Ustal, kto jest administratorem i jakie dane przetwarza strona
Przygotowanie dokumentów zacznij od ustalenia, kto faktycznie decyduje o celach i sposobach przetwarzania danych. Administratorem danych jest osoba fizyczna lub podmiot, który podejmuje te decyzje samodzielnie albo wspólnie z innymi. W przypadku witryny może nim być przedsiębiorca, fundacja lub inna organizacja prowadząca serwis. Sama nazwa strony internetowej nie wystarcza, aby zidentyfikować administratora.
Informacje udostępniane użytkownikom powinny pozwalać ustalić, kto odpowiada za przetwarzanie i jak można się z tą osobą lub podmiotem skontaktować. Zależnie od działalności warto wskazać nazwę administratora, właściwe dane kontaktowe oraz, jeśli został wyznaczony, dane kontaktowe inspektora ochrony danych (IOD). Wyznaczenie IOD jest obowiązkowe tylko w przypadkach określonych w RODO, a nie dla każdej strony. Gdy IOD został powołany, jego dane powinny być łatwo dostępne.
RODO stosuje się od 25 maja 2018 r. Nie ustanawia jednak jednego, uniwersalnego pakietu dokumentów dla każdej witryny. Zakres dokumentacji zależy od rodzaju i ilości przetwarzanych danych, celów, podstaw prawnych oraz ryzyka dla osób. Administrator musi przy tym umieć wykazać, że stosuje przepisy, a dokumenty powinny opisywać rzeczywiste działania, nie tylko powielać gotowy wzór.
Stwórz mapę danych, procesów i dostawców
Zanim opracujesz klauzule i procedury, sporządź mapę danych. Uwzględnij wszystkie miejsca, w których informacje są zbierane lub powstają podczas korzystania z serwisu: formularze kontaktowe, zamówienia, konta użytkowników, newsletter, rekrutację, logi serwera, analitykę, reklamy oraz pliki cookie i podobne technologie.
Dla każdego procesu zapisz, jakie dane są przetwarzane, skąd pochodzą, w jakim celu i na jakiej podstawie prawnej. Ustal też, kto ma do nich dostęp, komu są przekazywane, gdzie są przechowywane i kiedy należy je usunąć. Sprawdź wykorzystywane narzędzia oraz dostawców, w tym hosting, platformę mailingową i system CRM. Ustal, czy przetwarzają dane w imieniu administratora oraz czy dane trafiają poza Europejski Obszar Gospodarczy.
Wyniki inwentaryzacji powinny odzwierciedlać konkretne działania, na przykład obsługę zapytania, realizację zamówienia albo wysyłkę newslettera. Jeśli przy planowaniu serwisu korzystasz z narzędzi do automatyzacji, także ich rolę i przepływ danych warto uwzględnić w mapie. Dotyczy to między innymi rozwiązań dostępnych pod adresem premiumautomation.pl, jeżeli są wykorzystywane w procesach związanych z witryną.
Każdy proces wymaga osobnej oceny. Zgoda nie jest automatycznie właściwą podstawą dla wszystkich działań. Tam, gdzie administrator się na nią powołuje, musi być ona dobrowolna, konkretna, świadoma i wyrażona jednoznacznym działaniem. Wytyczne Europejskiej Rady Ochrony Danych omawiają warunki prawidłowego uzyskiwania zgody.
Dobierz dokumenty do rzeczywistych procesów
W wielu serwisach potrzebne są klauzule informacyjne lub polityka prywatności, rejestr czynności przetwarzania, procedura obsługi żądań osób, procedura reagowania na naruszenia, opis środków bezpieczeństwa oraz umowy powierzenia z dostawcami. To, które elementy będą wymagane i jak szczegółowo należy je przygotować, zależy od działalności. UODO wskazuje, że dokumentację i zabezpieczenia administrator dobiera samodzielnie, uwzględniając charakter, zakres, kontekst, cele i ryzyko przetwarzania.
