RODO na Stronie Firmowej - Lista Kontrolna dla Właściciela Firmy 2026

Większość właścicieli firm traktuje RODO na stronie internetowej jak podatek od cudzych pomysłów: coś, co ktoś im kiedyś kazał mieć, więc wkleili gotową politykę prywatności z internetu i zapomnieli. Problem w tym, że strona zmienia się szybciej niż dokument. Dołączyło narzędzie analityczne, ktoś osadził mapę, w formularzu pojawiło się nowe pole, a polityka nadal opisuje stan sprzed trzech lat.

Dobra wiadomość: zgodność strony z RODO to nie jest gigantyczny projekt. To lista około dwudziestu rzeczy, które można sprawdzić w jedno popołudnie. Ten artykuł jest właśnie taką listą - uporządkowaną według tego, co zwykle jest zepsute w pierwszej kolejności.

Ważne zastrzeżenie: to opracowanie praktyczne, a nie porada prawna. Przy bardziej złożonych przypadkach (dane wrażliwe, sprzedaż do konsumentów w kilku krajach, profilowanie) warto skonsultować się z prawnikiem lub inspektorem ochrony danych.

Co właściwie jest daną osobową na stronie internetowej

Zacznijmy od tego, co zaskakuje najwięcej osób. Dane osobowe to nie tylko imię i nazwisko. To każda informacja, która pozwala zidentyfikować osobę - bezpośrednio albo pośrednio. Na stronie firmowej są to:

• adres e-mail i numer telefonu z formularza,
• adres IP odwiedzającego,
• identyfikatory w plikach cookies i podobnych technologiach,
• dane z konta klienta w sklepie,
• treść wiadomości wysłanej przez czat,
• nagrania sesji i mapy kliknięć, jeśli używasz takich narzędzi.

Skoro adres IP to dana osobowa, to sama obecność strony na serwerze, który zapisuje logi, oznacza przetwarzanie danych. Nie ma więc strony "bez RODO". Są tylko strony, które to ogarniają, i takie, które nie wiedzą, że coś przetwarzają.

W praktyce stosuje się podział na trzy warstwy: dane, które zbierasz celowo (formularze, konta), dane, które zbierają narzędzia na stronie (analityka, reklamy), oraz dane, które zbierają dostawcy infrastruktury (hosting, CDN, logi serwera). Dopiero po sporządzeniu takiej mapy wiadomo, co trzeba opisać i z kim podpisać umowy.

Polityka prywatności - co musi w niej być

Polityka prywatności to dokument, który realizuje obowiązek informacyjny z art. 13 i 14 RODO. Najczęściej popełniany błąd: dokument jest poprawny jako tekst, ale nie pasuje do strony.

Minimalna zawartość:

1. Administrator danych - pełna nazwa firmy, adres, dane kontaktowe. Jeśli prowadzisz działalność jednoosobowo, to Ty jesteś administratorem.
2. Cele i podstawy prawne - osobno dla każdego celu: odpowiedź na zapytanie, realizacja zamówienia, rachunkowość, marketing, analityka, dochodzenie roszczeń. Każdy cel ma własną podstawę z art. 6 RODO.
3. Odbiorcy danych - dostawcy hostingu, systemu poczty, CRM, narzędzi analitycznych, biura rachunkowego.
4. Okresy przechowywania - konkretne, nie "tak długo, jak to konieczne".
5. Prawa użytkownika - dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw oraz prawo skargi do Prezesa UODO.
6. Przekazywanie danych poza EOG - jeśli korzystasz z narzędzi spoza Europy, wskaż podstawę transferu.
7. Cookies i podobne technologie - lista kategorii, celów i sposób zarządzania zgodą (często w osobnej polityce cookies).

Łatwo to sprawdzić: otwórz własną politykę i dla każdego narzędzia z listy poniżej odpowiedz, czy jest w niej opisane. Jeśli nie - dokument jest niekompletny.

Cookies i zgoda - jak zrobić to poprawnie

Zasady są mniej skomplikowane, niż sugerują gotowe wtyczki. Pliki cookies i podobne technologie dzielą się na dwie grupy.

