RODO w sklepie internetowym wymaga uporządkowania danych klientów, zgód marketingowych, cookies, umów z dostawcami, zabezpieczeń technicznych i procedury reagowania na incydenty. Największy problem przy kontroli pojawia się wtedy, gdy sklep nie potrafi pokazać, jakie dane zbiera, po co je przetwarza, komu je przekazuje i jak reaguje, gdy coś pójdzie źle.
Poniższy poradnik jest napisany z perspektywy polskiego e-commerce na 2026 rok. Traktuj go jako praktyczną checklistę do audytu sklepu, polityki prywatności, banera cookies, newslettera, panelu administracyjnego i relacji z podwykonawcami.
Co realnie grozi sklepowi za naruszenie RODO?
RODO przewiduje administracyjne kary pieniężne do 20 mln EUR albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa. Ten górny limit dotyczy między innymi naruszeń podstawowych zasad przetwarzania, warunków zgody i praw osób, których dane dotyczą.
W praktyce organ patrzy na skalę naruszenia, czas trwania problemu, kategorię danych, działania naprawcze, wcześniejsze uchybienia i to, czy sklep potrafi udowodnić staranność. Dla właściciela sklepu najważniejsza jest zgodność dokumentów z tym, co faktycznie robi system sprzedażowy, marketingowy i logistyczny.
Dobry test brzmi prosto: czy w ciągu jednego dnia jesteś w stanie pokazać, skąd pochodzą dane klienta, na jakiej podstawie je przetwarzasz, gdzie są zapisane, kto ma do nich dostęp, kiedy zostaną usunięte i komu zostały przekazane?
Najczęstsze błędy RODO w sklepach internetowych
Największe ryzyko w e-commerce zwykle pojawia się w miejscach, które właściciel traktuje jako "techniczne" albo "marketingowe", a nie prawne.
Najczęstsze błędy to:
- zbieranie zbyt wielu danych w formularzu zamówienia, na przykład daty urodzenia bez konkretnego celu;
- brak jasnej podstawy prawnej dla newslettera, remarketingu i profilowania;
- ładowanie skryptów analitycznych lub reklamowych przed decyzją użytkownika w banerze cookies;
- brak umów powierzenia z hostingiem, systemem mailingowym, software house'em, operatorem chatu lub dostawcą CRM;
- zbyt szerokie dostępy pracowników do panelu sklepu;
- brak MFA dla administratorów, marketingu i obsługi klienta;
- brak rejestru naruszeń i gotowej procedury zgłoszenia incydentu w 72 godziny;
- polityka prywatności skopiowana z innego sklepu;
- newsletter bez dowodu zapisu i bez łatwego wypisu;
- brak testów bezpieczeństwa po migracji sklepu, zmianie szablonu lub wdrożeniu nowych integracji.
UODO w sprawie Morele.net wskazał między innymi na niewystarczające zabezpieczenia techniczne, brak dwuskładnikowego uwierzytelniania i brak analizy ryzyka dopasowanej do realnych zagrożeń. To dobra lekcja dla sklepów: zabezpieczenia trzeba dobrać do ryzyka, a nie do najtańszej konfiguracji platformy.
Jakie dane może zbierać sklep internetowy?
Sklep powinien zbierać tylko te dane, które są potrzebne do konkretnego procesu. Im krótszy formularz, tym łatwiej obronić zasadę minimalizacji danych.
