Jak stworzyć politykę prywatności dla strony internetowej

Polityka prywatności jest tylko tak dobra jak spis, na którym się opiera. Zanim napiszesz choćby słowo, przejdź przez stronę jako odwiedzający i jako administrator, notując każde miejsce, w którym dane trafiają na stronę lub ją opuszczają:

• Formularze: formularze kontaktowe, wyceny, rezerwacji, newslettera i rekrutacyjne, w tym ukryte pola i przesyłanie plików.
• Konta: rejestracja, logowanie, resetowanie hasła i strony profilu.
• Analityka: Google Analytics, wbudowana analityka kreatora stron, mapy cieplne i nagrywanie sesji.
• Pliki cookie i pamięć lokalna: do czego służy każdy z nich i kto go ustawia.
• Osadzenia: odtwarzacze YouTube lub Vimeo, mapy, kanały społecznościowe, widżety rezerwacji i okienka czatu.
• Hosting i bezpieczeństwo: logi serwera, sieci dostarczania treści, zapory sieciowe i narzędzia CAPTCHA.
• E-mail i marketing: platformy newsletterowe, systemy CRM i piksele reklamowe.
• Płatności: strony kasy, operatorzy płatności i narzędzia do fakturowania.

Pomaga szybka kontrola techniczna. Otwórz narzędzia deweloperskie przeglądarki, załaduj kilka podstron w oknie prywatnym i obejrzyj pliki cookie, pamięć i żądania sieciowe. Każda widoczna tam domena zewnętrzna to dostawca, o którym twoja polityka może musieć wspomnieć.

Niemal każda strona internetowa zbiera dane osobowe, nawet jeśli jej właściciel nigdy o nie nie prosi. Hosting zapisuje adresy IP w logach serwera, skrypty analityczne nadają identyfikatory, a jeden formularz kontaktowy zbiera imiona, nazwiska i adresy e-mail. Kilka aktów prawnych zamienia to w obowiązek opublikowania informacji o prywatności:

• RODO i UK GDPR: art. 13 i 14 wymieniają informacje, które musisz przekazać ludziom przy zbieraniu ich danych, a art. 12 wymaga, aby były one zwięzłe, przejrzyste i łatwo dostępne.
• CalOPPA: komercyjne strony internetowe, które zbierają dane umożliwiające identyfikację osób od mieszkańców Kalifornii, muszą w widocznym miejscu zamieścić politykę prywatności.
• Inne systemy prawne: Kanada, Australia, Brazylia i Nowa Zelandia oczekują od organizacji otwartości co do sposobu przetwarzania danych osobowych.

Własne wymagania dokładają też regulaminy platform. Zarówno Google Analytics, jak i Google AdSense wymagają odpowiedniej polityki prywatności, zanim zaczniesz z nich korzystać. Jeśli chcesz zobaczyć pełny obraz tego, kto musi ją opublikować, przeczytaj czy potrzebuję polityki prywatności? oraz nasz poradnik co się dzieje, jeśli nie masz polityki prywatności.

Zamień spis w prostą tabelę z pięcioma kolumnami: jakie dane, dlaczego je zbierasz, kto je otrzymuje, jak długo je przechowujesz oraz, jeśli obowiązuje RODO, na jakiej podstawie prawnej się opierasz. Ta tabela stanie się szkieletem polityki.

Miniprzykład dla strony małego studia:

• Formularz kontaktowy: imię, e-mail, wiadomość. Cel: odpowiedź na zapytanie. Dostawca: twój dostawca poczty. Przechowywanie: 12 miesięcy od zakończenia korespondencji.
• Analityka: wyświetlone strony, typ urządzenia, przybliżona lokalizacja na podstawie adresu IP. Cel: zrozumienie, które podstrony działają. Dostawca: twój dostawca analityki. Przechowywanie: okres ustawiony w konfiguracji analityki.
• Newsletter: adres e-mail i data zapisu. Cel: wysyłanie informacji, o które dana osoba poprosiła. Dostawca: twoja platforma e-mail marketingu. Przechowywanie: do momentu wypisania się.

