RODO na stronie internetowej: cookies, formularze, zgody

RODO na stronie internetowej sprowadza się do czterech rzeczy: polityki prywatności opisującej narzędzia, których naprawdę używasz, krótkiej informacji przy każdym formularzu, banera cookies blokującego analitykę i reklamy do czasu zgody oraz osobnych, niezaznaczonych zgód na marketing. Zasady dotyczące cookies wynikają od 10 listopada 2024 r. z Prawa komunikacji elektronicznej.

Dla małej firmy to nie jest czysta formalność. Według podsumowania opublikowanego przez UODO w 2025 r. do urzędu wpłynęło prawie 13 000 skarg, wobec ponad 8 000 rok wcześniej, a łączna kwota nałożonych kar osiągnęła rekordowe 64,4 mln zł. Poniżej znajdziesz konkretne wymagania, wzór klauzuli i checklistę.

Artykuł ma charakter informacyjny i nie jest poradą prawną.

W skrócie

Polityka prywatności musi opisywać rzeczywiste narzędzia: formularze, analitykę, piksele reklamowe, newsletter i hosting. Przy formularzu wystarczy krótka informacja z linkiem do pełnej treści.
Pliki cookie inne niż niezbędne wymagają uprzedniej zgody (art. 399 Prawa komunikacji elektronicznej), a przycisk „Odrzuć” powinien być równie łatwo dostępny jak „Akceptuj”.
Zgody nie mogą być domyślnie zaznaczone ani połączone z akceptacją regulaminu, a ich wycofanie ma być równie łatwe jak wyrażenie.
Decyzje z banera przekazujesz Google przez tryb uzyskiwania zgody – bez tego tracisz m.in. remarketing do użytkowników z EOG.
Kary: za cookies do 3% przychodu, za marketing bez zgody do 3% przychodu lub 1 mln zł, za naruszenia RODO do 20 mln euro lub 4% obrotu.

Spis treści

Jakie przepisy dotyczą strony firmowej
Polityka prywatności: co musi zawierać
Baner cookies zgodny z Prawem komunikacji elektronicznej
Klauzule w formularzach: kontakt, newsletter, zamówienie
Dostawcy, umowy powierzenia i bezpieczeństwo strony
Kary za naruszenia i planowane zmiany
Checklista: RODO na stronie internetowej krok po kroku
Najczęściej zadawane pytania
Podsumowanie

Jakie przepisy dotyczą strony firmowej

Podstawą jest RODO, czyli rozporządzenie (UE) 2016/679. Obejmuje ono każde dane, które pozwalają zidentyfikować osobę: imię, e-mail, telefon, ale też identyfikatory internetowe. Administratorem tych danych jest Twoja firma, nawet jeśli stronę technicznie obsługuje ktoś inny.

Drugi akt to ustawa – Prawo komunikacji elektronicznej (PKE), obowiązująca od 10 listopada 2024 r. Jej art. 399 reguluje zapisywanie plików cookie i podobnych informacji w urządzeniu użytkownika, a art. 398 zakazuje wysyłania informacji handlowych e-mailem, SMS-em czy przez telefon bez uprzedniej zgody. Art. 400 nakazuje oceniać taką zgodę według zasad RODO. Jeśli więc Twoja polityka prywatności powołuje się jeszcze na Prawo telekomunikacyjne, czas ją zaktualizować.

Element strony	Przepis	Co musisz zrobić
Formularz kontaktowy lub wyceny	Art. 13 RODO	Krótka informacja przy formularzu i link do polityki prywatności
Newsletter, oferty e-mailem i SMS-em	Art. 398 PKE, art. 7 RODO	Osobna, niezaznaczona zgoda i możliwość łatwej rezygnacji
Google Analytics, piksel Meta, tagi Google Ads	Art. 399 PKE, RODO	Zgoda przed uruchomieniem skryptów, tryb uzyskiwania zgody
Zamówienia i konto w sklepie	Art. 6 ust. 1 lit. b i c RODO	Informacja o przetwarzaniu w celu realizacji umowy i obowiązków podatkowych
Hosting, poczta, CRM, narzędzie do newslettera	Art. 28 RODO	Umowa powierzenia przetwarzania z każdym dostawcą
Czat, osadzone mapy i filmy	Art. 399 PKE, RODO	Ładowanie po zgodzie albo po kliknięciu w element

