RODO na stronie firmowej obrosło mitami w obie strony: jedni wierzą, że wystarczy baner „ta strona używa cookies", inni - że mała firma potrzebuje prawnika na etacie. Prawda jest nudniejsza: strona typowej małej firmy przetwarza dane w dwóch, może trzech miejscach, i da się je uporządkować w godzinę. Poniżej checklista, którą przechodzę przy każdym wdrożeniu. Zastrzeżenie: to doświadczenie wykonawcy stron, nie porada prawna - w nietypowych sytuacjach źródłem jest UODO.
Czego RODO naprawdę wymaga
RODO nie zabrania zbierać danych - wymaga, żebyś wiedział jakie dane zbierasz, po co, na jakiej podstawie i jak długo je trzymasz, oraz żebyś umiał to powiedzieć osobie, której dane dotyczą. Na typowej stronie firmowej dane osobowe pojawiają się w: formularzu kontaktowym (imię, e-mail, telefon), analityce i pikselach reklamowych (identyfikatory, zachowanie) oraz logach serwera (adresy IP). Tyle. Jeśli nie prowadzisz sklepu ani newslettera, cała Twoja „dokumentacja RODO" dotyczy tych trzech miejsc.
Checklista punkt po punkcie
- Polityka prywatności - napisana pod Twoją stronę, nie skopiowana z cudzej. Musi wymieniać: administratora z danymi kontaktowymi, jakie dane zbierasz i po co, podstawy prawne, komu dane powierzasz (hosting, poczta, analityka), jak długo je trzymasz i jakie prawa ma osoba, której dotyczą.
- Obowiązek informacyjny przy formularzu - krótka informacja, kto przetwarza dane z formularza i po co, z linkiem do pełnej polityki. Nie musi to być checkbox: do odpowiedzi na zapytanie wystarcza uzasadniony interes / działania przed zawarciem umowy.
- Zgody tam, gdzie są potrzebne - newsletter i marketing wymagają osobnej, dobrowolnej zgody. Jedna zgoda „na wszystko" jest nieważna.
- HTTPS - wysyłanie danych z formularza bez szyfrowania to naruszenie zasady bezpieczeństwa przetwarzania. Certyfikat jest darmowy; brak wybacza się coraz rzadziej.
- Umowy powierzenia - hosting, zewnętrzna poczta, narzędzia analityczne przetwarzają dane w Twoim imieniu. U dużych dostawców umowa powierzenia jest częścią regulaminu - wystarczy wiedzieć, gdzie ją masz.
- Procedura na wniosek o usunięcie - musisz umieć znaleźć i usunąć dane konkretnej osoby: z poczty, z bazy, z kopii zapasowych wedle ustalonych zasad. Na moich stronach opisuje to podstrona „skąd mam Twoje dane".
Cookies i analityka
Tu jest najwięcej teatru i najmniej zrozumienia. Zasada jest prosta: cookies niezbędne do działania strony nie wymagają zgody; analityczne i reklamowe - wymagają zgody przed ich zapisaniem. Z tego wynikają dwie praktyczne drogi. Pierwsza: strona bez analityki albo z analityką bezcookiesową - wtedy baner nie jest potrzebny w ogóle, co jest i szybsze, i uczciwsze. Druga: Google Analytics czy piksele reklamowe za prawdziwym banerem zgody, który domyślnie nie zapisuje nic poza niezbędnymi - baner, który „przyjmuję" ma wielki, a odmowę chowa w trzech kliknięciach, narusza zasady skutecznej zgody. Szczegóły w omówieniu wymogów dla cookies. Bonus: każdy skrypt analityczny to wolniejsze ładowanie - pisałem o tym osobno.
Najczęstsze błędy
- Polityka skopiowana z innej strony - z cudzą nazwą firmy w treści. Widuję to regularnie; gorsze niż brak, bo dowodzi, że nikt jej nie czytał.
- Baner cookies, który niczego nie blokuje - skrypty ładują się przed kliknięciem czegokolwiek. Teatr zgody zamiast zgody.
- Formularz przez http albo wysyłający dane na skrzynkę gmail wspólną z prywatną korespondencją.
- Stare wtyczki z dziurami - wyciek danych z niezałatanego WordPressa to też incydent RODO, z obowiązkiem zgłoszenia w 72 godziny. Aktualizacje to nie kosmetyka.
Jeśli chcesz mieć te punkty załatwione „w standardzie", a nie jako dodatkowy projekt - tak właśnie buduję strony: bez zbędnych skryptów, z polityką pisaną pod konkretną firmę. Pytania o Twój przypadek - napisz śmiało.