RODO na stronie internetowej – co musisz mieć, żeby nie zapłacić kary?

Polityka prywatności w stopce, baner cookies i checkbox przy formularzu kontaktowym. Czy tyle wystarczy, żeby strona internetowa była zgodna z RODO? Niekoniecznie. Nawet jeśli wszystkie te elementy są widoczne, witryna może nieprawidłowo zbierać dane użytkowników, uruchamiać skrypty reklamowe bez wymaganej zgody albo przekazywać informacje zewnętrznym dostawcom bez odpowiednich zabezpieczeń.

Właściciel strony internetowej odpowiada za zgodne z prawem przetwarzanie danych osobowych użytkowników. Zakres obowiązków zależy jednak od funkcji witryny, wykorzystywanych technologii i sposobu pozyskiwania informacji. Inne wymagania będzie miała prosta strona wizytówkowa, a inne sklep internetowy z kontami klientów, systemem płatności, newsletterem i remarketingiem.

Sprawdź, jakie elementy są niezbędne, które zgody rzeczywiście trzeba zbierać, jak przygotować formularze i cookies oraz co zweryfikować, aby ograniczyć ryzyko naruszenia przepisów.

Czy każda strona internetowa musi spełniać wymagania RODO?

RODO, czyli ogólne rozporządzenie o ochronie danych osobowych, ma zastosowanie do przetwarzania danych osobowych objętego jego zakresem. Dotyczy to także niewielkich firm prowadzących strony internetowe, jeżeli za ich pośrednictwem zbierają lub wykorzystują informacje pozwalające zidentyfikować konkretne osoby.

Danymi osobowymi mogą być imię i nazwisko, adres e-mail, numer telefonu czy adres dostawy. W określonych okolicznościach będą nimi również adres IP, identyfikatory internetowe i informacje o zachowaniu użytkownika.

Przetwarzanie danych nie musi oznaczać wyłącznie wypełnienia formularza kontaktowego. Może odbywać się również podczas korzystania z narzędzi analitycznych, prowadzenia rejestracji użytkowników, obsługi zamówień czy zapisywania informacji w logach serwera.

Nie istnieje jednak jeden obowiązkowy zestaw checkboxów i dokumentów dla wszystkich stron. Wymagania należy dostosować do faktycznego zakresu przetwarzania danych. W szczególności nie każda operacja wymaga zgody użytkownika, a nie każda witryna musi wyświetlać rozbudowany baner cookies.

Trzeba także rozróżnić dwie regulacje:

• RODO określa zasady przetwarzania danych osobowych, obowiązki administratorów, prawa osób oraz wymagania dotyczące bezpieczeństwa.
• Prawo komunikacji elektronicznej (PKE) reguluje między innymi korzystanie z technologii zapisujących lub odczytujących informacje na urządzeniach użytkowników oraz określone formy komunikacji marketingowej.

W Polsce Prawo komunikacji elektronicznej obowiązuje od 10 listopada 2024 roku. Dla właścicieli stron szczególne znaczenie mają art. 399 dotyczący cookies i podobnych technologii oraz art. 398 dotyczący przesyłania informacji handlowych, w tym marketingu bezpośredniego.

Co musi mieć strona internetowa zgodna z RODO?

Wiele stron internetowych w Polsce nadal ma nieprawidłowo przygotowane informacje o przetwarzaniu danych lub błędnie skonfigurowane mechanizmy zgód. Część problemów wynika z korzystania ze starych wzorów dokumentów, a część z instalowania kolejnych narzędzi bez sprawdzenia, jakie informacje są przez nie zbierane.

Poniższe elementy wymagają weryfikacji w większości firmowych serwisów. Nie wszystkie muszą występować na każdej witrynie, ponieważ obowiązki zależą od jej funkcjonalności.

Polityka prywatności strony internetowej

Polityka prywatności jest najczęściej stosowanym sposobem realizacji obowiązku informacyjnego wobec użytkowników strony. To dokument, w którym właściciel serwisu przedstawia zasady wykorzystywania danych osobowych.

RODO nie wymaga, aby dokument koniecznie nosił nazwę „Polityka prywatności”. Wymaga natomiast przekazania odpowiednich informacji w sposób przejrzysty, zrozumiały i łatwo dostępny. W praktyce osobna podstrona z polityką prywatności, podlinkowana w stopce i przy formularzach, jest wygodnym rozwiązaniem.

