RODO na stronie internetowej: obowiązki, polityka prywatności i wzór

Jeśli Twoja strona ma formularz kontaktowy, zapis na newsletter, sklep albo choćby narzędzie analityczne, to przetwarzasz dane osobowe i RODO Cię dotyczy. W praktyce oznacza to trzy rzeczy: musisz wiedzieć, jakie dane zbiera strona i na jakiej podstawie, poinformować o tym użytkownika w momencie ich pozyskania oraz opublikować jasną politykę prywatności, dostępną z każdej podstrony. Poniżej rozkładam ten temat na czynniki: od obowiązku informacyjnego, przez szkielet polityki prywatności, po wdrożenie i regularne sprawdzanie zgodności.

Krótko mówiąc

• RODO obejmuje każdą firmę z UE, która przez stronę zbiera dane osobowe, a do danych osobowych zalicza się także adres IP.
• Obowiązek informacyjny spełniasz w chwili zbierania danych: przy formularzu i, w przypadku cookies, zanim użytkownik zacznie korzystać ze strony.
• Polityka prywatności musi zawierać m.in. dane administratora, cele i podstawy prawne przetwarzania, odbiorców danych oraz prawa użytkownika.
• Gotowy wzór to punkt wyjścia, a nie gotowy dokument: treść musi opisywać to, co faktycznie dzieje się na Twojej stronie.
• Zgodność to proces: każda nowa wtyczka, formularz czy integracja to powód, żeby zaktualizować politykę.

Kiedy RODO dotyczy Twojej strony

Zasada jest prosta. Według unijnego portalu Your Europe RODO stosuje się do firm z UE, które przetwarzają dane osobowe, a także do firm spoza Unii, jeśli oferują towary lub usługi osobom w UE albo monitorują ich zachowanie. Ten sam portal wskazuje, że danymi osobowymi są m.in. imię, nazwisko i adres IP.

To ostatnie ma duże znaczenie. Wielu właścicieli stron-wizytówek zakłada, że skoro nie mają formularza, to temat ich nie dotyczy. Tymczasem serwer, statystyki odwiedzin czy osadzone materiały zewnętrzne zwykle stykają się z adresem IP odwiedzającego.

Polska Agencja Rozwoju Przedsiębiorczości wymienia typowe sytuacje, w których przedsiębiorca staje się administratorem danych na stronie:

• zapis na newsletter,
• formularz kontaktowy,
• prośba o wycenę lub ofertę,
• realizacja umowy, np. zamówienia w sklepie,
• lista oczekujących,
• komentarze na blogu.

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania. Jeśli to Ty zdecydowałeś, że strona ma zbierać zapytania ofertowe, to Ty jesteś administratorem, a nie firma, która stronę wykonała, ani hosting.

Jakie dane zbiera typowa strona firmowa

Zanim napiszesz choć jedno zdanie polityki prywatności, zrób inwentaryzację. Dane trafiają do Ciebie na dwa sposoby. Jak wyjaśnia poradnik RODO IAB Polska, dane zbierane bezpośrednio od osoby to zarówno te, które użytkownik sam wpisuje, jak i te zbierane automatycznie przez technologie śledzące, np. pliki cookies.

Poniższa tabela pomaga przejść przez stronę element po elemencie. Podstawy prawne podaję jako typowe przykłady, a ostateczny wybór zależy od tego, jak naprawdę wykorzystujesz dane.

Dla każdego wiersza zapisz też, kto poza Tobą ma dostęp do danych: firma hostingowa, narzędzie do mailingu, operator płatności, system CRM. To są odbiorcy danych, których trzeba wymienić w obowiązku informacyjnym.

Obowiązek informacyjny: kiedy i jak go spełnić

Obowiązek informacyjny to najważniejsza część RODO z perspektywy właściciela strony. Grupa Robocza Art. 29, w wytycznych opublikowanych po polsku przez UODO, podkreśla, że przejrzystość jest nadrzędnym obowiązkiem RODO. Obejmuje ona informowanie osób, komunikację o ich prawach i ułatwianie korzystania z nich.

Moment przekazania informacji

PARP wskazuje, że obowiązek informacyjny spełnia się w momencie pozyskania danych. Przy formularzach przedsiębiorcy zwykle umieszczają checkbox z oświadczeniem, że użytkownik zapoznał się z polityką prywatności. Warunek jest jeden: polityka musi być jasna i przejrzysta, a link do niej musi działać.

Przy danych zbieranych automatycznie sytuacja wygląda inaczej. Według IAB Polska informacje trzeba podać przed rozpoczęciem korzystania ze strony, na przykład w komunikacie wyświetlanym po wejściu. Zakres informacji jest przy tym taki sam, niezależnie od tego, czy dane pochodzą z formularza, czy z cookies.

