Blog · 7 listopada 2026 · 12 min czytania

RODO na stronie firmowej: 7 rzeczy do sprawdzenia, zanim zrobi to UODO

Większość firmowych stron „ma RODO” w tym sensie, że ma podstronę „Polityka prywatności” wklejoną z generatora w 2018 roku i baner cookies z jednym przyciskiem „Akceptuję”. Tymczasem przepisy o cookies zmieniły się w listopadzie 2024, Urząd Ochrony Danych Osobowych rozpatrzył w 2024 roku ponad osiem tysięcy skarg, a kary za rzeczy widoczne gołym okiem na stronie – brak umowy z hostingiem, niezaszyfrowane dane – już zapadły i utrzymały się w sądach. Poniżej siedem miejsc, w które warto spojrzeć, zanim zrobi to klient, konkurent albo urząd.

To nie jest porada prawna. Opisujemy stan prawny na listopad 2026 r. w uproszczeniu, z odesłaniem do źródeł na końcu; w razie wątpliwości co do własnej sytuacji skonsultuj się z prawnikiem lub inspektorem ochrony danych.

1. Polityka prywatności: czy jest w niej wszystko, czego wymaga art. 13

RODO nie każe mieć podstrony o nazwie „Polityka prywatności”. Każe – w art. 13 – przekazać konkretny zestaw informacji każdemu, od kogo zbierasz dane, a więc także osobie wypełniającej formularz kontaktowy czy zapisującej się na newsletter. Polityka na stronie to po prostu najwygodniejsze miejsce, żeby ten obowiązek spełnić raz. Sprawdź, czy Twoja zawiera:

  • kto jest administratorem – nazwa firmy i dane kontaktowe (nie tylko formularz), a jeśli masz inspektora ochrony danych, jego kontakt;
  • po co i na jakiej podstawie przetwarzasz dane – osobno dla odpowiedzi na zapytanie, newslettera, zamówienia, rekrutacji; przy „prawnie uzasadnionym interesie” trzeba napisać, jaki to interes;
  • komu dane przekazujesz – odbiorcy lub ich kategorie (hosting, firma od newslettera, biuro rachunkowe, kurier) i czy trafiają poza Europejski Obszar Gospodarczy;
  • jak długo je trzymasz albo według jakich kryteriów to ustalasz;
  • jakie prawa ma osoba: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie, cofnięcie zgody (gdy podstawą była zgoda) i skarga do Prezesa UODO;
  • czy podanie danych jest wymogiem umownym lub ustawowym i co się stanie, gdy ktoś ich nie poda;
  • czy podejmujesz decyzje automatycznie lub profilujesz (dla większości małych stron: nie – i warto to napisać).

Art. 12 dodaje wymóg formy: informacja ma być „w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem”. Polityka na dwadzieścia ekranów prawniczego żargonu, skopiowana od sklepu internetowego, choć prowadzisz gabinet, formalnie może zawierać wszystko, a i tak nie spełnia tego warunku. Najprostszy test: przeczytaj ją na telefonie i sprawdź, czy opisuje Twoją stronę – te formularze, które naprawdę masz, i tych dostawców, z których naprawdę korzystasz.

2. Baner cookies: od 10 listopada 2024 obowiązuje nowa ustawa

Przez lata podstawą dla cookies w Polsce był art. 173 Prawa telekomunikacyjnego. Ta ustawa przestała obowiązywać: 10 listopada 2024 r. weszła w życie ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (PKE). Zasady opisuje teraz art. 399 PKE: zapisywanie informacji w urządzeniu użytkownika lub odczytywanie ich jest dozwolone, gdy użytkownik został wcześniej „w sposób jednoznaczny, łatwy i zrozumiały” poinformowany o celu i wyraził zgodę. Wyjątek (ust. 3) dotyczy plików koniecznych do transmisji albo do świadczenia usługi, której użytkownik sam zażądał – czyli koszyka czy sesji logowania, nie statystyk i reklam. A art. 400 PKE dopowiada rzecz kluczową: do tej zgody „stosuje się odpowiednio przepisy o ochronie danych osobowych”. Zgoda na cookies ma więc spełniać warunki zgody z RODO: dobrowolna, konkretna, świadoma, wyrażona aktywnym działaniem.