Zgodnie z art. 13 RODO, gdy dane są zbierane bezpośrednio od osoby, zakres wymaganych informacji obejmuje w szczególności:

Informacja	Co należy wyjaśnić użytkownikowi?
Administrator danych	Kto odpowiada za przetwarzanie danych i jak można się z nim skontaktować.
Cele przetwarzania	Do czego wykorzystywane są dane, np. do obsługi zapytań, zamówień lub newslettera.
Podstawy prawne	Na jakiej podstawie z art. 6 RODO dane są przetwarzane dla poszczególnych celów.
Odbiorcy danych	Komu dane mogą być udostępniane lub powierzane, np. dostawcy hostingu czy systemu mailingowego.
Okres przechowywania	Jak długo dane będą wykorzystywane albo według jakich kryteriów ustalany jest ten okres.
Prawa użytkownika	Jakie prawa przysługują osobie i w jaki sposób może z nich skorzystać.
Przekazywanie poza EOG	Czy dane trafiają poza Europejski Obszar Gospodarczy i jakie zabezpieczenia są stosowane, jeżeli taki transfer występuje.
Inne wymagane informacje	M.in. dane kontaktowe inspektora ochrony danych, jeśli został wyznaczony, informacje o prawie do skargi, konsekwencjach niepodania danych oraz odpowiednie informacje o zautomatyzowanym podejmowaniu decyzji.

Polityka prywatności nie może zostać stworzona wyłącznie na podstawie przypadkowego wzoru znalezionego w internecie. Każda witryna korzysta z innych formularzy, systemów i integracji. Dokument opisujący nieużywane narzędzia albo pomijający faktycznie działające mechanizmy analityczne może wprowadzać użytkowników w błąd.

Przed przygotowaniem polityki warto sporządzić listę miejsc, w których strona pozyskuje dane, oraz wszystkich podmiotów mających do nich dostęp. Dopiero na tej podstawie można prawidłowo opisać zasady przetwarzania.

Cookies i prawidłowo działający baner zgód

Jednym z najbardziej problematycznych obszarów ochrony prywatności na stronach internetowych są pliki cookies i podobne technologie. Wiele witryn posiada baner informacyjny, ale samo jego wyświetlanie nie zapewnia zgodności z przepisami.

W Polsce zasady przechowywania informacji na urządzeniach użytkowników i uzyskiwania do nich dostępu określa przede wszystkim art. 399 Prawa komunikacji elektronicznej.

Jeżeli dana technologia wymaga zgody, użytkownik powinien otrzymać odpowiednie informacje i mieć możliwość podjęcia świadomej decyzji przed jej zastosowaniem.

Do najczęściej spotykanych błędów należą:

• wyświetlanie wyłącznie przycisku „Akceptuję”, bez łatwej możliwości odmowy,
• domyślnie zaznaczone zgody na analitykę i marketing,
• ukrywanie opcji odmowy w kolejnych oknach ustawień,
• automatyczne uruchamianie narzędzi śledzących przed uzyskaniem wymaganej zgody,
• brak możliwości późniejszej zmiany decyzji,
• niezgodność informacji w banerze z rzeczywiście wykorzystywanymi technologiami.

Dobrym rozwiązaniem jest baner, który już na pierwszym poziomie umożliwia zaakceptowanie opcjonalnych technologii, ich odrzucenie oraz przejście do ustawień szczegółowych. Odmowa nie powinna wymagać większego wysiłku niż wyrażenie zgody.

Takie podejście odpowiada również zaleceniom europejskich organów ochrony danych. W opracowaniach Europejskiej Rady Ochrony Danych podkreślono między innymi problem manipulacyjnego projektowania banerów, które wyraźnie zachęcają do akceptacji, a utrudniają odmowę.

Czy wszystkie pliki cookies wymagają zgody?

Nie. Art. 399 PKE przewiduje wyjątki dotyczące między innymi technologii koniecznych do wykonania transmisji oraz dostarczenia usługi żądanej przez użytkownika.

Przykładem mogą być cookies niezbędne do utrzymania sesji logowania, zapamiętania produktów w koszyku czy zapewnienia określonych funkcji bezpieczeństwa. Ich zastosowanie nie zawsze wymaga wcześniejszego uzyskania zgody.

