Polityka prywatności kancelarii - wymagania RODO i wzór do pobrania

Polityka prywatności nie jest nazwanym obowiązkiem. Informacja - tak

W RODO nie ma przepisu nakazującego opublikowanie podstrony zatytułowanej "Polityka prywatności". Są natomiast konkretne obowiązki informacyjne. Gdy kancelaria pozyskuje dane bezpośrednio od osoby, zastosowanie ma art. 13 RODO. Gdy dane pochodzą z innego źródła, punktem wyjścia jest art. 14 RODO wraz z przewidzianymi tam terminami i wyjątkami.

Podstrona z polityką jest użytecznym sposobem wykonania znacznej części tych obowiązków wobec użytkowników serwisu. Sama obecność linku w stopce nie rozwiązuje jednak wszystkiego. Informacja powinna być dostępna w chwili pozyskiwania danych. Przy formularzu kontaktowym potrzebny jest więc czytelny odnośnik lub pierwsza warstwa informacji, zanim użytkownik wyśle dane.

Art. 12 RODO wymaga formy zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej. Dokument może być szczegółowy, ale powinien mieć logiczną hierarchię, jasne nagłówki i język opisujący faktyczny proces. Kopia rozporządzenia bez wyjaśnienia, co robi dana kancelaria, nie realizuje celu przejrzystości.

Zacznij od mapy danych, nie od wzoru

Przed redakcją dokumentu warto wykonać krótki audyt strony. Trzeba sprawdzić formularze, skrzynki e-mail, logi serwera, narzędzia statystyczne, mapy, osadzone filmy, reCAPTCHA, zewnętrzne czcionki, system rezerwacji, newsletter, chat oraz moduły rekrutacyjne. Każdy z tych elementów może tworzyć osobny cel, kategorię odbiorców, okres retencji albo transfer danych.

Kancelaria powinna też ustalić role podmiotów. Dostawca hostingu lub poczty często działa jako podmiot przetwarzający, ale dostawca zewnętrznej platformy może być odrębnym administratorem dla części operacji. Nie należy automatycznie nazywać wszystkich "partnerami" ani deklarować umów powierzenia, których faktycznie nie zawarto.

Osobno trzeba rozdzielić informacje zebrane przez stronę od dokumentacji związanej z udzielaniem pomocy prawnej. Zapytanie przez formularz może z czasem stać się częścią akt sprawy, ale nie oznacza to, że wszystkie osoby odwiedzające serwis podlegają identycznej retencji jak klient reprezentowany w postępowaniu.

• jakie pola zawierają formularze i które są naprawdę konieczne
• dokąd trafiają wiadomości i czy kopia pozostaje w bazie strony
• jak długo hosting przechowuje logi oraz kopie zapasowe
• które połączenia z zewnętrznymi domenami występują przed zgodą
• czy używane są narzędzia analityczne, reklamowe lub nagrania sesji
• czy dane mogą trafić poza Europejski Obszar Gospodarczy
• kto ma dostęp do poczty, panelu strony i systemu kancelarii

Co powinna zawierać informacja z art. 13 RODO?

Jeżeli dane pochodzą od osoby, polityka lub powiązana klauzula powinna obejmować co najmniej elementy wskazane w art. 13 ust. 1 i 2 RODO. Nie każdy element wymaga osobnego rozdziału, ale użytkownik powinien móc łatwo odnaleźć odpowiedź na każde z poniższych pytań.

Jeżeli kancelaria pozyskuje dane z rejestru, od klienta, przeciwnika procesowego albo innego źródła, trzeba odrębnie ocenić art. 14 RODO, przepisy sektorowe i możliwe wyjątki. Polityka serwisu internetowego nie powinna udawać kompletnej klauzuli dla wszystkich uczestników każdej sprawy.

Czy w polityce prywatności trzeba podać adres?

