Generator polityki prywatności i cookies pomaga uporządkować informacje, które powinny odpowiadać rzeczywistemu działaniu serwisu. Nie chodzi o stworzenie jak najdłuższego dokumentu, lecz o zgodność między tym, co użytkownik czyta, a tym, co rzeczywiście dzieje się po wejściu na stronę, wysłaniu formularza albo wyrażeniu zgody na analitykę czy reklamy.
Najczęstszy błąd to kopiowanie polityki z innej strony. Taki dokument może wymieniać narzędzia, których w serwisie nie ma, albo pomijać usługi faktycznie uruchomione. Generator ma temu przeciwdziałać przez powiązanie treści z konkretnymi polami.
Co powinien zawierać obowiązek informacyjny RODO?
Jeżeli dane są zbierane bezpośrednio od użytkownika, art. 13 RODO wymaga przekazania szeregu informacji. W praktycznej polityce trzeba opisać przede wszystkim administratora i dane kontaktowe, cele i podstawy prawne, odbiorców lub ich kategorie, ewentualne transfery poza EOG, okres przechowywania albo kryteria jego ustalania oraz prawa osoby.
Nie każde prawo działa w każdym przypadku. Przykładowo prawo do przenoszenia danych ma inne warunki niż prawo sprzeciwu. Dlatego poprawiona wersja generatora używa sformułowania „w zależności od podstawy i okoliczności”, zamiast obiecywać automatycznie cały katalog praw dla każdego procesu.
Jeżeli administrator wyznaczył Inspektora Ochrony Danych, należy również podać dane kontaktowe IOD. Sam fakt posiadania strony internetowej nie oznacza jednak automatycznie obowiązku jego wyznaczenia.
Cookies po wejściu Prawa komunikacji elektronicznej
Od 10 listopada 2024 r. kwestie zapisywania i odczytywania informacji w urządzeniu końcowym reguluje w Polsce m.in. art. 399 ustawy – Prawo komunikacji elektronicznej. Zasada jest prosta: użytkownik powinien zostać wcześniej jasno poinformowany o celu, a następnie wyrazić zgodę, chyba że zapis lub odczyt jest konieczny do transmisji albo dostarczenia usługi żądanej przez użytkownika.
Dlatego sam tekst „korzystając ze strony zgadzasz się na cookies” nie jest dobrym wzorcem dla niekoniecznej analityki lub reklamy. Niekonieczne mechanizmy powinny pozostać zablokowane do czasu właściwego wyboru użytkownika.
Przepisy mówią szerzej o informacji przechowywanej w urządzeniu i dostępie do niej, więc nie warto ograniczać dokumentu wyłącznie do plików o nazwie „cookie”. W praktyce mogą znaczenie mieć również inne identyfikatory, pamięć lokalna, piksele lub podobne technologie.
Akceptuj, odrzuć i ustawienia – jak powinien działać mechanizm zgód?
Jeżeli serwis korzysta z niekoniecznej analityki, reklamy albo zewnętrznych elementów wymagających zgody, użytkownik powinien móc dokonać realnego wyboru. Zgoda nie powinna być wymuszona jako warunek dostępu do zwykłej treści, jeżeli dana technologia nie jest potrzebna do świadczenia usługi.
W praktyce mechanizm powinien umożliwiać akceptację, odrzucenie funkcji opcjonalnych i – gdy kategorie są rozdzielone – zarządzanie nimi. RODO wymaga też, aby wycofanie zgody było równie łatwe jak jej udzielenie. Dlatego w kalkulatorze znajduje się osobne pole opisujące, gdzie użytkownik może ponownie otworzyć ustawienia.
Sam baner nie wystarczy, jeżeli tagi analityczne lub reklamowe są już wykonywane przed dokonaniem wyboru. Trzeba sprawdzić również techniczną kolejność ładowania skryptów.
GA4, AdSense, Meta Pixel i inne narzędzia – dlaczego jedna formułka nie wystarcza?
Ta sama nazwa usługi może działać w różnych konfiguracjach. GA4 może mieć inne ustawienia retencji i funkcji reklamowych; Matomo może być self-hosted albo cloud i działać z cookies lub bez nich; YouTube może być osadzony w różny sposób. Z tego powodu generator nie wpisuje już automatycznie jednego okresu „12–24 miesiące” dla całej polityki.
Przy każdym narzędziu trzeba sprawdzić: jaki dostawca otrzymuje dane, jakie informacje są wysyłane, w jakim celu, na jakiej podstawie, kiedy skrypt się uruchamia, jak długo dane są przechowywane i czy występuje transfer poza EOG.
Jeżeli zmienisz konfigurację narzędzia, sama nazwa w polityce może pozostać taka sama, ale opis przetwarzania już nie. Dlatego dokument powinien być aktualizowany również po zmianach w Consent Mode, funkcjach reklamowych, retencji czy sposobie osadzania treści.
Transfer danych do USA i poza EOG
Nie należy automatycznie pisać, że każdy transfer do USA opiera się na standardowych klauzulach umownych. Komisja Europejska wydała decyzję o adekwatności dla EU–US Data Privacy Framework, ale obejmuje ona wyłącznie amerykańskie organizacje uczestniczące w tym programie.
