Każda mała firma, która zbiera dane klientów, kontrahentów lub pracowników, musi poinformować te osoby, co z nimi robi. Służą do tego polityka prywatności i klauzule informacyjne, ale w praktyce często kopiuje się je z internetu, nie sprawdzając, czy pasują do firmy. Wyjaśniamy, co powinno się w nich znaleźć i jakich błędów unikać.
Polityka prywatności a klauzula informacyjna
Oba dokumenty mają ten sam cel: spełnić obowiązek informacyjny wynikający z RODO (art. 13 i 14). Różnią się miejscem i sposobem użycia.
- Polityka prywatności to zwykle dłuższy dokument na stronie internetowej. Opisuje, jak firma przetwarza dane odwiedzających stronę, użytkowników sklepu, subskrybentów newslettera i osób, które piszą przez formularz kontaktowy.
- Klauzula informacyjna to krótszy tekst dołączany do konkretnej sytuacji: formularza, umowy, ogłoszenia o rekrutacji, regulaminu albo wiadomości e-mail. Dotyczy tylko tego, co się w danej sytuacji dzieje z danymi.
W małej firmie często potrzebne są oba. Polityka prywatności nie zastąpi klauzuli w formularzu rekrutacyjnym, bo kandydat do pracy powinien dostać informacje dopasowane do swojej sytuacji.
Elementy, które muszą się znaleźć w informacji o danych
Zakres informacji określa RODO i to on jest punktem wyjścia. Poniżej najważniejsze elementy. Warto je zestawić z aktualnym tekstem rozporządzenia lub wytycznymi organu nadzorczego.
- Tożsamość i dane kontaktowe administratora. Nazwa firmy, adres oraz e-mail lub telefon, pod którym można zapytać o dane. Jeśli wyznaczono inspektora ochrony danych, jego kontakt także.
- Cele przetwarzania i podstawy prawne. Osobno dla każdego celu, np. realizacji zamówienia, wystawienia faktury, marketingu własnych usług czy dochodzenia roszczeń. Przy każdym celu wskaż właściwą podstawę, np. umowę, obowiązek prawny, zgodę lub prawnie uzasadniony interes.
- Odbiorcy danych. Chodzi o kategorie podmiotów, którym przekazujesz dane, np. biuro rachunkowe, firma hostingowa, system do wysyłki e-maili, kurier.
- Przekazywanie poza Europejski Obszar Gospodarczy. Jeśli korzystasz z narzędzi, których dostawcy przetwarzają dane w innych krajach, trzeba o tym napisać i wskazać podstawę przekazania.
- Okres przechowywania. Podaj konkretny czas albo kryteria jego ustalenia, np. do końca trwania umowy i do czasu przedawnienia roszczeń. Szczegółowe terminy zależą od przepisów, więc warto je sprawdzić.
- Prawa osób, których dane dotyczą. Dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw oraz prawo do wycofania zgody, jeśli na niej opierasz przetwarzanie.
- Prawo do skargi. Informacja, że można złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
- Dobrowolność lub obowiązek podania danych. Napisz, czy podanie danych jest wymogiem umownym lub ustawowym i co się stanie, jeśli ktoś ich nie poda.
- Profilowanie i zautomatyzowane decyzje. Jeśli ich używasz, trzeba o tym poinformować. Jeśli nie, możesz to krótko zaznaczyć.
Jeżeli dane pochodzą od kogoś innego niż osoba, której dotyczą, dodaj informację o źródle danych.
Typowe błędy w małych firmach
Większość problemów nie wynika ze złej woli, tylko z pośpiechu lub zaufania do gotowych wzorów.
- Kopiowanie cudzego wzoru. Dokument opisuje procesy, których firma nie prowadzi, a pomija te, które faktycznie istnieją. Polityka musi odzwierciedlać rzeczywistość.
- Jedna zgoda na wszystko. Zgoda nie jest potrzebna do każdego przetwarzania. Do realizacji umowy czy wystawienia faktury wystarcza inna podstawa prawna. Zgoda powinna być dobrowolna i konkretna, a nie zbiorcza.
- Brak okresów przechowywania. Sformułowania typu „tak długo, jak to potrzebne” są zbyt ogólne.
- Pomijanie narzędzi zewnętrznych. Systemy mailingowe, analityka, wtyczki mediów społecznościowych, reklamy i czaty często zbierają dane, a w polityce ich nie ma.
- Ignorowanie plików cookies. Osobne zasady dotyczą zapisywania informacji na urządzeniu użytkownika. Zapis w polityce nie zastąpi mechanizmu wyboru, jeśli używasz narzędzi wymagających zgody. Aktualne wymogi warto sprawdzić w przepisach.
- Trudny język. RODO wymaga, by informacje były zrozumiałe i łatwo dostępne. Długi tekst pełen powołań na artykuły nie spełnia tego celu.
- Nieaktualność. Zmieniasz dostawcę poczty, uruchamiasz sklep albo zaczynasz wysyłać newsletter, a dokument zostaje taki sam.
- Brak umów powierzenia. Jeśli podmiot przetwarza dane w Twoim imieniu, np. hostingodawca czy księgowy, zwykle potrzebna jest odpowiednia umowa. To osobna sprawa, ale często wychodzi na jaw przy porządkowaniu dokumentów.
Jak przygotować dokument krok po kroku
- Zrób inwentaryzację danych. Wypisz, jakie dane zbierasz, od kogo, w jakim celu, gdzie je przechowujesz i komu przekazujesz. Taka lista pomaga też przy prowadzeniu rejestru czynności przetwarzania, jeśli w Twojej firmie jest wymagany.
- Przypisz podstawę prawną. Dla każdego celu ustal, na jakiej podstawie przetwarzasz dane.
- Napisz prostym językiem. Używaj krótkich zdań i śródtytułów, a pojęć prawnych tłumacz.
- Umieść informację tam, gdzie ludzie jej szukają. Link do polityki w stopce strony, przy formularzach i w koszyku. Klauzulę krótką dołącz do umów i dokumentów papierowych.
- Aktualizuj regularnie. Przeglądaj dokumenty przy każdej zmianie narzędzi lub oferty, a także co jakiś czas z kalendarza.
Przy bardziej złożonej działalności, np. sklepie internetowym, usługach dla dzieci albo przetwarzaniu danych wrażliwych, rozsądnie jest skonsultować dokument z prawnikiem lub specjalistą ds. ochrony danych. Przepisy i interpretacje się zmieniają, dlatego przed publikacją sprawdź aktualne wytyczne organu nadzorczego.
