Co się stanie, jeśli nie masz polityki prywatności

Jeśli zdajesz sobie sprawę, że zbierałeś dane bez polityki, działaj metodycznie, a nie w panice:

1. Zinwentaryzuj każdy formularz, funkcję konta, tag analityczny lub reklamowy, SDK i dostawcę, który ma styczność z danymi osobowymi
2. Przygotuj politykę, która rzetelnie opisuje te fakty, łącznie z sekcjami regionalnymi wymaganymi przez Twoich odbiorców
3. Sprawdź konfigurację zgód, aby pliki cookie i narzędzia śledzące wymagające zgody nie uruchamiały się, zanim użytkownicy się zgodzą
4. Opublikuj politykę pod stałym adresem URL i umieść link w stopce, formularzach, ustawieniach aplikacji i wpisach w sklepach
5. Zaktualizuj wpisy w App Store, Google Play i na innych platformach, dodając nowy link
6. Ustaw datę wejścia w życie i prowadź archiwum, aby przyszłe wersje były identyfikowalne
7. Zasięgnij porady prawnej, jeśli przetwarzasz dane wrażliwe lub dane dzieci, otrzymałeś skargę albo skontaktował się z Tobą organ nadzorczy

Poradnik jak napisać politykę prywatności szczegółowo omawia każdy krok. Jeśli chcesz zacząć szybciej, generator polityki prywatności przeprowadzi Cię przez tę samą inwentaryzację i pozwoli bezpłatnie, bez konta, zobaczyć podgląd całej polityki.

Nie ma jednego ogólnoświatowego przepisu, ale jeśli zbierasz dane osobowe online, niemal na pewno dotyczy Cię co najmniej jedna regulacja. Najważniejsze z nich:

• RODO i UK GDPR: mają zastosowanie do organizacji z siedzibą w UE lub Wielkiej Brytanii oraz do podmiotów spoza nich, które oferują towary lub usługi osobom w tych krajach albo monitorują ich zachowanie. Art. 13 i 14 wymagają przekazania konkretnych informacji przy zbieraniu danych.
• CalOPPA: wymaga, by każdy operator komercyjnej strony lub usługi online zbierający dane umożliwiające identyfikację mieszkańców Kalifornii opublikował w widocznym miejscu politykę prywatności, bez progu przychodów.
• CCPA: wymaga szczegółowej polityki prywatności od firm nastawionych na zysk, które przekraczają jeden z jej progów, np. roczny przychód brutto powyżej 26 625 000 USD po waloryzacji obowiązującej od 1 stycznia 2025 r.
• Inne stany USA i COPPA: wiele stanów ma kompleksowe ustawy o prywatności, a COPPA wymaga informacji online w usługach skierowanych do dzieci poniżej 13 lat.
• Kanada, Brazylia, Australia, Nowa Zelandia: PIPEDA, LGPD oraz australijska i nowozelandzka ustawa Privacy Act wymagają jawności w zakresie postępowania z danymi osobowymi.

Poradnik czy potrzebuję polityki prywatności omawia każdą sytuację bardziej szczegółowo.

Tak, i często jest to pierwsza konsekwencja, z którą stykają się deweloperzy. Wytyczna Apple App Review 5.1.1(i) stanowi, że wszystkie aplikacje muszą zawierać link do polityki prywatności w polu metadanych App Store Connect oraz w łatwo dostępnym miejscu w samej aplikacji. Zasady Google Play dotyczące danych użytkowników mówią, że wszystkie aplikacje muszą zamieścić link do polityki prywatności w Play Console i w aplikacji, a aplikacje, które nie uzyskują dostępu do żadnych danych osobowych i wrażliwych danych użytkowników, i tak muszą ją przesłać.

Bez polityki nowe zgłoszenie najpewniej zostanie odrzucone, a istniejąca aplikacja może spotkać się z działaniami przy kolejnej weryfikacji. Środki egzekwowania Google Play mogą obejmować odrzucenie, usunięcie i zawieszenie, a poważne lub powtarzające się naruszenia mogą zagrozić kontu dewelopera. Polityka musi też być spójna z etykietami prywatności i formularzem Bezpieczeństwo danych, które przesyłasz.

Jeśli publikujesz aplikację mobilną, poradniki polityka prywatności w Google Play i polityka prywatności w Apple App Store wymieniają dokładne wymagania każdego sklepu.