Co to znaczy w praktyce, pokazały dwa dokumenty, które warto znać, bo organy nadzorcze w całej Unii z nich korzystają:

  • Wyrok TSUE w sprawie Planet49 (C-673/17, 1 października 2019): domyślnie zaznaczone pole wyboru, które użytkownik musiałby odznaczyć, nie jest ważną zgodą.
  • Raport grupy zadaniowej EROD ds. banerów cookies (przyjęty 17 stycznia 2023; EROD, po angielsku EDPB, zrzesza wszystkie unijne organy ochrony danych, w tym UODO). Ustalenia: baner, który na pierwszej warstwie ma przycisk „Akceptuję”, a nie ma żadnej opcji odrzucenia, „zdecydowana większość organów” uznała za naruszenie; domyślnie zaznaczone pola nie dają ważnej zgody; odmowa ukryta jako link w tekście („kontynuuj bez akceptacji”) bez wyraźnego wyróżnienia wizualnego – zgoda nieważna; pliki reklamowe lub analityczne oznaczone jako „niezbędne” – naruszenie; a wycofanie zgody powinno być równie łatwe, np. przez stałą ikonę lub link w stopce. Kolorów i kontrastu raport nie ocenia jedną regułą – każdy przypadek osobno, za wprost wprowadzający w błąd uznano tylko kontrast, przy którym tekst jest praktycznie nieczytelny.

Test na własnej stronie zajmuje dwie minuty: otwórz ją w oknie prywatnym przeglądarki. Czy obok „Akceptuję” jest równie widoczne „Odrzuć” lub „Tylko niezbędne”? Czy przed kliknięciem czegokolwiek w narzędziach deweloperskich (F12 → Sieć/Network) nie ładują się już skrypty Google Analytics, Meta Pixel, Hotjar? Jeśli się ładują, baner jest dekoracją – zgoda jest pobierana po fakcie. To najczęstszy błąd, jaki widzimy, i jednocześnie najłatwiejszy do zauważenia przez każdego, kto chce złożyć skargę.

3. Formularz kontaktowy: klauzula tak, zbędne zgody nie

Przy formularzu, który zbiera e-mail czy telefon, powinna być krótka klauzula informacyjna – kto przetwarza dane, po co, i link do pełnej polityki (to realizacja art. 13 „w momencie pozyskiwania danych”). Czego natomiast nie trzeba: osobnego checkboxa „wyrażam zgodę na przetwarzanie danych w celu odpowiedzi”. Odpowiedź na pytanie klienta mieści się w art. 6 ust. 1 lit. b RODO (działania na żądanie osoby przed zawarciem umowy) albo lit. f (uzasadniony interes). Zgoda jako podstawa ma tę wadę, że można ją cofnąć w każdej chwili – więc opieranie na niej czegoś, co i tak musisz zrobić, tylko komplikuje. Zastrzegamy: to interpretacja przepisów przyjęta powszechnie w praktyce, a nie oficjalne stanowisko UODO, którego w tej sprawie nie znaleźliśmy.

Inaczej z newsletterem i ofertami. Tu zgoda jest potrzebna, i to z dwóch porządków naraz: RODO (dane osobowe) oraz art. 398 PKE, który zakazuje wysyłania informacji handlowej, „w tym marketingu bezpośredniego”, na urządzenia końcowe bez uprzedniej zgody (zastąpił art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 172 Prawa telekomunikacyjnego). Zgoda marketingowa nie może być zaszyta w akceptacji regulaminu ani zaznaczona z góry (znów Planet49), a najbezpieczniejszy wzorzec to potwierdzenie linkiem z e-maila (double opt-in): daje dowód, że zgodę wyraził właściciel skrzynki.

I rzecz techniczna, o której przy RODO łatwo zapomnieć: dane z formularza muszą iść szyfrowanym połączeniem. Art. 32 RODO wymienia szyfrowanie jako jeden ze środków bezpieczeństwa wprost, a szkoleniowe materiały UODO mówią o tym bez niuansów: „transmisja danych musi odbywać się za pomocą szyfrowanej transmisji (SSL, TLS, VPN)”. Formularz na stronie bez HTTPS – albo z HTTPS, ale wysyłający dane na adres http:// (tzw. mixed content) – to dane klienta przesyłane otwartym tekstem. Jak sprawdzić, czy formularz w ogóle działa, opisaliśmy w osobnym tekście.

4. Google Analytics, Fonts, piksele: wiesz, co ładuje Twoja strona?

Każdy skrypt z zewnątrz – statystyki, mapa, czat, czcionki, wideo, wtyczka „Lubię to” – wysyła dane o odwiedzającym (co najmniej adres IP) do firmy trzeciej, często poza Europę. Dwa rozstrzygnięcia z początku 2022 r. pokazały, że to nie jest teoria: Sąd Krajowy w Monachium (20 stycznia 2022, sygn. 3 O 17493/20) zasądził 100 euro zadośćuczynienia za stronę, która ładowała czcionki Google Fonts z serwerów Google, przez co adres IP odwiedzającego trafiał do Google bez jego zgody. Kilka tygodni wcześniej austriacki organ ochrony danych uznał – po skardze organizacji noyb – że korzystanie z Google Analytics na austriackiej stronie narusza RODO ze względu na transfer danych do USA.

