RODO i cookies na stronie firmy w Norwegii: podstawy

Norwegia należy do Europejskiego Obszaru Gospodarczego, dlatego przepisy o ochronie danych osobowych (w Norwegii: personvernforordningen, czyli odpowiednik RODO) obowiązują także tam. Nadzór nad ich przestrzeganiem sprawuje norweski urząd Datatilsynet.

W praktyce oznacza to, że strona firmy, która zbiera dane, na przykład przez formularz kontaktowy lub narzędzia analityczne, powinna jasno informować, jakie dane są zbierane i po co.

Polityka prywatności to osobna podstrona lub sekcja, w której wyjaśniasz zasady przetwarzania danych. Zwykle znajdują się w niej:

Pliki cookies, które nie są niezbędne do działania strony, na przykład te używane do analizy ruchu, zwykle wymagają zgody odwiedzającego. Dlatego na stronach stosuje się baner, w którym użytkownik może zaakceptować lub odrzucić takie cookies. Odmowa powinna być równie łatwa jak zgoda.

Dopóki odwiedzający nie wyrazi zgody, narzędzia analityczne nie powinny się uruchamiać. Tak działa baner na tej stronie: bez zgody Google Analytics się nie ładuje.

Jeśli korzystasz z zewnętrznych usług, takich jak formularz kontaktowy, czcionki ładowane z serwera Google czy narzędzia analityczne, warto wymienić je w polityce prywatności. Odwiedzający powinien wiedzieć, że jego dane, w tym adres IP, mogą trafiać do tych dostawców.

Baner cookies powinien być zrozumiały i nie wprowadzać w błąd. W praktyce oznacza to, że przyciski „zaakceptuj” i „odrzuć” są równie widoczne, pole zgody nie jest wstępnie zaznaczone, a wybór odwiedzającego jest zapamiętywany. Warto też umożliwić późniejszą zmianę decyzji, na przykład przez link w stopce. Do banera dodaj odnośnik do polityki prywatności, w której opisane są wszystkie rodzaje cookies.

Narzędzia analityczne zbierają dane o odwiedzających, więc ich użycie powinno być opisane w polityce prywatności i, tam gdzie to konieczne, poprzedzone zgodą. Zewnętrzne czcionki lub skrypty ładowane z cudzych serwerów także przekazują adres IP odwiedzającego dostawcy. W 2022 r. sąd w Monachium (wyrok pierwszej instancji w Niemczech) uznał, że ładowanie czcionek Google Fonts z serwerów Google bez zgody odwiedzającego naruszyło jego prywatność. Jednym ze sposobów ograniczenia takiego przekazywania jest umieszczenie czcionek na własnym serwerze. Zakres rozwiązań zależy od Twojej strony i od oceny ryzyka, dlatego warto go omówić z prawnikiem.

Im mniej danych zbierasz, tym mniejsze ryzyko. Formularz kontaktowy zwykle wymaga tylko imienia, adresu e-mail i treści wiadomości. Dodatkowe pola, takie jak numer telefonu czy adres, dodawaj tylko wtedy, gdy naprawdę ich potrzebujesz. Obok przycisku wysyłania dobrze jest podać krótką informację, w jakim celu dane są wykorzystywane, i link do polityki prywatności.

Osoba, której dane przetwarzasz, może poprosić o dostęp do nich, ich poprawienie lub usunięcie. Na takie żądanie zwykle trzeba odpowiedzieć bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Ustal wewnętrznie, kto w firmie odbiera takie wiadomości i jak je rejestruje, żeby nie przeoczyć żadnego zgłoszenia.

Zasady dotyczące plików cookies w Norwegii wynikają z ustawy o łączności elektronicznej (ekomloven), której nowa wersja obowiązuje od 1 stycznia 2025 r. Jej § 3-15 dotyczy zapisywania informacji na urządzeniu użytkownika i dostępu do nich. Zgoda na cookies niepotrzebne do działania usługi musi spełniać wymogi RODO, a ustawienia przeglądarki nie są już uznawane za zgodę. Zgodę nadzoruje Datatilsynet, a pozostałe części ekomloven Nkom. Datatilsynet opublikował w 2025 r. wytyczne dotyczące ważnej zgody, m.in. że odmowa powinna być równie łatwa jak zgoda. Aktualny tekst przepisów sprawdź na Lovdata i na stronie Datatilsynet.

Cookies własne ustawia Twoja strona, na przykład w celu zapamiętania wyboru języka. Cookies stron trzecich ustawiają zewnętrzne usługi umieszczone na stronie, takie jak analityka, mapy czy odtwarzacze wideo. Te drugie wymagają szczególnej uwagi, bo dane trafiają do innych firm i powinny być wymienione w polityce.

Polityka cookies, osobna lub jako część polityki prywatności, powinna być napisana zrozumiale. Poniżej ogólny szkielet do dopasowania do własnej strony. Nie jest to gotowy wzór prawny.

Przed publikacją sprawdź:

Ten artykuł ma charakter ogólny i nie jest poradą prawną. Treść polityki prywatności powinna odpowiadać temu, jakie dane naprawdę zbiera Twoja firma, a w razie wątpliwości warto skonsultować ją z prawnikiem. Przy tworzeniu stron zawsze dodaję politykę prywatności i baner cookies, a ich treść dopasowujemy do Twoich narzędzi. Zobacz też Strony internetowe w Norwegii.