Wiele narzędzi, z których korzystasz, czyni politykę prywatności warunkiem umownym korzystania z nich. Warunki Google Analytics wymagają na przykład opublikowania polityki prywatności ujawniającej korzystanie z plików cookie, identyfikatorów urządzeń mobilnych lub podobnych technologii oraz ujawnienia korzystania z Google Analytics i sposobu, w jaki zbiera i przetwarza ono dane. Programy reklamowe często wymagają podobnych informacji o plikach cookie i personalizacji reklam, a platformy e-mailowe oczekują, że nadawcy wyjaśnią, jak wykorzystują dane subskrybentów.

Gdy naruszysz warunki dostawcy, zwykle może on na ich podstawie ograniczyć, zawiesić lub zamknąć Twój dostęp. Dla firmy zależnej od przychodów z reklam lub listy marketingowej utrata konta może być bardziej dotkliwa niż pismo od organu nadzorczego, bo następuje bez wysłuchania i jej odwrócenie może potrwać.

Rozwiązanie jest proste: ujawnij w polityce każde narzędzie, z którego korzystasz, w sposób wymagany przez jego warunki. Poradniki o wymaganiach dla polityki prywatności przy Google Analytics i polityki prywatności przy AdSense pokazują tematy, których oczekuje każdy dostawca.

Nie każda konsekwencja pochodzi od organu nadzorczego. Klienci biznesowi rutynowo proszą o politykę prywatności w procesie zakupowym i podczas ocen bezpieczeństwa dostawców. Brak polityki albo taka, która wyraźnie nie opisuje Twojego produktu, rodzi pytania spowalniające lub blokujące transakcje, zwłaszcza z większymi klientami, którzy mają własne obowiązki w zakresie prywatności.

Inne praktyczne skutki łatwo zbagatelizować:

• Programy partnerskie i integracyjne, takie jak logowanie przez Google czy sklepy z rozszerzeniami przeglądarki, często wymagają adresu URL polityki przed zatwierdzeniem
• Operatorzy płatności, dostawcy e-maili i platformy marketingowe oczekują, że sprzedawcy wyjaśnią, jak postępują z danymi klientów
• Inwestorzy i nabywcy sprawdzają dokumentację prywatności w ramach due diligence
• Użytkownicy coraz częściej szukają linku do polityki prywatności, zanim podadzą adres e-mail lub numer karty

Żaden z tych skutków nie wiąże się z karą, ale każdy może kosztować więcej w utraconych przychodach i opóźnieniach niż czas potrzebny na opublikowanie rzetelnej polityki. Jasna, uczciwa polityka to także dyskretny sygnał zaufania na każdej podstronie Twojej witryny.

RODO traktuje przejrzystość jako podstawowy obowiązek. Zgodnie z art. 83 ust. 5 naruszenia przepisów o prawach osób, których dane dotyczą, zawartych w art. 12–22, obejmujących informacje, które musisz przekazać, mogą skutkować administracyjnymi karami pieniężnymi w wysokości do 20 mln euro lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. UK GDPR ustala odpowiednią górną granicę na 17,5 mln funtów lub 4%.

To są pułapy, a nie punkty wyjścia. Art. 83 ust. 2 nakazuje organom uwzględnić charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, umyślność lub nieumyślność, działania podjęte w celu ograniczenia szkody oraz współpracę organizacji. Kary muszą być skuteczne, proporcjonalne i odstraszające.

Kary nie są też jedynym narzędziem. Na podstawie art. 58 organy nadzorcze mogą wydawać ostrzeżenia i upomnienia, nakazać dostosowanie przetwarzania do RODO, nakazać przekazanie informacji osobom, których dane dotyczą, oraz wprowadzić czasowe lub całkowite ograniczenie przetwarzania, w tym zakaz. Dla małej firmy nakaz zaprzestania praktyki marketingowej może mieć większe znaczenie niż teoretyczna maksymalna kara.