| Proces | Typowe dane | Podstawa prawna | Praktyczna wskazówka |
|---|---|---|---|
| Złożenie i realizacja zamówienia | imię, nazwisko, adres dostawy, e-mail, telefon | wykonanie umowy | Nie wymagaj zgody RODO na samo zamówienie. Zgoda nie jest tu właściwą podstawą. |
| Faktura i księgowość | dane nabywcy, NIP, adres, dane transakcji | obowiązek prawny | Oddziel dane księgowe od danych marketingowych. |
| Reklamacje i zwroty | dane zamówienia, korespondencja, numer rachunku do zwrotu | obowiązek prawny lub uzasadniony interes | Ustal okres przechowywania dokumentacji reklamacyjnej. |
| Dochodzenie roszczeń | historia zamówienia, płatności, korespondencja | uzasadniony interes | Zachowaj dane potrzebne do obrony przed roszczeniem, nawet gdy klient zażąda usunięcia konta. |
| Newsletter | e-mail, opcjonalnie imię | zgoda marketingowa | Zapisuj datę, źródło i treść zgody. |
| Remarketing i analityka | identyfikatory cookies, zdarzenia, źródła ruchu | zgoda lub inne właściwe podstawy zależnie od technologii | Blokuj skrypty do czasu decyzji użytkownika, jeśli nie są niezbędne. |
Nie wrzucaj wszystkich procesów do jednej zgody. Zgoda na newsletter nie obejmuje zgody na telefon marketingowy, profilowanie reklamowe, SMS-y promocyjne i udostępnienie danych partnerom. Każdy cel powinien być nazwany w sposób zrozumiały.
Co powinna zawierać polityka prywatności sklepu?
Polityka prywatności powinna opisywać rzeczywiste procesy w sklepie. Jeżeli sklep używa Baselinkera, Subiekta, Mailchimpa, Klaviyo, Google Analytics 4, Meta Pixela, systemu opinii, bramki płatniczej i narzędzia do obsługi zwrotów, dokument musi to odzwierciedlać.
W polityce prywatności uwzględnij:
- dane administratora i dane kontaktowe;
- cele przetwarzania danych;
- podstawy prawne dla każdego celu;
- kategorie odbiorców danych, na przykład kurierzy, operator płatności, hosting, system mailingowy;
- informacje o transferach danych poza EOG, jeśli występują;
- okresy przechowywania danych;
- prawa klienta: dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw, cofnięcie zgody;
- informację o prawie wniesienia skargi do Prezesa UODO;
- zasady cookies i podobnych technologii;
- opis zautomatyzowanego podejmowania decyzji lub profilowania, jeśli sklep stosuje takie mechanizmy.
Najczęstszy błąd: polityka mówi, że sklep nie stosuje narzędzi analitycznych, a w kodzie strony działa GA4, Meta Pixel i kilka skryptów afiliacyjnych. Taka niespójność jest gorsza niż krótki dokument, który uczciwie opisuje stan faktyczny.
Cookies w sklepie internetowym w 2026 roku
Od 10 listopada 2024 roku w Polsce obowiązuje Prawo komunikacji elektronicznej. Art. 399 PKE reguluje przechowywanie informacji w urządzeniu końcowym użytkownika i dostęp do takich informacji. W praktyce dotyczy to cookies, pikseli, identyfikatorów reklamowych i podobnych technologii.
Dla sklepu oznacza to trzy zasady:
- Cookies niezbędne do działania koszyka, logowania, bezpieczeństwa i realizacji usługi mogą działać bez zgody, jeśli są faktycznie konieczne.
- Cookies analityczne, reklamowe i remarketingowe powinny czekać na aktywną decyzję użytkownika.
- Użytkownik musi dostać jasną informację o celu działania cookies i możliwość łatwej zmiany decyzji.
Dobry baner cookies ma przyciski o porównywalnej widoczności, na przykład "Akceptuję wszystkie" oraz "Odrzucam opcjonalne". Link do ustawień powinien pozwalać wybrać kategorie, takie jak analityczne, reklamowe i funkcjonalne.
Zły baner cookies ma duży przycisk akceptacji, ukrytą odmowę, domyślnie zaznaczone zgody albo ładuje skrypty reklamowe jeszcze przed kliknięciem. Taki baner nie daje dobrego dowodu zgody.
Google Consent Mode v2: co sprawdzić w sklepie?
