RODO na stronie internetowej: co musisz mieć i jak to wdrożyć

Prawie każda strona internetowa w Polsce musi spełniać obowiązek informacyjny RODO i mieć poprawnie skonfigurowaną obsługę cookies. Nie ma znaczenia, czy prowadzisz blog firmowy, sklep internetowy czy stronę wizytówkę. Jeśli zbierasz jakiekolwiek dane — adres e-mail z formularza, identyfikatory z narzędzi analitycznych, numer telefonu z zapisu na newsletter — jesteś administratorem danych i masz konkretne obowiązki.

Pytanie, jak wdrożyć RODO na stronie, sprowadza się w praktyce do czterech rzeczy — i to od nich zacznij:

• Pełna polityka prywatności oparta na art. 13 i 14 RODO, dostępna z każdej podstrony, najczęściej linkiem w stopce.
• Krótka notka informacyjna przy każdym formularzu, w koszyku i przy zapisie do newslettera.
• Baner cookies, który blokuje skrypty analityczne i marketingowe do momentu uzyskania zgody, z realną opcją odrzucenia.
• Umowy powierzenia przetwarzania (DPA) z hostingiem, dostawcą CRM i każdym podwykonawcą, który dotyka danych Twoich użytkowników.

Dalsze sekcje rozpisują każdy z tych punktów: co wchodzi do polityki, jak zbudować baner zgodny z przepisami i gdzie najczęściej rozjeżdża się dokument z rzeczywistym działaniem strony.

Kluczowe wnioski

Obowiązki RODO w sieci sprowadzają się do trzech rzeczy naraz: pełnej polityki prywatności zgodnej z art. 13 i 14, poprawnie skonfigurowanego banera cookies oraz podpisanych umów powierzenia z każdym podwykonawcą przetwarzającym dane.

Co musi zawierać polityka prywatności zgodna z RODO

Polityka prywatności RODO nie jest dokumentem uznaniowym. Art. 13 i 14 RODO wyliczają konkretne informacje, które trzeba podać, a poradnik PARP o obowiązku informacyjnym wskazuje pominięcie choćby jednego punktu jako typowy błąd.

Okresy przechowywania to punkt, w którym najłatwiej rozpoznać dokument pisany z szablonu. Zapis „do czasu ustania celu przetwarzania" nie mówi nic i nie spełnia wymogu. Rzetelna polityka podaje osobną wartość dla każdego celu: ile trzymacie korespondencję, która nie skończyła się umową, jak długo dokumentację księgową, ile żyją cookies analityczne. Jeśli nie potraficie podać liczby, prawdopodobnie nie wiecie, co się z danymi dzieje — i to jest właściwy moment, żeby to ustalić.

Transfer poza EOG dotyczy więcej firm, niż się wydaje. Jeśli używasz Google Analytics, dane trafiają do Stanów Zjednoczonych, więc polityka musi to wskazać i podać podstawę przekazania — najczęściej decyzję Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowe klauzule umowne. Samo wymienienie narzędzia bez informacji o transferze to luka, którą łatwo przeoczyć, bo narzędzie „działa po polsku".

Polityka prywatności na stronie nie musi być jednym blokiem tekstu. Kluczowe informacje — kto zbiera dane i po co — trafiają bezpośrednio pod formularz, a pełny wykaz odbiorców i okresów przechowywania zostaje w rozbudowanej polityce.

Polityka cookies na stronie i polityka prywatności to dwa odrębne dokumenty — dlaczego, wyjaśniam w sekcji o trzech porządkach prawnych. Wiele stron łączy je w jeden tekst, co utrudnia użytkownikowi znalezienie informacji, a przy kontroli oznacza, że jeden dokument musi spełniać wymagania dwóch aktów naraz.

Pisz prostym językiem. Nagłówki, krótkie akapity i format pytanie–odpowiedź działają lepiej niż ściana prawniczego tekstu, którego nikt nie przeczyta.

