Czy mogę skopiować cudzą politykę prywatności?

Czytanie innych polityk to rozsądny sposób nauki. Celem jest zapożyczenie struktury i pomysłów, nigdy zdań. Praktyczna metoda:

1. Przeczytaj trzy lub cztery polityki firm podobnych do Twojej, w tym co najmniej jednej działającej na Twoim głównym rynku
2. Zanotuj tematy, które obejmują, i ich kolejność, a nie sformułowania
3. Zwróć uwagę, co sprawia, że polityka jest łatwa w lekturze, np. podsumowania, tabele i jasne instrukcje składania żądań
4. Zamknij te karty i zbuduj własną inwentaryzację danych na podstawie swojego produktu, formularzy i dostawców
5. Napisz każdą sekcję własnymi słowami na podstawie tej inwentaryzacji
6. Porównaj swój konspekt z listą wymaganych treści, aby wychwycić luki
7. Sprawdź, czy baner zgody, etykiety w sklepach z aplikacjami i polityka mówią to samo

Jeśli chcesz uzyskać tę samą strukturę mniejszym nakładem pracy, generator polityki prywatności pyta o każdy temat prostym językiem i składa treść z wersjonowanej biblioteki klauzul. Ponieważ tekst jest dobierany na podstawie Twoich odpowiedzi, a nie kopiowany od podmiotu trzeciego, opisuje Twój produkt, a nie cudzy.

Nawet gdyby prawo autorskie nie stanowiło problemu, skopiowana polityka opisuje działalność innej firmy. Zobacz, co zwykle idzie nie tak, gdy mały sklep internetowy kopiuje politykę dużej firmy programistycznej:

• Podaje niewłaściwy podmiot prawny, adres i kontakt ds. prywatności
• Wymienia dostawców, z których sklep nie korzysta, i pomija tych, z których korzysta, np. operatora płatności i platformę e-mailową
• Opisuje funkcje, których sklep nie ma, takie jak aplikacje mobilne, asystenci głosowi czy konta firmowe
• Obiecuje procedury obsługi żądań, terminy odpowiedzi i narzędzia sprzeciwu, których sklep nigdy nie stworzył
• Wskazuje podstawy prawne, przekazywanie danych i okresy przechowywania niezgodne z rzeczywistością
• Obejmuje regiony, których sklep nie obsługuje, i pomija te, które obsługuje

Każda taka niezgodność to nieprawdziwe stwierdzenie o tym, jak przetwarzane są dane osobowe. Czytelnicy nie mogą realizować swoich praw za pomocą danych kontaktowych należących do kogoś innego, a każdy, kto ocenia Twój produkt, od recenzenta aplikacji po klienta biznesowego, dostrzeże rozbieżność między polityką a tym, co faktycznie robi Twoja strona.

Zazwyczaj tak. Polityka prywatności to tekst pisany, a tekst pisany jest co do zasady chroniony prawem autorskim jako oryginalny utwór. Według amerykańskiego Copyright Office utwór jest chroniony w chwili stworzenia i utrwalenia w materialnej postaci, a rejestracja jest co do zasady dobrowolna. Brak informacji o prawach autorskich w stopce nie oznacza, że tekst można swobodnie przejąć.

Prawo autorskie ma jednak granice, które mają tu znaczenie. Copyright Office wyjaśnia, że prawo autorskie nie chroni faktów, idei, systemów ani metod działania, a także nazw, tytułów, sloganów czy krótkich zwrotów. Oznacza to, że tematy, które obejmuje polityka prywatności, takie jak kategorie danych, cele, prawa i okresy przechowywania, może poruszać każdy. Chroniona może być konkretna forma wyrazu danego autora: napisane przez niego zdania, wybory dotyczące struktury i wyjaśnienia.

Przepisy różnią się w zależności od kraju, a większość państw chroni utwory automatycznie, bez rejestracji. To ogólne wyjaśnienie, a nie porada prawna. Praktyczny wniosek jest prosty: korzystanie z idei jest w porządku, a hurtowe kopiowanie cudzych sformułowań to ryzyko, którego nie musisz podejmować.

Może, ponieważ polityka prywatności jest traktowana jako zbiór obietnic dotyczących faktów. W Stanach Zjednoczonych sekcja 5 ustawy o Federalnej Komisji Handlu zakazuje nieuczciwych lub wprowadzających w błąd działań lub praktyk w obrocie lub wpływających na obrót, a FTC wszczęła wiele postępowań przeciwko firmom, których oświadczenia o prywatności nie odpowiadały faktycznym praktykom. Większość stanów ma własne przepisy o ochronie konsumentów obejmujące podobne zachowania.

Kalifornia dodaje konkretną regułę. CalOPPA wymaga, by komercyjne strony i usługi online zbierające dane umożliwiające identyfikację mieszkańców Kalifornii publikowały politykę o określonej treści, a sekcja 22576 uznaje za naruszenie nieprzestrzeganie własnej opublikowanej polityki, czy to świadomie i umyślnie, czy z niedbalstwa i w istotnym zakresie. Skopiowana polityka obiecująca praktyki, których nie stosujesz, to właśnie taki rodzaj ryzyka.

Nie ma znaczenia, że słowa napisał ktoś inny. Gdy opublikujesz je jako swoją politykę, stają się Twoimi oświadczeniami o Twojej firmie i to Ty odpowiadasz za ich prawdziwość.

