RODO na stronie internetowej: polityka prywatności, cookies i formularze

Kilka miesięcy temu odezwał się Paweł - hydraulik z Katowic. Dostał maila od "kancelarii prawnej", że jego strona "rażąco narusza RODO" i jeśli w 7 dni nie wykupi audytu za 1900 zł, sprawa trafi do UODO. Klasyczny straszak na małe firmy. Uspokoiłem go: jego wizytówka z formularzem kontaktowym potrzebowała dokładnie trzech rzeczy, z których dwie już miał. Zobaczmy, co naprawdę musi być na stronie małej firmy - a co jest mitem.

Polityka prywatności - obowiązkowa, ale prosta

Jeśli Twoja strona zbiera jakiekolwiek dane osobowe - a zbiera, jeśli masz formularz kontaktowy, statystyki albo choćby logi serwera - musisz spełnić tzw. obowiązek informacyjny z art. 13 RODO. W praktyce: podstrona "Polityka prywatności", która po ludzku mówi: kto jest administratorem (nazwa firmy, adres, kontakt), jakie dane zbierasz, po co i na jakiej podstawie, jak długo je trzymasz, komu je przekazujesz (hosting, Google) oraz jakie prawa ma użytkownik (wgląd, poprawienie, usunięcie, skarga do UODO).

Nie musi to być 20 stron prawniczego betonu - im prościej napisana, tym lepiej spełnia swoją rolę. Musi być za to prawdziwa: opisywać to, co strona faktycznie robi, a nie skopiowany szablon z cudzej strony z cudzą nazwą firmy w środku (widziałem to nie raz).

Baner cookies - kiedy jest potrzebny, a kiedy nie

Tu największe zaskoczenie: nie każda strona musi mieć baner cookies. Zgoda jest wymagana na pliki, które nie są niezbędne do działania strony - czyli statystyki, marketing, piksele reklamowe. Jeśli Twoja wizytówka używa wyłącznie technicznych cookies (np. do zapamiętania sesji), wystarczy informacja w polityce prywatności - baner to nadgorliwość.

Baner staje się obowiązkowy w momencie, gdy dokładasz Google Analytics, Meta Pixel, mapy z trackingiem, wtyczki społecznościowe czy remarketing. Od 10 listopada 2024 kwestie cookies reguluje w Polsce Prawo komunikacji elektronicznej (następca Prawa telekomunikacyjnego) - a do tego dochodzi RODO, gdy cookies pozwalają identyfikować użytkownika.

Jak wygląda legalny baner

Trzy żelazne zasady. Po pierwsze - przycisk "Odrzuć" musi być tak samo łatwy jak "Akceptuję". Baner, w którym zgodę daje się jednym kliknięciem, a odmowę po przejściu trzech ekranów ustawień, jest nielegalny. Po drugie - żadnych domyślnie zaznaczonych ptaszków przy celach marketingowych. Po trzecie - skrypty śledzące nie mogą się załadować, zanim użytkownik kliknie zgodę. To najczęstszy błąd: baner wisi, a Analytics i piksel już zbierają dane od pierwszej sekundy. Taki baner to dekoracja, nie zgoda.

I nie - komunikat "korzystając ze strony akceptujesz cookies" ani zgoda "przez scrollowanie" nie są ważną zgodą. Ta praktyka umarła lata temu, choć wciąż straszy na tysiącach polskich stron.

Google Analytics a zgoda

Google Analytics 4 zbiera identyfikatory i dane o zachowaniu, więc w praktyce wymaga zgody użytkownika przed uruchomieniem. Rozwiązanie, które wdrażamy klientom: baner zgód połączony z Google Consent Mode - dopóki użytkownik nie kliknie "Akceptuję", Analytics nie zapisuje cookies. Tracisz część danych o ruchu? Trochę tak. Ale alternatywa to zbieranie danych bez podstawy prawnej - a to już nie jest kwestia estetyki, tylko ryzyka finansowego.

Formularz kontaktowy - checkbox czy nie?

Wbrew powszechnej praktyce, przy zwykłym formularzu kontaktowym checkbox zgody nie zawsze jest konieczny- gdy klient sam pisze "proszę o wycenę", przetwarzasz jego dane po to, żeby odpowiedzieć, i to jest Twoja podstawa prawna. Co MUSI być: krótka informacja pod formularzem, kto jest administratorem i po co przetwarza dane, z linkiem do polityki prywatności.

Checkbox staje się obowiązkowy, gdy chcesz czegoś więcej: wysyłać newsletter, oferty, SMS-y marketingowe. Wtedy potrzebujesz osobnej, dobrowolnej, niezaznaczonej z góry zgody - i osobnej dla każdego celu. Jeden zbiorczy ptaszek "akceptuję wszystko" nie przejdzie.

Jakie kary realnie grożą małej firmie

Maksymalne widełki RODO - 20 mln euro lub 4% obrotu - są dla korporacji. Ale UODO karze też małych. Przykłady z praktyki urzędu: 45 697 zł dla przedsiębiorcy, który zbierał dane potencjalnych klientów bez ich zgody; 55 750 zł dla związku sportowego za upublicznienie danych z numerami PESEL. Do tego głośna przestroga z e-commerce: 2,8 mln złdla Morele.net po wycieku danych klientów. Skala kar rośnie z winą i skalą naruszenia - ale "jestem małą firmą" nie jest immunitetem.

Realny scenariusz dla małej firmy to zwykle skarga niezadowolonego klienta lub konkurencji - i wtedy urząd sprawdza wszystko: politykę, zgody, baner. Taniej mieć porządek zawczasu.

Checklist minimum dla małej firmy

(1) Polityka prywatności - prawdziwa, opisująca Twoją stronę. (2) Informacja o administratorze pod każdym formularzem. (3) Baner cookies - tylko jeśli masz analitykę lub marketing, z równorzędnym "Odrzuć" i blokadą skryptów przed zgodą. (4) Checkboxy - osobne dla newslettera i marketingu, nigdy domyślnie zaznaczone. (5) SSL - szyfrowanie to też wymóg bezpieczeństwa danych. Tyle. Paweł z Katowic uzupełnił dwie brakujące rzeczy w jeden wieczór - bez audytu za 1900 zł.

W naszych projektach polityka prywatności, poprawny baner i zgodne z RODO formularze są częścią standardu - nie płatnym dodatkiem. Bo strona, która ściąga klientów i przy okazji generuje ryzyko prawne, to kiepski interes.