„Musimy mieć zgodę przy formularzu kontaktowym?” — „Nie.” — „Ale wszyscy mają.” — „Wiem.”
Ta rozmowa powtarza się przy niemal każdym wdrożeniu i dobrze pokazuje stan wiedzy o RODO w małych firmach: sporo lęku, sporo skopiowanych rozwiązań i bardzo mało pewności, co właściwie jest obowiązkiem.
Poniżej próba uporządkowania — co strona firmowa musi mieć, czego mieć nie musi, i gdzie najczęściej przesadzamy w drugą stronę.
Zastrzeżenie od razu: to nie jest porada prawna, tylko orientacja w temacie. Przy działalności obarczonej większym ryzykiem — medycyna, finanse, dane dzieci — rozmowa z prawnikiem jest konieczna, a nie opcjonalna.
RODO nie mówi „zbierz zgodę”. Mówi: każde przetwarzanie danych osobowych musi mieć podstawę prawną, a osoba, której dane dotyczą, musi wiedzieć, co się z nimi dzieje.
Zgoda jest tylko jedną z możliwych podstaw i wcale nie najwygodniejszą — bo zgodę można w każdej chwili wycofać, a wtedy trzeba przestać przetwarzać dane. Dla części sytuacji istnieją podstawy wygodniejsze i bardziej naturalne.
To rozróżnienie jest źródłem większości nieporozumień, o których dalej.
Nie potrzebuje. Jeżeli ktoś pisze do Ciebie przez formularz kontaktowy, żeby zadać pytanie o usługę, podstawą przetwarzania jego danych może być prawnie uzasadniony interes administratora, czyli po prostu udzielenie odpowiedzi. Jeżeli pytanie jest wstępem do zlecenia, podstawą bywają działania podejmowane przed zawarciem umowy.
W obu przypadkach checkbox „wyrażam zgodę na przetwarzanie moich danych osobowych” jest zbędny. Co gorsza, bywa szkodliwy: obniża liczbę wysłanych formularzy, a firmie dokłada obowiązek obsługi wycofania zgody, którego nie musiałaby mieć.
Skąd więc wziął się na połowie polskich stron? Ze skopiowania od konkurencji, która skopiowała od kogoś innego w 2018 roku, gdy panika była największa.
To jest obowiązek, którego naprawdę nie da się pominąć. Osoba wypełniająca formularz musi zostać poinformowana o kilku rzeczach — i to w momencie zbierania danych, a nie po fakcie.
Minimum, które powinno znaleźć się przy formularzu albo w łatwo dostępnej polityce prywatności, do której formularz odsyła:
W praktyce wystarczy jedno zdanie pod formularzem z odesłaniem do polityki prywatności, o ile polityka faktycznie to opisuje. Ściana tekstu pod przyciskiem „wyślij” nie jest wymogiem i nikt jej nie czyta.
Są sytuacje, w których bez zgody się nie obejdzie i wtedy musi być ona odrębna, dobrowolna i jednoznaczna.
Najczęstsza to newsletter i komunikacja marketingowa. Zapis na listę mailingową to osobna zgoda, oddzielona od wysłania zapytania i od akceptacji regulaminu. Jedno zaznaczenie obejmujące wszystko nie spełnia warunku dobrowolności — pisaliśmy o tym szerzej przy okazji tekstu o tym, czy newsletter dla małej firmy ma sens.
Druga sytuacja to cookies inne niż niezbędne — analityczne, reklamowe, śledzące. Tu zgoda musi być uzyskana zanim skrypt się załaduje, o czym więcej w tekście o Google Analytics dla małej firmy.
Zasada porządkująca: zgoda tam, gdzie robisz coś ponad to, po co człowiek przyszedł. Odpowiedź na pytanie to nie „ponad”. Wysyłanie ofert przez kolejne dwa lata — tak.
Polityka prywatności nie jest dokumentem dla prawnika. Jest dokumentem dla człowieka, który chce sprawdzić, co się dzieje z jego danymi — i powinna dać się przeczytać w kilka minut.
Powinna zawierać to, co wymieniliśmy wyżej, plus informacje o cookies i o tym, komu dane są powierzane. Nie musi zawierać przepisanych fragmentów rozporządzenia, historii RODO ani definicji pojęć.
Częsty błąd praktyczny: polityka dostępna wyłącznie ze strony głównej. Powinna być osiągalna z każdej podstrony, standardowo ze stopki, i z każdego miejsca, w którym zbierasz dane.
Drugi częsty błąd: polityka skopiowana od innej firmy. Opisuje wtedy cudze narzędzia, cudze terminy przechowywania i cudzych odbiorców danych — czyli informuje użytkownika nieprawdziwie, co jest gorsze niż brak dokumentu.
To najczęściej pomijany fragment i jednocześnie ten, w którym większość małych firm ma realną lukę.
Dane z formularza kontaktowego nie zostają wyłącznie u Ciebie. Przechodzą przez serwer hostingowy, trafiają do skrzynki pocztowej u jakiegoś dostawcy, często do systemu do obsługi zgłoszeń albo arkusza w chmurze. Każdy z tych podmiotów przetwarza dane w Twoim imieniu.