Jak pokazać informacje bez zasypywania użytkownika tekstem

Klauzula informacyjna nie musi być ścianą tekstu. Najlepiej sprawdza się model warstwowy: pierwsza warstwa to krótka notka tam, gdzie użytkownik podaje dane, druga to pełna polityka prywatności pod linkiem. Ten sposób prezentacji jest powszechnie uznawany za praktyczny sposób realizacji obowiązku informacyjnego, bo nie zmusza nikogo do przeczytania trzech stron tekstu przed wysłaniem zapytania.

Krótkie notki umieszczasz w konkretnych miejscach:

• formularz kontaktowy,
• koszyk i podsumowanie zamówienia w sklepie,
• zapis na newsletter,
• formularz komentarzy pod artykułem.

Treść notki powinna zmieścić się w dwóch, trzech zdaniach: administrator, cel przetwarzania i link do pełnej polityki. Nie próbuj wcisnąć w to miejsce wszystkich informacji z art. 13.

Porada profesjonalisty: Pisz notkę tak, jakbyś wyjaśniał to znajomemu: „Twoje dane zbieramy, żeby odpowiedzieć na zapytanie. Administratorem jest [nazwa firmy]. Szczegóły w polityce prywatności." Jeśli notka brzmi jak fragment ustawy, przepisz ją.

Które pliki cookies wymagają zgody

Informacje o cookies, które podajesz użytkownikowi, muszą rozróżniać dwie kategorie o zupełnie innej logice prawnej. Pliki niezbędne do działania strony — sesyjne, koszyk zakupowy, mechanizmy bezpieczeństwa — działają bez pytania o zgodę. Cookies analityczne i marketingowe, w tym narzędzia remarketingowe i pixele reklamowe, wymagają aktywnej zgody przed uruchomieniem skryptu, a nie po nim.

To rozróżnienie decyduje o konstrukcji banera. Musi on zawierać:

• realny przycisk odrzucenia, równie widoczny jak przycisk akceptacji,
• opcję „tylko niezbędne" bez konieczności przechodzenia przez ustawienia szczegółowe,
• mechanizm wycofania zgody w każdej chwili — przycisk preferencji widoczny na stronie, a nie odesłanie do ustawień przeglądarki,
• zapis dowodu udzielenia zgody: data, zakres, wersja banera.

Technicznie oznacza to, że skrypty analityczne i marketingowe muszą być blokowane w kodzie do momentu kliknięcia. Domyślnie zaznaczone checkboxy przy zgodach marketingowych są wadliwe — zgoda wyrażona przez pole zaznaczone z góry nie spełnia wymogu jednoznacznej, potwierdzającej czynności z art. 4 pkt 11 RODO.

Odesłanie do ustawień przeglądarki wymaga osobnego komentarza, bo ustawa i orzecznictwo mówią tu co innego. Art. 399 ust. 2 PKE formalnie dopuszcza wyrażenie zgody przez ustawienia oprogramowania w urządzeniu końcowym — ten zapis przeszedł do nowej ustawy z art. 173 Prawa telekomunikacyjnego bez zmian. Problem w tym, że TSUE w wyroku z 1 października 2019 r. uznał za nieważną zgodę wyrażoną przez domyślnie zaznaczone okienko, a przeglądarki domyślnie cookies akceptują. Opieranie się wyłącznie na ustawieniach przeglądarki jest więc rozwiązaniem ryzykownym: przewidzianym w ustawie, ale trudnym do obrony wobec standardu zgody z RODO. Mechanizmem, który realnie działa, jest przycisk preferencji na stronie — odesłanie do przeglądarki może być co najwyżej informacją dodatkową.

Gotowy baner sam z siebie niczego nie załatwia, jeśli skrypt i tak ładuje się przed kliknięciem. To najczęstszy problem, jaki widzimy przy audytach: dokument mówi jedno, kod robi drugie.

