1. Co na stronie w ogóle podlega przepisom
Zacznijmy od uporządkowania, bo w tej dziedzinie mnóstwo jest ogólników, a mało konkretów. Zastrzeżenie na wstępie: opisuję praktykę techniczną, nie interpretuję przepisów. Ocenę zgodności i treść dokumentów warto skonsultować z prawnikiem.
Na typowej stronie firmowej dane osobowe pojawiają się w czterech miejscach, o których łatwo zapomnieć, bo część z nich działa niewidocznie.
Formularze. Kontaktowy, zapytanie o wycenę, zapis na newsletter, formularz rekrutacyjny. To jedyne miejsce, o którym większość firm pamięta.
Analityka i narzędzia marketingowe. Google Analytics, Pixel Meta, tagi konwersji, mapy ciepła, czaty. Wszystkie zapisują identyfikatory pozwalające śledzić zachowanie użytkownika.
Elementy osadzone z obcych serwerów. Mapa, film, czcionki, wtyczka mediów społecznościowych. Samo ich załadowanie przekazuje adres IP użytkownika do podmiotu trzeciego, zanim ktokolwiek cokolwiek kliknie.
Logi serwera i kopie zapasowe. Adresy IP odwiedzających, treść wysłanych formularzy zapisana w bazie, archiwum kopii przechowywane u dostawcy hostingu.
Zanim zajmiesz się dokumentami, zrób listę wszystkiego, co strona zbiera i dokąd to trafia. Jedna kartka, cztery kolumny: co zbieramy, w jakim celu, gdzie to leży, komu przekazujemy. Dopiero taka lista pozwala napisać sensowną politykę prywatności i wykryć rzeczy, o których nikt nie pamiętał — jak czat sprzed dwóch lat, który nadal ładuje skrypt, albo wtyczka ankiet zainstalowana na tydzień i nigdy nieusunięta.
2. Baner cookies: najczęstszy błąd
To zdecydowanie najczęstsza luka na polskich stronach firmowych i jednocześnie ta, którą najłatwiej wykryć.
Mechanizm powinien działać tak: użytkownik wchodzi na stronę, skrypty analityczne i marketingowe nie uruchamiają się, wyświetla się baner z wyborem, a dopiero po wyrażeniu zgody skrypty startują. Jeśli użytkownik odmówi, nie startują wcale.
W praktyce bardzo często wygląda to inaczej: skrypty ładują się natychmiast po wejściu, baner wyświetla się równolegle jako element czysto informacyjny, a kliknięcie „akceptuję” jedynie go ukrywa. Z punktu widzenia zbierania zgód taki baner nie robi nic — dane i tak zostały wysłane.
Druga częsta usterka dotyczy równorzędności wyboru. Baner, na którym przycisk akceptacji jest duży i kolorowy, a odmowa ukryta pod odnośnikiem „ustawienia” prowadzącym do panelu z siedmioma przełącznikami, nie zapewnia swobody wyboru. Odmowa powinna wymagać tyle samo wysiłku co zgoda — jedno kliknięcie na jedno kliknięcie.
| Element | Poprawnie | Częsty błąd |
|---|---|---|
| Skrypty przed zgodą | Zablokowane | Ładują się od razu |
| Przycisk odmowy | Równorzędny, na pierwszym ekranie | Ukryty w ustawieniach |
| Zgoda domyślna | Wyłączona, przełączniki puste | Zaznaczone z góry |
| Wycofanie zgody | Dostępne w każdej chwili | Brak takiej możliwości |
| Zamknięcie krzyżykiem | Traktowane jak odmowa | Traktowane jak zgoda |
Tryb zgody a jakość danych
Częsta obawa brzmi: jeśli prawidłowo zablokuję skrypty, stracę dane analityczne i przestanę wiedzieć, co dzieje się na stronie. Obawa jest częściowo uzasadniona, ale rozwiązanie istnieje i warto je znać.
