Jak przygotować politykę prywatności i cookies zgodną z RODO?

Ochrona danych osobowych to nie tylko kwestia odpowiednich procedur obowiązujących w firmie, ale także transparentności w relacjach z klientami, pracownikami czy użytkownikami. Jednym z najważniejszych dokumentów, który musi być dostępny w każdej organizacji przetwarzającej dane osobowe, jest polityka prywatności. Równolegle z nią, jeśli organizacja zbiera dane za pomocą plików cookies, niezbędna jest również polityka cookies. W obu tych przypadkach ich przygotowanie musi być zgodne z przepisami RODO praz innymi regulacjami dotyczącymi ochrony danych. 

W poprzednich wpisach, takich jak "Jak prawidłowo przygotować informację o przetwarzaniu danych osobowych zgodnie z RODO" omówiłem istotne elementy dokumentacji, które pomagają organizacjom w zarządzaniu danymi. Dziś przyjrzymy się, jak odpowiednio przygotować polityki prywatności i cookies, które są niezbędne w kontekście przetwarzania danych osobowych. 

Do czego służy polityka prywatności i polityka cookies?

Polityka prywatności oraz polityka cookies pełnią ważną rolę w zapewnieniu zgodności z przepisami ochrony danych osobowych. 

Ich główne funkcje to: 

Transparentność przetwarzania danych — polityka prywatności pozwala użytkownikom  zrozumieć, w jaki sposób ich dane osobowe są zbierane, przechowywane, wykorzystane oraz udostępniane. Z kolei polityka cookies informuje użytkowników o tym, jakie pliki cookies są wykorzystane przez stronę i w jakim celu. 

Zgodność z RODO — oba dokumenty są obowiązkowe w kontekście przetwarzania danych osobowych. Polityka prywatności musi określać cele przetwarzania danych, podstawy prawne, kategorie danych, okresy przechowywania oraz prawa osób, których dane dotyczą. Polityka cookies natomiast jest wymaganiem dyrektywy ePrivacy i musi uwzględniać sposób zbierania zgód na stosowanie cookies. 

Ochrona praw użytkowników — obie polityki muszą informować użytkowników o ich prawach, takich jak prawo do dostępu, sprostowania, usunięcia danych, czy sprzeciwu wobez przetwarzania danych. 

Zarządzanie zgodnością — polityki te stanowią dokumentację, którą organizacja może przedstawić w przypadku kontroli lub audytu przeprowadzonego przez organy nadzorcze, takie jak UODO.

Co powinna zawierać polityka prywatności? 

Polityka prywatności to dokument, który szczegółowo informuje osoby, których dane są przetwarzane, o zasadach przetwarzania tych danych. Zgodnie z przepisami RODO, polityka prywatności powinna zawierać następujące elementy: 

1. Tożsamość administratora danych — nazwa organizacji oraz dane kontaktowe administratora danych. Jeśli jest o wymagane, należy także wskazać dane kontaktowe Inspektora Ochrony Danych (IOD). 
2. Cel przetwarzania danych — należy określić, dlaczego dane są zbierane (np.w celu świadczenia usług, realizacji umowy, marketingu, badań rynku). 
3. Rodzaje zbieranych danych — jakie dane są przetwarzane? Przykłady: imię, nazwisko, adres e-mail, dane logowania, adres IP. 
4. Podstawy prawne przetwarzania — na jakiej podstawie prawnej dane są przetwarzane? (np. zgoda użytkownika, wykonanie umowy, obowiązek prawny. 
5. Odbiorcy danych — komu dane mogą być udostępniane? Mogą to być partnerzy, podmioty przetwarzające dane na zlecenie administratora, organy publiczne. 
6. Okres przechowywania danych — jak długo dane będą przechowywane? Może to być określony czas lub do momentu realizacji celu przetwarzania. 
7. Prawa użytkowników — prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu, wycofania zgody. 
8. Informacje o przekazywaniu danych poza EOG — jeśli dane są przesyłane do krajów spoza Europejskiego Obszaru Gospodarczego, należy wskazać zabezpieczenia, jakie zostały wdrożone.  
9. Profilowanie i zautomatyzowane podejmowanie decyzji (jeśli dotyczy) — informacja o tym, czy dane są wykorzystywane w takich procesach. 

Co powinna zawierać polityka cookies? 

Polityka cookies to dokument, który opisuje, w jaki sposób strona internetowa wykorzystuje pliki cookies i podobne technologie do zbierania informacji o użytkownikach. 

Co zawiera polityka cookies? 

• Czym są cookies? Wyjaśnienia, że są to małe pliki tekstowe przechowane na urządzeniu użytkownika. 

• Rodzaje wykorzystywanych cookies: 

1. • Cookies niezbędne: zapewniające podstawowe funkcjonowanie strony.
   • Cookies funkcjonalne: umożliwiające dodatkowe funkcje, np. zapamiętywanie preferencji użytkownika.
   • Cookies analityczne: zbierające dane statystyczne (np. Google Analytics).
   • Cookies marketingowe: umożliwiające personalizację reklam.

• Cel używania cookies: 
  • Przykłady: analiza ruchu na stronie, personalizacja treści, umożliwienie działania koszyka zakupowego.

• Możliwość zarządzania cookies przez użytkowników: 

Informacja o tym, jak użytkownik może wyłączyć lub ograniczyć cookies w ustawieniach przeglądarki.

• Zgoda na cookies: 

Informacja, że przed zapisaniem niektórych rodzajów cookies wymagana jest zgoda użytkownika (zgodnie z przepisami RODO i dyrektywą ePrivacy) 

Co się robi z polityką prywatności i polityką cookies? 

1. Publikacja na stronie internetowej:
   • Oba dokumenty muszą być łatwo dostępne, np. w stopce strony.
2. Aktualizacja:
   • Gdy zmienia się sposób przetwarzania danych lub korzystania z cookies, polityki muszą być zaktualizowane.
3. Pozyskiwanie zgód:
   • Polityka cookies wymaga zgody użytkowników na zapisywanie niektórych plików (np. marketingowych), co odbywa się za pomocą banerów cookies.
4. Komunikacja z użytkownikami:
   • Informacje z polityk są podstawą do budowania transparentności i zaufania wobec użytkowników.
5. Zgodność z przepisami prawa:
   • Dzięki tym dokumentom, organizacja unika sankcji i kar za nieprzestrzeganie RODO lub dyrektywy ePrivacy.

Dlaczego to ważne? 

Zaufanie: Użytkownicy czują się bezpieczniej, wiedząc, jak ich dane są przetwarzane. 

Przestrzeganie prawa: Brak odpowiednich polityk może skutkować wysokimi karami. 

Transparentność:  Polityki umożliwiają użytkownikom świadome korzystanie z usług.