Bez oświadczenia o ochronie prywatności na twojej stronie internetowej brakuje dokumentu, w którym wyjaśniasz, które dane osobowe zbierasz, w jakim celu i jak długo je przechowujesz. RODO obliguje organizacje do wcześniejszego informowania odwiedzających i klientów na ten temat; jest to tzw. obowiązek informacyjny. Jeśli ta informacja jest nieobecna, nie możesz wykazać, że spełniasz ten obowiązek.
To, co konkretnie się stanie, zależy od tego, kto to zauważy. Odwiedzający może złożyć skargę do organu nadzorczego, klient biznesowy może pytać o to podczas postępowania przetargowego, a dostawca płatności lub platforma reklamowa może odmówić połączenia z twoją stroną internetową, dopóki nie będzie tam oświadczenia o ochronie prywatności. Żadna z tych sytuacji nie jest hipotetyczna; wynikają z warunków, które same strony trzecie już stawiają, niezależnie od tego, co kiedykolwiek uczyniłby organ nadzorczy.
Dlaczego oświadczenie o ochronie prywatności to coś więcej niż formalność
Oświadczenie o ochronie prywatności to widoczny dowód na coś, co i tak powinieneś już wiedzieć: jakie dane zbiera twoja strona internetowa, poprzez które formularze, pliki cookie lub narzędzia analityczne, i w jakim celu. Jeśli brakuje oświadczenia, istnieje duże prawdopodobieństwo, że ta sama inwentaryzacja nie została przeprowadzona. To nie dotyczy tylko strony internetowej, ale także szerszego obrazu tego, jak twoja firma obsługuje dane osobowe — coś, co staje się widoczne, gdy szukasz odpowiedzi na konkretne pytanie dotyczące RODO.
EDPB i organ nadzorczy opublikowały wytyczne dotyczące tego, co oświadczenie o ochronie prywatności musi zawierać, na przykład dane kontaktowe administratora, okresy przechowywania i prawa osób, których dane dotyczą. Te wytyczne nie są ustawą, ale organy nadzorcze je weryfikują, gdy oceniają, czy spełniony jest obowiązek informacyjny.
Co się dzieje w praktyce, gdy oświadczenie jest nieobecne
Najbardziej bezpośrednie konsekwencje rzadko pojawiają się u organu nadzorczego, ale u stron, z którymi prowadzisz interesy. Ubezpieczyciel oceniający polisę cyber często pyta o oświadczenie o ochronie prywatności w ramach dokumentacji. Zamawiający publiczny może zrobić to samo. A odwiedzający, który zastanawia się, co stanie się z wypełnionym formularzem kontaktowym, może w braku wyjaśnienia zdecydować się nie prowadzić z tobą interesów lub złożyć skargę.
Ponadto brakujące oświadczenie o ochronie prywatności jest często sygnałem, że również inne elementy nie są w porządku: brak przeglądu, które narzędzia SaaS przetwarzają dane osobowe, brak umów z dostawcami, brak ustanowionych okresów przechowywania. To jest dokładnie taki rodzaj powiązania, który baza wiedzy zawierająca wyjaśnienia dla każdego tematu RODO czyni przejrzystym: oświadczenie o ochronie prywatności rzadko stoi samo.
Rola organu nadzorczego
Organ nadzorczy może działać, gdy obowiązek informacyjny nie jest spełniany, ale to, jak i kiedy to się dzieje, zależy od okoliczności konkretnego przypadku i nie da się tego z góry przewidzieć. Czym jednak można być pewnym, to fakt, że brakujące oświadczenie o ochronie prywatności nie jest przeoczeniem, które staje się mniej widoczne w miarę, jak twoja strona przyciąga więcej odwiedzających — raczej odwrotnie.
To, czy skarga rzeczywiście prowadzi do dochodzenia i jaki byłby jego wynik, nie da się stwierdzić w sposób ogólny. Do oceny konkretnej sytuacji właściwym punktem kontaktowym jest prawnik lub sam organ nadzorczy.
Jak to rozwiązać
Opracowanie oświadczenia o ochronie prywatności wymaga jasnego przeglądu tego, co Twoja strona internetowa rzeczywiście zbiera: formularze kontaktowe, pliki cookie, sklep internetowy z danymi zamówień, biuletyn. Gdy taki przegląd już istnieje, samo oświadczenie zwykle można napisać szybko. Aby odpowiedzieć na pytanie, jakie dane faktycznie przetwarzasz i za pomocą jakich narzędzi, warto przyglądnąć się sposobowi, w jaki tworzy się ten przegląd, na przykład poprzez sposób, w jaki dane i systemy są katalogowane.
Oświadczenie o ochronie prywatności nie jest ponadto tekstem jednorazowym. Nowe formularze, nowe narzędzia lub nowa usługa biuletynu zmieniają to, co się zbiera, a zatem również to, co powinno znaleźć się w oświadczeniu. Kto chce, aby ten przegląd zmieniał się wraz ze zmianami na stronie internetowej, może to zarejestrować na koncie biznesowym aby nie zostało to jednorazową czynnością.
Gdpria.eu oferuje generator oświadczenia o ochronie prywatności bezpłatnie, podobnie jak bazę wiedzy i inne podstawowe kontrole. Jeśli chcesz wiedzieć, gdzie obecnie stoi Twoja firma, bezpłatna szybka ocena jest dobrym punktem wyjścia, aby zobaczyć, które elementy są już w porządku, a które wymagają uwagi.