Forma i język

Wytyczne GR29 zalecają warstwowe oświadczenia o polityce prywatności. W praktyce wygląda to tak:

1. Pierwsza warstwa przy formularzu: jedno lub dwa zdania o tym, kto jest administratorem, w jakim celu zbiera dane i gdzie znaleźć szczegóły.
2. Druga warstwa w polityce prywatności: pełna informacja z podziałem na procesy (kontakt, newsletter, sklep, cookies).

Te same wytyczne wskazują, że informacje mają być zasadniczo bezpłatne i podane jasnym, prostym językiem, szczególnie gdy są kierowane do dzieci. Zdania w rodzaju „dane mogą być wykorzystywane w celach marketingowych i innych” nie spełniają tego wymogu. Lepiej napisać konkretnie: „Twój adres e-mail wykorzystam wyłącznie do wysyłki newslettera raz w miesiącu”.

Co musi zawierać polityka prywatności

PARP przypomina, że obowiązek informacyjny z art. 13 RODO wymaga podania m.in.:

• tożsamości i danych kontaktowych administratora,
• celów przetwarzania i ich podstaw prawnych,
• odbiorców danych,
• praw przysługujących osobie, której dane dotyczą.

W dobrej polityce prywatności te informacje pojawiają się osobno dla każdego procesu. Użytkownik, który zapisał się na newsletter, powinien szybko znaleźć fragment o newsletterze, bez czytania o fakturach i zwrotach.

Gdzie umieścić politykę

Według GR29 każda organizacja prowadząca stronę powinna opublikować oświadczenie o polityce prywatności, z bezpośrednim linkiem na każdej podstronie, opisanym powszechnie stosowanym hasłem. Po polsku najczęściej to po prostu „Polityka prywatności”. Najpewniejsze miejsce to stopka strony, a dodatkowo link przy każdym formularzu i w komunikacie o cookies.

Nie chowaj polityki pod hasłem typu „Informacje prawne” w trzecim poziomie menu. Użytkownik ma znaleźć ją bez szukania.

Wzór polityki prywatności: szkielet do uzupełnienia

Wiele osób szuka gotowego wzoru. Rozumiem to, ale PARP wprost zaleca, by dostosować politykę do konkretnych procesów przetwarzania i unikać generycznych wzorów. Dlatego zamiast gotowego tekstu proponuję szkielet, który wypełnisz treścią opisującą Twoją stronę.

1. Administrator danych. Pełna nazwa firmy, adres, NIP, e-mail do spraw związanych z danymi osobowymi. Jeśli wyznaczono inspektora ochrony danych, jego kontakt.
2. Jakie dane zbieramy i skąd. Krótka lista: dane z formularzy, dane z zamówień, dane zbierane automatycznie.
3. Cele i podstawy prawne. Osobny podpunkt dla każdego procesu: kontakt, wycena, newsletter, sprzedaż, komentarze, analityka.
4. Odbiorcy danych. Kategorie dostawców: hosting, poczta e-mail, system mailingowy, operator płatności, firma kurierska, biuro rachunkowe, CRM.
5. Przekazywanie danych poza Europejski Obszar Gospodarczy. Jeśli korzystasz z narzędzi, które przechowują dane poza EOG, opisz to tutaj.
6. Okres przechowywania. Dla każdego procesu: jak długo trzymasz dane albo według jakiego kryterium je usuwasz.
7. Prawa użytkownika. Dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw, przenoszenie danych, wycofanie zgody, skarga do Prezesa UODO.
8. Pliki cookies i podobne technologie. Jakie kategorie cookies stosujesz, w jakim celu i jak zmienić ustawienia.
9. Zmiany polityki. Data ostatniej aktualizacji i informacja, jak powiadamiasz o zmianach.

Jeśli Twoja strona przetwarza dane wrażliwe (np. gabinet medyczny przyjmujący opis objawów w formularzu), kieruje ofertę do dzieci albo profiluje użytkowników, nie opieraj się na samym szkielecie. W takiej sytuacji treść polityki warto przygotować z prawnikiem specjalizującym się w ochronie danych osobowych.

Zgoda, umowa czy uzasadniony interes

Częsty błąd to zbieranie zgody na wszystko. Europejska Rada Ochrony Danych w poradniku dla małych firm wymienia kilka podstaw prawnych przetwarzania, m.in. zgodę, wykonanie umowy, wypełnienie obowiązku prawnego i prawnie uzasadniony interes administratora. Zgoda jest tylko jedną z nich.

