Tematyka strony nie przesądza o rodzaju danych
Serwis o zdrowej energii może publikować treści o żywieniu, suplementach, zdrowiu lub samopoczuciu. Sam temat nie oznacza jednak, że każda odwiedzająca osoba przekazuje dane o swoim zdrowiu. O obowiązkach administratora decyduje przede wszystkim to, jakie informacje strona faktycznie zbiera i w jaki sposób je wykorzystuje.
Dane osobowe to informacje, które pozwalają zidentyfikować człowieka bezpośrednio albo pośrednio. Może to być imię i adres e-mail, ale także identyfikator internetowy, jeśli można go powiązać z konkretną osobą. Szczególnej ostrożności wymagają dane dotyczące zdrowia, zaliczane przez RODO do szczególnych kategorii danych. Mogą nimi być nie tylko diagnozy, lecz także informacje o objawach, diecie wynikającej ze stanu zdrowia czy przyjmowanych suplementach, jeśli ujawniają stan danej osoby.
Dlatego pierwszym zadaniem nie jest skopiowanie gotowej polityki prywatności, lecz sprawdzenie, co dzieje się w serwisie. Warto przeprowadzić mapę danych obejmującą formularze kontaktowe, newsletter, komentarze, konta użytkowników, analitykę, piksele reklamowe, czat, hosting i zewnętrzne wtyczki. Przy każdym narzędziu należy zanotować, jakie dane trafiają do systemu, w jakim celu, na jakiej podstawie prawnej, komu są udostępniane i jak długo pozostają przechowywane.
Jak ustalić, jakie informacje przekazać użytkownikom?
Obowiązek informacyjny realizuje się przede wszystkim na podstawie art. 13 RODO, gdy dane pozyskuje się bezpośrednio od osoby, na przykład przy wysłaniu formularza lub zapisie do newslettera. Art. 14 dotyczy danych uzyskanych z innych źródeł, przy czym przepisy przewidują określone wyjątki od obowiązku informowania. Treść komunikatu powinna być przejrzysta, zrozumiała i dopasowana do sytuacji, w której użytkownik przekazuje dane.
Klauzula informacyjna powinna wskazywać tożsamość i dane kontaktowe administratora, a jeśli został wyznaczony inspektor ochrony danych, również sposób kontaktu z nim. Należy opisać cele i podstawy prawne przetwarzania, odbiorców danych, okres przechowywania lub kryteria jego ustalania oraz prawa osoby. W zależności od podstawy mogą to być między innymi prawa dostępu, sprostowania i usunięcia danych, sprzeciwu albo cofnięcia zgody. Trzeba także poinformować o prawie wniesienia skargi do organu nadzorczego oraz o transferach poza Europejski Obszar Gospodarczy, jeśli mają miejsce.
Nie należy sprowadzać wszystkich działań do zgody. Obsługa zapytania może wymagać przetwarzania danych w celu podjęcia działań na żądanie użytkownika. Z kolei newsletter marketingowy wymaga właściwej podstawy prawnej i odrębnego, dobrowolnego zapisu. Osoba zapisująca się do newslettera dotyczącego żywienia w serwisie ZdrowaEnergie.pl powinna wiedzieć, kto będzie wysyłać wiadomości, w jakim celu i jak zrezygnować z subskrypcji.
Jak ograniczyć ryzyko przy formularzach i danych zdrowotnych?
Formularz powinien zbierać tylko informacje niezbędne do jasno określonej sprawy. Przy każdym polu warto wyjaśnić, czy jest obowiązkowe i dlaczego. Jeśli użytkownik chce zadać ogólne pytanie o artykuł lub działanie strony, zwykle nie ma powodu, by prosić go o diagnozę, historię choroby czy szczegółowy opis objawów. Minimalizacja danych ogranicza ryzyko i ułatwia administratorowi wykazanie, że zakres zbieranych informacji jest uzasadniony.
Jeśli serwis pyta o schorzenia, objawy lub dietę wynikającą ze stanu zdrowia, może przetwarzać dane szczególnej kategorii. W takiej sytuacji trzeba ustalić zarówno podstawę z art. 6 RODO, jak i właściwy wyjątek od zakazu przetwarzania określonego w art. 9. Nie wystarczy ogólne stwierdzenie, że użytkownik wyraził zgodę. Zakres danych należy ograniczyć do niezbędnego minimum, a dostęp do nich i sposób ich przechowywania zabezpieczyć adekwatnie do ryzyka.