Jeżeli konkretny odbiorca kwalifikuje się do decyzji adekwatności, transfer może korzystać z tego mechanizmu. Gdy nie ma decyzji adekwatności, trzeba zweryfikować właściwe zabezpieczenie, np. standardowe klauzule umowne i dodatkowe wymagania dotyczące konkretnego transferu.
Dlatego generator używa ostrożnej informacji o konieczności sprawdzenia faktycznego łańcucha transferów zamiast przypisywania jednego mechanizmu wszystkim usługom Google, Meta czy innym dostawcom.
Retencja danych – nie ustawiaj jednej liczby dla wszystkiego
Dane z formularza kontaktowego, logi techniczne, dane newslettera i identyfikatory analityczne mają inne cele i dlatego często powinny mieć inne okresy przechowywania. „24 miesiące dla wszystkich danych” może wyglądać prosto, ale może nie odpowiadać rzeczywistej konfiguracji.
RODO pozwala podać konkretny okres albo – gdy nie da się go z góry dokładnie określić – kryteria jego ustalania. W przypadku roszczeń znaczenie może mieć okres przedawnienia, a przy newsletterze moment wycofania zgody. Dla logów trzeba sprawdzić konfigurację hostingu lub własnego serwera.
W generatorze osobno podajesz retencję kontaktu i logów, a dla usług zewnętrznych otrzymujesz przypomnienie o sprawdzeniu rzeczywistych ustawień.
Przykład: landing z formularzem i GA4
Załóżmy, że strona ma formularz kontaktowy, standardowe logi serwera i GA4. W generatorze zaznaczasz kontakt, analitykę, bezpieczeństwo i GA4. Dla formularza dokument opisze obsługę korespondencji oraz możliwość zastosowania art. 6 ust. 1 lit. b RODO, jeżeli zapytanie prowadzi do zawarcia umowy. Dla analityki pojawi się informacja o zgodzie na niekonieczny zapis lub odczyt z urządzenia.
Następnie sprawdzasz w swojej konfiguracji GA4 retencję i to, czy dodatkowe funkcje reklamowe są aktywne. Jeżeli nie używasz Google Ads ani AdSense, nie zaznaczasz ich w generatorze tylko dlatego, że są usługami tej samej firmy.
Na końcu testujesz stronę bez zgody. Jeżeli GA4 lub inne niekonieczne identyfikatory nadal się uruchamiają, poprawa samej polityki nie rozwiązuje problemu – trzeba zmienić konfigurację techniczną.
Ciekawostka
Najlepsza polityka prywatności nie jest najdłuższa. Najbardziej użyteczna jest ta, która pozwala użytkownikowi szybko odpowiedzieć na pytania: kto ma moje dane, po co, na jakiej podstawie, jak długo, komu je przekazuje i jak mogę skorzystać ze swoich praw.
Najczęstsze błędy w politykach prywatności i cookies
- Cookies uruchamiane przed zgodą – dokument nie naprawi błędnej konfiguracji technicznej.
- Jedna podstawa prawna dla wszystkich celów – kontakt, umowa, bezpieczeństwo, newsletter i reklamy mogą opierać się na innych podstawach.
- Automatyczne „zgoda lub umowa” – użytkownik powinien móc zrozumieć, kiedy działa konkretna podstawa.
- Jedna retencja dla wszystkiego – okres przechowywania powinien odpowiadać danemu celowi i konfiguracji.
- Ogólny zapis o USA – trzeba sprawdzić rzeczywistego odbiorcę i aktualny mechanizm transferu.
- Brak możliwości zmiany decyzji – użytkownik powinien łatwo wrócić do ustawień zgód.
- Narzędzia wpisane „na zapas” – polityka ma opisywać realny serwis, nie hipotetyczne funkcje.
Wskazówka od KalkulatorXXL
Po każdej większej zmianie strony wykonaj krótki audyt: otwórz serwis w nowej sesji, odrzuć opcjonalne zgody i sprawdź, jakie żądania sieciowe oraz identyfikatory powstają. Następnie porównaj wynik z polityką. To znacznie skuteczniejsze niż dopisywanie kolejnych ogólnych akapitów.
Dla ucznia i studenta: jak odróżnić RODO od przepisów o cookies?
RODO reguluje przetwarzanie danych osobowych. Art. 399 Prawa komunikacji elektronicznej dotyczy natomiast przechowywania informacji w urządzeniu końcowym lub uzyskiwania dostępu do informacji już tam zapisanej. Te dwa reżimy mogą działać jednocześnie.
Przykład: analityczny identyfikator zapisany w przeglądarce może wymagać zgody na zapis/odczyt na podstawie PKE, a jeżeli powiązane informacje stanowią dane osobowe, dalsze przetwarzanie musi mieć również podstawę zgodną z RODO. Dlatego samo stwierdzenie „cookies są anonimowe” nie powinno zastępować analizy faktycznego przepływu danych.
Powiązane narzędzia
FAQ – polityka prywatności, cookies, RODO i zgody
Podstawy i źródła: RODO (w szczególności art. 6, 7, 8 i 13), ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (w szczególności art. 399–400), materiały UODO oraz informacje Komisji Europejskiej o transferach międzynarodowych i EU–US Data Privacy Framework.
Ostatnia aktualizacja: 30.08.2026