W Kalifornii działają dwa nakładające się reżimy. CCPA ma zastosowanie do firm nastawionych na zysk, które prowadzą działalność w Kalifornii i przekraczają określony próg, np. roczny przychód brutto powyżej 26 625 000 USD, kupowanie, sprzedawanie lub udostępnianie danych osobowych co najmniej 100 000 konsumentów lub gospodarstw domowych albo uzyskiwanie co najmniej połowy rocznych przychodów ze sprzedaży lub udostępniania danych osobowych. Po waloryzacji ze stycznia 2025 r. ogłoszonej przez California Privacy Protection Agency kary administracyjne i cywilne mogą sięgać 2663 USD za naruszenie lub 7988 USD za naruszenie umyślne albo naruszenie dotyczące danych osobowych konsumentów, o których firma wie, że mają mniej niż 16 lat. Agencja egzekwuje przepisy w trybie administracyjnym, a prokurator generalny może wnosić powództwa cywilne.

CalOPPA nie ma progu wielkości. Operator narusza ją, jeśli nie opublikuje zgodnej polityki w ciągu 30 dni od powiadomienia o niezgodności. CalOPPA nie zawiera własnych kwot kar, ale naruszenia mogą być ścigane na podstawie kalifornijskiej ustawy o nieuczciwej konkurencji (Unfair Competition Law), gdzie kary cywilne mogą sięgać 2500 USD za naruszenie na podstawie sekcji 17206 Business and Professions Code.

Kwoty za pojedyncze naruszenie szybko się sumują, gdy liczy się je za każdego użytkownika lub każde pobranie. Poradnik o CCPA i CPRA wyjaśnia, co muszą zawierać informacje dla Kalifornii.

Stany Zjednoczone nie mają ogólnej ustawy federalnej, która wymagałaby od każdej firmy publikowania polityki prywatności. Jednak ustawa o Federalnej Komisji Handlu zakazuje nieuczciwych lub wprowadzających w błąd działań lub praktyk w obrocie, a FTC od wielu lat wykorzystuje te uprawnienia wobec firm, których oświadczenia o prywatności wprowadzały w błąd lub których praktyki łamały złożone obietnice. Ugody często nakładają długoterminowe obowiązki, takie jak programy ochrony prywatności, niezależne oceny i raportowanie, a naruszenie nakazu FTC może skutkować karami cywilnymi.

Usługi dla dzieci podlegają surowszej regule. COPPA Rule wymaga, by operatorzy stron i usług online skierowanych do dzieci poniżej 13 lat lub mający rzeczywistą wiedzę, że zbierają dane osobowe takich dzieci, opublikowali informację o prywatności online i uzyskali weryfikowalną zgodę rodziców. Według wytycznych FTC dotyczących COPPA sąd może nałożyć na naruszających kary cywilne w wysokości do 53 088 USD za naruszenie, a kwota ta jest waloryzowana o inflację.

Wniosek jest taki, że ryzyko niesie zarówno milczenie, jak i nierzetelność. Brak polityki nie chroni przed zainteresowaniem FTC, jeśli Twoje praktyki są nieuczciwe, a polityka mówiąca nieprawdę sama w sobie tworzy problem wprowadzania w błąd.

Jeśli Twoi użytkownicy są w tych krajach, tamtejsze przepisy również oczekują jawności w zakresie postępowania z danymi:

• Kanada: zasada jawności z PIPEDA wymaga, by organizacje udostępniały informacje o swoich zasadach i praktykach. Biuro Komisarza ds. Prywatności rozpatruje skargi, a quebecka ustawa Law 25 dodaje własne obowiązki publikacyjne.
• Brazylia: LGPD daje ludziom prawo do jasnych informacji o przetwarzaniu. Sankcje obejmują ostrzeżenia i kary do 2% przychodów firmy w Brazylii, nie więcej niż 50 mln R$ za jedno naruszenie.
• Australia: podmioty objęte Privacy Act, co do zasady firmy z rocznym obrotem powyżej 3 mln A$ oraz niektóre mniejsze, muszą mieć jasno sformułowaną i aktualną politykę prywatności zgodnie z APP 1. OAIC może prowadzić postępowania i dochodzić kar cywilnych za poważne naruszenia prywatności.
• Nowa Zelandia: Privacy Act 2020 wymaga informowania ludzi o zbieraniu danych, a Komisarz ds. Prywatności może rozpatrywać skargi i wydawać nakazy zapewnienia zgodności.

Szczegóły się różnią, więc sprawdź centrum wiedzy o przepisach o prywatności dla każdego kraju, w którym działasz.