Inaczej należy oceniać technologie wykorzystywane do analizowania zachowania odwiedzających i kierowania reklam.

Rodzaj technologii	Przykładowe zastosowanie	Czy wymaga zgody?
Niezbędne cookies sesyjne	Utrzymanie zalogowania lub zawartości koszyka.	Co do zasady nie, jeżeli spełniają warunki ustawowego wyjątku.
Cookies analityczne	Pomiar zachowania użytkowników, np. przy użyciu standardowego wdrożenia GA4 z identyfikatorami.	Co do zasady tak, gdy dochodzi do zapisu lub odczytu informacji objętego art. 399 PKE.
Cookies reklamowe	Remarketing, śledzenie konwersji i personalizacja reklam.	Co do zasady tak.
Technologie funkcjonalne	Zapamiętywanie wybranych ustawień i preferencji.	Zależy od tego, czy dana funkcja jest rzeczywiście niezbędna do usługi żądanej przez użytkownika.

Nie należy automatycznie traktować wszystkich cookies pochodzących z własnej domeny jako niezbędnych. Znaczenie ma rzeczywisty cel i sposób działania technologii, a nie wyłącznie to, kto ją dostarcza.

Wymagania mogą dotyczyć także innych mechanizmów uzyskiwania dostępu do informacji na urządzeniu, a nie tylko klasycznych plików cookies.

Formularz kontaktowy i obowiązek informacyjny RODO

Formularz kontaktowy jest jednym z najczęstszych miejsc pozyskiwania danych osobowych. Jeżeli użytkownik przekazuje imię, nazwisko, adres e-mail lub numer telefonu, administrator musi zadbać o odpowiednią podstawę przetwarzania i przekazanie wymaganych informacji.

W pobliżu formularza warto zamieścić krótką informację obejmującą administratora, cel wykorzystania danych i podstawę prawną oraz odnośnik do pełnej polityki prywatności. Rozwiązanie warstwowe może być wygodne, pod warunkiem że użytkownik otrzymuje wszystkie wymagane informacje we właściwym momencie.

Czy przy formularzu kontaktowym musi znajdować się checkbox zgody na przetwarzanie danych?

Nie w każdym przypadku. To jeden z najczęściej powielanych mitów dotyczących RODO.

Jeżeli użytkownik sam wysyła zapytanie, podstawą przetwarzania danych potrzebnych do udzielenia odpowiedzi może być:

• art. 6 ust. 1 lit. b RODO, gdy kontakt dotyczy podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
• art. 6 ust. 1 lit. f RODO, gdy odpowiednio uzasadnionym celem jest obsługa korespondencji lub zapytania, a zastosowanie tej podstawy jest dopuszczalne.

W takich sytuacjach nie trzeba automatycznie zbierać odrębnej zgody RODO na samą odpowiedź. Konieczne jest natomiast spełnienie obowiązku informacyjnego.

Osobnego rozpatrzenia wymaga sytuacja, w której firma chce wykorzystać adres e-mail lub numer telefonu do przesyłania komunikatów marketingowych. To inny cel niż odpowiedź na zapytanie i może wymagać uprzedniej zgody wynikającej z przepisów o komunikacji elektronicznej.

Warto również ograniczać zakres zbieranych danych. Jeśli do odpowiedzi na pytanie wystarczy adres e-mail i wiadomość, nie ma potrzeby automatycznego wymagania numeru telefonu, adresu zamieszkania czy dodatkowych informacji o użytkowniku.

Newsletter i zgody marketingowe

Obowiązek informacyjny RODO dotyczy także newsletterów. W tym obszarze pojawia się wiele błędów, ponieważ przedsiębiorcy łączą zgodę na otrzymywanie wiadomości marketingowych ze zgodą na inne działania albo nie informują odbiorcy, jakiego rodzaju komunikacji może się spodziewać.

W Polsce szczególne znaczenie ma art. 398 Prawa komunikacji elektronicznej, który reguluje korzystanie z określonych środków komunikacji do przesyłania informacji handlowych, w tym marketingu bezpośredniego.

Zgoda na otrzymywanie newslettera powinna być dobrowolna, świadoma, konkretna i możliwa do wykazania. Jeśli jest pozyskiwana przez checkbox, pole nie może być domyślnie zaznaczone.

