Polityka prywatności, którą da się przeczytać
Rozporządzenie wymaga formy „zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej, jasnym i prostym językiem”. Typowy tekst z generatora nie spełnia żadnego z tych czterech wymogów – i sam przez to jest naruszeniem.
Obowiązek informacyjny to nie klocek tekstowy, lecz udzielenie informacji. Ma pozwolić osobie zrozumieć, co dzieje się z jej danymi – i na tej podstawie zdecydować, czy się z tym godzi. Tekst, którego nikt nie doczyta, chybił tego celu, choćby był najpełniejszy.
Treść obowiązkowa
- Kto jest administratorem – z danymi kontaktowymi, a jeśli jest, także inspektora ochrony danych.
- Jakie cele są realizowane – pojedynczo, nie jako lista możliwości.
- Na jakiej podstawie prawnej – wskazanej dla każdego celu. Przy uzasadnionym interesie dodatkowo jakim.
- Kto otrzymuje dane – odbiorcy lub przynajmniej kategorie, a na żądanie konkretne nazwy.
- Jak długo dane są przechowywane – albo według jakich kryteriów ustala się okres.
- Jakie prawa przysługują – w tym cofnięcie zgody, sprzeciw i skarga do organu nadzorczego.
- Czy następuje przekazanie do państw trzecich i na jakiej podstawie.
- Czy podanie danych jest wymagane i jakie są skutki jego braku.
Różnicę robi układ
Dwa układy tej samej treści
Najczęstsze braki
- Usługi, których się nie używa. Tekst z generatora wymienia dostawców, których na tej stronie nie ma – i bywa, że pomija tych, którzy są.
- Podstawy prawne w trybie przypuszczającym. „Przetwarzanie może opierać się na art. 6 ust. 1 lit. a, b lub f” to nie informacja, lecz wyliczenie.
- Brak okresów przechowywania. „Tak długo, jak to konieczne” powtarza tylko ustawę, zamiast ją wypełnić treścią.
- Nieaktualny stan. Tekst powstaje raz i nigdy nie jest ruszany – podczas gdy osadzone usługi wciąż się zmieniają.
Przeciw ostatniemu punktowi pomaga prosta zasada: tekst zmienia się zawsze wtedy, gdy usługa dochodzi albo odpada – w tym samym kroku pracy, nie w późniejszym. Kto to przyjmie, nie potrzebuje corocznego przeglądu, bo polityka nigdy się nie starzeje.