RODO na stronie internetowej – co musisz mieć
RODO na stronie internetowej to nie opcja. To wymóg prawny, który dotyczy każdej firmy zbierającej dane użytkowników – od sklepu internetowego po lokalną usługodawcę z formularzem kontaktowym. Problem polega na tym, że większość właścicieli stron albo nie wie, co konkretnie musi mieć, albo kopiuje cudze dokumenty i liczy na szczęście. To błąd, który może kosztować od ostrzeżenia UODO po kilkuprocentową karę od rocznego obrotu.
Ten artykuł to konkretna lista. Bez prawniczego żargonu, bez straszenia. Tylko to, co musisz mieć na stronie i dlaczego.
Co to jest RODO i kogo dotyczy na stronie
RODO (Rozporządzenie o Ochronie Danych Osobowych, z ang. GDPR) to unijne prawo obowiązujące od maja 2018 roku. Dotyczy każdego, kto przetwarza dane osobowe obywateli UE – a dane osobowe to wszystko, co pozwala zidentyfikować człowieka: adres e-mail, imię i nazwisko, numer telefonu, adres IP, pliki cookies.
Jeśli masz na stronie formularz kontaktowy, zapis do newslettera, Google Analytics, piksel Facebooka albo koszyk sklepowy – przetwarzasz dane osobowe. Nie ma znaczenia, czy jesteś jednoosobową działalnością z Krakowa, czy spółką z o.o. obsługującą klientów z Niemiec. RODO obowiązuje.
Warto przy tym pamiętać, że dobra strona, która buduje zaufanie i konwertuje użytkowników, musi też wyglądać wiarygodnie pod kątem prawnym. Brakująca polityka prywatności to jeden z sygnałów, które odstręczają klientów zanim jeszcze przeczytają ofertę.
Co musisz mieć na stronie – lista RODO
Polityka prywatności
Obowiązkowa. Musi wyjaśniać w zrozumiałym języku: kto jest administratorem danych, jakie dane zbierasz, w jakim celu, jak długo je przechowujesz, czy przekazujesz je podmiotom trzecim (np. Google, Meta), jakie prawa ma użytkownik (dostęp, usunięcie, sprzeciw).
Minimum treści polityki prywatności to 8-10 sekcji. Dokument kopiowany od konkurencji albo wygenerowany losowym generatorem online może nie uwzględniać Twoich konkretnych narzędzi i procesów – a to właśnie jest sprawdzane w przypadku kontroli.
Klauzula informacyjna przy formularzach
Każdy formularz, w którym zbierasz dane (kontakt, wycena, newsletter, rejestracja konta), musi zawierać klauzulę informacyjną. Nie długą – wystarczy jedno zdanie z linkiem do pełnej polityki i informacją, kto jest administratorem. Ale musi być.
Brak klauzuli przy formularzu to jeden z najczęstszych błędów, który UODO wykrywa podczas kontroli. Strona, która traci klientów przez słabe UX, często traci ich też przez brak zaufania – a niewidoczna polityka prywatności i brak klauzul są dokładnie tym sygnałem nierzetelności.
Zgoda na pliki cookies
Jeśli używasz cookies, które nie są technicznie niezbędne do działania strony – a prawie każde narzędzie analityczne i marketingowe takie stosuje – musisz uzyskać aktywną zgodę użytkownika przed ich uruchomieniem.
„Aktywna zgoda” to nie banner z jednym przyciskiem „OK” i domyślnie zaznaczonymi zgodami. To wybór: użytkownik musi mieć możliwość odrzucenia cookies analitycznych i marketingowych tak samo łatwo jak ich akceptacji. Prawo jest tu precyzyjne: brak możliwości odmowy = brak ważnej zgody.
Baner cookies to też element interfejsu, który dotyka projektowania UX i UI – źle zaprojektowany jest zarówno nieskuteczny prawnie, jak i irytujący dla użytkownika.
Rejestr czynności przetwarzania
Nie musi być widoczny na stronie, ale musisz go mieć. To wewnętrzny dokument opisujący, co i jak przetwarzasz – dla każdego procesu: cel, podstawa prawna, kategorie danych, czas przechowywania, odbiorcy. Obowiązek dotyczy większości firm (wyjątek: przedsiębiorstwa poniżej 250 pracowników, które przetwarzają dane tylko sporadycznie i bez wysokiego ryzyka – ale i tak warto go prowadzić).
Umowy powierzenia danych
Jeśli przekazujesz dane osobowe zewnętrznym podmiotom – hostingowi, agencji marketingowej, systemowi mailingowemu, CRM – musisz mieć z nimi podpisane umowy powierzenia przetwarzania danych. To dokument, który określa co mogą zrobić z danymi Twoich klientów.