Jeśli sklep prowadzi kampanie Google Ads lub korzysta z GA4, sprawdź konfigurację Google Consent Mode v2. Google wskazuje cztery istotne parametry zgody:
| Parametr | Co oznacza w praktyce |
|---|---|
| `ad_storage` | zgoda na przechowywanie danych związanych z reklamami |
| `analytics_storage` | zgoda na przechowywanie danych analitycznych |
| `ad_user_data` | zgoda na przesyłanie danych użytkownika do Google w celach reklamowych |
| `ad_personalization` | zgoda na personalizację reklam |
Ustaw domyślny stan na `denied` dla kategorii, które wymagają zgody, a po decyzji użytkownika aktualizuj status. W Google Tag Managerze sprawdź też, czy tagi reklamowe i analityczne mają poprawne warunki uruchamiania. Samo zainstalowanie wtyczki cookies nie wystarczy, jeśli tagi nadal odpalają się przy wejściu na stronę.
Newsletter zgodny z RODO
Newsletter wymaga dobrowolnej, konkretnej, świadomej i możliwej do udowodnienia zgody. Checkbox nie może być domyślnie zaznaczony. Zgoda na regulamin sklepu nie powinna być łączona ze zgodą na marketing.
W formularzu zapisu podaj jasno:
- kto wysyła newsletter;
- jakie treści będzie otrzymywać subskrybent;
- jak często można spodziewać się wiadomości, jeśli ma to znaczenie dla odbiorcy;
- że zgodę można wycofać w każdej chwili;
- link do polityki prywatności.
Warto używać double opt-in. Po wpisaniu e-maila użytkownik dostaje wiadomość z linkiem potwierdzającym zapis. System powinien zapisać datę, adres e-mail, źródło formularza, adres IP, treść zgody i datę potwierdzenia. Dzięki temu sklep ma dowód, że dana osoba faktycznie zapisała się na listę.
Każdy newsletter powinien zawierać działający link wypisu. Po wypisie adres nie powinien trafiać do kolejnej kampanii przez ręczny eksport, segment automatyczny albo synchronizację z CRM.
Dostawcy: największy niedoceniany obszar ryzyka
Sklep internetowy rzadko przetwarza dane samodzielnie. Dane klientów przechodzą przez hosting, platformę sklepową, operatora płatności, firmę kurierską, system mailingowy, narzędzie fakturowe, CRM, live chat, system opinii, integrator marketplace i software house.
Dla każdego dostawcy ustal:
- czy dostawca jest procesorem, odrębnym administratorem czy współadministratorem;
- jakie dane otrzymuje;
- w jakim celu je przetwarza;
- czy potrzebna jest umowa powierzenia;
- czy występuje transfer poza Europejski Obszar Gospodarczy;
- kto ma dostęp administracyjny po stronie dostawcy;
- jak dostawca zgłasza incydenty;
- jak usuwa dane po zakończeniu współpracy.
Praktyczny przykład: agencja marketingowa z dostępem do panelu sklepu, listy klientów i historii zakupów nie powinna działać na podstawie samej umowy o prowadzenie kampanii. Trzeba uregulować dostęp do danych, zakres uprawnień, poufność, dalsze podpowierzenie i procedurę zakończenia współpracy.
Zabezpieczenia techniczne, które powinien mieć sklep
RODO nie podaje jednej listy zabezpieczeń dla wszystkich sklepów. Art. 32 RODO wymaga środków odpowiednich do ryzyka. W e-commerce ryzyko jest konkretne: przejęcie konta administratora, wyciek bazy klientów, błędna konfiguracja integracji, phishing, ransomware, publiczny backup, podatna wtyczka albo przypadkowy eksport danych do niewłaściwego odbiorcy.
Minimalny standard dla sklepu w 2026 roku:
- MFA dla administratorów, obsługi klienta, marketingu i kont pocztowych;
- osobne konta użytkowników, bez współdzielonego loginu "admin";
- zasada najmniejszych uprawnień;
- regularne aktualizacje platformy, szablonu i wtyczek;
- HTTPS na całym sklepie;
- szyfrowane kopie zapasowe;
- test przywracania backupu z zapisem wyniku testu;
- logi dostępu do panelu administracyjnego;
- alerty dla nietypowych logowań;
- ograniczenie eksportów danych klientów;
- procedura odbierania dostępów po zakończeniu współpracy z pracownikiem, agencją lub freelancerem.