Z każdym z nich potrzebujesz umowy powierzenia przetwarzania. Dobra wiadomość: poważni dostawcy mają ją przygotowaną i akceptuje się ją zwykle w panelu klienta albo jest częścią regulaminu usługi. Zła: nikt nie zrobi tego za Ciebie i nikt nie przypomni.
Praktyczne minimum to spisanie listy: hosting, poczta, narzędzie analityczne, system mailingowy, ewentualny CRM. Przy każdym sprawdzasz, czy umowa powierzenia istnieje. To godzina pracy raz na jakiś czas.
Jeżeli korzystasz z narzędzi dostawców spoza Europejskiego Obszaru Gospodarczego, dane Twoich klientów mogą być przetwarzane poza Europą. Dotyczy to sporej części popularnych usług: poczty, analityki, systemów mailingowych.
Samo w sobie nie jest to zakazane, ale wymaga odpowiednich zabezpieczeń po stronie dostawcy i — z Twojej strony — poinformowania o tym w polityce prywatności. Użytkownik ma prawo wiedzieć, że jego wiadomość trafia na serwer poza Europą.
RODO nie podaje liczby. Podaje zasadę: nie dłużej, niż to potrzebne do celu, w którym dane zebrano.
W praktyce oznacza to konieczność podjęcia własnej decyzji i zapisania jej w polityce prywatności. Zapytanie, które nie zakończyło się współpracą, nie musi leżeć w skrzynce przez pięć lat. Dokumentacja zrealizowanego zlecenia — owszem, i tu terminy wyznaczają zwykle przepisy podatkowe, a nie RODO.
Najczęstszy realny stan: wszystko leży w skrzynce mailowej w nieskończoność, bo nikt nigdy nie ustalił, kiedy to usuwać. To nie katastrofa, ale to też nie zgodność.
Osoba, której dane przetwarzasz, ma prawo m.in. do dostępu do nich, sprostowania, usunięcia oraz sprzeciwu wobec przetwarzania. Na taki wniosek trzeba odpowiedzieć — co do zasady w ciągu miesiąca.
Ważne, że prawo do usunięcia nie jest bezwzględne. Jeżeli masz inny obowiązek przechowywania danych — na przykład dokumentów księgowych — usunięcie wszystkiego nie jest możliwe i trzeba to wyjaśnić.
Z praktycznego punktu widzenia najważniejsze jest, żeby taki mail w ogóle do kogoś dotarł i nie zginął w skrzynce ogólnej. Ustal, kto w firmie odpowiada za takie wiadomości, zanim pierwsza się pojawi.
W większości małych firm — nie. Obowiązek powołania inspektora dotyczy określonych sytuacji: podmiotów publicznych oraz przypadków, w których podstawowa działalność polega na przetwarzaniu danych na dużą skalę albo na regularnym monitorowaniu osób na dużą skalę.
Warsztat samochodowy z formularzem kontaktowym i listą mailingową na czterysta adresów w tej definicji się nie mieści. Jeżeli ktoś sprzedaje Ci obowiązkową usługę inspektora „bo RODO”, warto poprosić o wskazanie podstawy.
Scenariusz, o którym nikt nie chce myśleć, a który przy stronie internetowej sprowadza się najczęściej do włamania na serwer albo przejęcia skrzynki pocztowej.
Naruszenie ochrony danych zgłasza się organowi nadzorczemu bez zbędnej zwłoki, co do zasady w ciągu 72 godzin od stwierdzenia. Jeżeli ryzyko dla osób jest wysokie, trzeba powiadomić także je same.
Praktyczny wniosek jest techniczny, nie prawny: kopie zapasowe, aktualizacje i kontrola nad tym, kto ma dostęp do panelu strony, są elementem zgodności z RODO, a nie tylko higieny technicznej. Nieaktualizowana strona zbierająca dane z formularzy to ryzyko w dwóch wymiarach naraz.
Zamiast zastanawiać się za każdym razem od nowa, warto mieć to rozpisane raz. Poniżej najczęstsze przypadki na zwykłej stronie firmowej.
| Sytuacja | Typowa podstawa | Czy potrzebny checkbox |
|---|---|---|
| Formularz kontaktowy — pytanie o usługę | uzasadniony interes lub działania przed umową | nie |
| Formularz wyceny, który prowadzi do oferty | działania przed zawarciem umowy | nie |
| Zapis na newsletter | zgoda | tak, odrębny |
| Cookies niezbędne do działania strony | nie wymagają zgody | nie |
| Cookies analityczne i reklamowe | zgoda | tak, przed załadowaniem skryptu |
| Formularz rekrutacyjny z CV | przepisy prawa pracy, zgoda dla danych dodatkowych | zależnie od zakresu |
| Dokumentacja zrealizowanego zlecenia | obowiązek prawny, m.in. podatkowy | nie |
Tabela jest uproszczeniem i nie zastąpi analizy konkretnego przypadku, ale wystarczy, żeby zauważyć jedną rzecz: w większości wierszy kolumna z checkboxem jest pusta.
