2026-08-06

Audyt prywatności: jak na dobre zamknąć ryzyko analityki

Kwestionariusz ląduje w Twojej skrzynce we wtorek.

Dwanaście zakładek. Jedna z nich nazywa się Podmioty przetwarzające. Gdzieś w niej jest wiersz dotyczący analityki internetowej i kolumna z pytaniem, jakie dane osobowe opuszczają organizację.

Wiesz, że uczciwa odpowiedź jest skomplikowana. Wiesz też, że napisanie tej skomplikowanej odpowiedzi zajmie Ci tydzień ścigania ludzi, którzy nie podlegają Tobie.

Widziałem, jak osoby odpowiedzialne za zgodność rozwiązują ten problem dwa razy. Za pierwszym razem przebijają się przez niego dokumentami. Za drugim zauważają, że jeden z wierszy może po prostu przestać istnieć.

Ten artykuł jest o drugim podejściu. Zaczyna się od tego, o co naprawdę pyta audytor, bo nie skrócisz procesu, którego nigdy nie widziałeś spisanego.

Najpierw jedna uwaga. To nie jest porada prawna i to Twój prawnik decyduje, co Cię dotyczy. To mapa pytań.

Sześć pytań, które audytor zadaje o analitykę

Zawsze są te same, mniej więcej w tej kolejności.

1. Jakie dane osobowe przetwarza narzędzie? Adresy IP i identyfikatory urządzeń się liczą. Tak samo wszystko, co wkładasz do wymiaru niestandardowego, a to tam zwykle kryją się niespodzianki.

2. Jaka jest Twoja podstawa prawna? Dla analityki, która nie jest niezbędna, w UE jest to zwykle zgoda, a zgoda musi spełniać pewien standard, a nie tylko istnieć jako pole wyboru.

3. Dokąd trafiają dane? Do jakiej firmy, jakiego kraju, na jakie serwery.

4. Kto jeszcze ma do nich dostęp? Podprzetwarzający, pracownicy wsparcia, własna analityka dostawcy na Twojej analityce.

5. Jak długo je przechowujesz? Okres przechowywania, który potrafisz podać i który narzędzie naprawdę egzekwuje.

6. Czy potrafisz udowodnić wszystko powyższe? To pytanie zamienia dwugodzinną rozmowę w dwutygodniowy projekt.

Zauważ, że pierwsze pięć pytań dotyczy narzędzia, a szóste dotyczy Ciebie.

Dokumenty, które wywołuje każda odpowiedź

Każde „tak" tworzy dokument, który musisz przygotować, aktualizować i bronić.

• Wpis w rejestrze czynności przetwarzania. Art. 30 RODO wymaga rejestru czynności przetwarzania. Analityka to jeden wiersz z celem, kategoriami danych, odbiorcami i okresem przechowywania.
• Umowa powierzenia przetwarzania. Art. 28 wymaga jej z każdym podmiotem, który przetwarza dla Ciebie dane osobowe.
• Ocena przekazania, jeśli dane opuszczają EOG. Obecne ramy ochrony upraszczają to dla certyfikowanych odbiorców w USA, ale ocena nadal jest dokumentem, za który ktoś odpowiada.
• Rejestry zgód. Musisz umieć wykazać, że zgoda została udzielona. To znaczy, że ją przechowujesz i na żądanie potrafisz ją pokazać dla konkretnego odwiedzającego.
• DPIA, jeśli przetwarzanie jest wysokiego ryzyka. Profilowanie zachowań na dużą skalę może Cię przepchnąć przez tę granicę.
• Zapis w polityce prywatności, który zgadza się z wszystkim powyżej i zgadza się dalej, gdy ktoś zmieni tag.

To sześć żywych dokumentów dla jednego narzędzia. Żaden z nich nie poprawia marketingu. Każdy potrzebuje właściciela.

„Ensure that personal data are automatically protected in any given IT system or business practice, so that if an individual does nothing, their privacy still remains intact."

Ann Cavoukian, Privacy by Design: The 7 Foundational Principles, o prywatności jako ustawieniu domyślnym

Zadbaj, żeby dane osobowe były automatycznie chronione w każdym systemie IT i każdej praktyce biznesowej, tak żeby prywatność osoby, która nic nie robi, nadal pozostała nienaruszona. Cavoukian napisała to w 2009 roku. RODO później zapisało tę ideę w art. 25, czyli uwzględnianiu ochrony danych w fazie projektowania i domyślnej ochronie danych.

Warto wynieść z tego coś strukturalnego. Ochrona, która zależy od tego, czy ktoś poprawnie skonfiguruje ustawienie, jest słabsza niż ochrona, która istnieje, bo nie ma czego chronić.

Nadal jesteś ze mną? Dobrze, bo tutaj dwie drogi się rozchodzą.

Dlaczego dokumentowanie to droga droższa

Dokumentacja to nie jednorazowy koszt. To abonament.