Przed większą zmianą, na przykład migracją z WooCommerce na Shopify, wdrożeniem nowego ERP albo przebudową checkoutu, zrób krótką analizę ryzyka. Sprawdź, jakie dane będą migrowane, gdzie trafią kopie testowe, kto ma dostęp do środowiska stagingowego i czy wyszukiwarki nie zaindeksują plików z danymi.
Co zrobić po wycieku danych?
Po incydencie liczy się tempo, fakty i dokumentacja. RODO wymaga zgłoszenia naruszenia do organu nadzorczego bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych.
Procedura powinna wyglądać tak:
- Zabezpiecz system: zablokuj przejęte konta, odetnij podatną integrację, zmień hasła, zatrzymaj podejrzane procesy.
- Ustal zakres: jakie dane, ilu klientów, jaki okres, jakie systemy.
- Oceń ryzyko dla osób: czy dane pozwalają na phishing, przejęcie konta, kradzież tożsamości, oszustwo płatnicze lub ujawnienie wrażliwych informacji.
- Zdecyduj, czy zgłaszać incydent do UODO.
- Jeżeli ryzyko dla osób jest wysokie, poinformuj także klientów prostym językiem.
- Wpisz zdarzenie do rejestru naruszeń, nawet jeśli nie zgłaszasz go do UODO.
- Opisz działania naprawcze i termin ich wdrożenia.
Nie czekaj z rejestrem naruszeń do końca analizy. Lepiej mieć wpis z aktualizacjami niż próbować odtworzyć przebieg zdarzeń po kilku tygodniach z pamięci i fragmentów logów.
Dokumenty RODO, które warto mieć przed kontrolą
Dokumentacja powinna być krótka, aktualna i zgodna z działaniem sklepu. W małym e-commerce lepszy jest konkretny zestaw pięciu plików niż segregator wzorów, których nikt nie stosuje.
Przygotuj:
- rejestr czynności przetwarzania;
- politykę ochrony danych lub procedurę bezpieczeństwa;
- politykę prywatności i cookies;
- rejestr umów powierzenia i listę dostawców;
- rejestr upoważnień i dostępów;
- rejestr naruszeń;
- procedurę realizacji praw klientów;
- procedurę usuwania danych i kont;
- instrukcję reagowania na incydenty;
- dowody szkoleń osób, które obsługują klientów, zamówienia i marketing.
Rejestr czynności przetwarzania nie powinien być pustą tabelą. Wpisz w nim konkretne procesy: realizacja zamówień, konto klienta, fakturowanie, reklamacje, newsletter, analityka, remarketing, obsługa chatu, program lojalnościowy, sprzedaż przez marketplace, obsługa zwrotów.
Szybka checklista: co zrobić, żeby zmniejszyć ryzyko kary?
Zacznij od spraw, które najczęściej ujawniają realny bałagan w danych.
- Przejdź cały checkout i usuń pola, których nie potrzebujesz.
- Rozdziel zgody: regulamin, newsletter, telefon, SMS, profilowanie, cookies.
- Sprawdź w kodzie strony, czy skrypty reklamowe nie ładują się przed zgodą.
- Włącz MFA dla panelu sklepu, poczty, hostingu, GTM, GA4, CRM i systemu mailingowego.
- Zrób listę wszystkich dostawców, którzy widzą dane klientów.
- Podpisz lub zaktualizuj umowy powierzenia tam, gdzie są potrzebne.
- Usuń konta byłych pracowników, agencji i freelancerów.
- Sprawdź, czy polityka prywatności wymienia rzeczywiste narzędzia.
- Wprowadź double opt-in dla newslettera.
- Upewnij się, że link wypisu działa i blokuje dalszą wysyłkę.
