Generator polityki prywatności

Generator polityki prywatności

Polityka prywatności to obowiązek każdej strony zbierającej dane osobowe. Dokument musi być zrozumiały i zgodny z faktycznym przetwarzaniem. Ten generator polityki prywatności składa tekst z 7–9 sekcji opartych na art. 13 RODO: administrator, zakres danych, cele, odbiorcy, okres przechowywania, prawa osób, a opcjonalnie także transfer poza EOG i pliki cookies.

Co musi zawierać polityka prywatności (RODO)

Najczęstsze błędy

• skopiowana polityka nieodzwierciedlająca realnych narzędzi,
• brak informacji o transferze poza EOG,
• banner cookie bez realnego wyboru (tylko „akceptuj”),
• nieaktualizowana lista procesorów.

Jak działa generator polityki prywatności

Narzędzie nie pisze dokumentu od zera, tylko składa go z gotowych bloków. Wpisujesz dane administratora, zaznaczasz rodzaje danych z zamkniętej listy 8 pozycji, a w rozwijanym panelu „Cele, odbiorcy i okres przechowywania” podajesz cele i podmioty przetwarzające, po jednym w linii. Podgląd odświeża się na bieżąco. Zamiast zaczynać od pustego formularza możesz kliknąć jeden z gotowych zestawów: Blog, Sklep albo SaaS.

Zaznaczone rodzaje danych trafiają do sekcji „Zakres zbieranych danych” jako jedno zdanie wyliczające, w brzmieniu z tabeli poniżej. Nie ma tu miejsca na dopisywanie kategorii spoza listy. Cele i odbiorcy pojawiają się jako listy punktowane w takiej postaci, w jakiej je wpiszesz; powtórzone linie są pomijane, a każda lista mieści do 30 pozycji. Pusta lista odbiorców daje zdanie, że dane nie są przekazywane innym odbiorcom poza przypadkami wynikającymi z przepisów prawa.

Sekcje o administratorze, zakresie danych, celach, odbiorcach, okresie przechowywania, prawach osób i zmianach polityki są zawsze. Dwie są opcjonalne: „Przekazywanie danych poza EOG” i „Pliki cookies”, stąd od 7 do 9 sekcji. Data ostatniej aktualizacji ustawia się na dzień generowania. Jeśli nie podasz e-maila IOD, w kontakcie w sprawach danych pojawi się zwykły e-mail kontaktowy.

Działa tu zasada „nic ponad wybór”: niezaznaczona kategoria nie pojawia się w dokumencie ani razu. Jeśli nie zbierasz numeru telefonu, w tekście nie będzie o nim mowy. Dzięki temu polityka opisuje realny przepływ danych, a nie maksymalny możliwy zestaw.

Gotowy dokument skopiujesz jako HTML z nagłówkami gotowymi do wklejenia na stronę, pobierzesz jako plik polityka-prywatnosci.html albo skopiujesz jako zwykły tekst, np. do edytora w CMS. Lista „Do sprawdzenia przed publikacją” ostrzega m.in. przed pozostawionymi danymi przykładowymi i wyłączoną sekcją cookies przy zaznaczonej analityce.