Pisz konkretnie o ustawieniach, które zmieniają odpowiedź, takich jak okres przechowywania danych w analityce, funkcje reklamowe czy przełączniki udostępniania danych. Nasz poradnik o informacjach o analityce w polityce prywatności pokazuje, które ustawienia analityki zmieniają to, co musisz napisać.

Większość polityk prywatności stron internetowych ma ten sam szkielet, bo przepisy zadają te same podstawowe pytania. Używaj prostych nagłówków, które odwiedzający łatwo przejrzy:

1. Kim jesteś i jak się z tobą skontaktować, w tym adres e-mail do spraw prywatności.
2. Jakie dane osobowe zbierasz, pogrupowane według źródła: formularze, konta, automatyczne zbieranie i podmioty trzecie.
3. W jakim celu ich używasz oraz podstawa prawna tam, gdzie obowiązuje RODO lub UK GDPR.
4. Pliki cookie i podobne technologie wraz ze sposobem zmiany preferencji.
5. Kto otrzymuje dane: dostawcy hostingu, poczty, analityki, płatności i reklam.
6. Przekazywanie danych za granicę i zabezpieczenia, na których się opierasz.
7. Jak długo przechowujesz każdą kategorię danych.
8. Prawa osób i sposób ich wykonywania.
9. Dane dzieci, bezpieczeństwo i sposób informowania o zmianach.

Pisz w stronie czynnej i mów, co faktycznie robisz. „Używamy Google Analytics do liczenia wyświetleń stron” jest jaśniejsze niż „możemy używać różnych technologii”. Lista kontrolna w artykule co powinna zawierać polityka prywatności? dokładniej omawia każdą sekcję.

Sekcje regionalne to miejsce, w którym wiele małych stron popełnia błędy: albo ignoruje obowiązujące przepisy, albo kopiuje sekcje dotyczące przepisów, które ich nie obejmują.

• Odwiedzający z UE i Wielkiej Brytanii: jeśli oferujesz towary lub usługi osobom w UE lub Wielkiej Brytanii albo monitorujesz ich zachowanie, licz się z tym, że obowiązuje cię RODO lub UK GDPR. Potrzebujesz podstaw prawnych, opisu praw, przekazywania danych i prawa do skargi do organu nadzorczego. Zobacz poradnik o polityce prywatności zgodnej z RODO.
• Kalifornia: CalOPPA dotyczy komercyjnych stron zbierających dane umożliwiające identyfikację od mieszkańców Kalifornii i wymaga między innymi oświadczenia, jak reagujesz na sygnały Do Not Track. CCPA obejmuje wyłącznie przedsiębiorstwa, które spełniają jej progi, takie jak waloryzowany próg przychodów lub przetwarzanie danych osobowych co najmniej 100 000 konsumentów lub gospodarstw domowych z Kalifornii. Zobacz poradnik o CCPA i CPRA.
• Inne stany USA, Kanada, Brazylia, Australia i Nowa Zelandia: każdy z tych systemów ma własne przesłanki zastosowania i terminologię.

Powołuj się wyłącznie na prawa i obowiązki, które cię dotyczą. Polityka obiecująca prawa, których nigdy nie respektujesz, sama w sobie tworzy ryzyko.

Masz trzy realne możliwości, a każda wiąże się z kompromisem.

• Napisz ją samodzielnie: za darmo i w pełni dopasowane, ale powoli i łatwo pominąć wymagane oświadczenia, takie jak zabezpieczenia przy przekazywaniu danych czy sformułowania o Do Not Track.
• Skopiuj politykę innej strony: szybko, ale ryzykownie. Jej praktyki, dostawcy i obowiązki prawne nie są twoje, a tekst zwykle chroni prawo autorskie. Wyjaśniamy to w artykule czy mogę skopiować politykę prywatności?
• Użyj szablonu lub generatora: szybciej, pod warunkiem że narzędzie pyta o twoje rzeczywiste praktyki, zamiast wypełniać luki ogólnikowymi obietnicami.