Warto zadbać o kilka elementów:

• jasne określenie, kto będzie wysyłał wiadomości i czego będą dotyczyły,
• brak domyślnie zaznaczonych pól,
• oddzielenie zgód na odrębne cele tam, gdzie jest to wymagane,
• możliwość łatwego wycofania zgody lub wypisania się z newslettera,
• udokumentowanie sposobu i momentu uzyskania zgody.

Przydatnym rozwiązaniem organizacyjnym jest double opt-in, czyli wysłanie wiadomości z linkiem potwierdzającym zapis. Pomaga ono zweryfikować kontrolę nad adresem e-mail i ogranicza przypadkowe zapisy. Nie jest jednak uniwersalnym, odrębnym obowiązkiem ustawowym dotyczącym każdego newslettera.

Warto pamiętać, że zgoda na komunikację marketingową i podstawa prawna przetwarzania danych osobowych to powiązane, ale odrębne kwestie. Należy odpowiednio ocenić obie regulacje.

Hosting, system CMS i narzędzia zewnętrzne

Strona internetowa składa się zwykle z wielu elementów: hostingu, systemu CMS, formularzy, narzędzi analitycznych, platform mailingowych i integracji z zewnętrznymi usługami.

Dane użytkownika mogą trafiać do dostawców tych rozwiązań. Administrator musi wiedzieć, jakie informacje są przekazywane, w jakim celu oraz jaką rolę pełni każdy podmiot.

Jeżeli dostawca przetwarza dane osobowe w imieniu administratora, zastosowanie może mieć art. 28 RODO i obowiązek zawarcia umowy powierzenia przetwarzania danych. Dotyczy to często usług hostingowych czy wybranych systemów informatycznych.

Nie oznacza to jednak, że każda firma technologiczna jest automatycznie podmiotem przetwarzającym. Niektórzy dostawcy mogą występować jako odrębni administratorzy danych, a kwalifikacja zależy od konkretnej usługi i rzeczywistych zasad jej działania.

Przed wdrożeniem nowego narzędzia należy sprawdzić:

• jakie dane zbiera i do czego je wykorzystuje,
• czy przetwarza dane na zlecenie firmy, czy we własnych celach,
• gdzie dane są przechowywane i czy dochodzi do transferów poza EOG,
• jakie umowy, warunki i zabezpieczenia przewiduje dostawca,
• jak długo dane są przechowywane i czy można je usunąć.

Szczególnej uwagi wymagają narzędzia przekazujące dane do państw trzecich. W takich przypadkach mogą mieć zastosowanie przepisy rozdziału V RODO, w tym wymagania dotyczące podstawy transferu i odpowiednich zabezpieczeń.

Jakie podstawy prawne przetwarzania danych stosuje się na stronie?

Jednym z najważniejszych elementów prawidłowego wdrożenia RODO jest ustalenie podstawy prawnej dla każdego celu przetwarzania danych. Nie należy automatycznie stosować zgody wszędzie tam, gdzie pojawia się pole formularza.

Przykładowe sytuacje przedstawia poniższa tabela.

Sytuacja	Potencjalna podstawa prawna z RODO	Co jest istotne?
Odpowiedź na pytanie dotyczące oferty	Art. 6 ust. 1 lit. b lub f	Podstawa zależy od celu i charakteru zapytania.
Realizacja zamówienia w sklepie	Art. 6 ust. 1 lit. b	Dane niezbędne do wykonania umowy.
Przechowywanie danych wynikające z obowiązków podatkowych	Art. 6 ust. 1 lit. c	Przetwarzanie wynikające z właściwego przepisu prawa.
Newsletter marketingowy	W zależności od modelu przetwarzania, często art. 6 ust. 1 lit. a	Należy dodatkowo spełnić wymagania dotyczące komunikacji marketingowej wynikające z PKE.
Obsługa lub dochodzenie roszczeń	W odpowiednich sytuacjach art. 6 ust. 1 lit. f	Wymaga oceny prawnie uzasadnionego interesu oraz zakresu i okresu przetwarzania.

To przykłady, a nie gotowe podstawy prawne, które można bez weryfikacji skopiować do każdej polityki prywatności. Właściwa kwalifikacja zależy od konkretnego procesu, rodzaju danych i charakteru działalności przedsiębiorcy.