Porada profesjonalisty: Otwórz stronę w trybie incognito, włącz narzędzia deweloperskie, zakładka Network, i odśwież. Jeśli żądania do domen analitycznych albo reklamowych lecą przed kliknięciem „akceptuj", masz problem techniczny — i to on, a nie treść polityki, będzie widoczny przy kontroli.

Jeśli korzystasz z Google Analytics 4, warto wiedzieć, że anonimizacja adresów IP jest w nim domyślna i nie da się jej wyłączyć ani skonfigurować. Parametr anonymize_ip pochodził z Universal Analytics, wyłączonego w 2023 roku — instrukcje każące go dodać są nieaktualne. Nie zwalnia to jednak z obowiązku zgody: GA4 nadal zapisuje identyfikatory w urządzeniu użytkownika, więc skrypt musi być blokowany do momentu jej udzielenia.

Skąd biorą się te obowiązki: trzy porządki prawne

Zanim przejdziemy do zmian z 2024 roku, warto rozdzielić trzy źródła, bo mieszanie ich jest przyczyną większości nieporozumień.

RODO to prawo unijne, nie polskie. Pełna nazwa: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679. „RODO" to wyłącznie polski skrótowiec. Kluczowe jest to, że jest to rozporządzenie, a nie dyrektywa — obowiązuje bezpośrednio we wszystkich państwach członkowskich od 25 maja 2018 r., bez przepisywania do prawa krajowego. Dlatego w polityce prywatności powołujesz się na art. 13 czy art. 6 RODO wprost, tak samo jakby to był przepis polskiej ustawy.

Ustawa z 10 maja 2018 r. o ochronie danych osobowych to polskie uzupełnienie, nie powtórzenie RODO. Rozporządzenie unijne zostawia państwom członkowskim pewien margines i to właśnie ta ustawa go wypełnia: powołuje Prezesa Urzędu Ochrony Danych Osobowych, określa tryb postępowania przed nim, zasady kontroli i wysokość kar dla podmiotów publicznych. Jeśli w polityce prywatności piszesz o prawie do skargi do UODO — a musisz, wymaga tego art. 77 RODO — to organ, do którego odsyłasz, istnieje na mocy tej ustawy, nie samego rozporządzenia.

Cookies mają jeszcze inne źródło. Wymóg zgody na przechowywanie informacji w urządzeniu użytkownika pochodzi z dyrektywy 2002/58/WE, zwanej ePrivacy, wdrożonej w Polsce Prawem komunikacji elektronicznej. Dyrektywa, w odróżnieniu od rozporządzenia, wymaga transpozycji — stąd polski przepis, a nie bezpośrednie stosowanie. To jest właśnie powód, dla którego polityka cookies i polityka prywatności to dwa odrębne dokumenty: mają różne podstawy w dwóch różnych aktach.

Praktyczny wniosek: RODO odpowiada na pytanie „co robisz z danymi osobowymi", PKE na pytanie „czy wolno ci coś zapisać w cudzym urządzeniu", a polska ustawa z 2018 r. na pytanie „kto to kontroluje i jak wygląda skarga". Dokument, który miesza te trzy porządki albo powołuje się tylko na jeden, będzie niekompletny niezależnie od tego, jak dobrze jest napisany.

Co zmieniło Prawo komunikacji elektronicznej

To najczęściej pomijana zmiana w dokumentach, które widzimy na stronach klientów.

Ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221) weszła w życie 10 listopada 2024 r. i zastąpiła Prawo telekomunikacyjne oraz część przepisów ustawy o świadczeniu usług drogą elektroniczną. Polityki prywatności i regulaminy newslettera powołujące się na przepisy uchylonej ustawy odsyłają dziś do stanu prawnego, który nie obowiązuje.

