Jak sprawdzić politykę prywatności zgodną z RODO
Co oznacza „zgodność z RODO”, gdy sprawdzasz tylko stronę z polityką
Ten poradnik ma wąski zakres. Nie audytujesz całego programu prawnego i nie oceniasz, czy firma spełnia wszystkie obowiązki wynikające z RODO. Sprawdzasz jedną rzecz: czy witryna wygląda na taką, która utrzymuje użyteczną stronę polityki prywatności, zapewniającą odwiedzającym podstawową przejrzystość, jakiej mogą oczekiwać.
To rozróżnienie ma znaczenie. Widoczna polityka prywatności może świadczyć o poważnym podejściu do zgodności, ale może też być nieaktualną stroną skopiowaną z innej witryny w 2019 roku. Sama strona to tylko jedna wskazówka, ale bardzo przydatna — zwłaszcza gdy potrzebujesz szybkiej odpowiedzi do oceny dostawcy, sprawdzenia redakcyjnego albo raportu dla klienta.
Zwrot jak sprawdzić, czy witryna ma stronę polityki prywatności zgodną z RODO brzmi technicznie, ale metoda jest głównie praktyczna. Jeśli zastanawiasz się, jak znaleźć politykę prywatności na stronie, zacznij od odszukania linku, otwarcia go i sprawdzenia, czy rzeczywiście opisuje podstawy, których RODO oczekuje prostym językiem.
Nie traktuj braku strony jako werdyktu prawnego. To sygnał. Może oznaczać, że witryna jest niedokończona, strona jest ukryta albo operator opiera się na innym komunikacie schowanym w procesie zakupowym lub aplikacji. Jedna strona może powiedzieć wiele, ale nie wszystko.
Najpierw sprawdź stopkę, nagłówek i baner cookie — nie tylko główne menu
Stopka nadal jest pierwszym miejscem do sprawdzenia. Na wielu stronach polityka prywatności znajduje się obok linków do regulaminu, kontaktu i informacji prawnych, często w cienkiej linii drobnego tekstu na dole strony. Małe witryny robią tak, bo stopkę łatwiej utrzymać niż pełne menu prawne.
Warto też sprawdzić nagłówek. Niektórzy wydawcy umieszczają politykę prywatności w sekcji „O nas”, „Informacje prawne” albo w trzywierszowym menu mobilnym, a witryny wielojęzyczne mogą ukrywać link w jednym języku, pokazując go w innym. Jeśli witryna ma tylko 5 lub 6 widocznych elementów nawigacji, polityka może nadal tam być — po prostu schowana.
Banery cookie też mogą prowadzić do tej strony. Baner z opcją „Dowiedz się więcej” lub „Ustawienia prywatności” często otwiera politykę prywatności, stronę o plikach cookie albo obie. Taki skrót bywa przydatny, ale może też wprowadzać w błąd, jeśli baner prowadzi tylko do ustawień zgody i nigdy do pełnej polityki prywatności.
Sprawdź źródło strony tylko wtedy, gdy widoczna ścieżka zawodzi. Ukryty link w skrypcie stopki nadal jest wskazówką. Podobnie jak link prawny w mobilnym wysuwanym menu, które nie pojawia się na komputerze, bo witryna używa różnych układów dla różnych ekranów.
Jedna mała witryna może mieć politykę prywatności w zaledwie 2 miejscach. Inna może pokazywać ją w 4. Liczba nie jest najważniejsza; liczy się to, czy da się dotrzeć do strony zwykłą ścieżką użytkownika.
Przejdź do strony polityki na komputerze i na telefonie, żeby potwierdzić, że się wczytuje
Otwórz link najpierw na komputerze, a potem powtórz to na telefonie. Brzmi prosto. To ważne, bo wiele witryn działa na jednym urządzeniu, a na drugim się sypie — zwłaszcza gdy strona jest zależna od skryptów, okna instalacji aplikacji albo układu, który psuje stopkę prawną.
Zwracaj uwagę na przekierowania. Link obiecujący politykę prywatności, a prowadzący na stronę główną, ekran logowania albo ogólny komunikat „coś poszło nie tak”, nie wystarczy. Przekierowanie może być uzasadnione, ale i tak powinno zakończyć się na polityce prywatności w rozsądnej liczbie kroków.
Problemy z wczytywaniem są częste na stronach ograniczanych regionalnie. Użytkownik w jednym kraju może zobaczyć politykę prywatności, a inny — stronę blokady albo nieprzetłumaczoną powłokę bez użytecznego tekstu. Jeśli strona nie otwiera się bez specjalnego konta, trudno uznać ją za publicznie dostępną.
Sprawdź, czy to naprawdę jest strona. Niektóre witryny wyświetlają treść prawną w ramce iframe albo w zwijanej sekcji, która nie rozwija się na telefonie. Inne załączają politykę jako PDF. To może być akceptowalne, ale tylko jeśli plik otwiera się bez problemu i da się go łatwo przeczytać bez dodatkowych kombinacji z oprogramowaniem.
