. 13 RODO to:

• Kto: nazwa firmy i kontakt w sprawach danych.
• Co i po co: jakie dane zbiera strona (formularz, e-mail, analityka, techniczny zapis wizyt na serwerze) i w jakim celu, z podstawą prawną dla każdego celu.
• Komu: kto jeszcze ma do nich dostęp, np. hosting (firma, na której serwerze działa strona), dostawca poczty, narzędzie do statystyk.
• Dokąd: czy dane trafiają poza Europejski Obszar Gospodarczy (Unię Europejską, Norwegię, Islandię i Liechtenstein) i na jakiej podstawie.
• Jak długo: okres przechowywania albo sposób jego ustalenia.
• Prawa: m.in. dostęp do danych, ich poprawienie i usunięcie, sprzeciw, wycofanie zgody oraz skarga do Prezesa UODO.

Do tego część o cookies: jakie są, po co i jak zmienić decyzję. Polityka ma opisywać Twoją stronę i narzędzia, których naprawdę używasz, więc szablon z internetu to najwyżej punkt wyjścia. Krótki przykład to polityka prywatności mojej strony.

Czy formularz kontaktowy wymaga zgody na przetwarzanie danych?

Zwykle nie. Zgoda to tylko jedna z sześciu podstaw prawnych z art. 6 RODO. Gdy ktoś wysyła zapytanie, odpowiadasz na jego prośbę, a na to RODO pozwala bez osobnej zgody: to działania „na żądanie osoby, której dane dotyczą, przed zawarciem umowy” (art. 6 ust. 1 lit. b) albo prawnie uzasadniony interes firmy (lit. f).

Potrzebna jest za to informacja: przy formularzu krótka notka, kto przetwarza dane i po co, z linkiem do polityki prywatności. Pole zgody dodaj wtedy, gdy chcesz użyć danych do czegoś więcej, np. wysyłać newsletter: na przesyłanie informacji handlowych potrzebna jest wcześniejsza zgoda (art. 398 Prawa komunikacji elektronicznej). Takie pole nie może być zaznaczone z góry.

Kiedy strona potrzebuje banera cookies?

Gdy zapisuje w przeglądarce albo odczytuje z niej coś, co nie jest niezbędne do działania strony. Art. 399 wymaga wtedy wcześniejszej informacji i zgody. Bez zgody wolno tylko to, co jest konieczne do usługi, o którą prosi odwiedzający (art. 399 ust. 3), np. koszyk w sklepie, logowanie albo zapamiętanie decyzji z banera.

Zgody zwykle wymagają: analityka zapisująca cookies (np. Google Analytics), piksele reklamowe, czyli niewidoczne kody, które informują serwis reklamowy o wizycie (np. Meta, Google Ads), mapy kliknięć oraz osadzone filmy i mapy, jeśli zapisują własne cookies. Przepis nie dotyczy wyłącznie plików cookies: według wytycznych Europejskiej Rady Ochrony Danych (EROD) obejmuje też np. piksele śledzące.

Jeśli strona nie używa niczego takiego, baner nie jest potrzebny. Niezbędne cookies i tak warto opisać w polityce prywatności.

Jak powinien wyglądać baner cookies?

Tak, żeby odmowa była równie łatwa jak zgoda. Zasady wynikają z RODO i stanowisk grupy roboczej EROD ds. banerów cookies oraz UODO:

• „Odrzuć” obok „Akceptuj”. Na tym samym ekranie banera i wyraźnie widoczne, a nie jako mały link w tekście.
• Nic zaznaczonego z góry. Zgoda wymaga kliknięcia. Ani pola zaznaczone domyślnie, ani milczenie (motyw 32 RODO), ani przewijanie strony nie są zgodą.
• Bez blokowania strony. Tak zwana ściana cookies (ang. cookie wall), która zasłania treść do czasu akceptacji, według wytycznych EROD o zgodzie nie daje ważnej zgody.
• Jasne cele. Krótko: po co są cookies (statystyki, reklamy) i link do szczegółów.
• Najpierw zgoda, potem skrypty. Skrypty, czyli kod analityki i reklam, uruchamiają się dopiero po kliknięciu „Akceptuj”.
• Bez „uzasadnionego interesu”. Według EROD prawnie uzasadniony interes firmy nie może być podstawą zapisywania cookies, więc nie zastępuje zgody.

Jak odmowa części osób wpływa na liczby w statystykach, opisuję w artykule Analityka strony: co mierzyć?.

Jak odwiedzający może wycofać zgodę?

Tak samo łatwo, jak ją wyraził: tak mówi art. 7 ust. 3 RODO. W praktyce to link „Ustawienia cookies” w stopce albo mała ikonka widoczna na każdej podstronie, które ponownie otwierają baner. Na mojej stronie to przycisk „Ustawienia cookies” w stopce. EROD nie narzuca jednego rozwiązania, ale ma ono być łatwo dostępne.

Po wycofaniu zgody kod analityki i reklam nie powinien się już uruchamiać. To, co działo się wcześniej na podstawie zgody, pozostaje zgodne z prawem.

Co z czcionkami, mapami i filmami z innych serwerów?

Każdy taki element to połączenie przeglądarki odwiedzającego z serwerem innej firmy, który dostaje co najmniej jego adres IP (numer, pod którym urządzenie łączy się z internetem), często zanim odwiedzający cokolwiek kliknie. Dotyczy to np. czcionek z Google Fonts, map Google, filmów z YouTube i okienek czatu.

• Czcionki: pobrane i umieszczone na serwerze Twojej strony nie wymagają połączenia z serwerem innej firmy, a strona zwykle ładuje się szybciej. Więcej o tym w artykule Szybkość strony po ludzku.
• Mapy i filmy: zamiast ładować je od razu, pokaż obrazek z przyciskiem. Prawdziwa mapa czy film wczytuje się po kliknięciu, a jeśli zapisuje cookies, po zgodzie.
• Czat: okienko też może się ładować dopiero po kliknięciu ikony. O czacie z AI piszę w artykule Chatbot AI na stronie firmy.

Narzędzia, które zostają na stronie, opisz w polityce prywatności.

Co z firmami, które przetwarzają dane w Twoim imieniu?

Potrzebujesz z nimi umowy powierzenia przetwarzania danych (art. 28 RODO). Takie firmy, nazywane podmiotami przetwarzającymi, to zwykle hosting, poczta, narzędzie do formularzy lub newslettera i CRM, czyli system do obsługi klientów. Dostawcy często mają gotową umowę w regulaminie albo do zaakceptowania w panelu (po angielsku DPA, data processing agreement); sprawdź, czy ją masz.

Gdy dane trafiają poza Europejski Obszar Gospodarczy, np. do USA, polityka prywatności powinna to wskazać i podać podstawę. Przy firmach z USA, które przystąpiły do programu EU–US Data Privacy Framework, jest nią decyzja Komisji Europejskiej z 2023 roku; przy pozostałych zwykle standardowe klauzule umowne zatwierdzone przez Komisję.