Jak napisać politykę prywatności krok po kroku

Każda rzetelna polityka prywatności zaczyna się od inwentaryzacji danych, a nie od szablonu. Otwórz arkusz kalkulacyjny i przejdź przez swój produkt tak, jak robi to użytkownik, zapisując każde miejsce, w którym pojawiają się dane osobowe:

• Formularze: kontaktowy, rejestracji, zamówienia, pomocy technicznej i rekrutacyjny
• Konta: adres e-mail, imię i nazwisko, skrót hasła, zdjęcie profilowe i ustawienia
• Zbieranie automatyczne: logi serwera z adresami IP, pliki cookie, SDK i raporty o awariach
• Dane od podmiotów trzecich: logowanie przez Google lub Apple, potwierdzenia płatności i grupy odbiorców reklam
• Treści tworzone przez użytkowników: wiadomości, przesłane pliki, opinie i prompty wysyłane do funkcji AI

Dla każdego wiersza zapisz kategorię danych, źródło i narzędzie, które ich dotyka. Nie zapomnij o niewidocznym zbieraniu: osadzone filmy, czcionki ładowane z zewnętrznego serwera i widżety czatu mogą przesyłać adresy IP. Jeśli nie wiesz, co robi dany skrypt, przeczytaj dokumentację dostawcy albo obserwuj kartę sieci w narzędziach deweloperskich przeglądarki. Ta inwentaryzacja stanie się fundamentem wszystkich kolejnych kroków, więc warto poświęcić jej dodatkową godzinę.

Następnie zapisz, dlaczego używasz każdej kategorii danych. Typowe cele to świadczenie usługi, zarządzanie kontami, obsługa płatności, odpowiadanie na zgłoszenia, wysyłka newslettera, mierzenie korzystania z serwisu, zapobieganie oszustwom i reklama. Formułuj cele konkretnie: samo „w celu ulepszania naszych usług” niewiele mówi czytelnikowi, a „aby sprawdzić, które strony czytają odwiedzający, i poprawić niejasne treści” jest uczciwe i konkretne.

Jeśli z Twojego produktu korzysta ktokolwiek z Europejskiego Obszaru Gospodarczego lub Wielkiej Brytanii, art. 13 RODO wymaga też wskazania podstawy prawnej każdego celu, takiej jak umowa, zgoda, obowiązek prawny lub prawnie uzasadnione interesy, oraz nazwania prawnie uzasadnionych interesów, na które się powołujesz. Krótkie zestawienie w notatkach zapewni spójność polityki:

• Newsletter: zgoda
• Realizacja zamówień i potwierdzenia: umowa
• Zapobieganie oszustwom i bezpieczeństwo: prawnie uzasadnione interesy
• Dokumentacja podatkowa i księgowa: obowiązek prawny

Wymieniaj tylko cele, które faktycznie realizujesz dziś. Cel, który może kiedyś dodasz, należy do przyszłej aktualizacji, a nie do dzisiejszej informacji.

Czytelnicy i organy nadzorcze chcą wiedzieć, kto jeszcze otrzymuje dane. Przejdź przez inwentaryzację i wypisz każdego usługodawcę: hosting, sieć dostarczania treści, wysyłkę e-maili, analitykę, płatności, obsługę klienta, śledzenie błędów, reklamę i dostawców modeli AI. Przy każdym zanotuj, czy działa wyłącznie na Twoje polecenie, jak podmiot przetwarzający lub usługodawca, czy też wykorzystuje dane także do własnych celów, jak wiele sieci reklamowych.

Polityka powinna opisywać kategorie odbiorców, a tam, gdzie pomaga to czytelnikowi, wymieniać samych dostawców z nazwy. Niektóre umowy z dostawcami wymagają konkretnych sformułowań. Warunki Google Analytics wymagają na przykład opublikowania polityki prywatności, która ujawnia korzystanie z Google Analytics oraz sposób, w jaki zbiera i przetwarza ono dane, a poradnik o informacjach dotyczących analityki wyjaśnia, co zwykle obejmuje taka sekcja.

Zapisz też, gdzie każdy dostawca przetwarza dane. Jeśli informacje opuszczają Europejski Obszar Gospodarczy lub Wielką Brytanię, RODO oczekuje wzmianki o przekazaniu i zastosowanym zabezpieczeniu, takim jak decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne.