Odpowiedź wymaga rozdzielenia dwóch podstaw. Art. 13 ust. 1 lit. a RODO mówi o tożsamości i danych kontaktowych administratora. Nie wymienia wprost obowiązkowego zestawu kanałów ani nie posługuje się sformułowaniem "adres siedziby". Dane muszą jednak pozwalać jasno zidentyfikować administratora i skutecznie się z nim skontaktować.

Dla strony kancelarii znaczenie ma również art. 5 ustawy o świadczeniu usług drogą elektroniczną. Usługodawca ma podać w sposób wyraźny, jednoznaczny i bezpośrednio dostępny adresy elektroniczne oraz imię, nazwisko, miejsce zamieszkania i adres albo nazwę lub firmę, siedzibę i adres. Osoba wykonująca zawód regulowany podaje dodatkowo między innymi samorząd zawodowy, tytuł, państwo jego przyznania, numer i nazwę rejestru oraz informację o zasadach etyki.

W praktyce dane te mogą znaleźć się w polityce prywatności, stopce, zakładce kontaktowej lub w kilku spójnych miejscach. Nie warto twierdzić, że sam art. 13 RODO zawsze nakazuje konkretnie adres pocztowy. Jednocześnie kancelaria świadcząca usługi drogą elektroniczną nie powinna pomijać obowiązków identyfikacyjnych wynikających z polskiej ustawy.

Jeżeli siedziba działalności jest jednocześnie adresem domowym, nie należy wpisywać fikcyjnego adresu ani automatycznie zastępować go skrytką pocztową. Sposób publikacji danych warto ustalić w odniesieniu do formy działalności, wpisów rejestrowych i faktycznego miejsca świadczenia usług.

Jak długo przechowywać dane ze strony?

RODO nie ustanawia jednego terminu dla formularzy, e-maili, logów i newslettera. Art. 5 ust. 1 lit. e nakazuje ograniczyć przechowywanie do okresu niezbędnego dla celu. Art. 13 ust. 2 lit. a wymaga natomiast podania okresu lub kryteriów jego ustalania. UODO podkreśla, że ogólna formuła "tak długo, jak jest to niezbędne" nie pozwala osobie ocenić czasu retencji i jest niewystarczająca.

Termin powinien wynikać z procesu. Niezaakceptowane zapytanie ofertowe można przechowywać przez krótki, uzasadniony okres potrzebny do zamknięcia korespondencji i obrony przed ewentualnym zarzutem. Dane klienta, dokumenty księgowe, historia zgody, logi bezpieczeństwa i kopie zapasowe mają inne cele oraz inne momenty rozpoczęcia biegu terminu.

Kryterium może być dopuszczalne, jeżeli jest na tyle konkretne, by użytkownik rozumiał skutek. Przykład: "do zakończenia korespondencji, a następnie do upływu okresu potrzebnego do ustalenia, dochodzenia lub obrony roszczeń" wymaga jeszcze wskazania, jakie terminy przedawnienia administrator bierze pod uwagę. Najlepiej prowadzić wewnętrzną tabelę retencji i okresowo weryfikować, czy systemy rzeczywiście usuwają dane.

Formularz kontaktowy: mniej pól, mniej ryzyka

Formularz kancelarii nie powinien zachęcać do przesyłania pełnego opisu sprawy, skanów dokumentów, danych zdrowotnych lub danych osób trzecich, jeżeli na pierwszym etapie wystarczy adres strony, temat i możliwość oddzwonienia. Zasada minimalizacji z art. 5 ust. 1 lit. c RODO ma wymiar praktyczny: każde dodatkowe pole zwiększa zakres odpowiedzialności i skutki ewentualnego naruszenia.

Przy formularzu należy wskazać cel, administratora lub łatwy dostęp do tych informacji oraz link do pełnej polityki. Checkbox nie jest automatycznie potrzebny do zwykłej odpowiedzi na zapytanie. Zgoda nie powinna zastępować właściwej podstawy z art. 6 ust. 1 lit. b lub f, jeżeli użytkownik sam inicjuje kontakt dotyczący usługi.