Polityka prywatności: co musi zawierać

Art. 13 RODO wymienia informacje, które przekazujesz, gdy zbierasz dane bezpośrednio od osoby. Na stronie firmowej oznacza to, że polityka prywatności powinna odpowiadać na kilka prostych pytań:

kto jest administratorem danych i jak się z nim skontaktować (oraz z inspektorem ochrony danych, jeśli go wyznaczyłeś);
w jakich celach i na jakiej podstawie prawnej przetwarzasz dane, a przy prawnie uzasadnionym interesie – na czym ten interes polega;
kto otrzymuje dane: hosting, biuro rachunkowe, firma kurierska, dostawcy narzędzi reklamowych i analitycznych;
czy dane trafiają poza Europejski Obszar Gospodarczy i na jakiej podstawie;
jak długo je przechowujesz albo według jakich kryteriów ustalasz ten okres;
jakie prawa przysługują użytkownikowi: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie danych, wycofanie zgody i skarga do Prezesa UODO;
czy podanie danych jest wymogiem umownym lub ustawowym i co się stanie, jeśli ktoś ich nie poda.

Art. 12 wymaga, by robić to zwięźle, przejrzyście i prostym językiem. Najczęstszy błąd to szablon skopiowany z innej strony, który wymienia narzędzia, jakich nie używasz, a pomija te faktycznie zainstalowane, np. piksel Meta dodany przy okazji kampanii. Opis plików cookie możesz umieścić w tym samym dokumencie albo w osobnej polityce cookies, do której prowadzi baner.

Baner cookies zgodny z Prawem komunikacji elektronicznej

Zgodnie z art. 399 PKE możesz zapisywać informacje w urządzeniu użytkownika lub je odczytywać, gdy wcześniej jednoznacznie i zrozumiale poinformujesz go o celu oraz o tym, jak może to kontrolować w ustawieniach, a on się na to zgodzi. Zgoda nie jest potrzebna, gdy plik jest konieczny do przesłania komunikatu albo do świadczenia usługi, o którą użytkownik sam prosi. W praktyce bez zgody działają pliki obsługujące koszyk, logowanie, bezpieczeństwo czy zapamiętanie samej decyzji z banera. Analityka, piksele reklamowe i remarketing wymagają zgody.

Jak taki baner powinien wyglądać, dobrze pokazuje raport grupy roboczej Europejskiej Rady Ochrony Danych ds. banerów cookies ze stycznia 2023 r. Większość europejskich organów uznała w nim, że brak opcji odrzucenia na żadnej warstwie banera narusza przepisy. Odmowa ukryta w niepozornym linku też nie daje ważnej zgody, a uzasadniony interes nie może być podstawą do zapisywania plików cookie. Z kolei w wytycznych EROD o zgodzie przewijanie strony nie jest zgodą, a blokowanie treści do czasu kliknięcia „Akceptuj” (tzw. cookie wall) odbiera użytkownikowi realny wybór.

Dobry baner spełnia więc kilka warunków:

na pierwszej warstwie ma przyciski „Akceptuj wszystkie”, „Odrzuć wszystkie” i „Ustawienia” o porównywalnej widoczności;
kategorie w ustawieniach (analityczne, marketingowe) są domyślnie odznaczone;
skrypty analityczne i reklamowe nie ładują się przed zgodą – sprawdzisz to w narzędziach deweloperskich przeglądarki, w zakładce sieci;
w stopce jest stały link „Ustawienia cookies”, bo wycofanie zgody ma być równie łatwe jak jej wyrażenie;
decyzje są zapisywane, żebyś mógł wykazać, kto i kiedy wyraził zgodę;
da się go obsłużyć klawiaturą i czytnikiem ekranu, o czym piszemy w tekście o Europejskim Akcie o Dostępności.

Tryb uzyskiwania zgody Google

Google ma własne wymagania. Jego polityka w zakresie zgody użytkownika z UE obliguje do uzyskania zgody na pliki cookie i na wykorzystanie danych do personalizacji reklam, przechowywania zapisów zgód i jasnego wskazania, jak je wycofać. Tryb uzyskiwania zgody (Consent Mode) przekazuje decyzje z banera do tagów Google, ale sam banera nie wyświetla, więc potrzebujesz platformy do zarządzania zgodami (CMP).

Według pomocy Google Analytics od marca 2024 r. bez sygnałów zgody użytkownicy z EOG nie trafiają do list odbiorców wykorzystywanych w połączonych usługach reklamowych, a reklamy spersonalizowane i remarketing wymagają zgody. Szczegóły konfiguracji, w tym różnice między trybem podstawowym i zaawansowanym, opisujemy w poradniku o Consent Mode v2.

