Krótka odpowiedź: jeśli Twoja strona zbiera jakiekolwiek dane osobowe (formularz kontaktowy, rezerwacje, newsletter, statystyki), potrzebujesz polityki prywatności, czyli w języku ICO “privacy information”. Według UK GDPR musi ona podać m.in. kto zbiera dane i jak się z nim skontaktować, po co i na jakiej podstawie prawnej, komu je przekazujesz, jak długo je trzymasz, jakie prawa ma klient i że może złożyć skargę do ICO. Tekst ma opisywać Twoją firmę i narzędzia, których naprawdę używasz. Nie jestem prawnikiem. To jest przewodnik po wytycznych ICO, a przy nietypowych sprawach warto zapytać specjalistę.
Kiedy strona potrzebuje polityki prywatności
UK GDPR daje ludziom “prawo do informacji” (right to be informed). Gdy zbierasz dane bezpośrednio od klienta, musisz mu powiedzieć, co z nimi robisz, w chwili ich zbierania. Na stronie firmy oznacza to w praktyce:
- formularz kontaktowy lub formularz wyceny: imię, e-mail, telefon, opis zlecenia,
- rezerwacje online: dane klienta i wizyty, często u zewnętrznej platformy (pisałem o tym we wpisie o systemie rezerwacji online na stronie),
- newsletter: adres e-mail i informacja o zapisie,
- statystyki i piksele reklamowe: identyfikatory, adres IP, dane o zachowaniu na stronie,
- czat, WhatsApp, osadzone mapy i filmy, jeśli przekazują dane dostawcom.
Wizytówka bez formularza i bez skryptów zbiera niewiele, ale nawet ona zwykle ma hosting z logami serwera i link do maila. Dlatego na każdej stronie, którą robię, polityka prywatności jest standardem, a nie dodatkiem.
Co musi zawierać polityka prywatności według UK GDPR
To, co musisz podać, opisują artykuły 13 i 14 UK GDPR. ICO zebrało to w liście kontrolnej. Poniżej przekładam ją na język małej firmy.
Kto i jak się skontaktować
Pełna nazwa firmy (dla sole tradera imię i nazwisko z nazwą handlową, dla Ltd nazwa z Companies House), adres i e-mail do spraw danych. Jeśli masz inspektora ochrony danych (DPO) albo przedstawiciela, podaj też jego dane. Mała firma zwykle ich nie ma.
Po co i na jakiej podstawie
Dla każdego celu osobno: odpowiedź na zapytanie, realizacja usługi, faktury, newsletter, statystyki. Przy każdym celu wpisz podstawę prawną, np. umowa, obowiązek prawny, zgoda albo prawnie uzasadniony interes. Jeśli powołujesz się na prawnie uzasadniony interes, napisz, na czym on polega.
Komu przekazujesz dane
To punkt, który najczęściej jest pusty albo nieprawdziwy. Wymień odbiorców lub ich kategorie, czyli podmioty przetwarzające dane w Twoim imieniu:
- dostawcę formularza lub usługę, która wysyła wiadomości z formularza,
- hosting strony,
- pocztę e-mail,
- narzędzie do statystyk,
- platformę rezerwacji, newslettera, płatności,
- księgowego, jeśli przekazujesz mu dane klientów.
Transfery poza UK
Jeśli któryś dostawca przechowuje dane poza Wielką Brytanią, np. w USA, napisz o tym i podaj, na jakiej podstawie odbywa się transfer. Informację znajdziesz zwykle w umowie przetwarzania danych (DPA) lub polityce prywatności dostawcy.
Jak długo trzymasz dane
Konkretnie dla każdej grupy danych, np. zapytania bez zlecenia, dane klientów i faktury, lista mailingowa. Jeśli nie da się podać okresu, opisz kryterium, według którego go ustalasz. Nie zgaduj okresów za klienta, ustal je z księgowym tam, gdzie wchodzą obowiązki podatkowe.
Prawa klienta i skarga do ICO
Opisz prawa, które przysługują klientowi: dostęp do danych, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie danych, a przy zgodzie także prawo do jej wycofania w każdej chwili. Musisz też napisać, że klient może złożyć skargę do ICO.