Wielu właścicieli firm nie wie, że dotyczy to też platformy hostingowej. Popularne firmy hostingowe mają gotowe umowy powierzenia – ale trzeba je świadomie podpisać, nie zakładać, że „są gdzieś w regulaminie”.
Jak wdrożyć RODO na stronie – od czego zacząć
Zmapuj, co zbierasz. Zanim napiszesz jakikolwiek dokument, przejrzyj swoją stronę i wypisz: wszystkie formularze, wszystkie narzędzia zewnętrzne (Analytics, Pixel, Hotjar, Mailchimp), wszystkie miejsca logowania. To jest fundament – nie możesz opisać w polityce prywatności czegoś, o czym nie wiesz.
Nie kopiuj polityki od konkurencji. Poza tym, że to naruszenie praw autorskich, cudzą politykę piszemy dla cudzych procesów. Jeśli używasz innych narzędzi, inaczej przechowujesz dane, masz inną podstawę prawną dla newslettera – dokument będzie po prostu nieprawidłowy.
Zadbaj o cookies. To obszar, w którym UODO prowadzi aktywnie kontrole. Upewnij się, że Twój baner cookies rzeczywiście blokuje skrypty przed wyrażeniem zgody, a nie tylko pokazuje ładny button.
Jeśli nie wiesz, jak wybrać podmioty, którym powierzasz dane (agencja, hosting, mailing), pytania, które warto zadać potencjalnym partnerom są dobre nie tylko przy wyborze agencji web.
Najczęstsze błędy RODO na stronach internetowych
Brak polityki prywatności w ogóle. Zdarza się rzadziej niż kiedyś, ale wciąż – szczególnie na starszych stronach, które nie były aktualizowane od 2017 roku.
Polityka z 2018 roku bez aktualizacji. Prawo się zmienia, narzędzia się zmieniają, cele przetwarzania się zmieniają. Polityka prywatności to żywy dokument – powinien być przeglądany minimum raz w roku.
Jeden checkbox „Akceptuję wszystko”. Zgoda musi być granularna – osobno na cookies analityczne, osobno marketingowe. Jeden checkbox obejmujący wszystko jest niezgodny z RODO od czasu decyzji Europejskiej Rady Ochrony Danych.
Brak klauzuli przy formularzu. Opisany wyżej, ale wart powtórzenia – to jeden z najczęstszych i najbardziej widocznych błędów.
Przekazywanie danych do USA bez podstawy prawnej. Narzędzia jak Google Analytics, Meta Pixel czy Mailchimp to transfer danych do USA. Po unieważnieniu Privacy Shield w 2020 roku (sprawa Schrems II) kwestia ta jest szczególnie wrażliwa. Większość dużych dostawców ma jednak mechanizmy zgodności (Standard Contractual Clauses) – trzeba się upewnić, że są aktywowane.
Czy generator może zastąpić prawnika?
Zależy od skali. Dla małej firmy bez skomplikowanych procesów przetwarzania danych – dobry generator dokumentów RODO daje solidną bazę, którą można uzupełnić o specyfikę własnej działalności. Dla firmy przetwarzającej dane wrażliwe, prowadzącej sklep internetowy z tysiącami transakcji miesięcznie albo działającej w kilku krajach UE jednocześnie – prawnik jest niezbędny.
Generator RODO DotLineCode pozwala tworzyć dokumenty online, zarządzać nimi dla całego zespołu i generować klauzule informacyjne dopasowane do konkretnych formularzy. Możesz sprawdzić generator RODO i zacząć bezpłatny okres próbny – bez zobowiązań, bez karty kredytowej na start.
Jak często aktualizować dokumenty RODO
Minimum raz w roku – i zawsze po każdej zmianie, która wpływa na przetwarzanie danych: nowe narzędzie na stronie, nowy cel zbierania e-maili, zmiana podmiotu przetwarzającego, zmiany w prawie. To nie jest jednorazowe działanie. RODO to proces, nie projekt.
Podsumowanie – co musisz mieć na stronie
Cztery rzeczy są absolutnym minimum: polityka prywatności dostępna z każdej podstrony, klauzula informacyjna przy każdym formularzu zbierającym dane, baner cookies z możliwością odmowy zgód oraz umowy powierzenia z podmiotami zewnętrznymi. Rejestr czynności przetwarzania to obowiązek wewnętrzny, ale też dobra mapa własnych procesów.
RODO na stronie internetowej nie jest skomplikowane – jest tylko systematyczne. Wymaga jednorazowego mapowania i regularnego utrzymania. Firmy, które to robią rzetelnie, nie tylko unikają kar – budują też zaufanie klientów, którzy wiedzą, że ich dane są bezpieczne.
DotLineCode tworzy strony, które spełniają standardy prawne i techniczne. Generator RODO to nasze narzędzie dla firm, które chcą mieć dokumentację w porządku bez angażowania prawnika do każdej aktualizacji.
