Polityka prywatności na stronie - wzór i jak uniknąć kary

Polityka prywatności to dokument, który informuje odwiedzających, jakie dane zbierasz, po co i co z nimi robisz. W Polsce jej brak albo niekompletna treść może skończyć się kontrolą UODO i karą finansową - nawet jeśli prowadzisz jednoosobową działalność i słowo “administrator danych” nigdy nie przyszło ci do głowy. Art. 13 RODO wymienia dokładnie 8 kategorii informacji, które musisz przekazać osobie podającej dane - lista jest poniżej. Opisuję też, jak napisać politykę tak, żeby naprawdę chroniła i ciebie, i twoich klientów.

Dlaczego polityka prywatności dotyczy każdej firmy ze stroną

Załóżmy, że prowadzisz warsztat samochodowy. Na stronie masz formularz kontaktowy - ktoś wpisuje imię i adres e-mail, żeby zapytać o cenę wymiany opon. W tym momencie zbierasz dane osobowe. RODO (obowiązujące w całej UE od 25 maja 2018 r.) mówi wprost: każda osoba, która podaje swoje dane, ma prawo wiedzieć, co z nimi zrobisz.

To samo dotyczy sytuacji, gdy:

używasz Google Analytics (narzędzie do mierzenia ruchu - śledzi, ile osób wchodzi na stronę i skąd),
używasz piksela Facebooka (fragment kodu od Meta, który pozwala wyświetlać reklamy osobom, które odwiedziły stronę),
zapisujesz adresy e-mail do newslettera,
prowadzisz sklep internetowy i przyjmujesz zamówienia.

Brak polityki prywatności to nie formalność do odłożenia na później. UODO może nałożyć karę bez uprzedzenia - wystarczy skarga jednej osoby albo rutynowa kontrola sektorowa.

Co musi zawierać polityka prywatności - lista obowiązkowych elementów

Podstawę prawną dla każdego z tych punktów stanowi art. 13 RODO. Jeśli zbierasz dane od odwiedzających stronę, musisz im przekazać te informacje w momencie zbierania danych - czyli właśnie przez politykę prywatności.

1. Kim jesteś - dane administratora danych

Administrator danych to po prostu ty - firma lub osoba fizyczna, która zbiera i przetwarza dane. Musisz podać:

pełną nazwę firmy lub imię i nazwisko (w przypadku jednoosobowej działalności),
adres siedziby,
NIP lub KRS,
dane kontaktowe: adres e-mail i numer telefonu.

Jeśli wyznaczyłeś Inspektora Ochrony Danych (IOD) - osobę odpowiedzialną za nadzór nad danymi w twojej firmie - musisz podać też jego dane kontaktowe. Dla mikrofirm taki inspektor nie jest obowiązkowy.

2. W jakim celu i na jakiej podstawie prawnej przetwarzasz dane

To najważniejsza i najczęściej pomijana część. Dla każdego celu zbierania danych musisz wskazać podstawę prawną. RODO wymienia kilka możliwych podstaw - w praktyce dla małej firmy najczęstsze to:

Cel przetwarzania	Typowa podstawa prawna
Odpowiedź na zapytanie przez formularz	art. 6 ust. 1 lit. b - wykonanie umowy lub działania przed jej zawarciem
Newsletter	art. 6 ust. 1 lit. a - zgoda osoby
Wystawienie faktury	art. 6 ust. 1 lit. c - obowiązek prawny
Analityka strony (np. Google Analytics)	art. 6 ust. 1 lit. f - prawnie uzasadniony interes

Każdy cel piszesz oddzielnie. Wszystkiego do jednego zdania wrzucić nie wolno.

3. Jak długo przechowujesz dane

Musisz podać konkretny okres albo kryterium, według którego decydujesz, kiedy dane usuniesz. Przykładowo:

dane z formularza kontaktowego - przez czas niezbędny do odpowiedzi i ewentualnego zawarcia umowy, nie dłużej niż X miesięcy,
dane do wystawiania faktur - przez 5 lat od końca roku podatkowego (wymóg przepisów podatkowych),
dane subskrybentów newslettera - do momentu cofnięcia zgody.

4. Komu przekazujesz dane

Jeśli korzystasz z zewnętrznych usług, które przetwarzają dane użytkowników, musisz to ujawnić. Przykłady:

firma hostingowa (serwer, na którym stoi strona),
Google (Analytics, mapy, reklamy),
Meta (piksel Facebooka),
system do wysyłki e-maili (np. Mailchimp, FreshMail),
biuro rachunkowe, jeśli przekazujesz mu dane klientów.