PARP podaje dwa czytelne przykłady: zapis na newsletter może opierać się na zgodzie, a przetwarzanie danych niezbędnych do realizacji umowy na samej umowie. Klient sklepu nie musi więc „zgadzać się” na przetwarzanie adresu dostawy, bo bez niego nie dostanie paczki.

Co z tego wynika dla projektu formularzy:

• Checkbox „zapoznałem się z polityką prywatności” to potwierdzenie obowiązku informacyjnego, a nie zgoda na marketing.
• Zgoda na newsletter lub marketing powinna być osobnym polem, oddzielonym od akceptacji regulaminu. W swoich projektach zostawiam je niezaznaczone, żeby decyzja zawsze wynikała z działania użytkownika.
• Wycofanie zgody powinno być tak proste jak jej udzielenie, np. link „wypisz się” w każdym mailu.

Pliki cookies i skrypty zewnętrzne

Na tym etapie najwięcej stron ma problem. Nie z samą treścią polityki, ale z tym, co faktycznie ładuje się w przeglądarce. Wtyczki społecznościowe, osadzone mapy, filmy, czaty i piksele reklamowe potrafią wysyłać dane do zewnętrznych firm od pierwszej sekundy wizyty.

Ponieważ informacje o danych zbieranych automatycznie trzeba podać przed rozpoczęciem korzystania ze strony, kolejność ma znaczenie:

1. Spisz wszystkie skrypty zewnętrzne i cookies, jakie ustawia strona.
2. Podziel je na niezbędne do działania strony i pozostałe (analityka, marketing, treści zewnętrzne).
3. Pokaż użytkownikowi komunikat z jasnymi opcjami wyboru przy pierwszej wizycie.
4. Uruchamiaj skrypty spoza kategorii niezbędnych dopiero zgodnie z wyborem użytkownika.
5. Daj możliwość zmiany decyzji później, np. linkiem w stopce.

Przy rozbudowanych wdrożeniach marketingowych sprawdź aktualne wymogi dotyczące cookies z prawnikiem. Od strony technicznej najważniejsze jest jedno: baner, który niczego nie blokuje, nie spełnia swojej funkcji.

Wdrożenie RODO na stronie krok po kroku

Jeśli masz już działającą stronę, przejdź przez tę listę w podanej kolejności:

1. Inwentaryzacja. Spisz formularze, integracje, wtyczki, skrypty i miejsca, gdzie trafiają dane (skrzynka, CRM, arkusz, system mailingowy).
2. Podstawy prawne. Dla każdego procesu przypisz podstawę: zgoda, umowa, obowiązek prawny lub uzasadniony interes.
3. Polityka prywatności. Napisz ją według szkieletu powyżej, prostym językiem, z podziałem na procesy.
4. Formularze. Dodaj krótką klauzulę pierwszej warstwy i checkbox z linkiem do polityki. Zgody marketingowe wydziel jako osobne pola.
5. Cookies. Wdróż komunikat przy pierwszej wizycie i blokowanie skryptów do czasu wyboru użytkownika.
6. Bezpieczeństwo. Certyfikat SSL, aktualne oprogramowanie, ograniczony dostęp do panelu, kopie zapasowe. Dane z formularzy nie powinny leżeć latami w bazie bez powodu.
7. Dostawcy. Ustal z prawnikiem, z którymi dostawcami potrzebujesz umowy powierzenia przetwarzania danych.
8. Umowa z wykonawcą. Jeśli zlecasz budowę strony, zapisz w umowie, kto odpowiada za techniczne wdrożenie formularzy i cookies. Więcej o tym piszę w tekście o tym, co musi zawierać umowa na stronę internetową.

Jak regularnie sprawdzać zgodność

PARP zwraca uwagę, że politykę prywatności trzeba aktualizować, gdy zmieniają się informacje objęte obowiązkiem informacyjnym. Strona żyje, więc polityka też musi.

Przegląd warto zrobić przy każdej zmianie na stronie i dodatkowo w stałym rytmie, np. raz na kwartał. Krótka lista kontrolna:

• Czy wszystkie formularze mają klauzulę i działający link do polityki?
• Czy doszło nowe narzędzie: czat, piksel, system rezerwacji, integracja z CRM?
• Czy zmienił się dostawca hostingu, poczty lub płatności?
• Czy baner cookies faktycznie blokuje skrypty przed wyborem użytkownika?
• Czy data aktualizacji polityki odpowiada ostatniej zmianie?
• Czy wiesz, jak odpowiesz, gdy ktoś poprosi o usunięcie swoich danych?

Takie przeglądy dobrze jest wpisać w zakres opieki technicznej. Opisuję to szerzej w artykule o tym, jak wygląda utrzymanie strony www. Przejrzystość idzie zresztą w parze z dostępnością cyfrową według WCAG: czytelny formularz z jasną etykietą zgody to lepsze doświadczenie dla każdego użytkownika.