Zakładka „kariera” z formularzem na CV to osobny zbiór danych, często bardziej wrażliwy niż wszystko inne na stronie — i zwykle jedyny, przy którym firma zbiera dane bez żadnego przemyślenia.
Trzy rzeczy warto ustawić od razu. Po pierwsze, zakres: prosisz o dane potrzebne w rekrutacji, a nie o wszystko, co kandydat zechce podać. Po drugie, termin: CV z rekrutacji zamkniętej pół roku temu nie powinno leżeć w skrzynce w nieskończoność. Po trzecie, przyszłe rekrutacje — jeżeli chcesz zachować kontakt do kandydata na później, to jest osobny cel i wymaga osobnej zgody.
W praktyce najczęstszy stan wygląda tak: CV przychodzą na wspólną skrzynkę, dostęp ma pięć osób, nikt nigdy niczego nie usuwa. To akurat ta sytuacja, w której skarga jest najbardziej prawdopodobna, bo kandydaci po nieudanej rekrutacji bywają uważni na to, co dzieje się z ich dokumentami.
Górne progi brzmią groźnie i są prawdziwe: w zależności od rodzaju naruszenia mówimy o kwotach sięgających dziesiątek milionów euro albo procentu rocznego obrotu. To jednak liczby ustawione z myślą o podmiotach zupełnie innej skali.
Dla małej firmy realny scenariusz wygląda inaczej i zaczyna się prawie zawsze od tego samego: ktoś składa skargę. Były pracownik, niezadowolony kandydat, odbiorca newslettera, którego nie dało się wypisać. Organ nadzorczy najpierw pyta, prosi o wyjaśnienia i wskazuje, co poprawić.
Z tego wynika praktyczny wniosek, który jest znacznie mniej dramatyczny niż nagłówki: największym ryzykiem nie jest kara, tylko brak możliwości wykazania, że w ogóle się nad tym zastanawialiście. Firma, która ma spisaną politykę, listę powierzeń i ustalone terminy, jest w zupełnie innej sytuacji niż firma, która nie ma nic — nawet jeśli obie popełniły podobny błąd.
Pytanie wraca przy każdej współpracy z agencją i odpowiedź bywa zaskakująca dla obu stron.
Administratorem danych jest ten, kto decyduje o celach i sposobach przetwarzania — czyli Twoja firma. Wykonawca strony, agencja marketingowa czy osoba obsługująca skrzynkę kontaktową działają zwykle jako podmioty przetwarzające, na Twoje polecenie. Nie zdejmuje to z Ciebie odpowiedzialności; przeciwnie, to Ty odpowiadasz za wybór podmiotu, który daje wystarczające gwarancje.
Praktycznie oznacza to dwie rzeczy. Umowa z wykonawcą powinna obejmować powierzenie przetwarzania — a nie tylko zakres prac. I druga: jeżeli agencja ma dostęp do skrzynki z zapytaniami albo do bazy mailingowej, to jest dokładnie ta sytuacja, dla której powierzenie wymyślono.
Warto to uporządkować przy okazji innej listy — tej, którą opisaliśmy w tekście o tym, co odzyskać przy zmianie wykonawcy strony. Dostępy i powierzenia to w praktyce ten sam porządek widziany z dwóch stron.
Element, o którym prawie nikt nie myśli w kontekście danych osobowych, a wizerunek nim jest.
Zdjęcia zespołu, zdjęcia z realizacji, na których widać klientów, nagrania z wydarzeń — publikacja wizerunku wymaga podstawy. Przy pracownikach zwykle jest to zgoda, którą warto mieć na piśmie i która pozostaje aktualna tylko dopóki nie zostanie wycofana. Po odejściu pracownika zdjęcie zwykle powinno zniknąć ze strony.
Przy zdjęciach z realizacji u klienta pytanie brzmi, czy widać osoby i czy da się je rozpoznać. Wnętrze po remoncie bez ludzi to nie jest problem; to samo wnętrze z właścicielem w kadrze — już tak.
Dobrą praktyką jest zapisanie tych zgód w jednym miejscu razem z datą — inaczej po dwóch latach nikt nie pamięta, czy zdjęcie z konferencji było uzgodnione, czy po prostu ładnie wyszło.
Jeżeli masz zwykłą stronę firmową z formularzem kontaktowym i ewentualnie newsletterem, lista jest krótsza, niż sugeruje panika w internecie:
To wszystko da się przejść w jedno popołudnie, a potem odświeżać raz w roku.
Jeżeli po tej liście widzisz u siebie luki, najsensowniej połączyć ją z przeglądem technicznym — bo połowa pozycji dotyczy tego, jak strona jest zbudowana i utrzymywana, a nie tego, co jest w niej napisane. Punkty do sprawdzenia zebraliśmy w checkliście przed uruchomieniem strony — mimo nazwy sprawdza się równie dobrze na stronie, która działa od lat.
Jeżeli natomiast nie masz pewności, które z tych rzeczy są u Ciebie ustawione, a które nigdy nie zostały ruszone, napisz do nas — przejście przez tę listę na konkretnej stronie zajmuje jedno spotkanie i zwykle kończy się krótszą listą zadań, niż ktokolwiek się spodziewał.
