RODO na stronie internetowej - co musi mieć strona firmowa
RODO na stronie internetowej dotyczy każdej strony, która zbiera dane osobowe, a więc prawie każdej strony firmowej: przez formularz kontaktowy, newsletter, sklep, a także przez narzędzia analityczne i reklamowe. Właściciel strony jako administrator danych musi poinformować odwiedzających, jakie dane zbiera i po co (zwykle w polityce prywatności), zebrać zgodę na pliki cookies, które nie są niezbędne, zabezpieczyć dane i podpisać umowy powierzenia z dostawcami, np. hostingiem.
Poniżej omawiamy, kiedy strona przetwarza dane osobowe, co musi zawierać informacja dla użytkowników, jak przygotować formularz i baner cookies oraz na co zwrócić uwagę po stronie technicznej. Tekst ma charakter informacyjny i nie zastępuje porady prawnej.
Kiedy strona internetowa przetwarza dane osobowe
Dane osobowe to każda informacja, która pozwala zidentyfikować osobę: imię i nazwisko, adres e-mail, numer telefonu, ale też adres IP czy identyfikator z plików cookies. Strona przetwarza je m.in. gdy:
- ma formularz kontaktowy, zapisy, rezerwacje albo konto Klienta,
- prowadzi sklep z zamówieniami i płatnościami,
- zbiera adresy do newslettera,
- korzysta z Google Analytics, piksela Meta, tagu Google Ads lub innych narzędzi śledzących,
- osadza filmy z YouTube, mapy Google, czat czy widżety mediów społecznościowych,
- zapisuje logi serwera z adresami IP odwiedzających.
W praktyce nawet prosta strona wizytówka z analityką i mapą dojazdu przetwarza dane osobowe. Administratorem jest zwykle właściciel strony, czyli firma, a nie agencja, która ją wykonała.
Obowiązek informacyjny - co trzeba przekazać użytkownikom
Artykuł 13 RODO określa, jakie informacje trzeba przekazać osobie, od której zbiera się dane. Na stronie internetowej to przede wszystkim:
- kto jest administratorem danych i jak się z nim skontaktować,
- dane kontaktowe inspektora ochrony danych, jeśli firma go wyznaczyła,
- w jakich celach i na jakiej podstawie prawnej przetwarzane są dane,
- komu dane są przekazywane, np. firmie hostingowej, dostawcy newslettera, Google,
- czy dane trafiają poza Europejski Obszar Gospodarczy,
- jak długo dane będą przechowywane,
- jakie prawa ma użytkownik: dostęp do danych, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw,
- prawo do skargi do Prezesa Urzędu Ochrony Danych Osobowych,
- czy podanie danych jest dobrowolne i co wynika z ich niepodania,
- informacja o profilowaniu, jeśli występuje.
RODO określa treść, a nie formę. Informację można przekazać warstwowo: krótką klauzulę przy formularzu z linkiem do pełnej wersji.
Polityka prywatności - czy jest obowiązkowa
Przepisy nie wymagają dokumentu o nazwie „polityka prywatności”. Wymagają przekazania informacji, które opisaliśmy wyżej. Polityka prywatności to najpopularniejszy sposób, żeby zrobić to w jednym miejscu. Link do niej umieszcza się w stopce każdej podstrony, przy formularzach i w banerze cookies.
Dobra polityka prywatności opisuje konkretną stronę, a nie ogólny wzór. Jeśli korzystasz z Google Analytics 4, piksela Meta i formularza Contact Form 7, te narzędzia powinny być w niej wymienione. Politykę trzeba aktualizować przy każdej zmianie: nowym narzędziu reklamowym, nowym dostawcy newslettera, uruchomieniu sklepu. Wzór z internetu jest dobrym punktem wyjścia, ale wymaga dopasowania do tego, co faktycznie dzieje się na stronie.