Samo opisanie kategorii odbiorców (“dostawcy usług analitycznych”) nie wystarczy, jeśli możliwe jest wskazanie konkretnej firmy. UODO i Europejska Rada Ochrony Danych (EROD - unijny organ nadzorujący stosowanie RODO we wszystkich krajach członkowskich) wymagają wskazania konkretnych odbiorców lub przynajmniej ich kategorii opisanych wystarczająco precyzyjnie - tak, żeby osoba czytająca politykę mogła zrozumieć, kto faktycznie ma dostęp do jej danych. Musisz też poinformować, że dane mogą trafiać poza Europejski Obszar Gospodarczy, jeśli korzystasz np. z usług amerykańskich firm jak Google czy Meta.

5. Prawa osób, których dane dotyczą

To lista praw, które przysługują każdej osobie podającej swoje dane. Musisz je opisać i poinformować, jak można je wykonać (np. przez e-mail na podany adres):

prawo dostępu do danych (można poprosić o kopię swoich danych),
prawo do sprostowania (można poprosić o poprawienie błędnych danych),
prawo do usunięcia danych - tzw. “prawo do bycia zapomnianym”,
prawo do ograniczenia przetwarzania,
prawo do przenoszenia danych,
prawo do sprzeciwu (szczególnie ważne, gdy podstawą jest uzasadniony interes),
prawo do cofnięcia zgody (gdy przetwarzasz dane na podstawie zgody),
prawo do złożenia skargi do UODO.

Ten ostatni punkt jest obowiązkowy - musisz poinformować, że taki urząd istnieje i że można się do niego zwrócić.

6. Informacja o plikach cookies

Cookies to małe pliki zapisywane w przeglądarce odwiedzającego, które pozwalają m.in. śledzić, jak korzysta ze strony. Jeśli strona ich używa - a prawie każda strona ich używa - musisz to opisać w polityce prywatności lub w oddzielnej polityce cookies (i dać do niej link).

Musisz poinformować:

jakie rodzaje cookies używasz (np. niezbędne do działania strony, analityczne, marketingowe),
kto je ustawia (ty czy zewnętrzna firma jak Google),
jak długo są przechowywane,
jak można je wyłączyć lub zarządzać nimi w ustawieniach przeglądarki.

Czego polityka prywatności NIE powinna zawierać

Tyle samo problemów co brak dokumentu sprawia jego zła treść. Unikaj:

skopiowania cudzej polityki bez dostosowania - dane kontaktowe, narzędzia i cele przetwarzania są inne niż u kogoś innego; skopiowana polityka zawiera błędy faktyczne,
ogólnikowego języka prawniczego - “dane mogą być przetwarzane w różnych celach zgodnie z obowiązującymi przepisami” nic nie znaczy i nie spełnia wymogu informowania,
ukrywania informacji - linki do polityki mają być widoczne, nie schowane w stopce białą czcionką na białym tle,
nieaktualnych danych - jeśli zmieniłeś dostawcę hostingu albo dodałeś formularz zapisu na newsletter, polityka musi to odzwierciedlać.

Gdzie umieścić politykę prywatności na stronie

Przepisy nie mówią wprost “stopka strony”, ale standard, który respektuje UODO i sądy, to:

link w stopce strony (na każdej podstronie),
link przy każdym formularzu zbierającym dane (“Podając dane, akceptujesz naszą [Politykę prywatności]”),
link w banerze cookies, jeśli go masz.

Sama strona z polityką powinna mieć czytelny adres URL, np. /polityka-prywatnosci.

Jak napisać politykę prywatności - generator czy własny tekst?

Generatory polityki prywatności dostępne w sieci mogą być punktem wyjścia, ale wymagają ręcznego sprawdzenia każdego punktu pod kątem konkretnej sytuacji. Generator nie wie, z jakich narzędzi korzystasz, ile czasu przechowujesz dane ani czy przekazujesz je do krajów spoza UE.

