RODO na stronie internetowej małej firmy: lista kontrolna

RODO obowiązuje od 25 maja 2018 r., ale strony małych firm wciąż mają te same luki: polityka prywatności skopiowana z innej strony, Google Analytics ładowany przed zgodą, baner cookies bez przycisku odmowy. Od 10 listopada 2024 r. zasady dotyczące cookies reguluje nowa ustawa Prawo komunikacji elektronicznej (PKE), która zastąpiła Prawo telekomunikacyjne. Poniżej przechodzę przez każdy element strony i na końcu daję listę kontrolną do odhaczenia.

Ten tekst to praktyczny przewodnik, nie porada prawna. Przy nietypowym przetwarzaniu (dane zdrowotne, monitoring, profilowanie) skonsultuj się z prawnikiem.

Kiedy RODO dotyczy strony firmowej?

Zawsze, gdy strona przetwarza dane osobowe. A przetwarza je prawie każda:

• formularz kontaktowy zbiera imię, e-mail i telefon,
• serwer zapisuje w logach adresy IP odwiedzających,
• Google Analytics, piksel Meta czy tag Google Ads przypisują użytkownikowi identyfikatory,
• osadzona mapa, film z YouTube lub czcionka z serwerów Google przekazuje adres IP firmie trzeciej.

Administratorem tych danych jesteś Ty, właściciel strony. Nie agencja i nie hosting. To Ty odpowiadasz przed Prezesem UODO.

Co musi zawierać polityka prywatności?

Polityka prywatności realizuje obowiązek informacyjny z art. 13 RODO. Musi opisywać to, co faktycznie dzieje się na Twojej stronie, a nie przetwarzanie z cudzego szablonu. Minimalny zakres:

1. Administrator: pełna nazwa firmy, adres, NIP, e-mail do spraw danych.
2. Cele i podstawy prawne, osobno dla każdego celu: odpowiedź na zapytanie, realizacja umowy, statystyki, marketing, obrona przed roszczeniami.
3. Odbiorcy danych: hosting, dostawca poczty, biuro rachunkowe, Google, Meta, firma obsługująca stronę.
4. Przekazanie poza EOG: np. do USA w przypadku narzędzi Google i Meta, z podstawą (od 10.07.2023 decyzja Komisji o adekwatności dla firm certyfikowanych w EU-US Data Privacy Framework).
5. Okres przechowywania: konkretnie, np. “zapytania ofertowe przez 12 miesięcy od ostatniego kontaktu”.
6. Prawa osoby: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie, cofnięcie zgody, skarga do Prezesa UODO.
7. Informacja o dobrowolności podania danych i skutkach niepodania.
8. Cookies: jakie, w jakim celu, jak długo, jak zmienić zgodę.
9. Profilowanie, jeśli występuje (np. remarketing).

Najczęstszy błąd: polityka wymienia narzędzia, których nie używasz, a pomija te, które są na stronie. Po każdej zmianie wtyczek i skryptów polityka wymaga aktualizacji.

Formularz kontaktowy zgodny z RODO

Formularz to miejsce, gdzie strona zbiera dane wprost. Zasady:

• Zbieraj minimum. Do odpowiedzi na pytanie wystarczy e-mail lub telefon i treść. Pole “PESEL” czy “adres domowy” w formularzu kontaktowym to naruszenie zasady minimalizacji.
• Klauzula informacyjna pod formularzem, 2-3 zdania z linkiem do polityki prywatności. Przykład: “Administratorem danych jest [Firma] z siedzibą w [miasto]. Dane przetwarzamy, aby odpowiedzieć na Twoje zapytanie. Szczegóły i Twoje prawa opisujemy w polityce prywatności.”
• Checkbox zgody tylko tam, gdzie zgoda jest podstawą. Odpowiedź na zapytanie nie wymaga zgody. Newsletter i oferty handlowe wysyłane e-mailem wymagają osobnej, niezaznaczonej domyślnie zgody, także na gruncie przepisów o komunikacji elektronicznej.
• Szyfrowanie. Strona z formularzem musi działać po HTTPS. Certyfikat Let’s Encrypt jest bezpłatny i każdy porządny hosting go obsługuje (więcej w artykule Hosting dla strony firmowej).
• Gdzie trafiają dane? Jeżeli wtyczka zapisuje zgłoszenia w bazie strony, ustal okres ich usuwania. Dane z formularzy sprzed 5 lat w panelu WordPressa to częsty problem przy wycieku.