Nowoczesne narzędzia analityczne działają w trybie, w którym przed wyrażeniem zgody wysyłają wyłącznie anonimowe sygnały bez zapisywania identyfikatorów, a po zgodzie przechodzą w tryb pełny. Na podstawie tych sygnałów część brakujących danych jest modelowana, dzięki czemu raporty nie mają dziur, choć są mniej dokładne niż przy pełnej zgodzie.
To rozwiązanie wymaga jednak świadomego wdrożenia — baner musi komunikować stan zgody do narzędzi, a nie tylko blokować skrypty na zasadzie wszystko albo nic. W praktyce oznacza to wybór wtyczki, która integruje się z menedżerem tagów, i skonfigurowanie przekazywania sygnału zgody. To godzina pracy przy wdrożeniu, a różnica w kompletności danych jest zauważalna.
Warto też pamiętać o proporcjach. Po prawidłowym wdrożeniu zgód liczba rejestrowanych sesji zwykle spada, bo część użytkowników odmawia. To nie jest utrata danych — to urealnienie obrazu. Porównywanie okresów sprzed i po wdrożeniu nie ma większego sensu; porównuj to, co po.
3. Jak sprawdzić baner w pięć minut
Nie trzeba do tego żadnych narzędzi ani wiedzy programistycznej. Wystarczy przeglądarka.
Otwórz stronę w oknie prywatnym
Tryb incognito gwarantuje, że nie masz zapisanej wcześniejszej zgody. To warunek konieczny — na własnej stronie, którą odwiedzasz codziennie, zgoda jest już dawno zapisana i test nic nie pokaże.
Włącz narzędzia deweloperskie przed załadowaniem strony
Klawisz F12, zakładka z siecią. Potem odśwież stronę i nie klikaj nic na banerze.
Wpisz w filtr nazwy usług
Sprawdź po kolei: google-analytics, googletagmanager, facebook, fbevents, hotjar, clarity. Jeśli po odświeżeniu i bez klikania widzisz jakiekolwiek żądania do tych adresów, baner nie blokuje skryptów.
Sprawdź, co się dzieje po odmowie
Odśwież stronę, kliknij odmowę i powtórz sprawdzenie. Po odmowie nie powinno być żadnych żądań do narzędzi analitycznych i marketingowych.
Ten test wykrywa najpoważniejszy problem w kilka minut i można go wykonać na dowolnej stronie, także konkurencji. Warto przy okazji sprawdzić zakładkę z zapisanymi plikami cookie — jeśli przed wyrażeniem zgody widzisz tam identyfikatory analityczne, to potwierdzenie tego samego problemu z drugiej strony.
Osadzona mapa i czcionki ładowane z zewnętrznego serwera przekazują adres IP użytkownika, zanim zobaczy on baner. Rozwiązania są dwa: hostować czcionki lokalnie na własnym serwerze, co przy okazji przyspiesza stronę, oraz ładować mapę dopiero po kliknięciu w zastępczy obrazek. Oba są proste do wdrożenia i usuwają problem u źródła, zamiast próbować go obejść zgodami.
4. Formularze kontaktowe
Druga najczęstsza grupa problemów, tym razem łatwiejsza do naprawienia.
Zasada podstawowa brzmi: zbieraj tylko to, co jest niezbędne, żeby odpowiedzieć. Formularz kontaktowy pytający o nazwisko, adres zamieszkania, NIP i datę urodzenia przy zapytaniu o cenę usługi zbiera dane, których nie potrzebuje. Poza kwestią zgodności to również bariera konwersji, więc ograniczenie zakresu poprawia dwie rzeczy naraz.
Przy formularzu powinna znaleźć się informacja, kto jest administratorem danych, w jakim celu je przetwarza i gdzie znaleźć pełną politykę prywatności. Nie musi to być ściana tekstu — wystarczy krótkie zdanie z odnośnikiem, umieszczone pod polami.
