Które usługi należą do polityki prywatności?

Każda osadzona usługa podmiotu trzeciego przetwarzająca dane osobowe — analiza, reklama, czcionki, mapy, czat, CDN, hosting — musi pojawić się w polityce prywatności.

Polityka prywatności i baner zgody odpowiadają na dwa różne pytania. Baner reguluje, czy usługa w ogóle może się wczytać (zgoda zgodnie z § 25 TDDDG). Polityka prywatności realizuje obowiązek informacyjny z art. 13 RODO — musi wymieniać także usługi działające na innej podstawie niż zgoda: hosting, CDN, serwerowy filtr antyspamowy, dostarczanie czcionek. Usługa, która nie potrzebuje banera, może mimo to należeć do polityki prywatności.

Informacje dla każdej usługi mają stały schemat: nazwa i adres dostawcy, cel przetwarzania, podstawa prawna (zgoda, umowa, prawnie uzasadniony interes), kategorie przetwarzanych danych, okres przechowywania, czy i dokąd dane są przekazywane do państwa trzeciego i na jakiej podstawie, a także prawa osób, których dane dotyczą, wraz z prawem do cofnięcia zgody. Jeśli brakuje któregoś z tych punktów, oświadczenie jest w tym zakresie niekompletne — a to jest samodzielne, zagrożone karą naruszenie, niezależnie od tego, czy samo osadzenie było dopuszczalne.

Najczęstszym błędem jest nieaktualna lista. Usługi dochodzą przez wtyczki, menedżera tagów lub aktualizację motywu, bez aktualizacji polityki prywatności. Odwrotnie, często figurują tam jeszcze narzędzia dawno usunięte. Pragmatyczne sprawdzenie: wczytać stronę w oknie prywatnym, w karcie sieci zanotować wszystkie zewnętrzne hosty i porównać z polityką prywatności — co najmniej po każdej większej zmianie witryny.

Czy to ryzyko?

Art. 13 RODO wymaga informacji o celu, podstawie prawnej, odbiorcach, okresie przechowywania i przekazywaniu do państw trzecich. Niekompletna polityka prywatności jest samodzielnym naruszeniem — niezależnie od tego, czy samo osadzenie jest zgodne z prawem.

Co możesz zrobić

• Sporządź pełną listę wszystkich osadzonych usług (także tych przychodzących przez wtyczkę lub menedżera tagów).
• Dla każdej usługi: dodaj dostawcę, cel, podstawę prawną, okres przechowywania, kraj odbiorcy.
• Aktualizuj politykę prywatności przy każdej zmianie strony.
• Regularnie porównuj, czy faktycznie ładowane usługi odpowiadają polityce prywatności.

Częste pytania

Czy w polityce prywatności muszę wymienić także hosting i CDN?

Tak. Dostawcy hostingu i CDN przetwarzają adresy IP odwiedzających i są odbiorcami w rozumieniu art. 13 RODO. Nie potrzebują banera zgody, ale należą do polityki z celem, podstawą prawną i ewentualnym przekazaniem do państwa trzeciego.

Czy wystarczy generator polityki prywatności?

Jako punkt wyjścia tak. Wygenerowane teksty obejmują standardowe usługi, ale muszą zostać dostosowane do faktycznie używanych narzędzi i utrzymywane w aktualności. Generator nie zastępuje ani inwentaryzacji, ani weryfikacji prawnej.

Co grozi za niekompletną politykę prywatności?

To samodzielne naruszenie RODO z art. 13, które organy nadzorcze mogą ukarać grzywną — nawet jeśli samo przetwarzanie danych jest zgodne z prawem. W praktyce na pierwszym planie są najpierw wskazówki i wezwania.

Jak często muszę sprawdzać politykę prywatności?

Po każdej zmianie, która dodaje lub usuwa usługi, a dodatkowo w stałym rytmie (np. co pół roku). Do rutynowego sprawdzenia wystarczy krótkie porównanie zewnętrznych hostów wczytanych w karcie sieci z oświadczeniem.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.