WordPress a RODO – co musi mieć strona firmowa, żeby być zgodna z przepisami
RODO brzmi jak temat dla prawników, ale w praktyce większość obowiązków dla małej strony firmowej sprowadza się do kilku konkretnych rzeczy. Nie jestem prawnikiem i ten wpis nie jest poradą prawną – pokazuję, gdzie technicznie strona na WordPressie dotyka danych osobowych i co z tym zrobić.
Gdzie strona firmowa zbiera dane osobowe?
- Formularz kontaktowy – imię, e-mail, telefon, treść wiadomości.
- Komentarze – nazwa, e-mail, adres IP.
- Narzędzia analityczne – np. Google Analytics, które zapisuje identyfikatory i dane o urządzeniu.
- Osadzone treści – filmy YouTube, mapy Google, czcionki Google, przyciski mediów społecznościowych – wszystkie mogą wysyłać dane (w tym IP) do zewnętrznych firm.
- Newsletter i sklep – adresy e-mail, dane do wysyłki, historia zamówień.
1. Polityka prywatności – co musi zawierać
Podstrona, która jasno mówi: kto jest administratorem danych, jakie dane i w jakim celu są zbierane, na jakiej podstawie, jak długo są przechowywane, komu są przekazywane (hosting, systemy zewnętrzne) i jakie prawa ma użytkownik. Link do niej powinien być w stopce i przy każdym formularzu.
2. Zgody przy formularzach
Przy formularzu kontaktowym wystarczy zwykle jasna informacja i zaznaczenie zgody na przetwarzanie danych w celu odpowiedzi. Zgoda musi być dobrowolna i konkretna – nie wolno jej domyślnie zaznaczać ani łączyć kilku zgód w jedną. Osobna zgoda jest potrzebna, jeśli chcesz wykorzystać e-mail do marketingu (np. newslettera).
Najczęstszy błąd małych stron to baner cookies, który niczego nie blokuje – skrypty śledzące i tak ładują się od razu. To gorsze niż brak banera, bo daje złudzenie zgodności.
3. Cookies i zgoda, która działa
Jeśli używasz narzędzi, które zapisują pliki cookies w celach analitycznych lub marketingowych (np. Google Analytics, piksel Facebooka), baner zgody musi naprawdę wstrzymać te skrypty do momentu akceptacji – a nie tylko wyświetlić komunikat. Ciekawostka: statystyki bez cookies (np. Umami, Matomo w trybie bez cookies) często w ogóle nie wymagają banera, bo nie zapisują danych identyfikujących użytkownika.
4. Dane u podmiotów zewnętrznych
Twój hosting, system poczty, newsletter czy bramka płatnicza przetwarzają dane w Twoim imieniu. To wymaga tzw. umowy powierzenia przetwarzania danych – renomowani dostawcy udostępniają ją w swoich regulaminach. Zrób listę wszystkich usług, którym Twoja strona przekazuje dane.
5. Bezpieczeństwo to też RODO
RODO wymaga „odpowiednich środków technicznych” ochrony danych. Włamanie, w którym wyciekną dane klientów, to naruszenie, które trzeba zgłosić do UODO (zwykle w ciągu 72 godzin), a czasem powiadomić samych klientów. Dlatego aktualizacje, kopie zapasowe, HTTPS i hardening to nie tylko bezpieczeństwo – to także element zgodności z RODO.
Minimum dla strony firmowej:
- Aktualna polityka prywatności, podlinkowana w stopce i przy formularzach.
- Dobrowolne, konkretne zgody przy formularzach (osobna na marketing).
- Baner cookies, który realnie blokuje skrypty – albo statystyki bez cookies.
- Lista podmiotów, którym przekazujesz dane, i umowy powierzenia.
- HTTPS, kopie zapasowe i podstawowe zabezpieczenia.
- Świadomość, co zrobić w razie wycieku danych.
Chcesz sprawdzić techniczną stronę zgodności – HTTPS, formularze, zewnętrzne skrypty? Napisz po bezpłatną diagnozę, a przejrzę to razem z bezpieczeństwem strony.
Najczęstsze pytania
Czy strona firmowa na WordPressie musi mieć politykę prywatności?
Tak, jeśli zbiera jakiekolwiek dane – przez formularz kontaktowy, zapis na powiadomienia czy statystyki odwiedzin. Polityka prywatności oraz informacja o administratorze danych to podstawowy wymóg RODO.
Czy formularz kontaktowy wymaga zgody RODO?
Tak. Pod formularzem powinna znaleźć się zgoda na przetwarzanie danych w celu odpowiedzi na zapytanie oraz odnośnik do polityki prywatności. Zgoda musi być dobrowolna i nie może być zaznaczona domyślnie.
Czy Google Analytics jest zgodny z RODO?
Wymaga zgody użytkownika (baner cookies) i ostrożności przy transferze danych poza Unię Europejską. Prostszą i bezpieczniejszą alternatywą są statystyki bez ciasteczek, np. Umami – nie wymagają banera i nie zbierają danych pozwalających zidentyfikować odwiedzającego.
Potrzebujesz pomocy z tym tematem?
MAQ Enterprise zajmie się tym za Ciebie – od jednorazowego audytu po stałą opiekę nad stroną. Zadzwoń: +48 604 790 398 lub napisz.
Napisz do mnie