Osobna, dobrowolna zgoda może być potrzebna do newslettera albo dalszego marketingu. Nie należy łączyć jej z obowiązkowym polem pozwalającym wysłać podstawowe zapytanie. W pierwszej wiadomości dobrze jest też ostrzec, aby nie przesyłać danych dotyczących konkretnej sprawy, dopóki kancelaria nie potwierdzi bezpiecznego kanału i możliwości przyjęcia zlecenia.

Dane internetowe a tajemnica zawodowa

Prawo o adwokaturze i ustawa o radcach prawnych ograniczają zastosowanie niektórych praw z RODO, gdy ich wykonanie naruszałoby tajemnicę zawodową. W obu ustawach nie stosuje się również art. 21 ust. 1 RODO do danych pozyskanych w związku z udzielaniem pomocy prawnej. Polityka strony może sygnalizować te ograniczenia, ale nie powinna przenosić ich automatycznie na zwykłe dane analityczne lub marketingowe.

Art. 16c Prawa o adwokaturze wskazuje między innymi 10-letni okres liczony od końca roku, w którym zakończyło się postępowanie, dla danych przetwarzanych przez adwokatów w ramach wykonywania zawodu, oraz nakazuje ich usunięcie po upływie tego okresu. Brzmienie przepisu trzeba stosować do konkretnej dokumentacji, zwłaszcza gdy pomoc prawna nie była związana z postępowaniem.

W przypadku radców prawnych szczególne znaczenie ma nowelizacja ogłoszona 5 czerwca 2026 r. Art. 5c w aktualnym brzmieniu przewiduje dla przypadków nieuregulowanych w ust. 1 okres niezbędny do realizacji zadań, nie dłuższy niż 10 lat od końca roku pozyskania danych, oraz przegląd nie rzadziej niż raz na dwa lata. Zakres zastosowania tej normy należy oceniać wobec konkretnego procesu, a nie kopiować mechanicznie rozwiązania z Prawa o adwokaturze.

Najbezpieczniej oddzielić politykę serwisu od klauzul przekazywanych klientom i innym osobom w związku z pomocą prawną. Dokument internetowy może wyjaśniać relację między tymi reżimami, ale nie zastąpi analizy akt, tajemnicy, podstaw z art. 9 i 10 RODO ani zasad dostępu dostawców IT.

Cookies po wejściu w życie Prawa komunikacji elektronicznej

Od 10 listopada 2024 r. podstawową polską regulacją przechowywania informacji lub uzyskiwania dostępu do informacji w urządzeniu użytkownika jest art. 399 Prawa komunikacji elektronicznej. Użytkownik musi zostać uprzednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały, a następnie wyrazić zgodę. Art. 400 PKE odsyła przy ocenie zgody do przepisów o ochronie danych osobowych.

Wyjątek obejmuje mechanizmy konieczne do wykonania transmisji albo dostarczenia usługi żądanej przez użytkownika. Nie oznacza to, że wszystko, co właściciel strony uważa za przydatne, jest niezbędne. Statystyka, reklama, personalizacja i osadzone narzędzia podmiotów trzecich wymagają oceny przed uruchomieniem.

Baner powinien blokować technologie opcjonalne do czasu wyboru, umożliwiać odmowę bez projektowania presji oraz pozostawiać łatwo dostępne ustawienia na później. Wyrok TSUE w sprawie C-673/17, Planet49, potwierdził, że domyślnie zaznaczone pole nie stanowi aktywnej zgody oraz że użytkownik powinien otrzymać informacje o czasie działania cookies i dostępie podmiotów trzecich.

Polityka powinna identyfikować faktycznie używane mechanizmy: nazwę lub kategorię, dostawcę, cel, czas działania i podstawę uruchomienia. Ogólna tabela skopiowana z dokumentacji Google nie wystarczy, jeżeli konfiguracja strony jest inna. Trzeba też sprawdzić inne technologie niż klasyczne cookies, jeżeli uzyskują dostęp do urządzenia lub przechowują w nim informacje.