Generator polityki prywatności strony internetowej od Legal Policy Generator idzie trzecią drogą. Odpowiadasz na proste pytania o formularze, analitykę, śledzenie, dostawców i regiony. Narzędzie wybiera następnie wersjonowane klauzule pasujące do twoich odpowiedzi, a żadna AI nie pisze klauzul w trakcie działania. Kwestionariusz, pełny podgląd oraz prosty plik HTML i PDF do pobrania są bezpłatne i nie wymagają konta. Zaawansowane moduły regionalne lub opcjonalne kosztują 5 USD. Niezależnie od wybranej drogi wynik nie jest poradą prawną, więc porównaj go ze swoją rzeczywistą konfiguracją.

Nadaj polityce osobną podstronę z krótkim, stałym adresem, takim jak /privacy lub /privacy-policy. Stały URL ma znaczenie, bo wkleisz go w sklepach z aplikacjami, platformach reklamowych, narzędziach e-mailowych i ustawieniach kasy, a niedziałający link w tych miejscach może zatrzymać weryfikację.

Ogólne kroki są takie same na niemal każdej platformie:

1. Utwórz nową podstronę o tytule Polityka prywatności.
2. Wklej tekst polityki lub kod HTML do treści strony albo podlinkuj hostowaną kopię.
3. Dodaj na górze datę wejścia w życie, aby czytelnicy wiedzieli, którą wersję czytają.
4. Opublikuj stronę i otwórz ją w oknie prywatnym, aby potwierdzić, że ładuje się bez logowania.
5. Sprawdź, czy nagłówki, listy i linki przetrwały wklejenie.

W Legal Policy Generator prosty plik HTML można wkleić na podstronę w kreatorze stron. Jeśli wolisz linkować do publicznej strony internetowej, opcjonalny hosting kosztuje jednorazowo 0,99 USD, a subskrypcja za 5 USD miesięcznie obejmuje hosting, dopóki jest aktywna. Wskazówki dla konkretnych platform znajdziesz w artykule jak dodać politykę prywatności do Wix, Squarespace, Webflow lub Shopify.

Polityka, której nikt nie może znaleźć, niewiele daje. Jako minimum umieść link z etykietą Polityka prywatności w stopce każdej podstrony, aby był widoczny na stronie głównej i wszędzie tam, gdzie trafia odwiedzający.

Następnie dodaj linki kontekstowe w każdym miejscu zbierania danych:

• Obok przycisku wysyłania w formularzach kontaktowych, wyceny i newslettera.
• Na stronach rejestracji konta i kasy.
• W banerze cookies lub centrum preferencji, jeśli z nich korzystasz.
• W opisach w sklepach z aplikacjami, ustawieniach platform reklamowych i ekranach zgody OAuth, które proszą o URL polityki prywatności.

Używaj prostego tekstu linku, dbaj o to, aby link był widoczny w układach mobilnych, i upewnij się, że działa bez JavaScriptu. Nasz poradnik gdzie umieścić link do polityki prywatności szczegółowo omawia wymóg CalOPPA dotyczący zamieszczenia w „widocznym miejscu” i oczekiwania wynikające z RODO.

Polityka prywatności opisuje stronę w jednym momencie, a strony nieustannie się zmieniają. Przeglądaj politykę zawsze, gdy nastąpi jedno z tych zdarzeń:

• Dodajesz lub usuwasz wtyczkę, skrypt, osadzenie lub integrację.
• Zmieniasz dostawcę hostingu, poczty, analityki lub płatności.
• Zaczynasz reklamować się, stosować retargeting lub sprzedawać online.
• Zaczynasz obsługiwać odwiedzających z nowego kraju lub regionu.
• Zmienia się przepis, na którym się opierasz, albo platforma aktualizuje swój regulamin.

Zachowuj datowaną kopię każdej wersji, zmieniaj datę wejścia w życie przy każdej zmianie tekstu i informuj ludzi o istotnych zmianach w sposób dopasowany do waszej relacji, na przykład komunikatem na stronie lub e-mailem do posiadaczy kont. Krótki przegląd co kilka miesięcy, nawet gdy wydaje się, że nic się nie zmieniło, wyłapuje narzędzia, które współpracownicy dodali po cichu. Przeczytaj jak często aktualizować politykę prywatności?, aby poznać praktyczny harmonogram przeglądów.