Na dwóch pytaniach potyka się wiele pierwszych wersji: jak długo przechowujesz dane i jak je chronisz. W przypadku przechowywania RODO akceptuje albo stały okres, albo kryteria, według których go ustalasz. Praktyczne przykłady wyglądają tak:

• Dane konta: przechowywane, dopóki konto jest aktywne, i usuwane w określonym czasie po jego zamknięciu
• Dokumentacja rozliczeniowa: przechowywana przez okres wymagany przepisami podatkowymi i rachunkowymi
• Korespondencja z pomocą techniczną: przechowywana przez określony czas po zamknięciu zgłoszenia
• Dane analityczne: przechowywane przez okres retencji ustawiony w narzędziu analitycznym

W kwestii bezpieczeństwa opisz ogólnie rzeczywiste środki, takie jak szyfrowanie transmisji, ograniczony dostęp pracowników i szybkie aktualizacje oprogramowania. Unikaj bezwzględnych obietnic w rodzaju „Twoje dane są całkowicie bezpieczne”. Żaden system nie jest odporny na naruszenia, a przesadzone zapewnienie o bezpieczeństwie to dokładnie ten rodzaj stwierdzenia, który staje się praktyką wprowadzającą w błąd, gdy coś pójdzie nie tak. Pisz o tym, co robisz, a nie o tym, co chciałbyś robić.

O większości treści regionalnych decydują Twoi odbiorcy, a nie tylko siedziba firmy. Zadaj sobie trzy pytania: gdzie są Twoi użytkownicy, co zbierasz i jak duża jest Twoja firma?

• Użytkownicy z UE lub Wielkiej Brytanii: wymogi przejrzystości z RODO i UK GDPR, w tym podstawy prawne, przekazywanie danych i prawo do wniesienia skargi do organu nadzorczego. Wymienia je poradnik o polityce prywatności zgodnej z RODO.
• Odwiedzający z Kalifornii: CalOPPA wymaga, by każda komercyjna strona lub usługa online zbierająca dane umożliwiające identyfikację mieszkańców Kalifornii w widocznym miejscu publikowała politykę, bez żadnego progu wielkości. CCPA dodaje szczegółowe informacje dla firm przekraczających jej progi; omawia je poradnik o CCPA i CPRA.
• Inne stany USA: kompleksowe ustawy o prywatności obowiązują już w wielu stanach, każda z własnymi progami i prawami do sprzeciwu (opt-out).
• Dzieci: usługa skierowana do dzieci poniżej 13 lat w Stanach Zjednoczonych uruchamia wymogi COPPA dotyczące informacji i zgody rodziców.
• Kanada, Brazylia, Australia, Nowa Zelandia: każde z tych państw ma własne obowiązki w zakresie jawności lub przejrzystości.

Uwzględnij tylko moduły, które Cię dotyczą. Dodawanie każdej ustawy „na wszelki wypadek” rodzi sprzeczności, na przykład obietnice procedur obsługi żądań, których w rzeczywistości nie prowadzisz.

Polityka prywatności to także instrukcja obsługi dla osób, które chcą skorzystać ze swoich praw. Dla każdego obsługiwanego regionu wymień przysługujące prawa i wyjaśnij dokładnie, jak z nich skorzystać: przez adres e-mail, który ktoś regularnie sprawdza, formularz internetowy lub ustawienie w aplikacji.

W przypadku RODO obejmuje to prawo dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu, wycofania zgody i wniesienia skargi do organu nadzorczego. Mieszkańcy Kalifornii mający do czynienia z firmą objętą CCPA mają prawo do informacji, usunięcia i sprostowania danych, do sprzeciwu wobec sprzedaży lub udostępniania danych osobowych oraz do ograniczenia wykorzystania wrażliwych danych osobowych, a przepisy wykonawcze do CCPA wymagają ogólnego opisu sposobu weryfikacji żądań.

Przetestuj tę ścieżkę przed publikacją. Wyślij żądanie na własny adres ds. prywatności, sprawdź, czy dotarło, i zdecyduj, kto na nie odpowiada i w jakim czasie. Sekcja o prawach wskazująca na nieobsługiwaną skrzynkę jest gorsza niż bezużyteczna, bo pokazuje czytelnikom, że polityka nie jest utrzymywana, a prawdziwe żądania zostają bez odpowiedzi.