Jeśli witryna ma subdomenę, sprawdź ją również. Koszyk na shop.example.com może mieć inny link do polityki niż strona marketingowa na www.example.com. Jeśli sprawdzasz usługę z publicznymi stronami i stronami po zalogowaniu, polityka prywatności może pojawiać się w jednym miejscu, a nie w drugim.
Uszkodzone linki zawodzą szybko. Ukryte linki zawodzą po cichu. Oba przypadki mają znaczenie.
Przeczytaj stronę polityki prywatności pod kątem sygnałów specyficznych dla RODO
Gdy strona się otworzy, sprawdź szczegóły, które zwykle wspierają przejrzystość zgodną z RODO. Chcesz zobaczyć, kto jest administratorem, jak się z nim skontaktować, jakie dane są zbierane, po co są zbierane i jak długo są przechowywane. Jeśli tych elementów brakuje, strona może nadal istnieć, ale jej wartość szybko spada.
Szukaj wskazania konkretnego podmiotu prawnego, a nie tylko nazwy marki. „Megainet Art” może być nazwą publiczną, ale polityka często powinna podawać nazwę spółki, adres firmy lub inny odpowiedzialny podmiot. Jeśli strona mówi tylko „my” i nigdy nie wyjaśnia, kim jest to „my”, to słaby sygnał.
Informacja o podstawie prawnej to jedna z najlepszych wskazówek. RODO zwykle oczekuje wyjaśnienia, czy przetwarzanie opiera się na zgodzie, umowie, obowiązku prawnym, prawnie uzasadnionym interesie czy innej podstawie. Nie musisz oceniać tej podstawy — wystarczy, że zobaczysz, czy strona odnosi się do niej konkretnie.
Istotne są też prawa użytkownika. Dobra polityka prywatności zgodna z RODO często wspomina o dostępie, sprostowaniu, usunięciu, ograniczeniu, sprzeciwie, przenoszeniu danych oraz prawie do wycofania zgody tam, gdzie ma to zastosowanie. Jeśli strona wymienia tylko jedno lub dwa prawa albo zamienia je w ogólne hasła marketingowe, sygnał zgodności z RODO jest słaby.
Przechowywanie danych łatwo sprawdzić w prosty sposób: czy strona podaje, jak długo dane są przechowywane, albo przynajmniej jak ustala się ten okres? Zdanie typu „przechowujemy dane tak długo, jak to konieczne” nie jest idealne, ale lepsze niż milczenie. Strona bez wyjaśnienia retencji pozostawia lukę, którą możesz jasno odnotować.
Znaczenie mają też dane kontaktowe. Wiele stron polityki prywatności zawiera adres pocztowy, adres e-mail albo kontakt do spraw ochrony danych. Jeśli wskazano inspektora ochrony danych, to pomocne, ale nie zawsze wymagane. Najważniejsze jest to, czy użytkownik może rzeczywiście wysłać prośbę dotyczącą prywatności do realnego punktu kontaktu.
Zwięzła polityka nadal może być dobra. Długa polityka nadal może być słaba. Nie długość jest miarą, lecz obecność właściwych informacji.
Sprawdź, czy strona jest aktualna, uwzględnia właściwą jurysdykcję i nie jest skopiowanym szablonem
Daty pomagają. Strona zaktualizowana w 2018 roku i od tamtej pory nietknięta może być w wąskim sensie w porządku, ale zasługuje na dokładniejsze sprawdzenie. Polityka bez żadnej daty jest trudniejsza do zaufania, zwłaszcza jeśli witryna wyraźnie zmieniła wygląd, warunki usługi albo identyfikację wizualną w ostatnim roku.
Odniesienia do jurysdykcji to kolejna wskazówka. Jeśli witryna obsługuje użytkowników z UE, można oczekiwać wzmianki o EOG, UE lub samym RODO. Polityka napisana wyłącznie pod jeden stan USA, bez odniesienia do użytkowników europejskich, może nadal być użyteczna, ale rodzi pytanie, czy w ogóle została napisana z myślą o tej grupie odbiorców.
Ujawnienia dotyczące plików cookie często pokazują, czy strona jest utrzymywana. Jeśli witryna korzysta z analityki, tagów reklamowych albo osadzonych treści, polityka prywatności powinna zwykle wspominać o tym w jakiejś formie. Szablon mówiący ogólnie o „naszych usługach”, ale nigdy nie wspominający o rzeczywistym śledzeniu na tej witrynie, jest podejrzany.
Szukaj języka specyficznego dla danej witryny. Serwis rezerwacji podróży powinien wspominać o rezerwacjach. Serwis newsletterowy powinien wspominać o subskrypcjach. Forum powinno wspominać o treściach tworzonych przez użytkowników. Gdy strona jest pełna ogólnych pól zastępczych, zwykle oznacza to, że ktoś skopiował szablon i zmienił tylko nazwę marki.