Od 19 czerwca 2026 roku, po zmianach z Data (Use and Access) Act 2025, każda organizacja musi dać ludziom jasny sposób złożenia skargi w sprawie danych bezpośrednio do niej, potwierdzić jej przyjęcie w ciągu 30 dni, rozpatrzyć ją i przekazać wynik. Polityka prywatności to naturalne miejsce, żeby napisać, jak to zrobić u Ciebie.
Pozostałe punkty
- czy podanie danych jest wymogiem umownym lub prawnym i co się stanie, jeśli klient ich nie poda,
- czy stosujesz zautomatyzowane decyzje lub profilowanie (na małej stronie zwykle nie),
- skąd masz dane, jeśli nie pochodzą od klienta, i jakie to kategorie.
ICO zaznacza, że część wytycznych o prawie do informacji jest przeglądana po zmianach z Data (Use and Access) Act. Przed publikacją zajrzyj na aktualną wersję strony ICO.
Checklista: co sprawdzić w swojej polityce prywatności
- Pełna, prawdziwa nazwa Twojej firmy i dane kontaktowe
- Lista celów, każdy z podstawą prawną
- Opis prawnie uzasadnionego interesu, jeśli go używasz
- Lista dostawców: formularz, hosting, e-mail, statystyki, rezerwacje, newsletter
- Informacja o transferach poza UK
- Okresy przechowywania dla każdej grupy danych
- Prawa klienta i prawo do wycofania zgody
- Jak złożyć skargę u Ciebie i informacja o prawie do skargi do ICO
- Informacja o cookies i podobnych technologiach albo link do osobnej polityki cookies
- Data ostatniej aktualizacji
- Link w stopce i przy każdym formularzu
Rejestracja w ICO i data protection fee
Polityka prywatności to jedno, a opłata dla ICO to drugie. ICO podaje, że organizacje przetwarzające dane osobowe, także sole traderzy, płacą data protection fee, chyba że są zwolnione. Czy dotyczy to Ciebie, sprawdzisz w narzędziu do samooceny na ico.org.uk. Szczegóły, progi i zwolnienia opisałem we wpisie o rejestracji w ICO. Kwoty sprawdzaj zawsze na stronie ICO, bo mogą się zmienić.
W jakim języku napisać politykę prywatności
ICO wymaga, żeby informacja była zwięzła, przejrzysta i napisana jasnym, prostym językiem, bez prawniczego żargonu. Za dobrą praktykę uznaje podanie jej w języku, który Twoi odbiorcy najpewniej rozumieją.
Dla polskiej firmy w UK wynika z tego prosta zasada:
- obsługujesz klientów angielskojęzycznych, więc polityka po angielsku jest podstawą,
- jeśli strona ma wersję polską i zbiera dane od polskich klientów, dodaj polską wersję polityki,
- obie wersje muszą mówić to samo. Najłatwiej pilnować tego, gdy aktualizujesz je jednocześnie.
Gdzie umieścić link
ICO zaleca podejście warstwowe: krótka informacja tam, gdzie zbierasz dane, i link do pełnej wersji. W praktyce:
- Stopka każdej podstrony. Link “Polityka prywatności” / “Privacy policy”.
- Przy formularzu. Jedno zdanie nad przyciskiem wysyłki, np. kto odpowie na wiadomość i link do pełnej polityki. ICO nazywa to informacją “just-in-time”.
- Przy zapisie do newslettera i rezerwacji. Tak samo krótko, z linkiem.
Uwaga na odruch z checkboxem “Akceptuję politykę prywatności”. Politykę się udostępnia, a nie akceptuje. Checkbox ze zgodą ma sens tylko tam, gdzie zgoda jest rzeczywiście podstawą prawną, np. przy newsletterze.
Najczęstsze błędy, które widzę na stronach
Przeglądając strony polskich firm w UK, najczęściej trafiam na dwa problemy:
- Brak podstawowych danych firmy. W polityce nie ma nazwy firmy ani adresu, więc klient nie wie, kto w ogóle przetwarza jego dane. A to pierwsza rzecz, którą polityka musi podać.