Dwie rzeczy warte sprawdzenia w Twoich dokumentach:

• Cookies. Podstawę stanowi dziś art. 399 PKE o przechowywaniu informacji w urządzeniu końcowym, a nie art. 173 Prawa telekomunikacyjnego. Sam standard zgody nie zmienił się istotnie — zmieniło się źródło, na które trzeba się powołać.
• Zgody marketingowe. Art. 398 PKE zastąpił art. 172 Prawa telekomunikacyjnego i art. 10 ustawy o świadczeniu usług drogą elektroniczną. Wymaga uprzedniej zgody na przesyłanie informacji handlowej drogą elektroniczną, także w relacjach B2B. Przeważa interpretacja, zgodnie z którą zgoda powinna wskazywać konkretny kanał — e-mail, SMS, telefon — a nie być ogólnym przyzwoleniem na kontakt marketingowy; to jednak kwestia do potwierdzenia z prawnikiem przy konstruowaniu własnych klauzul.

Test zajmuje minutę: otwórz swoją politykę prywatności, politykę cookies i regulamin newslettera, wciśnij Ctrl+F i wyszukaj frazy „Prawo telekomunikacyjne", „art. 173" oraz „świadczeniu usług drogą elektroniczną". Każde trafienie oznacza odwołanie do przepisu, który nie obowiązuje — i pozycję na liście dla prawnika.

Kto jeszcze przetwarza dane z Twojej strony

Jako administrator danych odpowiadasz również za to, komu je powierzasz. Twoja strona rzadko działa w izolacji: hosting, dostawca poczty transakcyjnej, operator płatności, CRM, agencja marketingowa i narzędzia analityczne przetwarzają dane Twoich użytkowników w Twoim imieniu.

Z każdym z nich potrzebujesz umowy powierzenia. Taka umowa zwykle obejmuje:

1. Zakres i cel powierzonych operacji przetwarzania.
2. Wymagane środki techniczne i organizacyjne zabezpieczające dane.
3. Warunki dalszego podpowierzenia, na przykład gdy hosting korzysta z podwykonawcy.
4. Terminy usunięcia lub zwrotu danych po zakończeniu współpracy.
5. Zasady odpowiedzialności w przypadku naruszenia.

W polityce prywatności nie musisz podawać nazw handlowych każdego dostawcy — wystarczą kategorie: dostawca hostingu, system CRM, agencja marketingowa. Aktualizacja jest jednak konieczna przy każdej zmianie narzędzia; dodanie nowego pixela bez korekty listy podmiotów to jeden z częstszych rozjazdów między dokumentem a rzeczywistością.

• Przeglądaj listę podwykonawców co kwartał, nie raz na rok.
• Każda nowa integracja wymaga aktualizacji polityki i, jeśli to możliwe, podpisania DPA przed uruchomieniem.

Wzory klauzul — punkt wyjścia do rozmowy z prawnikiem

Poniższe brzmienia pokazują, jak taka notka może wyglądać. Nie są gotowym dokumentem do wklejenia bez weryfikacji — podstawa prawna zależy od tego, co realnie robisz z danymi, a tego nie da się rozstrzygnąć wzorem.

Notka przy formularzu kontaktowym

„Administratorem Twoich danych osobowych jest [nazwa firmy, adres]. Dane przetwarzamy w celu odpowiedzi na Twoje zapytanie. Szczegóły, w tym podstawę prawną i okres przechowywania, znajdziesz w polityce prywatności [link]."

Podstawa prawna bywa tu różna: przy zapytaniu ofertowym prowadzącym do umowy zwykle art. 6 ust. 1 lit. b RODO, przy zwykłym kontakcie — lit. f. Wybór ma znaczenie, bo od niego zależy zakres praw użytkownika. To pytanie do prawnika, nie do szablonu.

Zgoda na newsletter

„Wyrażam zgodę na otrzymywanie newslettera na podany adres e-mail od [nazwa firmy]. Zgodę mogę wycofać w każdej chwili, klikając link w każdej wiadomości."

Zgoda na przetwarzanie danych w celach marketingowych powinna wskazywać kanał. Jeśli planujesz też SMS albo kontakt telefoniczny, potrzebujesz osobnych zgód — art. 398 PKE nie dopuszcza jednego ogólnego przyzwolenia na wszystkie kanały naraz.