Narzędzie dostaje nową funkcję i Twój rejestr jest nieaktualny. Ktoś dodaje tag na potrzeby kampanii i zapomina go usunąć. Zmienia się podprzetwarzający i nikt nie mówi o tym osobie, która prowadzi rejestr.

Do tego dochodzi część, której nikt nie uwzględnia w budżecie. Każdy z tych dokumentów trzeba odnaleźć na kolejny audyt, przy kolejnej dużej umowie i za każdym razem, gdy klient przyśle swój kwestionariusz dla dostawców.

W firmie zatrudniającej trzydzieści osób to zwykle praca na część etatu jednej osoby, której nikt nigdy nie nazwał.

Skrót: usuń kategorię

Oto wersja, która zajmuje popołudnie zamiast kwartału.

Jeśli Twoja analityka nie przetwarza danych osobowych i niczego nie zapisuje na urządzeniu odwiedzającego, większość z sześciu pytań upada.

• Pytanie pierwsze ma krótką odpowiedź. Brak danych osobowych.
• Pytanie drugie znika. Nie ma przetwarzania danych osobowych, dla którego trzeba szukać podstawy, ani zapisu na urządzeniu, na który trzeba prosić o zgodę.
• Pytanie trzecie to jedna linijka, jeśli serwery stoją w UE.
• Pytanie piąte ma mniejsze znaczenie, gdy przechowywanych danych nie da się powiązać z osobą.
• Pytanie szóste staje się dużo łatwiejsze, bo nie ma rejestrów zgód do pokazania.

Nie poprawiłeś dokumentów. Usunąłeś wiersze, które je tworzyły.

To różnica między zabezpieczeniem a eliminacją, a audytorzy traktują je zupełnie inaczej. Zabezpieczenie trzeba testować. Eliminację wystarczy zweryfikować raz.

Co nadal musisz zrobić

Wprowadzałbym Cię w błąd, mówiąc, że odpowiedzią jest zero dokumentów.

Nadal prowadzisz wpis w rejestrze czynności przetwarzania, nawet jeśli mówi, że dane nie są osobowe, bo samą ocenę warto zapisać.

Nadal potrzebujesz umowy z dostawcą. Nadal opisujesz narzędzie w polityce prywatności, a ten opis nadal musi zgadzać się z rzeczywistością.

I nadal masz wszystkie inne systemy w kwestionariuszu. Analityka to jeden wiersz na dwunastu zakładkach. Dobre zamknięcie go oznacza tylko, że możesz poświęcić tydzień na wiersze, które naprawdę wymagają osądu.

Jak to sprawdzić w dziesięć minut

Nie wierz dostawcy na słowo, także mnie. Sprawdź to tak, jak zrobiłby to audytor.

Otwórz stronę w oknie prywatnym i w narzędziach deweloperskich zajrzyj do Cookies i Pamięci lokalnej. Pusto znaczy pusto.

Obserwuj żądanie sieciowe, które wysyła analityka. Zobacz, co w nim jest. Jeśli nie potrafisz stwierdzić, co jest wysyłane, to też jest odpowiedź.

Zapytaj, gdzie stoją serwery, i uzyskaj nazwę kraju na piśmie.

Zapytaj, co dostawca przechowuje na temat adresu IP odwiedzającego. Przechowywanie go i chwilowe użycie do ustalenia kraju to różne rzeczy, a ta różnica ma znaczenie.

Te cztery kontrole dają dowody, które możesz dołączyć do dokumentacji. Są warte więcej niż jakakolwiek strona o zgodności na stronie dostawcy.

Gdzie pasuje StatJolt

StatJolt zbudowano tak, żeby wiersz o analityce przestał być interesujący dla audytora.

Nie zapisuje cookies i niczego nie zapisuje na urządzeniu odwiedzającego, więc nie ma zgody do zbierania ani rejestrów zgód do pokazania.

Nie zbiera danych osobowych i nie buduje profili odwiedzających, więc nie ma pytania o podstawę prawną przetwarzania danych osobowych.

Serwery stoją w UE, w Niemczech i Finlandii, więc kwestia przekazywania danych nie powstaje, niezależnie od tego, co stanie się z obecnymi ramami ochrony.

W Twoim kwestionariuszu zamienia to wiersz pełen zastrzeżeń w wiersz z krótką odpowiedzią i dowodami, które sam sprawdzisz w dziesięć minut.

Jeśli przeczytasz tylko jedną ramkę

Audytor zadaje sześć pytań o analitykę, a każde „tak" tworzy dokument, który potem trzeba utrzymywać w nieskończoność. Przebijanie się przez to dokumentami to abonament, którego nikt w firmie porządnie nie prowadzi. Usunięcie danych osobowych i zapisu na urządzeniu sprawia, że większość pytań upada zamiast wymagać zarządzania, i to jest różnica między zabezpieczeniem, które audytor musi testować, a eliminacją, którą weryfikuje raz.

Wstecz