Cztery elementy, bez których strona nie jest zgodna z RODO
| Element | Podstawa | Gdzie umieścić |
|---|---|---|
| Klauzula informacyjna | Art. 13 RODO | Przy każdym formularzu zbierającym dane: kontaktowym, rezerwacji, newsletterze |
| Polityka prywatności | Art. 13 i 14 RODO, zasada przejrzystości z art. 5 | Osobna podstrona, link w stopce widoczny z każdej strony |
| Informacja o cookies i zgoda | Art. 398 Prawa komunikacji elektronicznej (od 10 listopada 2024 zastąpiło art. 173 Prawa telekomunikacyjnego) | Baner przy pierwszej wizycie, z realnym przyciskiem odmowy |
| Umowa powierzenia z hostingiem | Art. 28 RODO | Dokument podpisany z firmą hostingową, zwykle akceptowany w panelu klienta |
Wzór klauzuli informacyjnej przy formularzu kontaktowym
Poniższy tekst możesz skopiować i dopasować, wpisując swoje dane. To wersja skrócona, dopuszczalna przy formularzu, pod warunkiem że pełna treść jest w polityce prywatności, do której prowadzi link.
Administratorem Twoich danych osobowych jest [pełna nazwa firmy lub imię i nazwisko], [adres], NIP [numer], kontakt: [adres e-mail]. Dane podane w formularzu przetwarzamy w celu udzielenia odpowiedzi na Twoją wiadomość, na podstawie naszego prawnie uzasadnionego interesu, czyli art. 6 ust. 1 lit. f RODO. Dane przechowujemy przez czas potrzebny do prowadzenia korespondencji, a następnie przez okres przedawnienia ewentualnych roszczeń. Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu oraz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Podanie danych jest dobrowolne, ale bez nich nie odpowiemy na wiadomość. Szczegóły znajdziesz w polityce prywatności.
Jeśli zbierasz zapisy na newsletter
Wtedy podstawą jest zgoda, czyli art. 6 ust. 1 lit. a RODO, a do tego przepisy o komunikacji elektronicznej. Zgoda musi być odrębna, dobrowolna i niezaznaczona domyślnie. Jedno pole zgody nie może obejmować jednocześnie newslettera i przetwarzania danych do innych celów.
Jeśli prowadzisz gabinet i zbierasz dane o zdrowiu
Dane o stanie zdrowia to szczególna kategoria danych z art. 9 RODO. Formularz rezerwacji wizyty u psychologa czy fizjoterapeuty nie powinien zawierać pola na opis problemu ani objawów. Wystarczy imię, kontakt i termin. Opis sytuacji zbierz dopiero na wizycie, w dokumentacji prowadzonej poza stroną internetową.
Cookies: co się zmieniło i co musisz mieć
Baner cookies nie jest ozdobą. Zgoda na cookies inne niż niezbędne musi być wyrażona aktywnym działaniem. To oznacza konkretne wymagania:
- Odmowa musi być tak samo łatwa jak zgoda. Przycisk "Akceptuję" bez równie widocznego "Odrzucam" to konfiguracja niezgodna z wytycznymi.
- Skrypty nie mogą ładować się przed zgodą. Jeśli Google Analytics czy piksel Facebooka uruchamiają się przed kliknięciem, baner nie spełnia swojej funkcji. Rozwiązaniem jest tryb zgody (Consent Mode) albo warunkowe ładowanie skryptów.
- Dalsze przeglądanie to nie zgoda. Formuła "korzystając ze strony wyrażasz zgodę" nie jest zgodą w rozumieniu RODO.
- Zgodę trzeba dać się wycofać. Potrzebny jest link albo ikona, przez którą użytkownik zmieni swój wybór.
Lista kontrolna: sprawdź swoją stronę w pięć minut
- Czy w stopce jest widoczny link do polityki prywatności, z każdej podstrony?
- Czy polityka prywatności podaje pełną nazwę i adres administratora, a nie tylko nazwę domeny?
- Czy przy formularzu jest klauzula informacyjna albo link do niej, widoczny przed wysłaniem?
- Czy checkbox zgody jest odznaczony domyślnie?
- Czy baner cookies ma przycisk odmowy równie widoczny jak przycisk akceptacji?
- Czy Analytics i piksele reklamowe czekają na zgodę?
- Czy formularz wysyła dane po HTTPS, a strona ma ważny certyfikat?
- Czy masz umowę powierzenia z hostingiem i z dostawcą narzędzia do newslettera?
- Czy wiesz, gdzie trafiają wiadomości z formularza i kto ma do nich dostęp?
Jeśli odpowiedź na którekolwiek pytanie brzmi "nie wiem", to jest miejsce do poprawy. Najczęstszy błąd, jaki widzimy na stronach gabinetów i małych firm, to skopiowana z internetu polityka prywatności, w której nadal widnieje nazwa innej firmy.
Czym ryzykujesz
Maksymalna kara administracyjna z RODO to 20 milionów euro albo 4 procent rocznego obrotu światowego, w zależności od tego, która kwota jest wyższa. W praktyce polskiego rynku małych firm kary są nieporównanie niższe, ale realne ryzyko jest inne: skarga jednego niezadowolonego klienta do Prezesa UODO uruchamia postępowanie, w którym trzeba przedstawić dokumentację. Jeśli jej nie ma, koszt nie polega na karze, tylko na czasie i na tym, co postępowanie ujawni przy okazji.
Czego nie załatwi sama strona
Dokumenty na stronie to jedna warstwa. Gabinet czy kancelaria potrzebuje jeszcze rejestru czynności przetwarzania, upoważnień dla osób mających dostęp do danych, procedury na wypadek naruszenia i, przy niektórych rodzajach przetwarzania, oceny skutków. Strona internetowa jest widoczną częścią, ale nie całością zgodności.