Skrót polityki cookies

„Strona używa plików cookies niezbędnych do jej działania oraz, po Twojej zgodzie, cookies analitycznych i marketingowych. Szczegóły i możliwość zmiany ustawień znajdziesz w polityce cookies [link]."

Porada profesjonalisty: Rozdziel zgody zamiast łączyć je w jeden checkbox. Osobno newsletter, osobno SMS, osobno przekazanie danych partnerom, jeśli to robisz. Jeden checkbox „zgadzam się na wszystko" jest wygodny we wdrożeniu i bezużyteczny przy kontroli.

Najczęstsze błędy techniczne, które znajdujemy w audytach

Trzy rzeczy powtarzają się niezależnie od branży i wielkości serwisu.

Skrypty przed zgodą. Baner stoi, wygląda poprawnie, a Google Analytics i pixel reklamowy ładują się przy pierwszym wejściu. Zwykle dlatego, że baner podpięto jako nakładkę wizualną, bez integracji z menedżerem tagów.

Brak DPA z hostingiem. Najbardziej oczywisty podmiot przetwarzający, a umowa najczęściej nie istnieje albo jest schowana w regulaminie, którego nikt nie podpisywał osobno.

Polityka nieaktualizowana po zmianie narzędzi. Dokument wymienia trzy podmioty, a w kodzie strony działa siedem skryptów zewnętrznych. To rozjazd widoczny w minutę i trudny do wytłumaczenia.

Jak AI SEO COMPANY wspiera wdrożenie

Rozdzielamy dwie rzeczy, które często są mylone: warstwę techniczną i warstwę prawną.

Po naszej stronie jest to, co da się zmierzyć w kodzie: inwentarz skryptów zewnętrznych działających na domenie. Powstaje przy okazji audytu SEO, bo te same dane służą ocenie wydajności i poprawności pomiaru. Jeśli rozszerzysz zakres o warstwę zgód, sprawdzamy dodatkowo, które skrypty startują przed kliknięciem w banerze, i porządkujemy ich ładowanie w menedżerze tagów. Wykracza to poza zakres audytu opisany na stronie usługi, więc ustalamy je osobno przed startem.

Treść polityki prywatności, ocena podstaw prawnych i umowy powierzenia to zakres prawnika. Nie przygotowujemy dokumentów prawnych, nie doradzamy w wyborze podstawy przetwarzania i nie sprzedajemy „wdrożenia RODO" jako produktu. Nie mamy też stałej współpracy z żadną kancelarią, więc wybór prawnika domyślnie należy do Ciebie, a nasz raport trafia do niego jako materiał wejściowy. Jeśli jednak wolisz nie szukać go samodzielnie, po wcześniejszym uzgodnieniu możemy podnająć kancelarię i koordynować całość prac — od przekazania raportu, przez zbieranie pytań po obu stronach, po pilnowanie terminów, żeby część techniczna i prawna nie rozjechały się w czasie. Rozliczamy to osobno od audytu i ustalamy przed startem. To nadal koordynacja, nie doradztwo prawne: za treść dokumentów odpowiada kancelaria, nie my.

Sens tego podziału jest praktyczny: prawnik pracuje na liście faktycznie działających narzędzi zamiast na opisie z pamięci, a Ty nie płacisz za politykę, która i tak rozjedzie się z kodem.

Jeśli chcesz zacząć od diagnozy, zamów bezpłatną analizę SEO i potencjału obecnej marki — na zapytanie odpowiadamy zwykle w mniej niż dwie godziny, wstępną propozycję przygotowujemy w ciągu doby. Formularz znajdziesz na stronie głównej.

Najczęściej zadawane pytania

Czy RODO to prawo polskie czy unijne?