Formularz kontaktowy zgodny z RODO
Przy formularzu kontaktowym wystarczy zwykle krótka informacja z linkiem do polityki prywatności, np. „Administratorem danych jest Studio Nowak sp. z o.o. Dane z formularza przetwarzamy, żeby odpowiedzieć na wiadomość. Więcej w polityce prywatności”. Obowiązkowy checkbox „wyrażam zgodę na przetwarzanie danych” przy zwykłym formularzu kontaktowym to częsty błąd, a nie wymóg RODO. Odpowiedź na wiadomość opiera się na art. 6 ust. 1 lit. b RODO, czyli działaniach na żądanie osoby przed zawarciem umowy, albo na art. 6 ust. 1 lit. f, czyli prawnie uzasadnionym interesie administratora. Wymuszona zgoda tylko komplikuje sprawę: można ją w każdej chwili wycofać, a wtedy trzeba by przestać przetwarzać dane z korespondencji.
Zgoda jest za to wymagana przy newsletterze i innych działaniach marketingowych. Musi być dobrowolna i wyrażona aktywnie. Trybunał Sprawiedliwości UE w wyroku z 1 października 2019 roku (sprawa Planet49) uznał, że zgoda wyrażona przez domyślnie zaznaczone pole jest nieważna. Każda zgoda to osobne pole, niezaznaczone na starcie.
Sprawdź też, gdzie trafiają wiadomości z formularza. Jeśli wtyczka zapisuje je dodatkowo w bazie WordPressa, kopie danych leżą na serwerze latami. Ustal okres przechowywania i usuwaj stare wpisy.
Cookies i baner zgody
Od 10 listopada 2024 roku zasady dotyczące cookies w Polsce reguluje art. 399 ustawy Prawo komunikacji elektronicznej, który zastąpił wcześniejszy art. 173 Prawa telekomunikacyjnego. Zasada się nie zmieniła: na zapisanie na urządzeniu użytkownika plików, które nie są niezbędne do działania strony, potrzebna jest jego zgoda, wyrażona zgodnie ze standardem RODO.
W praktyce oznacza to:
- pliki niezbędne (sesja, koszyk, zapamiętanie wyboru w banerze) działają bez zgody,
- analityka i reklama (Google Analytics, piksel Meta, Google Ads) uruchamiają się dopiero po zgodzie,
- odmowa powinna być równie łatwa jak akceptacja, czyli przycisk „Odrzuć” obok „Akceptuj”, a nie ukryty w ustawieniach,
- użytkownik może w każdej chwili zmienić decyzję, np. przez ikonę lub link w stopce.
Europejska Rada Ochrony Danych w raporcie grupy roboczej ds. banerów cookies z 2023 roku wskazała praktyki, które organy nadzorcze uznają za wprowadzające w błąd. Należą do nich brak przycisku odmowy na pierwszym ekranie banera, przycisk „Akceptuj” wyróżniony kolorem i wielkością przy szarym, ledwo widocznym „Odrzuć”, z góry zaznaczone pola w ustawieniach oraz linki do odmowy ukryte w tekście. Bezpieczne rozwiązanie to dwa przyciski tej samej wielkości i o podobnym kontraście, obok siebie.
Najczęstszy błąd techniczny to baner, który wyświetla się poprawnie, ale narzędzia śledzące i tak ładują się od razu. Na emm8.pl w listopadzie 2026 roku wdrożyliśmy baner CookieYes razem z Google Consent Mode v2, w którym domyślnym stanem jest brak zgody. Tagi Google wysyłają pełne dane dopiero po kliknięciu „Akceptuj”. Jak działa ten tryb i dlaczego Google go wymaga, opisujemy w artykule o Google Consent Mode v2.
Narzędzia zewnętrzne osadzone na stronie
Film z YouTube czy mapa Google wstawione na stronę łączą się z serwerami Google, zanim użytkownik cokolwiek kliknie. Kilka sposobów, żeby to uporządkować:
- filmy z YouTube osadzaj w trybie rozszerzonej prywatności (adres youtube-nocookie.com) albo jako obraz, który ładuje film dopiero po kliknięciu,
- mapę zamiast osadzenia możesz zastąpić statycznym obrazkiem z linkiem do Map Google,
- czcionki ładuj z własnego serwera zamiast z zewnętrznych usług,
- usuń skrypty narzędzi, z których już nie korzystasz, np. stary piksel po zakończonej kampanii.
