RODO na stronie firmowej — minimum, które musi być, i mity, które można odpuścić
Krótka odpowiedź
Na stronie firmowej obowiązkowe są trzy rzeczy: polityka prywatności, prawidłowo zebrana zgoda przy formularzu kontaktowym oraz baner cookies działający dopiero po jej wyrażeniu, a nie od razu przy wejściu. Pozostałe wymogi krążące w internecie w praktyce nie dotyczą małej firmy z prostą stroną.
RODO na stronie brzmi groźnie, ale dla małej firmy sprowadza się do kilku konkretów. Poniżej lista tego, co musi być, i tego, co firmy robią na zapas — łącznie z bannerem cookies, który w wielu przypadkach jest ustawiony niezgodnie z przepisami.
Trzy rzeczy, które muszą być
- Polityka prywatności — dostępna z każdej podstrony, zwykle linkiem w stopce. Musi mówić, kto jest administratorem danych, jakie dane zbierasz, po co, jak długo je trzymasz i jakie prawa ma użytkownik.
- Zgoda przy formularzu kontaktowym — checkbox, którego nie da się zaznaczyć z góry, z krótką informacją, kto przetwarza dane i w jakim celu.
- Informacja o cookies — jeśli strona używa czegokolwiek poza plikami niezbędnymi do działania (a analityka i piksele reklamowe niezbędne nie są).
Jeśli masz te trzy rzeczy i one odpowiadają temu, co strona naprawdę robi, jesteś w porządku w zakresie typowej strony wizytówkowej.
Banner cookies — najczęstszy błąd
Najczęstsza pomyłka to banner z jednym przyciskiem „Akceptuję” i informacją, że korzystanie ze strony oznacza zgodę. To nie jest zgoda w rozumieniu przepisów — zgoda musi być dobrowolna i musi dać się jej nie udzielić równie łatwo, jak udzielić.
Drugi częsty błąd: skrypty analityczne i piksel Meta odpalają się od razu przy wejściu, zanim ktokolwiek cokolwiek kliknął. Wtedy sam banner nic nie zmienia, bo dane już poleciały.
Poprawnie wygląda to tak: skrypty śledzące czekają, banner ma równorzędne przyciski akceptacji i odrzucenia, a wybór da się później zmienić. Na naszych stronach analityka startuje dopiero po zgodzie — dlatego banner nie jest tam ozdobą.
Formularz kontaktowy
Formularz zbiera dane osobowe — imię, mail, telefon. To wystarczy, żeby obowiązek informacyjny Cię dotyczył.
W praktyce potrzebujesz jednego zdania przy przycisku wysyłki: kto jest administratorem danych, w jakim celu je przetwarza i gdzie znajduje się pełna informacja. Plus link do polityki prywatności.
Nie musisz zbierać zgód marketingowych, jeśli nie wysyłasz newslettera. Jeśli wysyłasz — to osobna, dobrowolna zgoda, oddzielona od zgody na kontakt w sprawie zapytania.
Czego zwykle nie potrzebujesz
- Osobnego inspektora ochrony danych — mała firma usługowa prawie nigdy nie ma takiego obowiązku.
- Rejestru czynności przetwarzania w rozbudowanej formie — przy prostej działalności wystarcza uproszczona ewidencja.
- Bannera cookies, jeśli strona naprawdę nie używa żadnej analityki ani zewnętrznych skryptów. Takie strony istnieją i są w porządku.
- Certyfikatów i „audytów RODO” sprzedawanych telefonicznie — to najczęściej sprzedaż strachu.
Kto odpowiada — Ty, nie wykonawca
Administratorem danych jesteś Ty jako przedsiębiorca. Wykonawca strony jest zwykle podmiotem przetwarzającym i powinien mieć z Tobą podpisaną umowę powierzenia, jeśli ma dostęp do danych z formularzy.
Dlatego warto, żeby wykonawca dał Ci gotową politykę prywatności dopasowaną do tego, co strona faktycznie robi — a nie skopiowany szablon z internetu, który wspomina o narzędziach, których nie używasz.
Jeśli działalność jest nietypowa — przetwarzasz dane wrażliwe, prowadzisz gabinet medyczny, obsługujesz płatności — warto raz zapłacić prawnikowi za sprawdzenie dokumentów. Przy zwykłej stronie usługowej to nadmiar. Politykę prywatności i poprawny banner cookies dostajesz w każdym pakiecie strony.
Zobacz nasze usługi
Strony internetowe od 1499 zł · Prowadzenie social media · Reklamy Google i Meta · Pakiety łączone
O autorze
Franciszek Żaczek — projektuje i wdraża strony internetowe w StronaOdZaraz. Pisze o kosztach, terminach i tym, na co zwrócić uwagę przy zamawianiu strony dla małej firmy. Kontakt: kontakt@stronaodzaraz.eu.