Jeśli korzystasz z generatora, po wygenerowaniu dokumentu przejdź przez tę listę kontrolną:

Moje pełne dane jako administratora są poprawne
Każdy formularz na stronie ma swój cel i podstawę prawną
Wymieniłem konkretnych zewnętrznych dostawców, którym przekazuję dane (lub ich kategorie opisane wystarczająco precyzyjnie)
Opisałem wszystkie rodzaje cookies, których używam
Podałem adres e-mail do kontaktu w sprawie danych osobowych
Dodałem informację o prawie skargi do UODO
Link do polityki jest widoczny w stopce i przy formularzach

Jakie kary grożą za brak polityki prywatności

UODO nakłada kary na podstawie art. 83 RODO (Dz. Urz. UE L 119 z 4 maja 2016 r.). Maksymalne kwoty określone w tym przepisie to:

do 10 mln euro lub 2% rocznego obrotu - za naruszenia organizacyjne i proceduralne,
do 20 mln euro lub 4% rocznego obrotu - za naruszenia praw osób fizycznych.

Rejestr nałożonych kar sprawdzam regularnie na uodo.gov.pl. Jedna z decyzji, która zwraca uwagę w kontekście małych podmiotów, to decyzja UODO z 2022 r. (sygn. DKN.5130.2215.2020) dotycząca Burmistrza Aleksandrowa Kujawskiego - organ nałożył karę m.in. za brak realizacji obowiązku informacyjnego wobec osób, których dane przetwarzał, czyli dokładnie za to, co polityka prywatności ma spełniać. W rejestrze znajdziesz też decyzje dotyczące podmiotów prywatnych - najczęstsze naruszenia to brak odpowiedzi na wnioski o dostęp do danych, nieprawidłowe zabezpieczenie danych i brak podstawy prawnej przetwarzania. To dokładnie te elementy, które opisuję w tym artykule.

Niezależnie od kary finansowej, brak polityki prywatności albo jej ewidentna nieaktualność to też sygnał dla potencjalnych klientów - szczególnie firm, które same dbają o RODO i sprawdzają swoich dostawców.

FAQ - polityka prywatności na stronie internetowej

Czy jednoosobowa działalność gospodarcza musi mieć politykę prywatności?

Tak, jeśli na stronie jest cokolwiek, co zbiera dane odwiedzających - formularz kontaktowy, Google Analytics, piksel Facebooka albo zapis na newsletter. RODO nie rozróżnia między jednoosobową firmą a spółką. Obowiązek informacyjny dotyczy każdego, kto przetwarza dane osobowe.

Czy mogę skopiować politykę prywatności z innej strony?

Można jej użyć jako szablonu do zrozumienia struktury, ale bezpośrednie kopiowanie jest ryzykowne z 2 powodów: zawiera dane innej firmy i inne narzędzia, więc będzie nieaktualna lub błędna; poza tym kopiowanie cudzego tekstu bez zgody może naruszać prawa autorskie. Lepiej użyć oficjalnego generatora UODO albo zbudować dokument na podstawie art. 13 RODO punkt po punkcie.

Jak często aktualizować politykę prywatności?

Za każdym razem, gdy zmienia się coś, co wpływa na przetwarzanie danych: dodajesz nowy formularz, zmieniasz dostawcę hostingu, instalujesz nowe narzędzie analityczne albo zaczynasz zbierać nowy rodzaj danych. Dobra praktyka to przegląd dokumentu raz na rok i po każdej istotnej zmianie na stronie.

Czy polityka prywatności i regulamin to to samo?

Nie. Polityka prywatności dotyczy wyłącznie tego, jak przetwarzasz dane osobowe - to wynika z RODO. Regulamin opisuje zasady korzystania z usługi, prawa i obowiązki stron, procedury reklamacyjne. To 2 oddzielne dokumenty i oba mogą być potrzebne - szczególnie jeśli prowadzisz sklep internetowy.

Jeśli masz stronę firmową i nie wiesz, czy polityka prywatności jest kompletna - mogę to sprawdzić razem z tobą. Napisz do mnie, powiedz z czego korzystasz na stronie, a ja przejrzę dokument i powiem, których elementów brakuje, które są sformułowane zbyt ogólnikowo i co warto poprawić w pierwszej kolejności. Zwykle wystarczy jedno krótkie spotkanie online albo wymiana kilku wiadomości.

Napisz do mnie →

Jeśli chcesz przy okazji szerszego spojrzenia na całą stronę - co działa technicznie, co może odstraszać klientów i gdzie są największe luki - możesz zamówić pełny audyt. Jest płatny, ale dostajesz konkretną listę rzeczy do poprawienia, nie ogólne wrażenia.

Zamów audyt strony →