Przy formularzu kontaktowym można umieścić krótką informację o administratorze, celu i podstawie przetwarzania oraz link do pełnej klauzuli. Zapis marketingowy powinien być odrębny i niewymuszony, jeśli wymagana jest zgoda. Nie należy łączyć go ze zgodą na cookies ani uzależniać dostępu do treści od zgody na śledzenie, gdy takie śledzenie nie jest konieczne do działania usługi.
Jak opisać cookies i narzędzia zewnętrzne?
Polityka prywatności powinna odpowiadać rzeczywistym praktykom serwisu. Warto w niej opisać kategorie przetwarzanych danych, odbiorców, terminy usuwania, prawa użytkowników, sposób kontaktu oraz zasady korzystania z narzędzi zewnętrznych. Osobna polityka cookies powinna pozwalać rozpoznać stosowane technologie, ich cele i okres działania.
Cookies niezbędne do działania strony trzeba odróżnić od narzędzi opcjonalnych, takich jak analityka czy reklama. W przypadku tych drugich użytkownik powinien mieć realny wybór, możliwość odmowy i późniejszej zmiany decyzji. Zgoda na śledzenie nie może być domyślnie zaznaczona. Panel powinien umożliwiać osobne zarządzanie kategoriami, a wycofanie zgody powinno być równie proste jak jej udzielenie. Samo opisanie narzędzia w polityce nie zastępuje prawidłowego ustawienia mechanizmu zgód.
Przed wdrożeniem analityki, czatu, piksela reklamowego lub wtyczki należy sprawdzić, jakie informacje narzędzie zbiera, dokąd je przekazuje i czy uruchamia się przed uzyskaniem wymaganej zgody. Trzeba również zweryfikować umowy z dostawcami oraz konfigurację usług. Klauzula informacyjna nie naprawi nadmiarowego zbierania danych ani niezgodnego udostępniania ich podmiotom trzecim.
Jak zorganizować obsługę praw i zabezpieczenia?
Administrator powinien wyznaczyć osobę odpowiedzialną za obsługę wniosków użytkowników, ustalić kanał kontaktu i przygotować sposób weryfikacji tożsamości. Procedura powinna uwzględniać żądania dostępu, sprostowania, usunięcia danych i sprzeciwu, a także cofnięcia zgody, gdy przetwarzanie opiera się na zgodzie. Warto zachowywać dowody przekazania informacji oraz dokumentować, kiedy i w jaki sposób zgoda została zebrana.
Zabezpieczenia należy dobierać do rodzaju i skali przetwarzania. Aktualizacje oprogramowania, kontrola dostępu, kopie zapasowe i bezpieczne połączenie to podstawowe elementy ochrony serwisu. Jeśli przetwarzanie danych zdrowotnych na dużą skalę może powodować wysokie ryzyko dla praw i wolności osób, administrator powinien ocenić, czy konieczna jest ocena skutków dla ochrony danych, czyli DPIA.
Skala odpowiedzialności za ochronę danych jest widoczna w statystykach: w 2025 r. do UODO zgłoszono 22 435 naruszeń, wobec 14 842 w 2024 r., a Prezes UODO nałożył 32 administracyjne kary pieniężne o łącznej wartości około 64,4 mln zł. Liczby te nie oznaczają, że każda strona ma takie samo ryzyko. Podkreślają jednak znaczenie rozliczalności i zabezpieczeń. W praktyce dobrym punktem wyjścia jest formularz newslettera z minimalną liczbą pól, osobny panel zgód cookies oraz rezygnacja z pytań o zdrowie, jeśli nie są potrzebne do konkretnej usługi.
Przygotowanie serwisu do wymogów RODO to nie jednorazowe dodanie dokumentu, lecz dopasowanie informacji do rzeczywistych procesów. Regularna kontrola formularzy, narzędzi i okresów przechowywania pomaga utrzymać przejrzystość oraz ograniczyć zbędne ryzyko. W razie wątpliwości dotyczących konkretnej podstawy prawnej lub danych szczególnej kategorii warto uzyskać indywidualną poradę prawną, ponieważ obowiązki zależą od okoliczności przetwarzania.