Unijne. RODO to rozporządzenie (UE) 2016/679, stosowane bezpośrednio we wszystkich państwach członkowskich od 25 maja 2018 r. Polska ustawa z 10 maja 2018 r. o ochronie danych osobowych go nie zastępuje — uzupełnia go tam, gdzie rozporządzenie zostawia margines, i powołuje Prezesa UODO jako organ nadzorczy.

Czy każda strona internetowa musi mieć politykę prywatności?

Jeśli zbierasz jakiekolwiek dane osobowe — formularz, newsletter, narzędzia analityczne — potrzebujesz polityki zgodnej z art. 13 i 14 RODO, niezależnie od wielkości firmy.

Czy muszę mieć zgodę na wszystkie cookies?

Nie. Pliki niezbędne do działania strony nie wymagają zgody. Zgoda jest wymagana dla cookies analitycznych i marketingowych, i musi być udzielona przed uruchomieniem skryptu.

Czy potrzebuję inspektora ochrony danych?

Powołanie IOD jest obowiązkowe w określonych przypadkach, na przykład przy przetwarzaniu na dużą skalę danych szczególnych kategorii. Większość małych i średnich firm nie musi go powoływać, ale powinna wskazać kontakt w sprawach ochrony danych. Warto napisać wprost, że inspektora nie powołano — brak takiej informacji czytelnik odbiera jako pominięcie, a nie jako świadomą decyzję.

Jak często trzeba aktualizować politykę prywatności?

Za każdym razem, gdy zmieniasz narzędzia analityczne, marketingowe lub dostawców przetwarzających dane. Osobno warto przejrzeć dokumenty powstałe przed listopadem 2024 pod kątem odwołań do Prawa telekomunikacyjnego.

Czy szablon polityki cookies wystarczy do zgodności?

Sam tekst nie wystarczy. Trzeba jeszcze technicznie zablokować skrypty do momentu zgody i zapisywać dowód jej udzielenia — inaczej dokument opisuje stronę, która działa inaczej.

Czy zgoda na newsletter wystarczy do wysyłki SMS-ów?

Przeważa stanowisko, że nie — art. 398 PKE odnosi się do konkretnego kanału komunikacji, więc zgoda na e-mail nie powinna być traktowana jako obejmująca SMS-y ani kontakt telefoniczny. Konstrukcję własnych zgód potwierdź z prawnikiem.

Źródła

Akty prawne

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 4 pkt 11, art. 6, art. 13 i 14, art. 77 (prawo skargi); stosowane bezpośrednio od 25 maja 2018 r.
• Ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 ze zm.) — powołanie Prezesa UODO, tryb postępowania i kontroli
• Dyrektywa 2002/58/WE (ePrivacy) — źródło wymogu zgody na przechowywanie informacji w urządzeniu końcowym, wdrożona w Polsce Prawem komunikacji elektronicznej
• Ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), w mocy od 10 listopada 2024 r. — art. 398 (zgody marketingowe), art. 399 (przechowywanie informacji w urządzeniu końcowym)
• Wyrok Trybunału Sprawiedliwości UE z 1 października 2019 r. w sprawie C-673/17 (Planet49) — zgoda wyrażona przez domyślnie zaznaczone okienko jest nieważna
• Urząd Ochrony Danych Osobowych — poradniki i decyzje organu nadzorczego

Opracowania

• Polityka prywatności na stronach internetowych — poradnik PARP
• Prawo komunikacji elektronicznej a ochrona danych osobowych — Grant Thornton
• Prawo komunikacji elektronicznej: zgoda na działania marketingowe — Prawo.pl
• Polityka dotycząca cookies — gov.pl, przykład komunikacji prostym językiem

Ostatnia weryfikacja: sierpień 2026.

Powiązane

• Konfiguracja zdarzeń GA4 w Google Tag Managerze — jak podpiąć blokadę skryptów do menedżera tagów
• Ile kosztuje strona www dla firmy: ceny i co zawierają
• Projektowanie stron internetowych — zakres współpracy przy budowie serwisu