Polityka prywatności: nie wystarczy poinformować o cookies

Stan ten ulegnie zmianie wraz z przyjęciem rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Co prawda w projekcie rozporządzenia proponuje się utrzymanie – na zasadach zbliżonych do obowiązujących – obowiązków informacyjnych związanych z gromadzeniem danych osobowych oraz towarzyszących dalszemu przetwarzaniu danych, niemniej art. 11 projektu zobowiązuje administratorów danych do dysponowania przejrzystymi i łatwo dostępnymi politykami w zakresie przetwarzania osobowych i wykonywania praw przez osoby, których dane dotyczą.

Naruszenie tego obowiązku ma być zagrożone karą finansową nakładaną przez organ nadzorczy (będzie to Generalny Inspektor Ochrony Danych Osobowych). Monitorowanie wykonania i stosowania polityk w zakresie ochrony danych osobowych będzie należeć do zadań inspektora ochrony danych (w projekcie rozporządzenia następca administratora bezpieczeństwa informacji).

Warto wiedzieć

Skoro więc posługiwanie się polityką prywatności będzie za kilka lat obowiązkowe, a już dzisiaj jest dobrze postrzegane, na co zwracać uwagę przy konstruowaniu tego rodzaju dokumentów? Po pierwsze należy pamiętać, że – obecnie, jak i pod rządami rozporządzenia – nie zastąpią one wykonania obowiązków informacyjnych związanych z gromadzeniem i przetwarzaniem danych osobowych. Dotyczy to tych wszystkich obowiązków polegających na przekazywaniu informacji – dobrym przykładem tego, czego nie należy robić, może więc być praktyka polegająca na posługiwaniu się dokumentami w rodzaju „Polityką plików cookies". Otóż wyrażenie zgody na zainstalowanie plików cookies może nastąpić po otrzymaniu przez abonenta lub użytkownika końcowego informacji o celu przechowywania i uzyskiwania dostępu do pliku cookie oraz o możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi (art. 173 ustawy Prawo telekomunikacyjne). Przed wyrażeniem zgody należy więc podać informacje wymagane przez prawo – praktyka polegająca natomiast na przekazywaniu informacji o samym fakcie instalowania plików cookies, a w pozostałym zakresie na odsyłaniu do „Polityki ...", jest praktyką błędną.

Po drugie, przygotowując politykę prywatności, lepiej napisać za mało, niż za dużo. Z jednej strony powstaje bowiem ryzyko wprowadzenia osoby, której dane dotyczą, w błąd np. co do stosowanych zasad zabezpieczenia danych osobowych – stworzenie wobec konsumentów wrażenia, że stosuje się najbardziej zaawansowane technicznie rozwiązania gwarantujące pełne bezpieczeństwo danych osobowych może zostać nawet uznane za nieuczciwą praktykę rynkową, jeżeli wpływa na zachowania rynkowe tychże konsumentów. Z drugiej strony, polityka nie powinna też ujawniać informacji, których ujawnienie może obniżyć poziom bezpieczeństwa danych osobowych, np. poprzez podanie do wiadomości publicznej szczegółów stosowanych środków zabezpieczeń. Sama treść tego rodzaju dokumentu też nie powinna być prostym przepisaniem obowiązujących przepisów prawa – zamiast tego, dobrze jest opisać konkretne stosowane procedury i rozwiązania, np. w zakresie odwołania zgody na przetwarzanie danych osobowych.

Po trzecie wreszcie, dobrze jest ograniczać do absolutnego minimum ilość dokumentów, regulaminów i innych polityk, którymi posługuje się administrator danych (i do których odwołuje się strona internetowa). Skoro ustawa o świadczeniu usług drogą elektroniczną wymaga opracowania regulaminu, to należy go opracować. Skoro chcemy (a w przyszłości będziemy musieli) przygotować politykę prywatności, to taki dokument przygotujmy. Ale po co tworzyć odrębną polityką dotyczącą plików cookies, skoro można to opisać w polityce prywatności? Analogicznie, informacje o szczególnych zagrożeniach związanych z korzystaniem z usługi świadczonej drogą elektroniczną (art. 6 pkt. 1 ustawy o świadczeniu usług drogą elektroniczną), czy o możliwości korzystania z usługi za pomocą pseudonimu (art. 22 pkt 1 ustawy o świadczeniu usług drogą elektroniczną) lepiej będzie zawrzeć w polityce prywatności, zamiast tworzyć odrębne dokumenty. Dzięki temu stosowane dokumenty będą bardziej przejrzyste, a osoby, których dane dotyczą, będą mogły z nich korzystać z lepszym dla siebie skutkiem.

dr Paweł Litwiński – adwokat, partner w Barta Litwiński Kancelaria Radców Prawnych i Adwokatów, Instytut Allerhanda w Krakowie