Formularz kontaktowy zwykle nie wymaga zgody na przetwarzanie danych. Gdy ktoś pyta o ofertę, podstawą jest zazwyczaj podjęcie działań na jego żądanie przed zawarciem umowy albo prawnie uzasadniony interes w odpowiedzi na wiadomość (art. 6 ust. 1 lit. b i f RODO). Obowiązkowy checkbox „Wyrażam zgodę na przetwarzanie danych” jest tu zbędny, a może nawet wprowadzać w błąd. Wystarczy krótka informacja pod formularzem.

Przykład informacji pod formularzem kontaktowym (do dopasowania): Administratorem Twoich danych jest Firma XYZ sp. z o.o., ul. Przykładowa 1, Kraków. Dane z formularza przetwarzamy, aby odpowiedzieć na wiadomość i w razie potrzeby przygotować ofertę. Szczegóły, w tym informacje o Twoich prawach, znajdziesz w Polityce prywatności.

Inaczej jest z newsletterem i ofertami wysyłanymi e-mailem lub SMS-em. Tu potrzebujesz zgody: art. 398 PKE dopuszcza wyrażenie jej przez podanie adresu e-mail w celu otrzymywania informacji handlowych, ale RODO wymaga jeszcze, by była dobrowolna, konkretna i możliwa do wykazania. Dlatego:

checkbox zgody marketingowej jest osobny i domyślnie pusty – EROD uznaje zaznaczone z góry pola za nieważną zgodę;
zgoda nie jest połączona z akceptacją regulaminu ani warunkiem złożenia zamówienia;
zgody na e-mail i na telefon lub SMS zbierasz osobno, jeśli planujesz oba kanały;
każda wiadomość zawiera link do rezygnacji, a potwierdzenie zapisu (double opt-in) ułatwia wykazanie zgody.

W sklepie dane z zamówienia przetwarzasz w celu wykonania umowy i spełnienia obowiązków podatkowych, więc zgody na ten cel nie zbierasz. Akceptacja regulaminu to osobny checkbox. Każde dodatkowe pole w formularzu to też dodatkowe dane do ochrony, a przy okazji niższa konwersja – dlatego pytaj tylko o to, czego naprawdę potrzebujesz. Więcej o skracaniu formularzy piszemy w tekście o poprawkach UX zwiększających liczbę zapytań.

Dostawcy, umowy powierzenia i bezpieczeństwo strony

Za stroną zwykle stoi kilku dostawców: hosting, poczta, narzędzie do newslettera, CRM, czasem agencja, która ma dostęp do panelu. Każdy z nich przetwarza dane w Twoim imieniu, więc art. 28 RODO wymaga umowy powierzenia. Określa ona m.in. cel i czas przetwarzania, obowiązek poufności, środki bezpieczeństwa oraz usunięcie lub zwrot danych po zakończeniu współpracy. Duzi dostawcy mają takie umowy w regulaminach, ale warto sprawdzić, czy zostały zaakceptowane na Twoim koncie.

Na WordPressie sprawdź też, czy wtyczka formularzy zapisuje zgłoszenia w bazie danych i jak długo je trzyma. Stare wiadomości sprzed kilku lat to dane, których często nie potrzebujesz, a które w razie włamania wyciekną razem z resztą. Aktualizacje, kopie zapasowe i kontrola dostępów to element stałej opieki nad stroną WordPress, a co zrobić po incydencie, opisujemy w poradniku o zabezpieczeniu WordPressa.

Kary za naruszenia i planowane zmiany

Za przestrzeganie RODO odpowiada Prezes UODO. Kary z RODO mogą sięgnąć 20 mln euro lub 4% rocznego światowego obrotu, a ich wysokość zależy m.in. od charakteru, wagi i czasu trwania naruszenia. W 2025 r. UODO nałożył 32 kary i otrzymał ponad 22 000 zgłoszeń naruszeń ochrony danych.

Za cookies odpowiada Prezes UKE. Według PKE za zapisywanie lub odczytywanie informacji z urządzenia niezgodnie z art. 399 grozi kara do 3% przychodu z poprzedniego roku. Gdy przychód firmy, także średnio z trzech poprzednich lat, nie przekracza 500 000 zł, kara może wynieść do 15 000 zł. Za wysyłanie informacji handlowych bez zgody kara może wynieść do 3% przychodu lub do 1 mln zł, w zależności od tego, która kwota jest wyższa. Taka wysyłka jest też czynem nieuczciwej konkurencji.