Cookies i zgoda: co zmieniło Prawo komunikacji elektronicznej?

Zasadę wyraża art. 399 PKE: zapisywanie informacji na urządzeniu użytkownika i dostęp do nich wymaga uprzedniej, jasnej informacji i zgody. Standard zgody jest taki sam jak w RODO: dobrowolna, konkretna, świadoma, jednoznaczna i możliwa do wycofania.

Zgoda nie jest potrzebna dla cookies niezbędnych do działania usługi: sesja koszyka, zapamiętanie wyboru w banerze, zabezpieczenie formularza.

Zgoda jest potrzebna dla cookies analitycznych, reklamowych, remarketingowych i dla większości osadzonych treści zewnętrznych.

Dobry baner cookies:

Za naruszenie przepisów PKE grozi kara do 3% przychodu z poprzedniego roku. Niezależnie od tego Prezes UODO może ukarać za naruszenie RODO, jeśli przez cookies przetwarzane są dane osobowe.

Nie wycinaj z tego powodu analityki ani map. Rozwiązaniem jest porządny baner z kategoriami, który blokuje skrypty do czasu zgody i wyświetla w miejscu mapy czy filmu placeholder z przyciskiem “Pokaż mapę”.

Google Analytics zgodnie z RODO: cztery warunki

Google Analytics 4 można używać zgodnie z RODO, jeśli:

1. Ładujesz GA dopiero po zgodzie albo stosujesz Google Consent Mode v2, w którym bez zgody tag nie zapisuje cookies i wysyła tylko sygnały bez identyfikatorów. Consent Mode v2 jest od marca 2024 r. wymagany przez Google dla użytkowników z EOG, jeśli korzystasz z funkcji reklamowych.
2. Akceptujesz warunki przetwarzania danych Google Ads w ustawieniach konta (Data Processing Terms).
3. Wyłączasz zbędne funkcje: sygnały Google i personalizację reklam, jeśli ich nie potrzebujesz. Skróć przechowywanie danych do 2 lub 14 miesięcy zależnie od potrzeb.
4. Opisujesz GA w polityce prywatności, z przekazaniem danych do USA.

Alternatywy: Matomo na własnym serwerze albo narzędzia bez cookies. Przy Matomo z anonimizacją IP i bez cookies część ekspertów dopuszcza działanie bez zgody, ale wymaga to poprawnej konfiguracji.

Czy czcionki Google na stronie łamią RODO?

Mogą. Gdy strona pobiera czcionki z fonts.googleapis.com, przeglądarka odwiedzającego wysyła jego adres IP do Google, zanim ktokolwiek zapyta o zgodę. Sąd krajowy w Monachium (LG München I) w wyroku z 20 stycznia 2022 r. (sygn. 3 O 17493/20) uznał to za naruszenie i zasądził od właściciela strony 100 euro zadośćuczynienia. Po wyroku w Niemczech posypały się masowe wezwania do zapłaty.

Polskie sądy nie wydały głośnego odpowiednika, ale rozwiązanie jest proste i bezpłatne: pliki czcionek hostuj na własnym serwerze. Strona ładuje się wtedy także szybciej. Na każdej stronie, którą buduję, czcionki są lokalne.

Mapy Google, YouTube i wtyczki społecznościowe: jak je osadzić?

Osadzona mapa Google, film z YouTube, widżet Facebooka czy przycisk “Udostępnij” ładują skrypty i cookies zewnętrznych firm w chwili otwarcia strony.

Rozwiązania:

• Mapa: placeholder (zrzut mapy lub grafika) z przyciskiem “Pokaż mapę Google”. Po kliknięciu i zgodzie ładuje się właściwa mapa. Obok zawsze adres tekstem i link “Wyznacz trasę”.
• YouTube: tryb youtube-nocookie.com plus ładowanie po kliknięciu. Sam tryb nocookie nie wystarcza, bo po odtworzeniu YouTube i tak zapisuje dane.
• Facebook i Instagram: zwykłe linki z ikonami zamiast wtyczek. Link nie przekazuje żadnych danych, dopóki ktoś w niego nie kliknie.
• Piksel Meta i tag Google Ads: wyłącznie po zgodzie na kategorię marketingową.

Umowa powierzenia z hostingiem i agencją: kiedy jest potrzebna?