Art. 12 RODO wymaga przekazywania informacji w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. To dobra rada dla każdej grupy odbiorców, a kilka nawyków sprawia, że nawet długa polityka jest czytelna:

• Zacznij od krótkiego podsumowania najważniejszych punktów
• Używaj opisowych nagłówków, które łatwo przejrzeć, np. „Komu udostępniamy dane”
• Wybieraj „my” i „Ty” zamiast „Spółka” i „Podmiot danych”
• Wszędzie, gdzie się da, zastępuj mgliste słowa w rodzaju „możemy” i „niektóre” konkretami
• Stosuj listy dla kategorii danych i tabelę dla okresów przechowywania
• Dodaj spis treści z odnośnikami, gdy polityka jest długa

Przeczytaj szkic na głos. Jeśli zdanie trzeba przeczytać dwa razy, aby je zrozumieć, napisz je od nowa. Prosty język nie oznacza swobodnego tonu; chodzi o to, by czytelnik wiedział, co naprawdę dzieje się z jego danymi. Prawdziwe wzorce sformułowań znajdziesz w poradniku z przykładami polityk prywatności, który omawia opatrzone komentarzami fragmenty sekcja po sekcji.

Opublikuj politykę pod stałym, publicznym adresem URL i umieść link wszędzie tam, gdzie ludzie podejmują decyzje dotyczące swoich danych. Typowe miejsca to:

• Stopka każdej podstrony Twojej witryny
• Formularze rejestracji, zamówienia i zapisu na newsletter
• Ekran ustawień lub informacji w aplikacji
• Wpisy w App Store Connect i Google Play Console

Sklepy z aplikacjami mają własne zasady. Wytyczna Apple 5.1.1(i) wymaga linku do polityki prywatności w polu metadanych App Store Connect oraz w łatwo dostępnym miejscu w samej aplikacji. Google Play wymaga linku w Play Console i w aplikacji, pod aktywnym, publicznie dostępnym adresem URL bez blokad geograficznych, i nie akceptuje plików PDF. CalOPPA wymaga, by polityka była opublikowana w widocznym miejscu, a przepisy wykonawcze do CCPA oczekują wyraźnego linku zawierającego słowo „privacy” na stronie głównej lub stronie pobierania aplikacji. Układy sprawdzające się na prawdziwych stronach opisuje artykuł gdzie umieścić link do polityki prywatności.

Polityka prywatności to żywy dokument. Na górze podaj datę wejścia w życie, czego wymaga CalOPPA, i zachowuj kopię każdej opublikowanej wersji, aby móc pokazać, co użytkownicy widzieli w danym momencie. Przeglądaj politykę zawsze, gdy:

• Dodajesz lub usuwasz narzędzie, SDK albo dostawcę
• Zaczynasz zbierać nową kategorię danych lub wykorzystywać dane w nowym celu
• Wchodzisz na rynek nowego kraju lub stanu USA
• Dodajesz funkcje AI, reklamy lub płatności
• Zmieniasz sposób, w jaki użytkownicy realizują swoje prawa

Firmy objęte CCPA muszą aktualizować wymagane informacje dla Kalifornii co najmniej raz na 12 miesięcy na podstawie sekcji 1798.130(a)(5) kalifornijskiego Civil Code, więc wpisz coroczny przegląd do kalendarza, nawet jeśli pozornie nic się nie zmieniło. O istotnych zmianach informuj użytkowników bezpośrednio, zamiast po cichu edytować stronę. Pełny proces, łącznie z treścią powiadomień, opisuje artykuł jak często aktualizować politykę prywatności.

Zanim polityka trafi do sieci, przejdź przez tę listę kontrolną:

1. Nazwa prawna administratora, kontaktowy adres e-mail i, tam gdzie jest wymagany, adres pocztowy są poprawne
2. Każda kategoria danych z inwentaryzacji pojawia się w polityce i nie ma w niej nic ponadto
3. Każdy cel jest konkretny i ma podstawę prawną, jeśli obsługujesz użytkowników z UE lub Wielkiej Brytanii
4. Wymieniono każdą kategorię odbiorców, w tym narzędzia analityczne i reklamowe
5. Tam, gdzie to istotne, opisano przekazywanie danych za granicę i jego zabezpieczenia
6. Podano okresy przechowywania lub kryteria ich ustalania
7. Dla każdego obsługiwanego regionu wyjaśniono prawa, sposoby składania żądań i weryfikację
8. Wybory dotyczące cookies i śledzenia odpowiadają temu, co faktycznie robi baner zgody
9. Jeśli dotyczy, omówiono dane dzieci, dane wrażliwe i funkcje AI
10. Ustawiono datę wejścia w życie, a poprzednie wersje są zarchiwizowane
11. Link widnieje w stopce, formularzach, ustawieniach aplikacji i wpisach w sklepach

Jeśli wolisz nie składać tego wszystkiego ręcznie, Legal Policy Generator zadaje te pytania prostym językiem i dobiera wersjonowane klauzule na podstawie Twoich odpowiedzi. Kwestionariusz i pełny podgląd są bezpłatne i nie wymagają konta, więc możesz porównać wynik z własną checklistą.