Osobna kwestia to zgody. Warto rozdzielić dwie sytuacje. Odpowiedź na zapytanie klienta zwykle nie wymaga osobnej zgody, bo wynika z podjęcia działań na jego żądanie. Natomiast wysyłka newslettera albo późniejszy kontakt marketingowy to odrębny cel, który wymaga wyraźnej, osobnej i dobrowolnej zgody — nie zaznaczonej domyślnie i nie połączonej z wysłaniem formularza.
Ostatnia rzecz, najczęściej pomijana: co się dzieje z wiadomościami po wysłaniu. Wiele wtyczek zapisuje kopię każdego zgłoszenia w bazie strony i trzyma ją tam bezterminowo. Po trzech latach masz w panelu WordPressa kilkaset wiadomości z danymi kontaktowymi ludzi, o których dawno zapomniałeś. Warto albo wyłączyć zapisywanie w bazie, albo ustalić okres przechowywania i regularnie czyścić.
Formularz rekrutacyjny to osobna sprawa
Jeśli na stronie masz zakładkę z ofertami pracy, obowiązują tam inne zasady niż przy zwykłym kontakcie. CV zawiera znacznie szerszy zakres danych, często wraz z historią zatrudnienia i wykształceniem, a bywa że kandydat dołącza informacje, o które nikt nie pytał.
Trzy rzeczy warto uporządkować. Po pierwsze, odrębna informacja przy formularzu rekrutacyjnym, wyjaśniająca cel i okres przechowywania dokumentów. Po drugie, osobna zgoda na przyszłe rekrutacje, jeśli chcesz zachować CV po zakończeniu bieżącego naboru — bez niej dokumenty powinny zostać usunięte. Po trzecie, faktyczne usuwanie, bo deklaracja w formularzu bez procedury po Twojej stronie niczego nie załatwia.
W praktyce najprościej ustalić stały rytm: raz na kwartał przegląd skrzynki rekrutacyjnej i usunięcie dokumentów starszych niż zadeklarowany okres. Piętnaście minut, a zamyka temat, który przy kontroli bywa jednym z pierwszych sprawdzanych.
5. Polityka prywatności bez kopiowania
Dokument, który praktycznie zawsze jest pobierany z internetu i praktycznie nigdy nie odpowiada rzeczywistości. Tymczasem napisanie sensownej wersji na podstawie listy z pierwszej sekcji zajmuje godzinę.
Polityka powinna odpowiadać na sześć pytań: kto jest administratorem danych wraz z danymi kontaktowymi, jakie dane są zbierane i w których miejscach, w jakim celu i na jakiej podstawie, jak długo są przechowywane, komu są przekazywane — czyli lista dostawców: hosting, poczta, analityka, system rezerwacji — oraz jakie prawa ma osoba, której dane dotyczą, i jak z nich skorzystać.
Największą wartość ma piąty punkt, bo wymusza uporządkowanie. Wypisanie listy podmiotów, do których trafiają dane, zwykle ujawnia narzędzia, o których nikt nie pamiętał, i brakujące umowy powierzenia.
Warto też podać datę ostatniej aktualizacji i przeglądać dokument przy każdej większej zmianie na stronie. Polityka wymieniająca narzędzie, którego nie używasz od dwóch lat, jest sygnałem, że nikt nad tym nie panuje.
6. Umowy powierzenia i podmioty przetwarzające
Obszar praktycznie nieobecny w świadomości małych firm, a dotyczący każdej strony z formularzem.
Jeśli dane z Twojej strony trafiają do zewnętrznego dostawcy — a trafiają zawsze, bo hosting przechowuje bazę danych — powstaje relacja, w której ten dostawca przetwarza dane w Twoim imieniu. Wymaga to odpowiedniej umowy. Większość poważnych dostawców udostępnia ją w panelu klienta albo jako część regulaminu; rzecz w tym, żeby sprawdzić, czy faktycznie jest zawarta.
Lista podmiotów, o których warto pamiętać przy typowej stronie firmowej: hosting przechowujący bazę i pliki, dostawca poczty, na którą przychodzą zgłoszenia, system rezerwacji albo CRM, jeśli formularz się z nim integruje, narzędzia analityczne i marketingowe, usługa kopii zapasowych przechowująca dane poza serwerem oraz wykonawca strony, jeśli ma stały dostęp do panelu.
