Kluczowe informacje w Polityce prywatności (zgodnie z art. 13 i 14 RODO)

Aby polityka prywatności oraz klauzule zgód na stronie internetowej (w tym w sklepie) były zgodne z RODO, powinny zawierać zestaw konkretnych informacji. To nie kwestia „ładnego opisu” czy „gotowego wzoru z internetu” – ale wynik twardych wymagań wynikających z przepisów prawa. Poniżej przedstawiam kluczowe elementy, które powinny znaleźć się w tych dokumentach – niezależnie od tego, czy prowadzisz bloga, landing page, sklep czy stronę z formularzem kontaktowym.

Zanim przejdziesz dalej, sprawdź nasze pozostałe poradniki, które pomogą Ci ułożyć temat RODO od podstaw – krok po kroku, bez ściemy i bez lania wody:

• Hosting zgodny z RODO – co to znaczy i jak wybrać?
• Strona WWW zgodna z RODO – formularze, cookies, certyfikat SSL
• Sklep internetowy a RODO – obowiązki, błędy, checklisty
• RODO strony ≠ RODO hostingu – jak połączyć to w całość?
• O co chodzi z tym całym RODO? Wyjaśniamy prosto i konkretnie

Każdy z tych tekstów dotyka innego fragmentu układanki – a teraz przechodzimy do praktyki, czyli do dokumentów, które musisz mieć na stronie.

Co musi zawierać polityka prywatności?

Wszystkie informacje o RODO znajdziesz w osobnych artykułach – tutaj skupiamy się wyłącznie na tym, co i jak musi być opisane w Twojej polityce prywatności oraz jak skonstruować treści klauzul zgody we wszystkich formularzach na stronie.

To nie jest miejsce na kopiuj-wklej z cudzych regulaminów – RODO wymaga, żebyś precyzyjnie poinformował użytkownika o tym, co robisz z jego danymi, w jakim celu, jak długo, na jakiej podstawie i z kim się nimi dzielisz. Zaczynamy od dokumentu najważniejszego – polityki prywatności.

1. Dane administratora

Pierwszą informacją, jaką musisz podać, są dane identyfikujące Ciebie lub Twoją firmę jako administratora danych. To m.in.:

• pełna nazwa firmy lub imię i nazwisko (jeśli jesteś osobą fizyczną),
• adres siedziby lub korespondencyjny,
• dane kontaktowe: e-mail, telefon,
• opcjonalnie: NIP, REGON, KRS (jeśli dotyczy).

Ważne: Wskazanie tylko nazwy strony lub „firma X” bez możliwości identyfikacji to za mało. Użytkownik musi wiedzieć, komu powierzane są dane.

2. Cele i podstawy prawne przetwarzania danych

Wymień wszystkie sytuacje, w których zbierasz dane, i podaj podstawę prawną. Przykłady:

• formularz kontaktowy – prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO),
• zamówienie w sklepie – niezbędność do wykonania umowy (art. 6 ust. 1 lit. b),
• newsletter – zgoda użytkownika (art. 6 ust. 1 lit. a),
• analiza statystyk – zgoda (art. 6 ust. 1 lit. a),
• remarketing, reklamy – zgoda (art. 6 ust. 1 lit. a).

Wszystkie cele muszą być jasno opisane. Użytkownik ma wiedzieć, po co są mu zabierane dane i na jakiej podstawie.

3. Odbiorcy danych

Koniecznie wskaż, komu dane są przekazywane. Mogą to być np.:

• dostawcy hostingu,
• systemy mailingowe (MailerLite, GetResponse),
• narzędzia analityczne (Google Analytics, Meta Pixel),
• biuro rachunkowe.

Podaj nazwy podmiotów oraz – jeśli możesz – linki do ich polityk prywatności.

4. Okres przechowywania danych

Podaj, jak długo przechowujesz dane – oddzielnie dla każdego celu:

• dane z formularza kontaktowego: do zakończenia korespondencji lub max. 6 miesięcy,
• dane klientów: do końca okresu rozliczeniowego, podatkowego – zwykle 5 lat,
• dane marketingowe (np. newsletter): do czasu wycofania zgody.

5. Prawa użytkownika

Wymień przysługujące prawa, m.in.:

• prawo dostępu do danych,
• prawo do ich sprostowania, ograniczenia lub usunięcia,
• prawo do wycofania zgody w dowolnym momencie,
• prawo do przenoszenia danych,
• prawo wniesienia skargi do Prezesa UODO.

6. Informacja o przekazywaniu danych poza EOG (jeśli dotyczy)

Jeśli używasz narzędzi, które mogą przetwarzać dane poza UE (np. Google, Meta), poinformuj o tym oraz wskaż podstawy prawne przekazywania (np. standardowe klauzule umowne).

7. Obecność ciasteczek i skryptów śledzących

Jeśli Twoja strona używa narzędzi analitycznych lub marketingowych, musisz opisać w polityce prywatności typy plików cookie, ich źródła, czas działania i cel. Można to zrobić w osobnym dokumencie, np. „Polityka cookies”, ale najczęściej dodaje się rozdział w polityce prywatności.

A co ze zgodami?

Zgoda musi być:

• dobrowolna – użytkownik nie może być zmuszany do jej wyrażenia (np. przez blokadę funkcjonalności),
• konkretna – nie można łączyć zgody na różne cele (np. „na przetwarzanie danych w celu realizacji zamówienia i wysyłki newslettera”),
• świadoma – użytkownik musi wiedzieć, na co się zgadza,
• potwierdzona działaniem – np. zaznaczeniem checkboxa.