Szablony zawodzą najpierw w drobiazgach. Zła nazwa firmy, nieaktualne miasto albo wzmianka o metodzie płatności, z której witryna nie korzysta, wystarczy, by pokazać, że polityka prywatności nie była dopasowana. To szczególnie częste na stronach, które uruchamia się szybko i nigdy nie wraca do spraw formalnych.
Najlepszy test jest prosty. Zadaj sobie pytanie, czy polityka brzmi tak, jakby została napisana dla tej witryny, tej usługi i tego zestawu praktyk dotyczących danych. Jeśli odpowiedź brzmi nie, zapisz to.
Wykonaj szybką ocenę, gdy strona polityki prywatności jest brakująca lub niepełna
Jeśli nie możesz znaleźć polityki prywatności, nie kończ na stwierdzeniu „brak”. Sprawdź subdomeny witryny, strony zamówień, strony konta i wersje językowe. Strona główna może nie zawierać linku, ale proces zakupowy albo listing w sklepie z aplikacjami może mieć osobny komunikat.
Sprawdź też, czy polityka nie jest ukryta za formularzem. Niektóre witryny umieszczają politykę prywatności w rejestracji konta, potwierdzeniu zamówienia albo na stronach wsparcia. To nie jest idealne z punktu widzenia przejrzystości, ale się zdarza. Polityka dostępna dopiero po zalogowaniu jest słabsza niż taka, do której odwiedzający może dotrzeć ze stopki.
Jeśli strona jest niepełna, wypisz brakujące elementy konkretnie. Zanotuj, czy nie ma nazwy administratora, sekcji o prawach, adresu e-mail do kontaktu albo informacji o retencji. Krótka lista punktów jest bardziej użyteczna niż ogólna skarga. Na przykład: „znaleziono stronę, brak podstawy prawnej, brak daty aktualizacji” mówi więcej niż trzy akapity opinii.
Zdecyduj, czy wynik to „nie wygląda jednoznacznie na gotowy pod RODO”. To sformułowanie jest celowo ostrożne. Nie ogłaszasz niezgodności. Mówisz, że witryna nie pokazuje wyraźnie sygnałów polityki prywatności, których recenzent oczekiwałby od publikacji lub usługi ukierunkowanej na RODO.
Czasem problemem jest zakres. Witryna może mieć jedną politykę prywatności dla stron marketingowych i osobną dla procesu zakupowego albo danych z aplikacji mobilnej. Jeśli sprawdziłeś tylko stronę główną, mogłeś pominąć stronę, która ma największe znaczenie dla rzeczywistego przetwarzania. Jeden brakujący link może zniekształcić cały obraz.
Udokumentuj dokładnie miejsce, w którym utknąłeś. Jeśli link w stopce zwraca błąd 404, zapisz adres URL. Jeśli w menu mobilnym nie ma linków prawnych, zapisz to również. Jasne notatki oszczędzają kolejnemu recenzentowi 10 minut lub więcej i utrzymują ślad w użytecznym stanie.
Zapisz wyniki do wewnętrznej analizy lub raportu dla klienta
Opisz wynik tak, aby zespół prawny lub compliance mógł wykorzystać go w minutę. Podaj, gdzie znalazłeś politykę prywatności, na jakim urządzeniu i czy strona otworzyła się normalnie. Następnie wymień zauważone sygnały zgodności z RODO, takie jak tożsamość administratora, dane kontaktowe, informacje o prawach czy warunki retencji.
Trzymaj się faktów. „Politykę prywatności znaleziono w stopce i banerze cookie” jest mocniejsze niż „wygląda dobrze”. Jeśli sprawdzałeś stronę na komputerze i na telefonie, powiedz to. Jeśli strona działała na komputerze, ale nie na telefonie, też to zaznacz.
Zwrot jak sprawdzić, czy witryna ma stronę polityki prywatności zgodną z RODO używaj tylko wtedy, gdy musisz wewnętrznie nazwać zadanie. W samym raporcie lepsze są konkretne obserwacje niż etykiety. Recenzent nie potrzebuje sloganu; potrzebuje dowodów.
Jeśli polityka prywatności istnieje, ale jest uboga, odnotuj luki osobno. Na przykład: „strona istnieje, ale brak sekcji o podstawie prawnej, brak okresu retencji i brak wskazanego kontaktu”. To daje klientowi lub zespołowi wewnętrznemu jasną ścieżkę do dalszych działań, bez udawania, że przegląd był głębszy, niż był.
Przekazując wynik dalej, dołącz dokładny tytuł strony, ścieżkę URL i użyty wariant językowy. Polityka prywatności po angielsku na jednej ścieżce i w innym języku na drugiej może mieć znaczenie dla witryn wielokrajowych, zwłaszcza gdy obsługują użytkowników w UE i poza nią.
Zakończ ostatnim zaobserwowanym faktem. Jeśli strona była aktualna, podaj datę. Jeśli jej brakowało, napisz, gdzie zakończyłeś sprawdzanie. Nie potrzeba ozdobników. Kolejny recenzent potrzebuje tylko śladu.