Bezpieczeństwo danych na stronie
RODO wymaga odpowiednich zabezpieczeń technicznych. Na stronie internetowej to przede wszystkim certyfikat SSL (adres https), aktualne oprogramowanie, silne hasła do panelu, kopie zapasowe i ograniczony dostęp do danych z formularzy i zamówień. Wyciek danych przez nieaktualną wtyczkę to naruszenie ochrony danych osobowych. Jeśli może ono powodować ryzyko dla praw lub wolności osób, których dane dotyczą, administrator zgłasza je Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Każde naruszenie, także to, którego nie trzeba zgłaszać, odnotowuje się w wewnętrznym rejestrze. Jak zadbać o techniczną stronę ochrony, opisujemy w liście kontrolnej jak zabezpieczyć stronę WordPress.
Umowy powierzenia z dostawcami
Jeśli dane z Twojej strony przetwarza inna firma w Twoim imieniu, np. hosting, dostawca newslettera, system CRM, księgowość sklepu czy agencja z dostępem do panelu, potrzebna jest umowa powierzenia przetwarzania danych (art. 28 RODO). Większość dużych dostawców ma gotowe umowy w panelu Klienta albo w regulaminie, często pod nazwą DPA. Warto je zebrać w jednym miejscu.
RODO na stronie internetowej - lista kontrolna
| Element | Co sprawdzić |
|---|---|
| Polityka prywatności | Jest w stopce, opisuje faktycznie używane narzędzia, ma aktualną datę |
| Formularze | Krótka klauzula z linkiem, osobne niezaznaczone pola zgód marketingowych |
| Baner cookies | Przyciski „Akceptuj” i „Odrzuć” na tym samym poziomie, narzędzia ładują się po zgodzie |
| Narzędzia zewnętrzne | YouTube, mapy i czcionki nie łączą się z zewnętrznymi serwerami bez potrzeby |
| Bezpieczeństwo | SSL, aktualizacje, kopie zapasowe, dostęp do danych tylko dla potrzebnych osób |
| Dostawcy | Umowy powierzenia z hostingiem, newsletterem i innymi usługami |
| Przechowywanie | Ustalony czas przechowywania wiadomości z formularzy i usuwanie starych |
Zgodność ze standardami dotyczy też dostępności. Jeśli prowadzisz sklep, sprawdź również wymagania opisane w artykule o WCAG.
Kary za brak zgodności z RODO
Za stronę internetową odpowiada się przed dwoma urzędami. Prezes UODO pilnuje przepisów RODO i może nałożyć karę do 20 mln euro lub do 4% rocznego światowego obrotu firmy, zależnie od tego, która z tych kwot jest wyższa (art. 83 RODO). Może też udzielić upomnienia albo nakazać dostosowanie przetwarzania. Za zasady dotyczące cookies z Prawa komunikacji elektronicznej odpowiada Prezes Urzędu Komunikacji Elektronicznej, który może nałożyć karę do 3% przychodu firmy z poprzedniego roku. W przypadku małych stron kary finansowe zdarzają się rzadko, ale skargę może złożyć każdy użytkownik. Ważniejsze od samej kary jest zaufanie Klientów: strona, która od razu ładuje kilkanaście narzędzi śledzących, wygląda nieprofesjonalnie.
RODO na stronie internetowej - najczęstsze pytania
Czy strona bez formularza musi mieć politykę prywatności?
Jeśli korzysta z analityki, narzędzi reklamowych, osadzonych map czy filmów albo zapisuje logi serwera, to przetwarza dane osobowe i obowiązek informacyjny jej dotyczy. W praktyce dotyczy to prawie każdej strony firmowej.
Kto odpowiada za RODO na stronie: właściciel czy firma, która ją wykonała?
