RODO a strona internetowa w 2026 — co musisz mieć, żeby być w zgodzie

Każda strona zbierająca dane osobowe — a formularz kontaktowy je zbiera — podlega przepisom RODO. W praktyce oznacza to cztery obowiązki: rzetelną politykę prywatności, prawidłowo zbieraną zgodę na cookies inne niż niezbędne, spełnienie obowiązku informacyjnego przy formularzach oraz umowy powierzenia z podmiotami, które przetwarzają dane w Twoim imieniu — hostingiem, systemem mailingowym czy dostawcą analityki.

Kiedy strona podlega RODO

Zawsze, gdy przetwarza dane osobowe — czyli informacje pozwalające zidentyfikować osobę fizyczną. Wbrew powszechnemu przekonaniu nie chodzi wyłącznie o imię i nazwisko.

• Formularz kontaktowy — imię, adres e-mail, numer telefonu.
• Zapis na newsletter — adres e-mail.
• Narzędzia analityczne — adres IP i identyfikatory zapisane w cookies bywają uznawane za dane osobowe.
• Rekrutacja — dokumenty aplikacyjne to zwykle najszerszy zakres danych na całej stronie.
• Konta użytkowników — dane logowania i historia aktywności.
• Chat i komunikatory — treść rozmowy razem z identyfikatorem sesji.

Polityka prywatności — co musi zawierać

Dokument pobrany z internetu i podmieniony w miejscu nazwy firmy zwykle nie odpowiada rzeczywistości i tym samym nie spełnia swojej funkcji. Polityka ma opisywać to, co faktycznie robisz z danymi.

• Tożsamość administratora — pełna nazwa, adres, dane kontaktowe.
• Inspektor ochrony danych, jeśli został wyznaczony, wraz z kanałem kontaktu.
• Cele przetwarzania i podstawy prawne — osobno dla każdego celu: obsługa zapytania, marketing, rekrutacja, statystyka.
• Kategorie odbiorców — hosting, system mailingowy, dostawca analityki, biuro rachunkowe.
• Okresy przechowywania podane konkretnie, a nie jako „przez czas niezbędny”.
• Przekazywanie poza Europejski Obszar Gospodarczy wraz ze wskazaniem podstawy takiego transferu.
• Prawa osoby, której dane dotyczą — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody.
• Prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych.
• Informacja o profilowaniu, jeśli je stosujesz.
• Data ostatniej aktualizacji dokumentu.

Cookies i zgody — gdzie najczęściej pojawia się błąd

Obowiązek zgody nie dotyczy wszystkich plików cookies. Kluczowy jest podział na te niezbędne i pozostałe.

Jak powinien działać poprawny banner

• Skrypty wymagające zgody nie uruchamiają się przed jej udzieleniem — to warunek podstawowy, a nie szczegół implementacyjny.
• Przycisk odmowy jest równie widoczny i równie łatwo dostępny jak przycisk akceptacji.
• Zgoda jest zbierana osobno dla każdej kategorii, a nie jako jedno zbiorcze przyzwolenie.
• Brak reakcji na banner nie jest traktowany jako zgoda — milczenie nie wyraża woli.
• Użytkownik może wycofać zgodę równie łatwo, jak jej udzielił — potrzebny jest trwale dostępny odnośnik do ustawień.
• Decyzja jest rejestrowana wraz z datą, aby można było wykazać jej udzielenie.

Formularze — obowiązek informacyjny w praktyce

Przy formularzu kontaktowym podstawą przetwarzania jest zwykle prawnie uzasadniony interes lub czynności zmierzające do zawarcia umowy — nie zgoda. To oznacza, że nie potrzebujesz obowiązkowego pola zgody na obsługę zapytania. Wymuszanie takiej zgody jest częstym błędem, który dodatkowo obniża konwersję formularza.

Potrzebujesz natomiast spełnić obowiązek informacyjny — wystarczy krótka klauzula z odnośnikiem do polityki prywatności, umieszczona przy formularzu.

Kiedy zgoda jest naprawdę potrzebna

• Newsletter i informacje handlowe — zgoda odrębna, dobrowolna, z osobnym polem wyboru odznaczonym domyślnie.
• Kontakt marketingowy telefoniczny — zgoda odrębna od zgody na e-mail.
• Przyszłe rekrutacje — zgoda na zachowanie dokumentów po zakończeniu bieżącego procesu.

Umowy powierzenia przetwarzania

Każdy podmiot, który przetwarza dane w Twoim imieniu, wymaga zawarcia umowy powierzenia. Dotyczy to również usług, o których łatwo zapomnieć.