Rejestr czynności przetwarzania powinien opisywać między innymi cele, kategorie osób i danych, odbiorców, planowane terminy usunięcia oraz ogólny opis zabezpieczeń. Nie wypełniaj go ogólnikami. Osobne wpisy mogą dotyczyć na przykład formularza kontaktowego, realizacji zamówień, obsługi kont, newslettera, analityki ruchu i rekrutacji. Każdy z tych procesów może mieć inną podstawę prawną, grupę odbiorców i okres przechowywania.
Umowa powierzenia jest istotna, gdy dostawca przetwarza dane w imieniu administratora. Przed wyborem usługodawcy sprawdź, czy zapewnia odpowiednie gwarancje ochrony danych, a następnie zadbaj o umowę i możliwość weryfikowania, czy jej warunki oraz RODO są przestrzegane. Samo podpisanie dokumentu nie zastępuje oceny dostawcy ani bieżącego nadzoru.
Przekaż informacje w miejscu zbierania danych
Klauzula informacyjna powinna odpowiadać na pytania użytkownika w kontekście konkretnej czynności. Przy pozyskiwaniu danych przekaż informacje o administratorze, celach i podstawach prawnych, odbiorcach, okresie przechowywania, prawach osoby oraz ewentualnym IOD. Używaj jasnego, prostego i zrozumiałego języka.
Formularz kontaktowy powinien odsyłać do informacji dotyczącej obsługi zapytania. Przy zamówieniu użytkownik powinien otrzymać informacje o przetwarzaniu danych w celu realizacji umowy i wykonania obowiązków prawnych. Polityka prywatności może porządkować szczegóły, ale nie zastępuje komunikatu dostępnego w miejscu zbierania danych.
Osobom, których dane dotyczą, przysługują między innymi prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych i sprzeciwu. Jeśli podstawą jest zgoda, jej wycofanie powinno być równie łatwe jak jej udzielenie. Warto więc opisać sposób składania żądań i wyznaczyć osobę odpowiedzialną za ich obsługę.
W przypadku plików cookie i podobnych technologii opisz ich funkcje, cele oraz sposób zarządzania wyborem użytkownika. Jeżeli wymagana jest zgoda, rozwiązanie powinno umożliwiać jej wycofanie. Sprawdź także konfigurację strony: skrypty analityczne i reklamowe nie powinny uruchamiać się przed dokonaniem wyboru, jeśli wymagają wcześniejszej zgody.
Zadbaj o bezpieczeństwo, retencję i aktualność dokumentów
Dobierz środki techniczne i organizacyjne do ryzyka. Ogranicz dostęp do danych do osób, które go potrzebują, stosuj indywidualne konta, aktualizuj oprogramowanie, wykonuj kopie zapasowe i ustal zasady przechowywania oraz usuwania informacji. Okres retencji określ oddzielnie dla poszczególnych procesów, zamiast wpisywać jedną wspólną wartość. Dane z zapytania mogą być usuwane po zakończeniu obsługi i upływie uzasadnionego okresu, natomiast dokumenty księgowe przechowuje się przez czas wynikający z odrębnych przepisów.
Przygotuj procedurę naruszeń, która określa, jak szybko wykryć i opisać zdarzenie, ocenić ryzyko oraz zdecydować o zgłoszeniu go organowi nadzorczemu i zawiadomieniu osób. Obowiązek poinformowania osób zależy od ryzyka naruszenia ich praw lub wolności. Warto zachowywać dowody działań, takie jak rejestry zgód, umowy, wyniki analizy ryzyka i dokumentację szkoleń. To element zasady rozliczalności: administrator ma nie tylko przestrzegać reguł, lecz także potrafić wykazać, że je wdrożył.
Dokumenty przeglądaj przy zmianie technologii, dostawcy, formularza, celu przetwarzania lub okresu retencji. Pomocnym testem kompletności jest sprawdzenie, czy każdy formularz i narzędzie ma przypisany cel, podstawę prawną, klauzulę informacyjną, okres przechowywania, odbiorców oraz właściciela procesu. Brak któregokolwiek z tych elementów powinien skłonić do aktualizacji dokumentacji lub konfiguracji strony.