Niezbędne - bez nich strona nie działa: sesja, koszyk, bezpieczeństwo, zapamiętanie decyzji o cookies. Zgody nie wymagają, ale muszą być opisane.

Opcjonalne - analityka, marketing, personalizacja, osadzone treści. Wymagają zgody, która musi być:

• uprzednia - skrypt nie może się uruchomić, zanim użytkownik wyrazi zgodę,
• dobrowolna - bez blokowania treści i bez ścian zgód,
• szczegółowa - osobno dla poszczególnych celów,
• odwoływalna - tak samo łatwo, jak ją wyrażono.

Baner jest poprawny, kiedy przycisk Odrzuć jest tak samo widoczny jak Akceptuj. Baner, w którym odmowa wymaga trzech kliknięć w ustawieniach, a zgoda jednego, to w praktyce wymuszanie zgody.

Dla narzędzi Google dochodzi Consent Mode v2, który przekazuje do Google sygnał o tym, czy użytkownik wyraził zgodę na analitykę i reklamy. Dla kampanii reklamowych kierowanych do użytkowników z Europy to wymóg praktyczny, bo bez niego tracisz część funkcji pomiaru i remarketingu.

Formularze - klauzula informacyjna i zgody

Formularz kontaktowy to najczęściej używany mechanizm zbierania danych i najczęściej źle opisywany.

Klauzula informacyjna powinna być widoczna przed wysłaniem, w skróconej formie z linkiem do pełnej polityki. Nie musi być checkboxem. Przykład, który działa:

Administratorem Twoich danych jest [nazwa firmy]. Dane z formularza wykorzystamy, aby odpowiedzieć na wiadomość - podstawą jest nasz uzasadniony interes oraz podjęcie działań przed zawarciem umowy. Szczegóły i Twoje prawa opisujemy w polityce prywatności.

Zgoda pojawia się tylko tam, gdzie jest potrzebna - zwykle przy newsletterze i marketingu. Reguły:

• osobny, domyślnie niezaznaczony checkbox,
• konkretny opis, na co się zgadzasz,
• brak powiązania z wysłaniem zwykłego zapytania,
• zapis dowodu zgody (data, treść, adres IP lub identyfikator).

Minimalizacja danych to zasada, którą łatwo wdrożyć: nie pytaj o numer telefonu, jeśli i tak odpowiesz e-mailem; nie pytaj o adres, jeśli nic nie wysyłasz. Im mniej pól, tym mniej danych do chronienia - i, co przyjemne, wyższa konwersja formularza. O tym, jak ułożyć sam formularz, piszemy w artykule o formularzach konwersyjnych.

Narzędzia zewnętrzne - cichy problem

To tutaj najczęściej dochodzi do naruszeń, bo dzieją się w tle i bez wiedzy właściciela.

Reguła praktyczna: każde zewnętrzne żądanie, które wysyła adres IP do firmy trzeciej, jest przetwarzaniem danych i musi mieć podstawę, opis i umowę z dostawcą.

Umowy powierzenia i dostawcy

Jeśli dostawca przetwarza dane w Twoim imieniu (hosting, system mailingowy, CRM, narzędzie do formularzy, księgowość online), potrzebujesz z nim umowy powierzenia przetwarzania danych z art. 28 RODO. U większości dużych dostawców to standardowy aneks akceptowany w panelu - wystarczy go znaleźć i zaakceptować. Warto prowadzić prostą tabelę: dostawca, cel, kraj przetwarzania, data podpisania umowy.

Osobna sprawa to transfery poza Europejski Obszar Gospodarczy. Przy dostawcach z USA sprawdź, czy uczestniczą w programie Data Privacy Framework albo stosują standardowe klauzule umowne. To dziedzina, która zmieniała się w ostatnich latach kilkukrotnie, więc zaglądaj do dokumentacji dostawcy raz w roku.