RODO w sklepie internetowym – dodatkowe obowiązki

W przypadku sklepu internetowego zakres przetwarzanych informacji jest zwykle większy niż na stronie wizytówkowej. Klienci przekazują dane potrzebne do realizacji zamówienia, wysyłki, płatności, wystawienia dokumentów sprzedażowych czy obsługi reklamacji.

Właściciel sklepu powinien zweryfikować cały proces zakupowy, a nie tylko politykę prywatności. Szczególne znaczenie mają:

• formularze składania zamówień i zakładania kont,
• dostęp pracowników do danych klientów,
• integracje z operatorami płatności oraz firmami kurierskimi,
• automatyczne wiadomości transakcyjne i marketingowe,
• okresy przechowywania danych zamówień i dokumentów księgowych,
• zasady usuwania kont oraz obsługi żądań dotyczących danych osobowych.

Ważne jest również oddzielenie komunikacji potrzebnej do realizacji umowy od marketingu. Potwierdzenie zamówienia, informacja o wysyłce czy odpowiedź na reklamację nie są tym samym co wiadomość zachęcająca do kolejnego zakupu.

W sklepach opartych na WordPressie i WooCommerce należy sprawdzić także rozszerzenia obsługujące płatności, marketing oraz integracje z zewnętrznymi systemami. Sama instalacja wtyczki do obsługi zgód nie zapewnia prawidłowego działania wszystkich pozostałych komponentów.

Jeżeli planujesz przebudowę procesu zakupowego lub uruchomienie nowego sklepu, warto uwzględnić kwestie prywatności już na etapie projektowania i tworzenia sklepu internetowego, zamiast dodawać zabezpieczenia dopiero po wdrożeniu.

Bezpieczeństwo danych osobowych – czego nie załatwi polityka prywatności?

Zgodność z RODO nie kończy się na zamieszczeniu dokumentów na stronie. Art. 32 rozporządzenia wymaga stosowania odpowiednich środków technicznych i organizacyjnych, dostosowanych do poziomu ryzyka związanego z przetwarzaniem danych.

W przypadku serwisu internetowego znaczenie mogą mieć między innymi:

• szyfrowane połączenie HTTPS i prawidłowo skonfigurowany certyfikat TLS,
• regularne aktualizacje CMS, motywów i wtyczek,
• silne uwierzytelnianie, w tym MFA dla kont z dostępem administracyjnym,
• ograniczenie dostępu do danych wyłącznie do uprawnionych osób,
• wykonywanie kopii zapasowych oraz testowanie możliwości ich odtworzenia,
• ochrona formularzy przed nadużyciami i nieuprawnionym dostępem,
• kontrolowanie okresów przechowywania danych oraz ich usuwania,
• regularna weryfikacja wykorzystywanych integracji.

Posiadanie certyfikatu SSL nie oznacza automatycznie zgodności z RODO. Szyfrowanie transmisji jest ważnym zabezpieczeniem, ale nie zastępuje kontroli dostępu, aktualizacji oprogramowania czy właściwej organizacji przetwarzania danych.

RODO wymaga również działań poza samą witryną

Administrator danych może być zobowiązany do prowadzenia odpowiedniej dokumentacji, ustalenia zasad dostępu do danych, obsługi żądań użytkowników oraz wdrożenia procedur reagowania na naruszenia.

W zależności od rodzaju i skali przetwarzania znaczenie mogą mieć także rejestr czynności przetwarzania, ocena skutków dla ochrony danych lub wyznaczenie inspektora ochrony danych. Nie wszystkie te obowiązki występują w identycznym zakresie u każdego przedsiębiorcy.

Jeżeli dojdzie do naruszenia ochrony danych osobowych, trzeba ocenić jego skutki. Gdy naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, co do zasady wymagane jest zgłoszenie go organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. W przypadkach wysokiego ryzyka konieczne może być również poinformowanie osób, których dane dotyczą.

Nie każde zdarzenie wymaga zgłoszenia do UODO, ale naruszenia powinny być odpowiednio dokumentowane i oceniane.

Google Analytics, Meta Pixel i Consent Mode – jak zadbać o zgodność?