Ostatni punkt bywa zaskoczeniem. Osoba utrzymująca stronę widzi zgłoszenia z formularzy i ma dostęp do bazy, więc formalnie przetwarza dane w Twoim imieniu. Warto uregulować to w umowie o opiekę techniczną — jest to standardowy element, a jego brak bywa wychwytywany przy audytach kontrahentów w B2B.
Co zrobić, gdy ktoś poprosi o usunięcie danych
Prędzej czy później przyjdzie taka wiadomość i warto wiedzieć wcześniej, jak zareagować, bo termin na odpowiedź jest ograniczony.
Pierwszy krok to ustalenie, gdzie te dane w ogóle są. Jeśli masz listę z pierwszej sekcji, zajmie to chwilę: skrzynka pocztowa, baza strony, ewentualnie CRM i kopie zapasowe. Bez takiej listy zaczyna się szukanie po omacku i właśnie wtedy okazuje się, że nikt nie wie, gdzie trafiają zgłoszenia z formularza sprzed dwóch lat.
Drugi krok to sprawdzenie, czy żądanie da się spełnić w całości. Część danych możesz mieć obowiązek zachować z innych powodów — na przykład dokumenty księgowe podlegają odrębnym terminom przechowywania. Wtedy usuwasz to, co możesz, i wyjaśniasz, dlaczego reszta zostaje.
Trzeci krok to odpowiedź w terminie, nawet jeśli sprawa jest w toku. Brak reakcji jest gorszy niż odpowiedź informująca, że sprawa jest rozpatrywana. Warto mieć przygotowany prosty szablon takiej wiadomości, żeby nie improwizować pod presją czasu.
7. Gdzie najczęściej są luki
Lista oparta na tym, co najczęściej znajduję, sprawdzając strony firmowe.
Baner, który nie blokuje. Opisany wyżej, zdecydowanie najczęstszy.
Formularz wysyłający na prywatną skrzynkę. Zgłoszenia z danymi klientów lądujące na darmowym koncie pocztowym założonym przez pracownika. Powinny trafiać na adres w domenie firmowej, do którego dostęp jest kontrolowany.
Kopie zapasowe bez kontroli. Kopia bazy danych zawiera wszystkie zgłoszenia z formularzy. Jeśli leży na dysku Google prywatnego konta wykonawcy, to problem, o którym nikt nie pomyślał.
Nieużywane wtyczki, które nadal działają. Czat, ankieta, mapa ciepła zainstalowana na testy. Nieaktywna w interfejsie, ale nadal ładująca skrypt i zbierająca dane.
Formularz rekrutacyjny bez odrębnej informacji. Zbiera CV, czyli znacznie szerszy zakres danych niż zwykły kontakt, a bardzo często dziedziczy tę samą krótką notkę co formularz kontaktowy.
Brak sposobu wycofania zgody. Baner zbiera zgodę, ale nie ma żadnego mechanizmu, żeby ją zmienić. Wystarczy odnośnik w stopce otwierający ponownie ustawienia.
8. Checklista zgodności
Do przejścia z otwartą stroną w oknie prywatnym. Nie zastępuje oceny prawnej, ale wykrywa większość realnych problemów technicznych.
Przejście tej listy zajmuje zwykle dwie–trzy godziny przy typowej stronie firmowej, a największą część czasu pochłania nie technika, tylko spisanie, co i gdzie właściwie trafia. Warto wykonać tę pracę raz porządnie i wracać do niej przy każdej większej zmianie na stronie — wtedy aktualizacja to kwadrans, a nie kolejne pół dnia od zera.
