Czy polityka prywatności jest obowiązkowa?

Od moich klientów, głównie z branży reklamowej, ale nie tylko, często dostaję zlecenie typu „Proszę przygotować Politykę Prywatności do…”. Do strony internetowej. Lub do formularza rejestracyjnego na jakiś event. Albo do konkursu. A ja w odpowiedzi najpierw ustalam, co klient ma na myśli pod pojęciem „Polityka prywatności”.

Na wielu stronach internetowych pojawiają się takie dokumenty. Ich treść jest różna, podobnie jak ich zgodność z prawem. Ale to, że się pojawiają, powoduje, że również inni chcieliby taki dokument mieć. Przypuszczam, że skoro czytasz ten artykuł, to też być chciał.

Co to jest polityka prywatności

Zacznę od tego, że takie pojęcie nie jest w przepisach zdefiniowane. W ustawach próżno szukać wyjaśnienia, czym jest taki dokument i jaką ma pełnić funkcję.

Żaden przepis nie wymaga też posługiwania się takim dokumentem. Innymi słowy, polityka prywatności nie jest obowiązkowa. Obowiązkowe jest jednak podawanie określonych informacji związanych z przetwarzaniem danych osobowych, ale nie tylko.

Co powinna zawierać polityka prywatności – RODO

Obowiązkowe jest np. wypełnienie obowiązku informacyjnego z RODO. O ile oczywiście przetwarzasz dane osobowe. O tym, czy agencja marketingowa jest administratorem danych lub podmiotem przetwarzającym, pisałem już w jednym z poprzednich artykułów na tym blogu. Ale bez względu na to, czy administratorem danych jest agencja czy jej klient, to powinien być wykonany obowiązek informacyjny. Oczywiście jeśli np. formularz rejestracyjny lub kontaktowy zbiera dane osobowe,

Zgodnie z RODO administrator podczas pozyskiwania danych osobowych podaje w szczególności:

• swoje dane;
• dane kontaktowe inspektora ochrony danych;
• cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
• prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (jeśli to uzasadniony interes stanowi podstawę przetwarzania);
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej;
• okres, przez który dane osobowe będziesz przechowywał, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• jeżeli przetwarzanie odbywa się na podstawie zgody – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informacje o prawie wniesienia skargi do organu nadzorczego;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Polityka cookies

Oprócz przetwarzania danych osobowych wykorzystujesz też pliki cookies? Jeśli tak, to obowiązkowe może być wypełnienie wobec użytkowników kolejnego obowiązku informacyjnego.

Zgodnie z przepisami przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym abonenta lub użytkownika końcowego (pięknie napisane, prawda?) jest dozwolone, pod warunkiem że m.in. abonent lub użytkownik końcowy zostanie uprzednio bezpośrednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały, o:

• celu przechowywania i uzyskiwania dostępu do tej informacji,
• możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi.

Powyższa informacja nie jest wymagana, jeżeli przechowywanie lub uzyskanie dostępu jest konieczne do:

• wykonania transmisji komunikatu za pośrednictwem publicznej sieci telekomunikacyjnej;
• dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, żądanej przez abonenta lub użytkownika końcowego.

Najczęściej więc „Polityka prywatności” obejmuje dwa powyższe elementy wymagane przez przepisy: obowiązek informacyjny z RODO i informację o cookies. I o ile te elementy musisz podać, to nie musisz jednak ubierać ich w „Politykę prywatności”. Ale czasami warto.

Korzyści z polityki prywatności

Skoro polityka prywatności nie jest potrzebna, a mimo to znajduje się na wielu stronach, to może daje jakieś korzyści?

Po pierwsze, pozwala na usystematyzowanie informacji, które i tak masz obowiązek podać. Pisałem o tym powyżej. Zamiast tworzyć odrębne dokumenty dla każdego obowiązku informacyjnego, możesz odsyłać do jednej polityki prywatności.

Po drugie, w oczach użytkowników polityka prywatności może wyglądać po prostu bardziej profesjonalnie. Szczególnie jeśli wzorem innych serwisów użytkownicy oczekują istnienia takiego dokumentu.