Od tamtej pory zmieniła się jedna ważna rzecz: 10 lipca 2023 r. Komisja Europejska przyjęła decyzję o odpowiednim stopniu ochrony dla ram „EU-US Data Privacy Framework”. Przekazanie danych do amerykańskiej firmy, która ma certyfikat DPF (Google go ma), jest dziś objęte tą decyzją – problem „transferu do USA” w kształcie z 2022 r. więc zmalał. Nie zniknęły jednak dwie pozostałe rzeczy: cookies analityczne i reklamowe nadal wymagają zgody z punktu 2, a każda taka firma to odbiorca danych, który powinien być wymieniony w polityce z punktu 1. Praktyczna rada jest prosta: zrób listę. Otwórz stronę z narzędziami deweloperskimi (F12 → Sieć), odfiltruj żądania do obcych domen i zapytaj siebie przy każdej: po co to mam i czy jest w polityce prywatności? Czcionki można hostować u siebie, mapę zastąpić obrazkiem z linkiem, a połowa wtyczek z 2019 r. nikomu nie jest już potrzebna.

5. Umowy powierzenia: hosting, agencja, newsletter

Art. 28 RODO wymaga, żeby z każdym podmiotem, który przetwarza dane w Twoim imieniu, była umowa (lub inny instrument prawny) o określonej treści. Dla strony firmowej to przede wszystkim: hosting (na jego serwerach leżą zgłoszenia z formularza i baza sklepu), firma utrzymująca stronę, dostawca newslettera, system rezerwacji czy czatu. U dużych dostawców taka umowa jest zwykle częścią regulaminu albo do kliknięcia w panelu – trzeba ją po prostu zaakceptować i zachować. U lokalnej agencji czy freelancera często nie ma jej wcale.

To nie jest formalność, którą UODO pomija. Burmistrz Aleksandrowa Kujawskiego dostał 40 000 zł kary (decyzja z 2019 r.) m.in. za brak umowy powierzenia z firmą, „na której serwerach znalazły się zasoby Biuletynu Informacji Publicznej”, i z dostawcą oprogramowania do BIP – czyli, mówiąc po ludzku, z hostingiem i wykonawcą strony. Do tego doszło publikowanie oświadczeń majątkowych dłużej, niż pozwalają przepisy. Karę utrzymał Wojewódzki Sąd Administracyjny (2020) i Naczelny Sąd Administracyjny (luty 2024). Mała firma nie ma BIP-u, ale ma ten sam układ: hosting, wykonawca, dane klientów. Sprawdź, czy masz te umowy na piśmie i czy wiesz, gdzie leżą.

6. Bezpieczeństwo z art. 32: co sprawdzi każdy, nie tylko biegły

Art. 32 RODO nie podaje listy zabezpieczeń – wymaga środków „odpowiednich” do ryzyka i wymienia przykłady, w tym szyfrowanie. Jak to się ocenia po fakcie, pokazuje najdłuższa polska sprawa o bezpieczeństwo danych: sklep Morele.net. We wrześniu 2019 r. UODO nałożył ok. 2,8 mln zł kary po wycieku danych klientów; w lutym 2023 r. NSA uchylił tę decyzję; w styczniu 2024 r. UODO wydał nową – ponad 3,8 mln zł, wskazując m.in. brak szyfrowania części danych, brak dwuskładnikowego uwierzytelniania i brak analizy ryzyka – a we wrześniu 2024 r. WSA oddalił skargę spółki. Pięć lat sporu i kara, która po drodze urosła.

Firma z dziesięcioosobową załogą nie potrzebuje działu bezpieczeństwa, ale tych kilka rzeczy jest widocznych z zewnątrz i wchodzi w każdą ocenę „odpowiedniości”:

  • HTTPS na całej stronie, z przekierowaniem z http:// i ważnym certyfikatem (co się dzieje, gdy wygaśnie: tutaj);
  • aktualny CMS i wtyczki oraz logowanie dwuskładnikowe do panelu – brak 2FA to jeden z zarzutów w sprawie Morele (dla WordPressa: 10 ustawień);
  • żadnych plików, których nie powinno być pod adresem strony: zrzutów bazy (.sql), kopii (.zip, backup/), plików konfiguracyjnych (.env, wp-config.php.bak), katalogu .git. Każdy z nich to gotowy wyciek danych klientów, który może znaleźć skrypt skanujący internet w kilka minut;
  • nagłówki bezpieczeństwa – nie zatrzymają każdego ataku, ale ich brak jest pierwszym, co widać w każdym audycie (wyjaśniamy po kolei);
  • kopia zapasowa, którą ktoś kiedyś przywrócił – art. 32 mówi wprost o zdolności „szybkiego przywrócenia dostępności danych” po incydencie (co naprawdę masz).