Moje podejście: RODO zaczyna się w kodzie, nie w dokumencie

Większość problemów z RODO, które widzę na stronach firmowych, nie wynika ze złej polityki prywatności. Wynika z tego, że strona robi coś innego, niż deklaruje dokument. Polityka mówi o jednym narzędziu analitycznym, a w kodzie ładuje się pięć skryptów. Baner pyta o zgodę, ale piksele startują, zanim ktokolwiek kliknie.

Dlatego zgodność z RODO traktuję jako część projektu, a nie dodatek doklejany po wdrożeniu. Projektuję, koduję i wdrażam stronę samodzielnie, bez szablonów, więc wiem dokładnie, jaki skrypt ładuje się w którym momencie i dokąd trafiają dane z formularza. Nie ma tu sytuacji, w której grafik dodał element, programista go podpiął, a nikt nie sprawdził, co on wysyła.

Strona napisana bez zbędnych wtyczek ma też mniej punktów, które trzeba opisywać w polityce i pilnować przy aktualizacjach. Mniej kodu z zewnątrz oznacza krótszą listę odbiorców danych, szybsze ładowanie i lepsze wyniki Core Web Vitals. Prywatność, szybkość i konwersja nie stoją tu w sprzeczności.

Marcin

Strona zaprojektowana z myślą o danych użytkowników

Jeśli planujesz nową stronę albo Twoja obecna obrasta we wtyczki, których nikt już nie kontroluje, mogę zaprojektować ją od podstaw. Formularze z czytelną klauzulą, przemyślane ładowanie skryptów, łatwy CMS do aktualizacji treści i jedna osoba odpowiedzialna za design, kod i SEO.

Sprawdź, jak pracuję przy tworzeniu stron internetowych dla firm. Jeśli sprzedajesz online, zobacz ofertę sklepów internetowych, a gdy dane klientów mają trafiać do jednego miejsca, dedykowanych paneli CRM.

Najczęstsze pytania

Czy strona bez formularza też potrzebuje polityki prywatności?

W większości przypadków tak. Danymi osobowymi jest także adres IP, a strona zwykle styka się z nim przez serwer, statystyki lub osadzone treści. Jeśli korzystasz z cookies poza niezbędnymi, musisz poinformować o tym użytkownika przed rozpoczęciem korzystania ze strony.

Czy mogę skopiować politykę prywatności z innej strony?

Nie warto. Cudza polityka opisuje cudze procesy, dostawców i narzędzia, więc u Ciebie będzie po prostu nieprawdziwa. Skorzystaj ze szkieletu z tego artykułu i wypełnij go tym, co faktycznie dzieje się na Twojej stronie.

Czy checkbox przy formularzu kontaktowym to zgoda na przetwarzanie danych?

Zwykle nie. Przy odpowiedzi na zapytanie podstawą jest najczęściej uzasadniony interes lub działania przed zawarciem umowy, a checkbox potwierdza zapoznanie się z polityką. Zgodę zbierasz osobno, gdy dane mają posłużyć np. do newslettera.

Jak często aktualizować politykę prywatności?

Za każdym razem, gdy zmienia się coś, co w niej opisujesz: nowy formularz, narzędzie, dostawca albo cel przetwarzania. Dodatkowo warto zaplanować stały przegląd, np. raz na kwartał, i wpisywać w dokumencie datę ostatniej zmiany.

Kto odpowiada za RODO na stronie: ja czy wykonawca?

Za przetwarzanie danych odpowiada administrator, czyli firma, która decyduje o celach zbierania danych. Wykonawca odpowiada za techniczne wdrożenie, dlatego zakres tej pracy warto opisać w umowie. Treść prawną polityki w nietypowych przypadkach najlepiej skonsultować z prawnikiem od ochrony danych.

Źródła

• Your Europe: Ochrona danych osobowych zgodnie z RODO
• PARP: Polityka prywatności na stronach internetowych. Jak właściwie spełnić obowiązek informacyjny
• IAB Polska: Obowiązek informacyjny w środowisku internetowym
• UODO: Wytyczne Grupy Roboczej Art. 29 dotyczące przejrzystości
• UODO: Wytyczne Grupy Roboczej Art. 29 (plik 2609)
• EROD: Zgodne z prawem przetwarzanie danych osobowych

Rekomendacje

• Umowa na stronę internetową: co musi zawierać w 2026 roku
• Dostępność cyfrowa według WCAG 2.1: poziomy, prawo i testy
• Utrzymanie strony www: zakres, koszty i umowa wsparcia