Jeśli obsługujesz osoby z Europejskiego Obszaru Gospodarczego lub Wielkiej Brytanii, RODO jeszcze bardziej konkretyzuje wymóg rzetelności. Art. 13 nakazuje podać w momencie zbierania danych swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych, jeśli został wyznaczony, cele i podstawę prawną przetwarzania, odbiorców, wszelkie przekazania poza region wraz z zabezpieczeniami, okresy przechowywania lub kryteria, przysługujące prawa oraz prawo do wniesienia skargi do organu nadzorczego.

Skopiowana polityka nie spełnia większości tych wymogów od pierwszego dnia. Wskazuje innego administratora, opisuje inne cele i wymienia podmioty przetwarzające innej firmy. Art. 5 ust. 1 lit. a wymaga też, by przetwarzanie było zgodne z prawem, rzetelne i przejrzyste, a art. 12 wymaga przekazania informacji w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie.

Naruszenia przepisów o przejrzystości i prawach osób z art. 12–22 podlegają wyższemu progowi kar w RODO. Nie trzeba jednak spodziewać się kary, by dostrzec problem: informacja opisująca cudze przetwarzanie po prostu nie informuje Twoich użytkowników, a przecież właśnie po to istnieje. Każdy wymagany element wymienia poradnik o polityce prywatności zgodnej z RODO.

Mogą, a skopiowany tekst zwiększa prawdopodobieństwo odrzucenia. Zasady Google Play dotyczące danych użytkowników wymagają polityki prywatności, która zawiera informacje o deweloperze i punkt kontaktowy ds. prywatności, ujawnia rodzaje danych osobowych i wrażliwych danych użytkowników, do których aplikacja uzyskuje dostęp, które zbiera, wykorzystuje i udostępnia, oraz wyjaśnia bezpieczne postępowanie z danymi i zasady przechowywania i usuwania danych przez dewelopera. Polityka z nazwą i danymi kontaktowymi innej firmy nie spełnia tego opisu.

Wytyczna Apple 5.1.1(i) podobnie wymaga, by polityka określała, jakie dane aplikacja zbiera, w jaki sposób i do czego je wykorzystuje, oraz wyjaśniała przechowywanie, usuwanie i sposób, w jaki użytkownicy mogą wycofać zgodę lub zażądać usunięcia danych. Recenzenci sklepów porównują też politykę z etykietami prywatności i odpowiedziami w sekcji Bezpieczeństwo danych, które przesłałeś; niespójności między nimi są częstym powodem dodatkowych pytań.

Inne platformy stosują podobną logikę. Weryfikacja Google OAuth, wpisy w Chrome Web Store i operatorzy płatności oczekują, że polityka opisuje Twój produkt. Kopiowanie oszczędza minuty, a może kosztować dni ponownych zgłoszeń.

Szablony to coś innego niż kopiowanie, bo są udostępniane do ponownego wykorzystania. Autor szablonu oczekuje, że go dostosujesz, a jego warunki mówią, co możesz z nim zrobić. Przed użyciem szablonu sprawdź trzy rzeczy:

• Licencję: niektóre szablony można swobodnie używać i edytować, niektóre wymagają podania autora, a niektóre zakazują użytku komercyjnego lub rozpowszechniania
• Datę: szablonowi napisanemu przed ostatnimi zmianami w prawie może brakować wymaganych elementów
• Dopasowanie: szablon stworzony dla bloga nie obejmie aplikacji z zakupami w aplikacji i reklamowymi SDK

Niektóre organizacje publikują własne polityki na otwartych licencjach, np. Creative Commons. Jeśli polityka ma taką licencję, możesz ją ponownie wykorzystać na podanych warunkach, które mogą obejmować podanie autora i udostępnienie dostosowanej wersji na tej samej licencji. Zgoda rozwiązuje kwestię praw autorskich, ale nie rzetelności: nadal musisz przepisać każdy fakt.

Lepszym podejściem jest szablon, który dostosowuje się do Twoich odpowiedzi, zamiast takiego, który edytujesz ręcznie. Strona szablon polityki prywatności wyjaśnia, jak struktura może zmieniać się w zależności od opisanej usługi.

Masz trzy realne drogi, a każda zaczyna się od tego samego: uczciwej inwentaryzacji tego, co zbierasz i dlaczego.

• Napisz ją sam: bezpłatnie i w pełni pod Twoją kontrolą, jeśli postępujesz metodycznie. Poradnik krok po kroku jak napisać politykę prywatności zawiera checklistę, z której możesz korzystać podczas pisania.
• Skorzystaj z generatora: szybciej i bardziej spójnie, pod warunkiem że pyta o Twoje rzeczywiste praktyki. Kwestionariusz i pełny podgląd w Legal Policy Generator są bezpłatne i nie wymagają konta, a prosty plik HTML i PDF do pobrania jest bezpłatny.
• Zatrudnij prawnika: właściwy wybór, gdy przetwarzasz dane wrażliwe, obsługujesz dzieci, sprzedajesz lub udostępniasz dane na potrzeby reklamy albo masz wymagających klientów korporacyjnych.

Niezależnie od wybranej drogi koszt jest zwykle niższy, niż się wydaje; artykuł ile kosztuje polityka prywatności porównuje opcje. Każda z nich jest bezpieczniejsza niż kopiowanie, bo daje dokument opisujący Twoją firmę, a nie cudzą.