Co to jest RODO i niemieckie Impressum oraz jakie pełnią funkcje?
RODO (Rozporządzenie o Ochronie Danych Osobowych) to zbiór przepisów regulujących przetwarzanie danych osób fizycznych w Unii Europejskiej. Właściciel serwisu internetowego, który samodzielnie określa cele i sposoby przetwarzania danych, pełni rolę administratora. Z kolei dostawcy usług takich jak hosting, poczta czy narzędzia analityczne funkcjonują zwykle jako podmioty przetwarzające.
Impressum to niemiecka informacja o dostawcy serwisu, której obowiązek wynika z § 5 niemieckiej ustawy o usługach cyfrowych (DDG). Ma ona na celu jasną identyfikację podmiotu świadczącego usługę i musi być stale dostępna, łatwo rozpoznawalna oraz szybko osiągalna dla użytkowników.
Warto podkreślić, że RODO i Impressum pełnią różne funkcje. RODO skupia się na ochronie danych osobowych użytkowników, natomiast Impressum na transparentności i identyfikacji podmiotu prowadzącego serwis. Zamieszczenie Impressum nie zwalnia z obowiązków informacyjnych wynikających z RODO.
Jak przygotować politykę prywatności zgodną z RODO?
Polityka prywatności powinna być zrozumiała, łatwo dostępna i przekazywana użytkownikowi w odpowiednim momencie, czyli najczęściej przy zbieraniu danych. Powinna zawierać następujące elementy:
- Dane administratora – imię i nazwisko lub nazwę firmy, adres siedziby oraz dane kontaktowe (np. e-mail, telefon).
- Cele i podstawy prawne przetwarzania danych – na przykład realizacja umowy, obowiązek prawny, prawnie uzasadnione interesy czy zgoda użytkownika.
- Opis odbiorców danych, w tym ewentualnych podmiotów zewnętrznych, którym dane są udostępniane.
- Informacje o transferach danych poza Europejski Obszar Gospodarczy – wraz z opisem zastosowanych zabezpieczeń.
- Okres przechowywania danych lub kryteria jego ustalania.
- Prawa osób, których dane dotyczą – dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie danych, sprzeciw oraz w przypadku zgody – możliwość jej wycofania.
- Możliwość wniesienia skargi do organu nadzorczego.
Jeśli dane są pozyskiwane bezpośrednio od użytkownika, powyższe informacje powinny być przekazane w momencie zbierania danych. W przypadku danych uzyskanych z innych źródeł, informację należy dostarczyć w terminie do jednego miesiąca zgodnie z art. 14 RODO.
Jak sporządzić niemieckie Impressum zgodnie z wymogami?
Impressum powinno zawierać co najmniej następujące informacje:
- Nazwa lub imię i nazwisko podmiotu świadczącego usługę.
- Adres siedziby – pełny adres, pod którym można się skontaktować.
- Dane kontaktowe pozwalające na szybki kontakt elektroniczny, w tym adres e-mail.
- Forma prawna działalności – jeśli dotyczy (np. GmbH, AG).
- Przedstawiciel ustawowy – gdy jest wymagany.
- Właściwy organ nadzoru i dane rejestrowe – np. numer wpisu do rejestru handlowego.
Impressum powinno być dostępne z każdej strony serwisu, zwykle w formie linku umieszczonego w stopce, jasno oznaczonego jako „Impressum”. Należy zweryfikować zgodność danych z oficjalnymi rejestrami oraz dostosować treść do faktycznej formy prowadzenia działalności.
Jakie kroki warto podjąć, by kompleksowo przygotować dokumenty RODO i Impressum?
Przygotowanie dokumentacji zaczyna się od stworzenia mapy danych. Należy przeanalizować wszystkie procesy przetwarzania danych w serwisie, takie jak formularze kontaktowe, rejestracje kont, zamówienia, newslettery, pliki cookie, narzędzia analityczne, reklamy oraz wtyczki zewnętrzne. Dla każdego z tych procesów trzeba określić:
- Jakie dane są zbierane
- W jakim celu są przetwarzane
- Kto ma do nich dostęp
- Jak długo są przechowywane
Następnie należy przypisać odpowiednią podstawę prawną do każdego celu przetwarzania, unikając nadmiernego polegania na zgodzie. Przykładowo realizacja zamówienia opiera się na wykonaniu umowy, a obowiązki księgowe na przepisach prawa. Marketing i działania promocyjne wymagają osobnej analizy, zwłaszcza pod kątem przepisów dotyczących komunikacji elektronicznej.
Ważnym elementem jest prowadzenie rejestru czynności przetwarzania oraz zawarcie umów powierzenia przetwarzania danych z dostawcami usług. Należy także wdrożyć procedury umożliwiające realizację praw użytkowników, takich jak dostęp do danych czy ich usunięcie.
Polityka prywatności powinna dokładnie odzwierciedlać rzeczywiste praktyki serwisu i być spójna z dokumentacją wewnętrzną, a nie stanowić jej zamiennik.
Jak zadbać o zgodność mechanizmu zgód i aktualizację dokumentów?
Mechanizmy zgód na pliki cookie powinny rozróżniać technologie niezbędne, które mogą działać bez zgody użytkownika, od technologii opcjonalnych, które wymagają świadomej akceptacji. Skrypty analityczne i reklamowe nie powinny uruchamiać się przed udzieleniem zgody. Użytkownik musi mieć możliwość zmiany decyzji w dowolnym momencie.
Dobrym przykładem jest podejście instytucjonalne, takie jak wytyczne Europejskiej Rady Ochrony Danych (EDPB), która zaleca domyślne wyłączanie śledzenia w celach statystycznych oraz umożliwienie łatwego wycofania zgody.
Dokumenty RODO i Impressum wymagają regularnej aktualizacji, zwłaszcza po zmianie dostawców, narzędzi, celów przetwarzania, okresów przechowywania lub danych kontaktowych. Szczególną uwagę należy zwrócić na transfery danych do państw trzecich, profilowanie oraz automatyczne podejmowanie decyzji – gdy występują, muszą być odpowiednio opisane i uwzględnione w polityce prywatności.
Przykładowo, właściciel serwisu sprzedającego produkty na platformie Apaszko Love powinien uwzględnić w dokumentacji zarówno dane klientów, jak i podmiotów współpracujących oraz jasno określić zasady przetwarzania tych danych zgodnie z powyższymi wytycznymi.