- Polityka wygenerowana albo skopiowana od kogoś. W większości przypadków tekst pochodzi z generatora lub z cudzej strony i nikt nie podmienił w nim danych na swoje. Zostaje nazwa innej firmy, cudzy e-mail albo opis narzędzi, których strona w ogóle nie używa.
Oba błędy wynikają z tego samego: polityka powstała “żeby była” i nikt jej potem nie porównał z tym, kim jest firma i co strona naprawdę robi.
Polityka prywatności a baner cookies
To dwa różne obowiązki. Polityka prywatności wynika z UK GDPR i dotyczy danych osobowych. Cookies, piksele i podobne technologie regulują przepisy PECR, które mówią, kiedy potrzebujesz zgody i jak ma wyglądać baner. Opisałem to szczegółowo we wpisie cookies na stronie firmy w UK: PECR i baner.
W praktyce oba tematy się spotykają. Polityka prywatności powinna wymieniać narzędzia, które ładują się na stronie, a baner nie zastępuje polityki. Najprostszy porządek: najpierw lista wszystkiego, co strona zbiera i ładuje, potem polityka, a na końcu baner, jeśli w ogóle jest potrzebny.
Jak to robię u siebie i u klientów
Zanim napiszę politykę, robię krótką listę: jakie formularze ma strona, gdzie trafiają wiadomości, jaki jest hosting, jakie skrypty się ładują i kto po stronie klienta odpowiada za dane. Z tej listy powstaje polityka, a nie z szablonu. Im mniej narzędzi na stronie, tym krótsza i prostsza polityka. Dlatego przy stronie firmowej zaczynam od pytania, czego naprawdę potrzebujesz.
Podsumowanie
- Każda strona, która zbiera dane osobowe, potrzebuje polityki prywatności zgodnej z UK GDPR.
- Musi ona opisywać Twoją firmę, Twoje cele, Twoich dostawców, okresy przechowywania, prawa klienta i prawo do skargi do ICO.
- Pisz prostym językiem, po angielsku, a przy polskich klientach także po polsku.
- Link daj w stopce i przy każdym formularzu.
- Sprawdź osobno, czy dotyczy Cię opłata ICO i czy potrzebujesz banera cookies.
Przy wątpliwościach korzystaj z pełnych wytycznych ICO albo porady prawnika.
Częste pytania
Czy mała strona z samym formularzem kontaktowym potrzebuje polityki prywatności?
Tak. Formularz zbiera dane osobowe, np. imię, e-mail i telefon, więc według UK GDPR musisz w chwili zbierania danych powiedzieć, kto je przetwarza, po co, na jakiej podstawie, komu je przekazujesz i jak długo trzymasz.
Czy mogę skopiować politykę prywatności z innej strony?
Możesz wzorować się na układzie, ale treść musi opisywać Twoją firmę i Twoje narzędzia. Skopiowany tekst często podaje cudzą nazwę firmy albo narzędzia, których nie używasz, a wtedy nie spełnia swojej roli.
Czy polityka prywatności musi być po angielsku?
ICO wymaga jasnego i prostego języka, zrozumiałego dla odbiorców. Za dobrą praktykę uznaje podanie informacji w języku, który Twoi odbiorcy najpewniej rozumieją. Jeśli obsługujesz klientów angielskojęzycznych, wersja angielska jest podstawą, a polska może być dodatkiem.
Czy polityka prywatności to to samo co polityka cookies?
Nie. Polityka prywatności opisuje dane osobowe według UK GDPR. Cookies i podobne technologie regulują przepisy PECR. Na małej stronie oba tematy często są w jednym dokumencie, ale baner cookies nie zastępuje polityki prywatności.
Gdzie umieścić link do polityki prywatności?
W stopce każdej strony oraz przy każdym formularzu, który zbiera dane. ICO zaleca podejście warstwowe: krótka informacja przy formularzu i link do pełnej wersji.