RODO (GDPR) на сайте

RODO (польское название GDPR) на сайте сводится к трём вещам: политика конфиденциальности, которая честно описывает, какие данные вы собираете и зачем; баннер cookies, который даёт реальный выбор и не включает аналитику и рекламные пиксели до согласия; и формы, рядом с которыми есть короткая информация об обработке данных, а отдельные согласия (например, на рассылку) не отмечены заранее. Если на сайте есть хотя бы форма заявки или Google Analytics, всё это касается и вас.

Сразу оговорка: я маркетолог и разработчик, а не юрист. Ниже — практическое описание того, как это обычно устроено на сайтах малого бизнеса в Польше. Тексты документов для вашей фирмы и ваши конкретные риски стоит проверить у юриста, тем более что правила и практика надзорных органов меняются.

Кого касается RODO на сайте

Почти всех. Персональные данные — это не только паспорт. Имя и телефон в форме заявки, email для рассылки, IP-адрес и идентификаторы cookies, которые собирают аналитика и пиксели, — всё это персональные данные. Если ваш сайт их собирает, вы администратор данных (administrator danych) и отвечаете за то, как они обрабатываются.

Это касается и маленьких фирм, и ИП (JDG), и сайтов-визиток. Надзор в Польше осуществляет UODO (Управление по защите персональных данных).

Политика конфиденциальности: что в ней должно быть

Политика конфиденциальности — это не формальность, скопированная с чужого сайта, а описание того, что реально происходит на вашем сайте. Обычно в ней указывают:

• кто администратор данных: название фирмы, адрес, контакт для вопросов о данных;
• какие данные собираются: из форм, при заказе, через cookies и аналитику;
• зачем: ответ на заявку, выполнение договора, рассылка, аналитика, реклама;
• правовое основание для каждой цели: договор, согласие, законный интерес, обязанность по закону;
• кому данные передаются: хостинг, CRM, сервис рассылок, Google, Meta, бухгалтерия, служба доставки;
• передаются ли данные за пределы ЕЭЗ (например, в США) и на каком основании;
• как долго хранятся;
• какие права у человека: доступ, исправление, удаление, ограничение, возражение, перенос, отзыв согласия, жалоба в UODO.

Самая частая проблема — копия с чужого сайта, где упомянуты сервисы, которых у вас нет, и не упомянуты те, что есть (например, CRM, куда уходят заявки). Такой документ не защищает, а скорее показывает, что о данных никто не думал.

Баннер cookies: каким он должен быть

Cookies, которые нужны для работы сайта (корзина, вход в аккаунт, запоминание выбора в баннере), обычно не требуют согласия. Аналитика, рекламные пиксели Meta и Google, виджеты, которые следят за пользователем, — требуют. Польские правила о cookies (сейчас они записаны в законе об электронной связи) и практика европейских надзорных органов в целом сходятся на следующем:

• до выбора пользователя аналитика и пиксели не загружаются;
• кнопки «Принять все» и «Отклонить» одинаково заметны, отказ не спрятан во втором окне;
• можно выбрать категории (аналитика, маркетинг) отдельно;
• согласие можно изменить или отозвать в любой момент, например через ссылку в футере;
• в баннере кратко сказано, зачем cookies, и есть ссылка на подробности.

Баннер, где есть только «OK» или «Принять», и аналитика, которая работает независимо от нажатия, — типичная ошибка, которую я вижу на большинстве небольших сайтов.

Consent Mode v2 для Google

Если вы даёте рекламу в Google Ads и пользуетесь GA4, для пользователей из ЕЭЗ Google требует передавать сигналы согласия через Consent Mode v2. Без этого часть функций рекламы и аналитики (ремаркетинг, измерение конверсий) работает ограниченно. Технически это значит, что баннер cookies должен сообщать Google, на что человек согласился. Подробно в статье Consent Mode v2 и баннер cookies.

Формы на сайте

Каждая форма, которая собирает имя, телефон или email, должна сопровождаться короткой информацией: кто администратор данных, зачем данные нужны, и ссылка на политику конфиденциальности. Обычно это одна-две строки мелким шрифтом под кнопкой.

Несколько правил, которые часто нарушают:

• Не собирайте лишнего. Для обратного звонка не нужны адрес и дата рождения.
• Согласие на рассылку — отдельной галочкой, не отмеченной заранее, и не условие отправки заявки. В Польше для коммерческой информации по email и SMS нужно предварительное согласие получателя.
• Для ответа на заявку галочка согласия обычно не нужна: основанием служит сама просьба человека связаться с ним. Но это стоит согласовать с юристом для вашей ситуации.
• Данные из формы должны куда-то безопасно попадать: в CRM или почту на вашем домене, а не в личный мессенджер случайного сотрудника.

О том, как сделать форму, которую люди заполняют, читайте в статье формы заявок.

Сервисы, которые вы подключаете

Каждый внешний сервис на сайте — это получатель данных: хостинг, CRM, чат, сервис рассылок, онлайн-запись, Google и Meta. С ключевыми поставщиками нужен договор поручения обработки данных (в Польше его называют umowa powierzenia). Крупные сервисы обычно включают его в свои условия, и его достаточно принять в настройках аккаунта.

Хорошая практика — держать простую таблицу: какой сервис, какие данные получает, где хранит, есть ли договор. Она пригодится и для политики конфиденциальности, и при любой проверке.

Что делать с запросом клиента о его данных

Рано или поздно кто-то напишет: «Удалите мои данные» или «Какие данные обо мне у вас есть?». На такой запрос обычно нужно ответить без лишней задержки, как правило в течение месяца. Заранее подумайте, где у вас хранятся данные клиентов: CRM, почта, таблица, мессенджеры, сервис рассылок. Если они разбросаны по пяти местам, выполнить просьбу будет трудно. Это ещё один аргумент за то, чтобы все заявки с сайта попадали в одно место.

Типичные ошибки на сайтах малого бизнеса

1. Политики конфиденциальности нет совсем или она скопирована с другого сайта.
2. Пиксель Meta и Google Analytics грузятся до согласия.
3. В баннере нет кнопки «Отклонить».
4. Галочка согласия на рассылку стоит заранее.
5. Заявки с сайта уходят на личный Gmail сотрудника, который уже уволился.
6. Нет данных фирмы и контакта для вопросов о данных.
7. Политика есть только на польском, хотя сайт и аудитория на русском. Человек должен понимать, на что соглашается.

Как я делаю это на своих сайтах

На сайтах, которые я делаю, баннер cookies с настоящим выбором и Consent Mode v2 входят в базовую настройку, аналитика и пиксели загружаются только после согласия, формы содержат информационную оговорку, а заявки уходят в CRM, а не в чей-то личный ящик. Тексты политики конфиденциальности и правил я готовлю как основу по реальным сервисам сайта, а финальную проверку советую сделать у юриста. Настройку аналитики с согласиями можно заказать и отдельно: подробнее на странице Consent Mode v2. Если хотите понять, что не так с вашим текущим сайтом, закажите бесплатный аудит: проверю баннер, формы и то, что загружается до согласия.