Bezpieczeństwo techniczne jako element RODO

Zgodność z RODO to nie tylko dokumenty. Art. 32 wymaga odpowiednich środków technicznych. Dla strony firmowej oznacza to minimum:

• HTTPS na całej stronie, z automatycznym przekierowaniem,
• aktualizacje systemu CMS, wtyczek i bibliotek,
• silne hasła i weryfikacja dwuetapowa do panelu administracyjnego,
• kopie zapasowe poza serwerem produkcyjnym,
• ograniczenie dostępu - konto dla każdej osoby, bez współdzielenia haseł,
• ochrona formularzy przed spamem i nadużyciami,
• plan reagowania na incydent: kto, co i w jakim czasie robi, gdy dojdzie do wycieku.

Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin dotyczy sytuacji, gdy naruszenie może powodować ryzyko dla praw i wolności osób. Dobrze mieć wcześniej przygotowaną procedurę, a nie szukać jej w trakcie incydentu. Techniczną stronę bezpieczeństwa opisujemy szerzej w artykule o SEO technicznym, który obejmuje HTTPS i bezpieczeństwo jako sygnał rankingowy.

Prawa osób - jak obsługiwać wnioski

Użytkownik ma prawo zapytać, jakie dane o nim przetwarzasz, poprosić o ich poprawienie lub usunięcie, sprzeciwić się marketingowi. Na odpowiedź masz miesiąc. Największy problem to nie sam wniosek, ale to, że nikt nie wie, gdzie te dane leżą.

Prosta organizacja, która rozwiązuje większość sytuacji:

• jedna skrzynka kontaktowa do spraw danych (np. adres w polityce prywatności),
• lista miejsc przechowywania: CRM, poczta, arkusze, system faktur, narzędzie mailingowe,
• gotowy szablon odpowiedzi i procedura weryfikacji tożsamości,
• rejestr wniosków z datami.

Ten sam rejestr przydaje się w razie kontroli, bo pokazuje, że procedura działa w praktyce, a nie tylko na papierze.

Najczęstsze błędy na polskich stronach firmowych

Z przeglądu stron małych i średnich firm powtarzają się te same wzorce:

1. Polityka skopiowana od innej firmy - z cudzą nazwą, cudzym adresem albo opisem narzędzi, których nie ma na stronie.
2. Baner bez realnego blokowania skryptów - decyzja użytkownika niczego nie zmienia.
3. Wymuszone zgody - jeden checkbox na wszystko.
4. Brak klauzuli pod formularzem - tylko link w stopce, którego nikt nie widzi.
5. Zewnętrzne czcionki i mapy ładowane bez zgody.
6. Brak umów powierzenia z dostawcami.
7. Nieaktualne dokumenty - polityka z 2018 roku, bez zmian od wdrożenia.
8. Brak procedury na wypadek incydentu - dopiero w trakcie wycieku okazuje się, że nikt nie wie, co robić.

Lista kontrolna do wydrukowania

Jak podejść do tego w praktyce

Jeśli zaczynasz od zera, kolejność ma znaczenie. Najpierw mapa danych, bo bez niej nie napiszesz poprawnie żadnego dokumentu. Potem techniczne naprawy (zewnętrzne zasoby, skrypty analityczne, HTTPS), bo to one tworzą realne ryzyko. Na końcu dokumenty, które opisują stan faktyczny.

Dla firm, które budują lub przebudowują stronę, najtaniej jest uwzględnić RODO od początku: lokalne czcionki, analityka z poszanowaniem prywatności, formularze z jasną klauzulą i baner zgód wbudowany w projekt. Doklejanie tego po fakcie zawsze kosztuje więcej. Jeśli zastanawiasz się, ile w ogóle kosztuje porządna strona, zobacz realny kosztorys strony internetowej, a jeśli układasz zawartość strony od zera - co powinna zawierać strona firmowa.

Zgodność z RODO nie jest stanem, który osiąga się raz. To nawyk: nowe narzędzie na stronie oznacza aktualizację polityki, nowy dostawca oznacza umowę, nowy formularz oznacza klauzulę. Firmy, które to wdrożą, mają jedną przewagę ponad zgodność - ich strona budzi większe zaufanie, a o to właśnie chodzi w sprzedaży online.