Temat RODO a strona internetowa małej firmy od lat budzi niepokój wśród właścicieli biznesów. Jeśli szukasz informacji w sieci, prawdopodobnie trafiasz na skomplikowane blogi prawnicze, straszące wysokimi karami (choć w praktyce kary dla małych firm to zwykle kwoty rzędu kilkudziesięciu tysięcy złotych, nie miliony), ale nadal nie wiesz, co dokładnie musisz kliknąć lub dodać w swoim systemie (np. WordPress), aby spać spokojnie.
Zejdźmy na ziemię. Jako inżynierowie na co dzień wdrażający systemy IT, tłumaczymy prawniczy żargon na język praktyki. Zobacz, czego faktycznie wymaga od Twojej strony prawo i jak wdrożyć to bez stresu.
Czego RODO faktycznie wymaga od zwykłej strony firmowej?
Jeśli prowadzisz prostą stronę usługową, wizytówkę lub niewielki serwis firmowy, nie potrzebujesz kilkudziesięciu stron dokumentacji. Wystarczą Ci trzy solidne fundamenty:
Polityka prywatności: Jedna, dedykowana podstrona, która prostym językiem wyjaśnia, kto jest administratorem danych (dane Twojej firmy), jakie dane zbierasz i w jakim celu.
Baner Cookies (Ciasteczka): Jeśli korzystasz z Google Analytics, piksela Facebooka lub innych narzędzi śledzących, użytkownik musi mieć szansę na wyrażenie (lub odmowę) zgody na śledzenie, zanim te skrypty się załadują. Uwaga: jeśli Twoja strona nie śledzi użytkowników w celach analitycznych/reklamowych, wielki baner blokujący ekran często nie jest w ogóle potrzebny.
Zabezpieczenie transmisji danych: Strona musi posiadać aktywny certyfikat SSL (zamknięta kłódka przy adresie www). Przesyłanie jakichkolwiek danych osobowych przez niezabezpieczone połączenie to poważne zaniedbanie bezpieczeństwa.
Najczęstszy błąd: formularz kontaktowy jako pułapka
Najwięcej naruszeń na stronach małych firm dotyczy zwykłego formularza kontaktowego. Wielu przedsiębiorców uważa, że skoro klient sam wpisuje swoje imię i e-mail, by wysłać zapytanie, to sprawa jest załatwiona.
Z punktu widzenia prawa, formularz bez odpowiedniej "otoczki" to błąd — ale nie dlatego, że zawsze brakuje w nim zgody. Do obsługi zwykłego zapytania ofertowego administrator zwykle nie potrzebuje osobnej zgody na przetwarzanie danych — wystarczy jedna z dwóch innych podstaw prawnych (podjęcie działań na żądanie klienta przed zawarciem umowy, albo prawnie uzasadniony interes w odpowiedzi na zapytanie). Tym, czego naprawdę brakuje najczęściej, jest obowiązek informacyjny: pod przyciskiem "Wyślij" powinna znaleźć się krótka klauzula informująca, kto przetwarza dane, w jakim celu i jak długo, wraz z linkiem do pełnej Polityki Prywatności.
Częsty błąd idzie zresztą w drugą stronę: wymuszony checkbox "Akceptuję Politykę Prywatności" pod formularzem kontaktowym też jest nieprawidłowy. Polityka prywatności to obowiązek informacyjny administratora, a nie coś, na co użytkownik ma "wyrazić zgodę" — checkbox zgody ma sens dopiero wtedy, gdy dane z formularza mają posłużyć do czegoś więcej niż tylko odpowiedź na zapytanie (np. zapis na newsletter).
Zgodność z RODO w praktyce — jak robimy to w JaworTeam?
Najlepsze RODO to takie, którego nie trzeba pilnować, bo jest wbudowane w procesy techniczne (tzw. zasada Privacy by Design). Papierowa polityka to jedno, ale bezpieczeństwo fizycznych danych to drugie.
Jako przykład weźmy nasz proces wykonywania kopii zapasowych (backupów) dla klientów, których strony utrzymujemy w ramach usługi stałego utrzymania, optymalizacji i naprawy stron internetowych. Jak to wygląda w praktyce?
- Retencja danych: Kopia zapasowa bazy danych (w której mogą znajdować się dane klientów) nie zalega na naszych serwerach w nieskończoność. Udostępniamy ją klientowi na 7 dni.
- Bezpieczny transfer: Pliki udostępniamy wyłącznie za pomocą jednorazowych, zabezpieczonych odnośników.
- Trwałe usunięcie: Po upływie 7 dni kopia jest bezpowrotnie i automatycznie usuwana z naszej przestrzeni roboczej.
Dzięki temu nie przetwarzamy i nie magazynujemy danych dłużej, niż jest to absolutnie niezbędne do wykonania usługi technicznej.
Nie masz czasu samodzielnie audytować własnej strony? Sprawdzimy ją za Ciebie i powiemy dokładnie, czego brakuje.
Szybka checklista: sprawdź swoją stronę w 5 minut
Nie wiesz, na czym stoisz? Zrób błyskawiczny audyt swojej obecnej witryny, odpowiadając na tych 5 pytań:
- Czy w stopce strony znajduje się widoczny link do "Polityki Prywatności"?
- Czy pod formularzem kontaktowym widnieje informacja o tym, kto przetwarza dane (lub link do polityki)?
- Czy po wejściu na stronę w przeglądarce pojawia się zamknięta kłódka (aktywny certyfikat SSL)?
- Czy system CMS (np. WordPress) i jego wtyczki są regularnie aktualizowane, by zapobiegać wyciekom danych przez luki w bezpieczeństwie?
- Czy wiesz, z jakich zewnętrznych narzędzi śledzących (Google, Meta) korzysta Twoja strona i czy wspominasz o nich w Polityce Prywatności?
Ważne zastrzeżenie na koniec
Jesteśmy inżynierami IT, a nie kancelarią prawną. W JaworTeam odpowiadamy za techniczną stronę zgodności — wdrażamy bezpieczne formularze, instalujemy certyfikaty SSL, ustawiamy banery cookies blokujące skrypty i dbamy o to, by bazy danych nie wyciekły.
Samo przygotowanie treści prawnej (napisanie regulaminu czy polityki prywatności) zawsze warto skonsultować z wykwalifikowanym prawnikiem, który dopasuje dokumenty do specyfiki Twojej branży.
Masz wątpliwości, czy Twoja strona jest bezpieczna i technicznie dostosowana do dzisiejszych wymogów?