Na koniec warto odwrócić perspektywę. Zgodność z przepisami bywa traktowana jak przykry obowiązek, ale w praktyce większość opisanych tu działań poprawia stronę również z innych powodów. Krótszy formularz zwiększa liczbę zgłoszeń. Czcionki hostowane lokalnie przyspieszają ładowanie. Usunięcie nieużywanych wtyczek odciąża serwer i zmniejsza liczbę rzeczy, które mogą się zepsuć. Uporządkowana lista dostawców przydaje się przy każdej migracji i przy każdej zmianie wykonawcy strony, a wcześniej czy później oba te zdarzenia nastąpią.
Innymi słowy: robiąc to porządnie, załatwiasz przy okazji kilka spraw, które i tak trzeba by kiedyś zrobić, a które zwykle latami czekają na swoją kolej. To chyba najlepszy argument, żeby nie odkładać tego w nieskończoność — zwłaszcza że przy stronie, która już działa, jest to praca w większości jednorazowa, a nie stały koszt obciążający budżet w każdym kolejnym miesiącu funkcjonowania firmy.
8. FAQ – najczęstsze pytania
Czy zwykła strona wizytówka też musi mieć baner cookies?
Zależy od tego, co na niej działa. Jeśli strona nie używa żadnych skryptów zewnętrznych ani analityki i zapisuje wyłącznie pliki niezbędne do jej działania, baner zgody nie jest potrzebny — wystarczy informacja w polityce prywatności. W praktyce taka sytuacja jest rzadka, bo większość stron ma zainstalowaną analitykę, osadzoną mapę, czcionki z zewnętrznego serwera albo wtyczkę ładującą coś z obcej domeny. Każdy z tych elementów zwykle wymaga zgody przed uruchomieniem. Praktyczna rada: sprawdź, co strona faktycznie ładuje, zamiast zgadywać — sposób sprawdzenia opisuję w sekcji trzeciej.
Czy darmowa wtyczka do cookies wystarczy?
Część z nich tak, część nie — różnica polega na tym, czy wtyczka faktycznie blokuje skrypty, czy tylko wyświetla komunikat. Te drugie, zwane czasem banerami informacyjnymi, są bardzo popularne, bo instaluje się je w minutę i nic nie psują. Problem w tym, że nie spełniają swojej funkcji: skrypty ładują się i tak, niezależnie od kliknięcia użytkownika. Przy wyborze wtyczki szukaj informacji o blokowaniu skryptów przed zgodą oraz integracji z Google Tag Managerem albo trybem zgody. Po instalacji koniecznie zweryfikuj działanie, bo sama deklaracja producenta nie wystarcza.
Czy mogę użyć wzoru polityki prywatności z internetu?
Jako punktu wyjścia tak, jako gotowego dokumentu nie. Polityka prywatności ma opisywać, jakie dane zbiera Twoja strona, w jakim celu, jak długo je przechowujesz i komu je przekazujesz. Pobrany wzór opisuje cudzą sytuację — zwykle wymienia narzędzia, których nie używasz, i pomija te, których używasz. Dokument niezgodny ze stanem faktycznym jest gorszy niż jego brak, bo świadczy o tym, że nikt nie przeanalizował przetwarzania. Minimum, które trzeba zrobić samodzielnie: wypisać wszystkie miejsca, w których strona zbiera dane, i wszystkie usługi zewnętrzne, do których te dane trafiają.
Co grozi za brak zgodności?
Kary nakładane przez organ nadzorczy mogą być dotkliwe, ale w praktyce małe firmy częściej spotykają się z innymi konsekwencjami. Pierwszą jest skarga klienta albo konkurencji, która uruchamia postępowanie wyjaśniające i pochłania czas oraz koszty obsługi prawnej. Drugą, częstszą i bardziej wymierną, jest utrata danych: strona bez prawidłowych zgód ma niepełne albo nielegalnie zebrane dane analityczne, których nie można wykorzystać. Trzecią jest ryzyko przy sprzedaży firmy albo audycie kontrahenta — w B2B coraz częściej sprawdza się zgodność dostawców. Koszt doprowadzenia strony do porządku jest nieporównywalnie niższy niż każda z tych sytuacji.