Każdy podmiot, który przetwarza dane osobowe w Twoim imieniu, to podmiot przetwarzający. Z każdym potrzebujesz umowy powierzenia przetwarzania (art. 28 RODO). Dotyczy to:

• hostingu: dane formularzy, logi, poczta leżą na jego serwerach. Duzi dostawcy publikują gotową umowę lub akceptujesz ją w panelu,
• agencji lub freelancera, który ma dostęp do panelu strony i zgłoszeń z formularza,
• dostawcy newslettera, CRM, systemu rezerwacji,
• biura rachunkowego, jeśli dostaje dane klientów.

Zapytaj wykonawcę wprost: “Czy podpiszemy umowę powierzenia?”. Profesjonalna firma ma gotowy wzór. W ramach abonamentu opieki nad stroną umowa powierzenia jest standardowym elementem współpracy.

Rejestr czynności przetwarzania w małej firmie

Art. 30 RODO zwalnia z obowiązku prowadzenia rejestru firmy zatrudniające mniej niż 250 osób, ale tylko gdy przetwarzanie ma charakter sporadyczny, nie dotyczy szczególnych kategorii danych i nie powoduje ryzyka. Grupa Robocza Art. 29 (stanowisko opublikowane przez UODO) wyjaśnia, że regularna obsługa klientów czy pracowników nie jest sporadyczna. W praktyce mała firma z formularzem kontaktowym i bazą klientów powinna rejestr prowadzić.

Rejestr to zwykła tabela: cel przetwarzania, kategorie osób i danych, odbiorcy, przekazanie poza EOG, okres przechowywania, opis zabezpieczeń. Dla typowej małej firmy to 5-8 wierszy w arkuszu.

Lista kontrolna RODO dla strony firmowej

Odhacz każdy punkt. Jeśli coś jest na “nie”, masz zadanie na najbliższy tydzień.

1. Strona działa wyłącznie po HTTPS.
2. Polityka prywatności opisuje narzędzia faktycznie użyte na stronie i ma aktualną datę.
3. W polityce są pełne dane administratora i e-mail kontaktowy.
4. Pod formularzem jest klauzula informacyjna z linkiem do polityki.
5. Formularz zbiera tylko niezbędne dane.
6. Zgoda marketingowa (jeśli jest) to osobny, niezaznaczony checkbox.
7. Zgłoszenia z formularza mają określony okres usuwania.
8. Baner cookies ma równorzędne przyciski “Akceptuję” i “Odrzucam”.
9. Google Analytics, piksele i tagi reklamowe nie ładują się przed zgodą (sprawdź w narzędziach deweloperskich przeglądarki, zakładka Sieć).
10. Czcionki są hostowane lokalnie.
11. Mapy, filmy i widżety społecznościowe ładują się po kliknięciu i zgodzie.
12. Link do zmiany ustawień cookies jest dostępny w stopce.
13. Masz umowy powierzenia z hostingiem, wykonawcą strony i dostawcami narzędzi.
14. Prowadzisz rejestr czynności przetwarzania.
15. Wiesz, kto u Ciebie odpowiada za zgłoszenie naruszenia do UODO w ciągu 72 godzin.

Z mojej praktyki: jak sprawdziłem zgody na tej stronie

Na strony-www.com działa Google Analytics 4 w trybie Consent Mode v2. Po starcie strony w październiku 2026 sprawdziłem to w narzędziach przeglądarki, tak jak sprawdzam strony klientów:

1. Wejście na stronę bez klikania w baner: 0 plików cookies, a w warstwie danych zapis zgody “domyślnie odmowa”.
2. Kliknięcie “Zgadzam się”: dopiero wtedy pojawiają się pliki _ga i _ga_ z identyfikatorem usługi, a zgoda zmienia się na “udzielona”.
3. Wybór w banerze zapisuje się w przeglądarce pod jednym kluczem, żeby baner nie wracał przy każdej wizycie.

Formularz kontaktowy ma jeszcze dwie rzeczy, które warto opisać w polityce prywatności, a o których wiele firm zapomina. Ochronę przed botami (u mnie Cloudflare Turnstile, czyli kolejny odbiorca danych) i techniczny zapis zgłoszeń na serwerze, który u mnie usuwa się sam po 90 dniach. W ramach opieki nad stroną podpisuję z klientem umowę powierzenia danych, bo jako wykonawca mam dostęp do serwera i formularzy.

Baner zgód z kategoriami, lokalne czcionki i polityka prywatności do uzupełnienia danymi firmy są w każdym z moich pakietów.