Przykład: polityka prywatności sklepu internetowego krok po kroku

1. Klikasz zestaw „Sklep”. Generator zaznacza 6 z 8 rodzajów danych (imię i nazwisko, adres e-mail, numer telefonu, adres, pliki cookies, dane analityczne), wpisuje 4 cele: realizację zamówień, obsługę reklamacji i zwrotów, rozliczenia księgowe oraz marketing własny, a także 5 odbiorców: hosting, operatora płatności, firmę kurierską, biuro rachunkowe i dostawcę poczty e-mail.
2. Zamieniasz dane przykładowe („Firma Sp. z o.o.”, ul. Przykładowa 10, [email protected]) na własne: nazwę podmiotu, adres siedziby, e-mail do spraw danych osobowych i adres sklepu. Dopóki tego nie zrobisz, lista kontrolna pokazuje uwagę „Dane przykładowe”.
3. Pozostają 2 niezaznaczone rodzaje: newsletter (preferencje i historia komunikacji) oraz adres IP. Narzędzie nie dopisze ich do dokumentu, nawet jako zdania warunkowego. Zakres danych to jedno zdanie z 6 pozycjami.
4. Ustawiasz okres przechowywania. Domyślnie jest 6 miesięcy; po wpisaniu 24 dokument poda: „Dane przechowujemy przez 24 miesiące od ostatniej aktywności lub przez okres wymagany przepisami (np. księgowość — 5 lat)”. Odmianę dobiera automat: 1 miesiąc, 24 miesiące, 12 miesięcy.
5. Sprawdzasz, czy operator płatności lub dostawca poczty przetwarza dane poza EOG. Jeśli tak, zaznaczasz „Transfer poza EOG” i dokument zyskuje dziewiątą sekcję. Bez tego polityka ma 8 sekcji, a lista kontrolna zostawia przypomnienie o transferze.
6. Kopiujesz HTML, publikujesz dokument pod stałym adresem i linkujesz go w stopce oraz przy formularzach. Każde nowe narzędzie, np. dodatkowy system analityczny, to sygnał, by wrócić do generatora i wygenerować tekst ponownie, co odświeży też datę aktualizacji.

Kategorie danych w generatorze — tabela referencyjna

Praktyczne wskazówki przed generowaniem dokumentu

• Zacznij od inwentaryzacji, nie od generatora. Wypisz miejsca, w których dane faktycznie trafiają: formularze, zamówienia, zapisy, analityka, poczta. Dopiero na tej podstawie zaznaczaj kategorie, inaczej dokument opisze wyobrażenie o stronie, a nie samą stronę.
• Zaznaczaj tylko to, co zbierasz. Zbyt szeroki zakres jest tak samo problemowy jak luki w opisie. Dokument deklarujący więcej, niż dzieje się w praktyce, trudno później obronić przy kontroli lub skardze.
• Trzymaj listę procesorów obok dokumentu. Hosting, poczta, analityka i płatności to odbiorcy danych. Zapisz ich i aktualizuj przy każdej zmianie dostawcy, bo szablon nie odczyta tego z Twojej infrastruktury.
• Połącz politykę z realnym wyborem w bannerze. Opis plików cookies nie zastąpi mechanizmu zgody. Użytkownik musi móc odmówić równie łatwo, jak zaakceptować, i wiedzieć, czego dotyczy wybór.
• Okres przechowywania dobierz do własnych procesów. Generator przyjmuje jedną liczbę miesięcy liczoną od ostatniej aktywności. Nie kopiuj terminów z cudzych dokumentów: każdy okres powinieneś umieć uzasadnić sposobem rozliczeń, obsługą reklamacji czy cyklem życia konta.

Czego generator nie uwzględnia

• Stanu faktycznego. Opis powstaje wyłącznie z pól, które wypełnisz, więc błędny wybór daje błędny dokument.
• Nakładania się kategorii. Dane analityczne obejmują ruch, urządzenie i IP, a adres IP występuje dodatkowo jako osobna pozycja. Zaznaczenie obu przy samodzielnych logach serwera bywa uzasadnione, ale przy zwykłej analityce rozdyma zakres bez potrzeby.
• Przypisania podstawy prawnej do celu. Sekcja celów zawiera jedno ogólne zdanie o art. 6 ust. 1 lit. b (umowa), lit. f (prawnie uzasadniony interes) i lit. a (zgoda) RODO „w zależności od celu”. Jeśli chcesz wskazać podstawę przy każdym celu osobno, dopisz to po eksporcie.
• Różnych okresów dla różnych danych. W dokumencie jest jeden okres przechowywania plus ogólna wzmianka o terminach z przepisów. Jeśli np. dane z konta trzymasz krócej niż faktury, rozpisz to ręcznie.
• Szczegółów transferu i cookies. Sekcja o EOG wspomina standardowe klauzule umowne, a sekcja cookies cele techniczne, analityczne i marketingowe. Jeśli u Ciebie jest inaczej, popraw te zdania.
• Przypadków szczególnych. Dane wrażliwe, dane osób nieletnich, profilowanie czy działalność podmiotów publicznych wymagają indywidualnie redagowanego dokumentu. Szablon obejmuje typowe sytuacje strony lub sklepu, a nie każdy model przetwarzania.