- Przetestuj przywrócenie backupu.
- Przygotuj prostą procedurę incydentu na jedną stronę.
- Ustal, kto decyduje o zgłoszeniu naruszenia do UODO.
- Raz na kwartał porównaj dokumenty RODO z faktycznymi integracjami sklepu.
FAQ
Czy klient musi wyrazić zgodę RODO, żeby złożyć zamówienie?
Nie. Dane potrzebne do realizacji zamówienia przetwarzasz zwykle na podstawie wykonania umowy. Checkbox "zgoda na przetwarzanie danych w celu realizacji zamówienia" jest zbędny i może wprowadzać klienta w błąd.
Czy numer telefonu klienta jest zawsze potrzebny?
Numer telefonu jest uzasadniony, jeśli jest potrzebny do dostawy, kontaktu w sprawie zamówienia albo obsługi reklamacji. Nie używaj numeru telefonu do marketingu bez osobnej, wcześniejszej zgody.
Czy sklep może wysłać newsletter do klienta po zakupie?
Sklep może wysyłać marketing e-mailowy tylko wtedy, gdy ma właściwą zgodę na komunikację marketingową. Sam zakup produktu nie oznacza automatycznego zapisu do newslettera.
Czy cookies analityczne wymagają zgody?
W typowym sklepie internetowym cookies analityczne nie są konieczne do wykonania usługi zamówionej przez użytkownika, więc powinny być uruchamiane po uzyskaniu zgody. Dotyczy to zwłaszcza narzędzi zewnętrznych, które mierzą zachowanie użytkownika między stronami lub kampaniami.
Czy mały sklep musi mieć rejestr czynności przetwarzania?
Często tak. Zwolnienie dla podmiotów poniżej 250 osób nie działa, gdy przetwarzanie nie ma charakteru sporadycznego albo może powodować ryzyko dla praw i wolności osób. Sklep internetowy przetwarza dane klientów regularnie, więc rejestr jest praktycznym i bezpiecznym standardem.
Ile czasu sklep może przechowywać dane klienta?
To zależy od celu. Dane zamówienia przechowuj przez okres potrzebny do realizacji umowy, obowiązków podatkowych, reklamacji i obrony przed roszczeniami. Dane newsletterowe usuń lub zablokuj dla wysyłki po wycofaniu zgody, z zachowaniem minimalnego dowodu jej wcześniejszego udzielenia, jeśli jest potrzebny do obrony przed zarzutem.
Co zrobić teraz?
Najlepszy pierwszy krok to krótki audyt: formularze, cookies, newsletter, dostawcy, dostępy, backupy i procedura incydentu. Właściciel sklepu nie musi zaczynać od wielkiego projektu compliance. Wystarczy przejść ścieżkę klienta, listę integracji i panel administracyjny, a potem usunąć najprostsze ryzyka: zbędne dane, źle ustawione zgody, stare konta i brak MFA.
RODO w sklepie internetowym działa najlepiej wtedy, gdy jest częścią codziennej obsługi sklepu. Każda nowa wtyczka, integracja, kampania reklamowa, formularz i migracja danych powinny przejść krótkie pytanie kontrolne: jakie dane zbieramy, po co, na jakiej podstawie, kto je zobaczy i kiedy je usuniemy?
Sugerowane linki wewnętrzne
- Jak założyć sklep internetowy w Polsce w 2026 roku - kompletny przewodnik po zgodnym z prawem wdrożeniu sklepu.
- Czat na stronie sklepu: Tidio, LiveChat czy Zendesk? - kwestie RODO, retencji danych i zgód przy wdrożeniu czatu.
- Ile kosztuje założenie sklepu internetowego? - koszty prawne, regulaminy i audyt RODO.
- Shopify vs WooCommerce vs Shoper - porównanie bezpieczeństwa i zgodności z RODO na popularnych platformach.
- Karta produktu, która sprzedaje w 2026 roku - wdrożenie RODO, weryfikacji opinii i informacji o cenach na stronie produktu.