Witryny wykorzystujące analitykę i reklamę internetową często korzystają z kilku narzędzi jednocześnie. Google Analytics 4, Google Tag Manager, systemy reklamowe czy piksele remarketingowe mogą zbierać różne informacje o zachowaniach odwiedzających.

Właściciel strony powinien sprawdzić nie tylko to, jakie zgody wyświetla baner, ale również jak rzeczywiście działają tagi i skrypty.

Przykładowo, jeśli użytkownik nie wyraził zgody na opcjonalne technologie reklamowe, należy zweryfikować, czy powiązane mechanizmy śledzące nie zapisują ani nie odczytują informacji z jego urządzenia bez wymaganej podstawy.

Google Consent Mode nie jest samodzielnym systemem pozyskiwania zgód. Służy do przekazywania informacji o stanie zgody usługom Google i odpowiedniego dostosowania ich działania. Musi współpracować z prawidłowo skonfigurowanym mechanizmem zarządzania zgodami.

W zależności od sposobu wdrożenia Google Consent Mode część tagów może nadal wysyłać określone sygnały przy odmowie zgody. Takie działanie wymaga osobnej oceny prawnej i technicznej. Samo ustawienie parametru consent na wartość denied nie przesądza jeszcze o zgodności całego rozwiązania z prawem.

Warto sprawdzić również dodatkowe integracje, takie jak:

• mapy i materiały wideo osadzone z zewnętrznych serwisów,
• narzędzia do nagrywania sesji i tworzenia map cieplnych,
• czaty i systemy obsługi klienta,
• skrypty reklamowe oraz mechanizmy remarketingu,
• zewnętrzne formularze i systemy rezerwacji.

Nie każda taka integracja wymaga identycznego mechanizmu zgody. Konieczna jest ocena faktycznego sposobu jej działania, zakresu danych i zastosowanych technologii.

Jeżeli nie masz pewności, czy analityka i systemy reklamowe są poprawnie skonfigurowane, warto przeprowadzić przegląd Google Analytics 4, Google Tag Managera oraz Consent Mode. Pozwoli to wykryć błędne tagi, zdublowane zdarzenia i nieprawidłowe reakcje skryptów na decyzje użytkownika.

Czy można otrzymać karę za brak RODO na stronie internetowej?

Brak wiedzy o przepisach nie zwalnia przedsiębiorcy z obowiązku ich przestrzegania. Dotyczy to zarówno dużych sklepów internetowych, jak i niewielkich firm posiadających prostą witrynę z formularzem kontaktowym.

Nie każde uchybienie automatycznie kończy się karą pieniężną. Organ nadzorczy bierze pod uwagę okoliczności sprawy, w tym charakter naruszenia, jego wagę, czas trwania, liczbę osób, których dotyczy, oraz działania podjęte przez administratora.

RODO przewiduje dwa główne pułapy administracyjnych kar pieniężnych:

• do 10 mln euro albo 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – w określonych kategoriach naruszeń, zależnie od tego, która wartość jest wyższa,
• do 20 mln euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – w przypadku poważniejszych kategorii naruszeń, również według wyższej z tych wartości.

Są to maksymalne pułapy ustawowe, a nie standardowe wysokości kar nakładanych na małe firmy. Rzeczywiste sankcje muszą być oceniane indywidualnie.

Trzeba też pamiętać, że naruszenia przepisów dotyczących cookies lub komunikacji marketingowej mogą podlegać odrębnemu reżimowi odpowiedzialności wynikającemu z Prawa komunikacji elektronicznej. Nie każdą karę dotyczącą banera cookies należy więc utożsamiać z administracyjną karą na podstawie RODO.

Najważniejsze jest jednak to, że poprawienie strony dopiero po otrzymaniu skargi nie oznacza automatycznego uniknięcia odpowiedzialności. Lepiej wcześniej zidentyfikować nieprawidłowości i ograniczyć ryzyko naruszeń.

Jak sprawdzić, czy strona internetowa spełnia wymagania RODO?

Przegląd warto zacząć od ustalenia, jakie dane rzeczywiście zbiera witryna. Następnie należy przeanalizować dokumentację, formularze, cookies, wykorzystywane narzędzia i sposób zabezpieczenia informacji.

Poniższa lista pomaga uporządkować kontrolę. Nie stanowi jednak certyfikatu zgodności ani zamkniętego katalogu obowiązków prawnych.

