Cookies i RODO: co musi mieć strona firmowa
Prawie każda strona firmowa zbiera jakieś dane: formularz kontaktowy, statystyki odwiedzin, piksel reklamowy. Z tym wiążą się obowiązki wynikające z RODO i przepisów o cookies. Nie trzeba się ich bać, ale warto wiedzieć, czego dotyczą. Poniżej praktyczne podsumowanie, a nie porada prawna.
Dwa zestawy przepisów
RODO dotyczy danych osobowych: imienia, adresu e-mail, numeru telefonu, a także identyfikatorów, po których da się rozpoznać osobę, np. w statystykach. Obowiązuje każdą firmę, która takie dane zbiera, niezależnie od jej wielkości.
Osobno są przepisy o cookies, czyli o zapisywaniu informacji w przeglądarce odwiedzającego. W Polsce od listopada 2024 roku reguluje to Prawo komunikacji elektronicznej. Zasada jest prosta: na wszystko, co nie jest niezbędne do działania strony, potrzebna jest zgoda.
Które cookies wymagają zgody
Cookies dzieli się zwykle na cztery grupy:
- Niezbędne, np. koszyk, logowanie albo zapamiętanie decyzji o cookies. Nie wymagają zgody.
- Analityczne, np. Google Analytics. Wymagają zgody.
- Marketingowe: piksele reklamowe, remarketing, Google Ads, Meta. Wymagają zgody.
- Treści z zewnątrz: filmy z YouTube, mapy, czaty. Często zapisują własne cookies, więc też warto objąć je zgodą.
Dobry baner zgody
Urząd Ochrony Danych Osobowych i jego europejskie odpowiedniki zwracają uwagę na kilka rzeczy. Baner jest w porządku, gdy:
- „Odrzuć” jest tak samo widoczne i łatwe jak „Akceptuj”, od razu, a nie schowane w ustawieniach.
- Żadna zgoda nie jest zaznaczona z góry, poza niezbędnymi cookies.
- Narzędzia analityczne i reklamowe nie uruchamiają się przed decyzją.
- Odwiedzający może w każdej chwili zmienić zdanie, np. przez link w stopce.
- Opis mówi prostym językiem, kto i po co zbiera dane.
Polityka prywatności
Polityka prywatności to dokument, w którym informujesz, co robisz z danymi. Powinna zawierać:
- Kto jest administratorem danych: nazwa firmy, adres i dane kontaktowe.
- Jakie dane zbierasz, w jakim celu i na jakiej podstawie prawnej.
- Komu je przekazujesz, np. firmie hostingowej, dostawcy poczty, Google.
- Jak długo je przechowujesz.
- Jakie prawa ma odwiedzający: dostęp, sprostowanie, usunięcie, sprzeciw i skarga do UODO.
- Jakich cookies używa strona.
Formularz kontaktowy
Formularz zbiera dane osobowe, więc przy nim powinna być krótka informacja: kto jest administratorem, w jakim celu dane są przetwarzane i link do polityki prywatności. Do odpowiedzi na zapytanie nie potrzebujesz osobnej zgody, bo odpowiadasz na prośbę samego klienta.
Zgoda jest potrzebna dopiero wtedy, gdy chcesz użyć tych danych do czegoś więcej, np. do wysyłki newslettera. Takie pole nie może być zaznaczone z góry ani wymagane do wysłania wiadomości.
Najczęstsze błędy
Na stronach, które sprawdzam przy audytach, najczęściej widzę:
- Google Analytics albo piksel Meta działające od pierwszego wejścia, zanim ktoś cokolwiek kliknie.
- Baner z jednym przyciskiem „OK” albo z odmową schowaną w drugim oknie.
- Politykę prywatności skopiowaną z innej strony, z cudzymi danymi albo usługami, z których firma nie korzysta.
- Brak sposobu, żeby zmienić decyzję o cookies po jej podjęciu.
Cookies a narzędzia Google
Jeśli używasz Google Analytics albo Google Ads, sam baner to nie wszystko. Decyzję odwiedzającego trzeba jeszcze przekazać do narzędzi Google i do tego służy Consent Mode v2. Bez niego Google Ads nie zbuduje list remarketingowych z wizyt z Europy i gorzej policzy konwersje. Wyjaśniam to w osobnym wpisie o Consent Mode v2.
Chcesz porozmawiać o swojej stronie?
Zobacz usługę: Audyt i optymalizacja, albo napisz kilka zdań o firmie.