Odpowiada właściciel strony jako administrator danych. Wykonawca może wdrożyć rozwiązania techniczne, np. baner i formularze, ale decyzje o tym, jakie dane i w jakim celu są zbierane, należą do firmy.
Czy mała firma musi wyznaczyć inspektora ochrony danych?
Zwykle nie. Obowiązek dotyczy m.in. organów publicznych i firm, których główna działalność polega na przetwarzaniu danych na dużą skalę. Typowa firma usługowa ze stroną internetową go nie ma, chyba że przetwarza na dużą skalę np. dane o zdrowiu.
Czy wystarczy wzór polityki prywatności z internetu?
Jako punkt wyjścia tak, ale trzeba go dopasować do narzędzi używanych na stronie i do działalności firmy. Polityka, która wymienia narzędzia, których strona nie używa, a pomija te używane, nie spełnia obowiązku informacyjnego.
Czy muszę zgłaszać do UODO każdy błędnie wysłany e-mail?
Nie. Zgłoszenie jest wymagane, gdy naruszenie może powodować ryzyko dla osoby, której dane dotyczą, np. gdy do obcej osoby trafiły dane o zdrowiu, numer PESEL albo dane finansowe. Mail z imieniem i adresem e-mail wysłany do złego odbiorcy, który go usunął, zwykle takiego ryzyka nie tworzy. Każde naruszenie trzeba jednak opisać w wewnętrznym rejestrze.
Czy UKE może nałożyć karę za brak banera cookies?
Tak. Od 10 listopada 2024 roku za przestrzeganie zasad dotyczących cookies z Prawa komunikacji elektronicznej odpowiada Prezes UKE i może nałożyć karę pieniężną. Niezależnie od tego Prezes UODO może zająć się sprawą, jeśli cookies służą do przetwarzania danych osobowych bez podstawy prawnej.
Czy sklep internetowy potrzebuje polityki prywatności?
Tak. Sklep zbiera dane przy każdym zamówieniu, zakładaniu konta i płatności, a zwykle korzysta też z narzędzi analitycznych i reklamowych. Polityka prywatności powinna opisać m.in. przekazywanie danych firmie kurierskiej, operatorowi płatności i biuru rachunkowemu oraz okres przechowywania dokumentów sprzedaży.
Czy Google Analytics można używać zgodnie z RODO?
Tak, pod warunkiem że uruchamia się po zgodzie użytkownika, jest opisany w polityce prywatności, a ustawienia ograniczają zakres zbieranych danych. Google Consent Mode v2 pozwala zachować część pomiaru w formie modelowanej bez zapisywania cookies analitycznych przed zgodą.
Wdrożenie banera cookies, Consent Mode, formularzy i zabezpieczeń robimy w ramach obsługi stron internetowych. Jeśli przygotowujesz nową stronę, te elementy uwzględniamy od początku przy projektowaniu stron internetowych.
Skontaktuj się z nami
Uporządkujemy technicznie RODO i cookies na Twojej stronie
Prześlij adres strony. Sprawdzimy, jakie narzędzia zbierają dane, czy baner cookies blokuje je do czasu zgody, jak działają formularze i czy połączenie jest szyfrowane. Treść polityki prywatności warto skonsultować z prawnikiem.
Tel: 603 338 970
E-mail: kontakt@emm8.pl
Dlaczego warto zacząć z EMM8
- Łączymy pozycjonowanie, widoczność w AI i reklamę w jedną strategię, dzięki czemu cały budżet pracuje na ten sam cel: nowych Klientów.
- Od 2012 roku pomagamy firmom z różnych branż rosnąć w internecie, więc nie uczymy się na Państwa budżecie.
- Projekt prowadzi jedna osoba, która zna Państwa firmę, wyniki i cele, bez przekazywania sprawy między działami.
Zapytanie ofertowe
Wystarczy kilka zdań o firmie i potrzebach. Szczegóły doprecyzujemy na dalszym etapie.