Obszar kontroli	Co sprawdzić?
Polityka prywatności	Czy opisuje rzeczywiste procesy, cele, podstawy prawne, odbiorców danych i prawa użytkowników?
Formularze	Czy użytkownik otrzymuje wymagane informacje przed przekazaniem danych i czy formularz nie zbiera informacji nadmiarowych?
Cookies	Czy przed uzyskaniem wymaganej zgody nie są uruchamiane opcjonalne technologie śledzące?
Baner zgód	Czy można łatwo odrzucić opcjonalne cookies, wybrać preferencje i później zmienić decyzję?
Newsletter	Czy zgody marketingowe są prawidłowo pozyskiwane i dokumentowane, a rezygnacja z komunikacji jest łatwa?
Integracje zewnętrzne	Czy znane są wszystkie podmioty otrzymujące dane oraz ich role i podstawy współpracy?
Bezpieczeństwo	Czy strona jest aktualizowana, ma właściwe zabezpieczenia, kontrolę dostępu i kopie zapasowe?
Retencja danych	Czy wiadomo, jak długo dane są przechowywane i jak usuwa się informacje, które nie są już potrzebne?
Procedury wewnętrzne	Czy firma wie, jak reagować na żądania użytkowników oraz naruszenia ochrony danych?

Jak przetestować baner cookies od strony technicznej?

W przypadku witryny korzystającej z narzędzi analitycznych i reklamowych szczególnie ważne jest przetestowanie rzeczywistego zachowania strony.

Przykładowa procedura kontrolna wygląda następująco:

1. Otwórz stronę w nowej sesji przeglądarki, bez wcześniej zapisanych decyzji dotyczących cookies.
2. Przed kliknięciem przycisków banera sprawdź, jakie cookies i inne informacje są zapisywane w przeglądarce oraz jakie żądania sieciowe wykonuje strona.
3. Wybierz odrzucenie opcjonalnych technologii i ponownie zweryfikuj zapis danych oraz działanie skryptów.
4. Zaakceptuj wybrane kategorie i sprawdź, czy uruchamiają się wyłącznie narzędzia objęte odpowiednią zgodą.
5. Wycofaj udzieloną zgodę, korzystając z ustawień prywatności, i przetestuj reakcję strony.
6. Powtórz kontrolę na urządzeniach mobilnych i po istotnych aktualizacjach witryny.

Do takiej analizy można wykorzystać narzędzia deweloperskie przeglądarki, w tym zakładki Network i Application, oraz funkcje podglądu tagów w Google Tag Managerze.

Wyniki testów warto dokumentować. Nie każdy kontakt przeglądarki z zewnętrznym serwerem oznacza automatycznie naruszenie przepisów, ale podejrzane żądania i mechanizmy śledzące wymagają dokładnej oceny.

RODO na stronie internetowej – zadbaj o zgodność i bezpieczeństwo danych

Obowiązki dotyczące ochrony danych osobowych nie powinny być traktowane jako jednorazowe zadanie polegające na dodaniu kilku dokumentów. Strona internetowa rozwija się, pojawiają się nowe formularze, wtyczki, systemy reklamowe i narzędzia analityczne. Każda taka zmiana może wpływać na sposób przetwarzania danych.

Prawidłowo przygotowana polityka prywatności, czytelne informacje przy formularzach i odpowiednio działający mechanizm cookies to ważne elementy. Równie istotne są rzeczywiste zabezpieczenia, kontrola integracji i zgodność procesów prowadzonych poza witryną.

Najlepszym podejściem jest połączenie oceny prawnej z techniczną weryfikacją strony. Dokumentacja powinna odpowiadać temu, co rzeczywiście dzieje się z danymi użytkowników, a oprogramowanie powinno respektować ustalone zasady.

Jeżeli tworzysz nową witrynę albo planujesz przebudowę istniejącej, zadbaj o wymagania dotyczące prywatności już podczas projektowania. Grupa Improve realizuje strony internetowe dla firm i wspiera ich rozwój techniczny, w tym konfigurację formularzy, narzędzi analitycznych oraz integracji zewnętrznych. Kwestie interpretacji przepisów i przygotowania dokumentów prawnych warto równolegle zweryfikować ze specjalistą zajmującym się ochroną danych osobowych.