Odbiorcy, dostawcy i transfery poza EOG

W polityce nie trzeba bezrefleksyjnie wymieniać każdej spółki z nazwy, ale kategorie odbiorców muszą być wystarczająco konkretne. Użytkownik powinien rozumieć, czy dane trafiają do hostingu, operatora poczty, dostawcy systemu kancelarii, księgowości, obsługi IT, narzędzia analitycznego albo organu publicznego.

Używanie usług globalnego dostawcy nie oznacza automatycznie jednego modelu transferu. Trzeba sprawdzić umowę, region przechowywania, pomoc techniczną, podprocesorów i mechanizmy dostępu. Jeżeli dane mogą być przekazywane do państwa trzeciego, art. 13 wymaga informacji o podstawie i zabezpieczeniach, a nie tylko zdania "dane mogą trafić poza EOG".

Szczególnej ostrożności wymagają dane objęte tajemnicą zawodową. Umowa powierzenia z art. 28 RODO jest ważna, ale sama nie rozstrzyga, czy konkretny dostawca i sposób dostępu są dopuszczalne z perspektywy tajemnicy, bezpieczeństwa i zasad zawodowych.

Dziesięć błędów w politykach prywatności kancelarii

Najłatwiej rozpoznać dokument niedostosowany do strony po elementach, które nie mają odpowiednika w rzeczywistości. Problemem nie jest wyłącznie estetyka. Nieprawdziwa deklaracja o podstawie, odbiorcach albo blokowaniu analityki może wprowadzać użytkownika w błąd i utrudniać wykazanie rozliczalności.

• sekcje o koszyku, przesyłkach i płatnościach pozostawione po skopiowaniu wzoru sklepu
• sama nazwa marketingowa bez identyfikacji administratora
• pusty rozdział o IOD albo adres, którego nikt nie obsługuje
• jedna podstawa prawna przypisana wszystkim celom
• retencja opisana wyłącznie jako "okres niezbędny"
• pełna lista praw bez ograniczeń wynikających z tajemnicy zawodowej
• odwołanie do uchylonego art. 173 Prawa telekomunikacyjnego
• baner, który pozwala łatwo zaakceptować, ale utrudnia odmowę lub wycofanie
• skrypty analityczne uruchamiane przed zgodą mimo odmiennej deklaracji w polityce
• brak aktualizacji po dodaniu mapy, chatu, newslettera, reCAPTCHA albo nowego systemu rezerwacji

Jak wdrożyć politykę bez rozdźwięku między tekstem a stroną?

Gotowy dokument trzeba porównać z działaniem serwisu. Test warto wykonać w nowym profilu przeglądarki przed wyrażeniem zgody, po akceptacji wybranej kategorii oraz po jej cofnięciu. Należy sprawdzić połączenia sieciowe, cookies, local storage, działanie map i formularzy oraz treść komunikatów.

Po stronie organizacyjnej trzeba ustalić właściciela dokumentu, częstotliwość przeglądu i zdarzenia wymuszające aktualizację. Takim zdarzeniem jest wdrożenie nowego formularza, dostawcy, kampanii reklamowej, systemu AI, narzędzia analitycznego albo zmiana sposobu przechowywania danych.

Udostępniony niżej wzór zawiera pola do uzupełnienia, warianty oraz listę kontrolną. Nie jest dokumentem do publikacji bez redakcji. Najpierw usuń komentarze, wybierz właściwe warianty i wpisz dane wynikające z audytu konkretnej witryny. Jeżeli strona zbiera dane szczególne albo obsługuje rozbudowany proces klienta, wzór powinien zostać zweryfikowany indywidualnie.

• wykonaj inwentaryzację formularzy, systemów i połączeń zewnętrznych
• przypisz każdemu procesowi cel, podstawę, odbiorców i retencję
• oddziel dane internetowe od dokumentacji pomocy prawnej
• dostosuj wzór i usuń wszystkie niewłaściwe warianty
• umieść informację w chwili pozyskiwania danych, nie tylko w stopce
• przetestuj stronę przed zgodą, po zgodzie i po jej wycofaniu
• zapisz datę i osobę odpowiedzialną za kolejny przegląd