Wymagania co do checkboxów i zapisów przy formularzach:

1. Zgoda na regulamin i politykę prywatności – obowiązkowa przy zakupie.
2. Zgoda na newsletter – oddzielna, dobrowolna, nie zaznaczona domyślnie.
3. Zgoda na marketing (jeśli osobno) – osobna, precyzyjnie opisana.
4. Brak zgody na realizację zamówienia – bo przetwarzanie opiera się tu na umowie, nie zgodzie.

Przykład zapisu pod formularzem:

Twoje dane będą przetwarzane przez XYZ Sp. z o.o. w celu realizacji zamówienia. Więcej informacji znajdziesz w Polityce Prywatności.

Dodatkowe checkboxy:

• Zapoznałem/am się z regulaminem i polityką prywatności.
• Wyrażam zgodę na otrzymywanie newslettera.

To nie są „opcjonalne dodatki”. To minimum, bez którego Twoja strona może być uznana za niezgodną z RODO. A to oznacza ryzyko skarg, kar finansowych i po prostu utraty zaufania użytkowników.

Jakie checkboxy są wymagane? (w zależności od sytuacji)

Polityka prywatności to jedno – ale równie ważne jest to, jak użytkownik wyraża zgodę na konkretne działania w Twoim sklepie, na stronie kontaktowej czy blogu. I tu pojawia się temat checkboxów, które – choć wydają się tylko małymi polami do zaznaczenia – są w praktyce narzędziem potwierdzającym zgodność z RODO.

Przyjrzyjmy się temu, jakie zgody musisz zbierać, w jakich sytuacjach, i jak je poprawnie skonstruować, by nie łamać przepisów – nawet przez przypadek. Wszystko na bazie konkretnych przypadków: rejestracja konta, zapis na newsletter, formularz kontaktowy, zgody marketingowe, cookies.

1. Rejestracja konta użytkownika

• Akceptacja regulaminu – wymagana
  → Podstawa prawna: niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO).
  Forma: checkbox z informacją, że rejestrując konto, akceptujesz regulamin – najlepiej z linkiem.

• Zgoda na przetwarzanie danych w celach marketingowych – opcjonalna
  → Jeśli chcesz wysyłać newsletter, SMS-y itp. – wymagana wyraźna zgoda.
  Forma: osobny checkbox (niedozwolone jest „wrzucenie” tego do regulaminu!).

• Brak zgody na przetwarzanie danych w celu rejestracji
  → Sama rejestracja = umowa, więc nie potrzeba dodatkowej zgody na to działanie.

2. Formularz zamówienia / zakup bez rejestracji

• Akceptacja regulaminu i warunków zakupu – wymagana
  → Jest to moment zawarcia umowy sprzedaży.

• Zgoda na newsletter / marketing – tylko jeśli chcesz zbierać takie zgody
  → Musi być odrębna i dobrowolna. Nie może być domyślnie zaznaczona.

• Zgoda na przekazanie danych do partnerów (np. Opinie.pl, Trusted Shops) – wymagana tylko jeśli dane idą dalej
  → Osobny checkbox z wyjaśnieniem celu i partnera.

Nie wymagamy zgody na przetwarzanie danych w celu realizacji zamówienia. To niezgodne z RODO – przetwarzanie opiera się na umowie, nie zgodzie!

3. Formularz kontaktowy

• Zgoda na przetwarzanie danych w celu odpowiedzi na wiadomość – wymagana, ale niekoniecznie checkboxem
  → Można to rozwiązać przez klauzulę informacyjną obok przycisku wysyłania.
  Przykład: „Klikając ‘Wyślij’, zgadzasz się na przetwarzanie danych zgodnie z naszą polityką prywatności”.

• Zgoda na marketing / newsletter, jeśli formularz to umożliwia – odrębny checkbox

Nie umieszczaj checkboxa do zgody ogólnej typu: „Zgadzam się na przetwarzanie danych” bez wyjaśnienia celu – to nieważna zgoda.

4. Newsletter (formularz zapisu)

• Zgoda na otrzymywanie informacji handlowych – wymagana
  → Musi być wyraźna i konkretna.
  Przykład: „Wyrażam zgodę na otrzymywanie newslettera od [nazwa firmy]”.

• Link do polityki prywatności lub klauzula informacyjna – obowiązkowy
  → Najlepiej w formie: „Administratorem danych jest [firma], więcej informacji w polityce prywatności [link]”.

• Double opt-in – zalecany, choć nie wymagany prawnie
  → Zwiększa bezpieczeństwo i udowadnia faktyczne wyrażenie zgody.

Czego unikać?

• Łączenia kilku zgód w jednym checkboxie
  Przykład błędu: „Zgadzam się na regulamin, politykę prywatności i otrzymywanie newslettera”.
  → Każdy cel = osobny checkbox.

• Domyślnie zaznaczone checkboxy
  → Zgoda musi być aktywna – użytkownik sam musi kliknąć.

• Braku informacji o administratorze lub celu przetwarzania
  → Sam checkbox bez wyjaśnienia to za mało. Musi być podany cel, podstawa prawna, Twoje dane kontaktowe.

• Zgoda na coś, co i tak odbywa się na mocy umowy
  → Np. zgoda na przetwarzanie danych w celu realizacji zamówienia. Nie tylko zbędna – może wprowadzać w błąd.