7. Gdy coś pójdzie nie tak: 72 godziny

Wyciek z formularza, włamanie na stronę, e-mail do wszystkich klientów z adresami w polu „Do” zamiast „UDW” – to naruszenia ochrony danych. Art. 33 RODO daje 72 godziny od stwierdzenia naruszenia na zgłoszenie go do Prezesa UODO (chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób; po terminie trzeba wyjaśnić opóźnienie). Gdy ryzyko jest wysokie, art. 34 każe zawiadomić także same osoby – z wyjątkiem m.in. sytuacji, gdy dane były zaszyfrowane, co jest kolejnym argumentem za punktem 6. Zgłoszenie składa się elektronicznie formularzem dostępnym przez biznes.gov.pl.

Skala jest większa, niż się wydaje. Ze sprawozdania UODO za 2024 r.: 14 842 zgłoszenia naruszeń (rok wcześniej 14 069), 8 056 skarg (6 962 w 2023, czyli o 16 % więcej) i 1 670 decyzji w sprawach ze skarg. Najczęstszy typ naruszenia to błędnie zaadresowana korespondencja, w tym masowe e-maile bez ukrycia adresów odbiorców. To nie jest statystyka o korporacjach – to codzienność firm, które wysyłają newsletter „ręcznie” z programu pocztowego. Wniosek praktyczny: zanim coś się stanie, zapisz na jednej kartce, kto u Ciebie decyduje o zgłoszeniu, gdzie jest formularz i co trzeba zebrać (co wyciekło, ile osób, kiedy, co zrobiono).

Lista kontrolna na 15 minut

SprawdźJakDobrze, gdy
Polityka prywatnościPrzeczytaj na telefonie, porównaj z listą z punktu 1Opisuje Twoje formularze i Twoich dostawców; ma datę aktualizacji z tego roku
Baner cookiesOkno prywatne, F12 → Sieć przed kliknięciem„Odrzuć” równie widoczne jak „Akceptuję”; przed zgodą nie ładują się skrypty analityczne i reklamowe
FormularzWyślij testowe zgłoszenie z adresu spoza firmyKlauzula z linkiem do polityki; brak zbędnych checkboxów; adres zaczyna się od https; zgłoszenie dotarło
Skrypty zewnętrzneF12 → Sieć, filtr „third-party” / obce domenyKażda domena ma uzasadnienie i jest w polityce; czcionki z własnego serwera
Umowy powierzeniaHosting, wykonawca, newsletter, rezerwacje, czatMasz je na piśmie (lub zaakceptowane w panelu) i wiesz, gdzie leżą
BezpieczeństwoHTTPS, aktualizacje, 2FA, pliki w katalogu strony, kopiaŻadnych .sql/.zip/.env/.git pod adresem strony; kopia przywrócona choć raz
Procedura naruszeniaJedna kartka: kto, gdzie, co zebraćKażdy w firmie wie, komu zgłosić „chyba wysłałem to do wszystkich”

Co sprawdzamy w Webskanie

Nie czytamy Twojej polityki prywatności i nie oceniamy umów – to praca dla prawnika. Sprawdzamy to, co z RODO widać od strony klienta i co da się zmierzyć automatycznie. W audycie pogłębionym: czy baner cookies ma „Odrzuć” na pierwszym ekranie i czy nie zasłania strony na telefonie, czy formularz zbierający e-mail ma przy sobie informację o przetwarzaniu danych i czy w ogóle działa, czy cała strona jest na HTTPS bez treści ładowanych po http://, jakie ma nagłówki bezpieczeństwa i certyfikat, oraz czy pod adresem strony nie leżą publicznie dostępne zrzuty bazy, kopie, pliki konfiguracyjne i katalog .git – każdy taki plik opisujemy z adresem i tym, co w nim widać. Webskan Monitor powtarza te kontrole codziennie i pisze, gdy coś się pogorszy – na przykład gdy po aktualizacji wtyczki w katalogu strony pojawi się nowa kopia bazy.

Szybki obraz za darmo

Darmowy szybki skan Webskan sprawdza stronę tak, jak widzi ją telefon klienta: certyfikat i przekierowanie na https, podstawowe nagłówki bezpieczeństwa, wydajność i SEO. Bez e-maila, bez rejestracji, wynik w ok. 30 sekund.

Chcesz, żeby ktoś codziennie porównywał stronę z wczorajszą i pisał, gdy coś się zmieni? Webskan Monitor (49 zł/mies.); 30 dni Monitora w cenie audytu pogłębionego (249 zł).

Źródła