• Dostawca hostingu — na jego serwerach znajduje się baza danych i poczta.
• System mailingowy obsługujący newsletter.
• Dostawca narzędzia analitycznego.
• Agencja utrzymująca stronę, jeśli ma dostęp do panelu i danych.
• Dostawca chatu lub systemu obsługi zgłoszeń.
• Operator płatności, jeśli prowadzisz sprzedaż.

Większość dostawców udostępnia wzór umowy powierzenia do akceptacji w panelu klienta. Warto zweryfikować, czy została faktycznie zawarta, a nie jedynie założyć, że obowiązuje automatycznie.

Rejestr czynności przetwarzania

Obowiązek prowadzenia rejestru dotyczy większości podmiotów prowadzących regularne przetwarzanie danych — w praktyce niemal każdej firmy z formularzem kontaktowym i newsletterem. Rejestr nie musi być rozbudowanym systemem; wystarczy uporządkowany arkusz zawierający dla każdej czynności: cel, kategorie osób i danych, odbiorców, terminy usunięcia oraz opis zastosowanych zabezpieczeń.

Realizacja praw użytkowników w praktyce

Obowiązki nie kończą się na dokumentach. Osoba, której dane przetwarzasz, może wystąpić z żądaniem, a Ty masz obowiązek odpowiedzieć bez zbędnej zwłoki, zwykle w ciągu miesiąca. Warto przygotować się na to zawczasu, zamiast improwizować pod presją terminu.

Prawo dostępu

Osoba może zapytać, jakie dane na jej temat posiadasz. Odpowiedź powinna obejmować zakres danych, cele przetwarzania, odbiorców i planowany okres przechowywania. W praktyce oznacza to konieczność sprawdzenia wszystkich miejsc, w których dane mogą się znajdować — skrzynki pocztowej, systemu mailingowego, bazy strony i systemu sprzedażowego.

Prawo do usunięcia

Nie jest bezwzględne. Możesz odmówić, gdy przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego, na przykład przechowywania dokumentów księgowych, albo do ustalenia i dochodzenia roszczeń. Odmowa wymaga jednak uzasadnienia, a nie milczenia.

Prawo sprzeciwu wobec marketingu

Tu nie ma miejsca na ocenę — sprzeciw wobec przetwarzania na potrzeby marketingu bezpośredniego musi zostać uwzględniony bezwarunkowo i natychmiast. Każda wiadomość marketingowa powinna zawierać działający odnośnik rezygnacji.

Naruszenie ochrony danych

Wyciek danych, utrata dostępu do bazy czy wysłanie wiadomości z widocznymi adresami wszystkich odbiorców to zdarzenia wymagające oceny ryzyka. Jeśli ryzyko naruszenia praw osób jest realne, zgłoszenie do organu nadzorczego należy wykonać w ciągu siedemdziesięciu dwóch godzin od stwierdzenia naruszenia. Warto mieć przygotowaną prostą procedurę opisującą, kto podejmuje decyzję i w jakim trybie — improwizacja w tym terminie zwykle się nie udaje.

Sześć najczęstszych błędów

• Skrypty śledzące działające przed zgodą. Banner jest ozdobą, jeśli piksel uruchamia się przy wejściu na stronę.
• Przycisk odmowy ukryty za dodatkowym kliknięciem w ustawieniach, podczas gdy akceptacja jest jednym dużym przyciskiem.
• Skopiowana polityka prywatności opisująca narzędzia, których nie używasz, i pomijająca te, których używasz.
• Obowiązkowa zgoda przy formularzu kontaktowym — niepotrzebna prawnie i szkodliwa dla konwersji.
• Brak umów powierzenia z hostingiem i systemem mailingowym.
• Formularz bez szyfrowania — dane przesyłane bez certyfikatu SSL to naruszenie zasady poufności.

Podsumowanie

Zgodność z RODO na poziomie strony internetowej sprowadza się do przejrzystości: powiedz wprost, jakie dane zbierasz, po co, komu je przekazujesz i jak długo je trzymasz — a następnie postępuj zgodnie z tym opisem. Największe ryzyko wiąże się nie z brakiem dokumentów, lecz z rozbieżnością między tym, co deklaruje polityka prywatności, a tym, co faktycznie robi kod strony.

Warto zaplanować przegląd raz w roku oraz po każdej zmianie w zestawie używanych narzędzi. Dodanie nowego piksela reklamowego czy systemu chatu to zmiana zakresu przetwarzania, która wymaga aktualizacji dokumentacji i konfiguracji zgód.