Co powinno zawierać polityka prywatności?

Stałe elementy oświadczenia o ochronie prywatności

Oświadczenie o ochronie prywatności zawiera w większości przypadków informacje o tym, kto przetwarza dane, w jakim celu i jakie prawa przysługują osobie, której dane dotyczą. Konkretnie chodzi o tożsamość i dane kontaktowe organizacji przetwarzającej dane, a także dane kontaktowe inspektora ochrony danych, jeśli taki został wyznaczony. Ponadto zawiera informacje o celach wykorzystania danych i podstawie prawnej tego przetwarzania — na przykład wykonanie umowy, obowiązek ustawowy lub uzasadniony interes, przy czym ten ostatni musi być również określony.

W oświadczeniu powinno również znaleźć się, komu dane są ujawniane, czy trafiają do kraju spoza UE i jak długo są przechowywane — lub, jeśli nie można podać stałego okresu, jakie kryteria do tego stosuje się. Zawarte są również prawa osoby, której dane dotyczą: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszalność i możliwość wycofania danej zgody. Na koniec oświadczenie zawiera informacje o prawie do złożenia skargi do organu nadzorczego, a — jeśli jest to konieczne — czy dostarczenie danych stanowi wymóg ustawowy lub umowny i jakie są konsekwencje, jeśli tego się nie uczyni, oraz czy ma miejsce zautomatyzowane podejmowanie decyzji lub profilowanie.

Wynika to z artykułu 13 RODO

Ten wykaz wynika bezpośrednio z artykułu 13 RODO, który określa, jakie informacje organizacja musi podać w momencie, gdy zbiera dane osobowe bezpośrednio od osoby, której dane dotyczą. RODO jest rozporządzeniem, a wymogi te mają zatem zasadniczo zastosowanie w każdym państwie członkowskim; to, co się różni, to organ nadzorczy, do którego należy prawo do skargi — w Holandii jest to Autoriteit Persoonsgegevens, w Niemczech — organ nadzorczy kraju związkowego, w którym znajduje się siedziba. Pełny tekst przepisu i dalsze wyjaśnienia można znaleźć w samym rozporządzeniu, a dla praktyki holenderskiej na stronie Autoriteit Persoonsgegevens.