Zasady mogą się zmienić. Komisja Europejska w listopadzie 2025 r. przedstawiła projekt pakietu Digital Omnibus, który przewiduje m.in. zmiany w przepisach o plikach cookie. To na razie projekt, więc do jego przyjęcia obowiązują opisane wyżej reguły.

Checklista: RODO na stronie internetowej krok po kroku

Spisz, jakie dane zbierasz. Formularze, sklep, newsletter, czat, analityka, piksele – dla każdego elementu zapisz cel, podstawę prawną i dostawcę.
Sprawdź, co ładuje się przed zgodą. Otwórz stronę w oknie prywatnym i w narzędziach deweloperskich zobacz, jakie pliki cookie i skrypty pojawiają się bez kliknięcia w baner.
Wdróż porządny baner. „Odrzuć wszystkie” na pierwszej warstwie, odznaczone kategorie, blokada skryptów do czasu zgody, link do ustawień w stopce.
Połącz baner z Google. Skonfiguruj tryb uzyskiwania zgody i sprawdź, czy tagi reagują na decyzje użytkownika, najlepiej przez Google Tag Manager.
Zaktualizuj politykę prywatności. Aktualne narzędzia, okresy przechowywania, prawa użytkownika, odwołanie do PKE zamiast dawnego Prawa telekomunikacyjnego.
Popraw formularze. Krótka informacja pod każdym formularzem, usunięte zbędne pola i niepotrzebne checkboxy.
Uporządkuj zgody marketingowe. Osobne, niezaznaczone pola, informacja o wycofaniu zgody, potwierdzenie zapisu do newslettera.
Zbierz umowy powierzenia. Hosting, poczta, newsletter, CRM, firmy z dostępem do panelu.
Zadbaj o bezpieczeństwo. HTTPS, aktualizacje, kopie zapasowe, uwierzytelnianie dwuskładnikowe i plan działania na wypadek naruszenia – zgłoszenie do UODO co do zasady w ciągu 72 godzin.
Wróć do listy co pół roku. I zawsze wtedy, gdy dodajesz nowe narzędzie, piksel albo wtyczkę.

Wskazówka: jeśli planujesz nową stronę lub sklep, wpisz baner, klauzule i blokadę skryptów do briefu od początku. Przy projektowaniu strony internetowej to kilka godzin pracy, a późniejsze łatanie gotowego serwisu bywa znacznie bardziej pracochłonne. Na co zwrócić uwagę przy wyborze platformy sklepu, piszemy w porównaniu WooCommerce, Shopify i Shoper.

Najczęściej zadawane pytania

Czy mała firma bez sklepu potrzebuje polityki prywatności?

Tak, jeśli strona zbiera jakiekolwiek dane osobowe: ma formularz kontaktowy, zapis do newslettera, czat albo korzysta z analityki czy pikseli reklamowych. Obowiązek informacyjny z art. 13 RODO nie zależy od wielkości firmy. Strona bez formularzy i bez narzędzi śledzących zbiera bardzo mało danych, ale serwer zwykle i tak zapisuje np. adresy IP w logach, więc krótka polityka prywatności przyda się praktycznie zawsze.

Czy mogę skorzystać z generatora polityki prywatności?

Jako punkt wyjścia – tak, ale gotowy tekst trzeba dopasować do strony. Sprawdź, czy wymienia narzędzia, których faktycznie używasz, czy podaje realne okresy przechowywania i czy powołuje się na Prawo komunikacji elektronicznej, a nie na uchylone Prawo telekomunikacyjne. Polityka opisująca coś innego, niż dzieje się na stronie, nie spełnia wymogu przejrzystości z art. 12 RODO, a w razie skargi to Ty odpowiadasz za jej treść.

Czy Google Analytics 4 wymaga zgody użytkownika?

W standardowej konfiguracji tak, bo GA4 zapisuje pliki cookie, które nie są niezbędne do działania strony. Zgodnie z art. 399 PKE potrzebujesz więc uprzedniej zgody. W zaawansowanym trybie uzyskiwania zgody tagi Google wysyłają przy odmowie tzw. pingi bez plików cookie. Czy taka konfiguracja jest w Twoim przypadku akceptowalna, warto ocenić z prawnikiem i opisać w polityce prywatności.

Czy formularz kontaktowy musi mieć checkbox zgody?

Zwykle nie. Na odpowiedź na zapytanie nie potrzebujesz zgody, bo podstawą jest działanie na żądanie osoby przed zawarciem umowy albo prawnie uzasadniony interes. Wystarczy krótka informacja z linkiem do polityki prywatności. Checkbox jest potrzebny dopiero wtedy, gdy chcesz wykorzystać dane do innego celu, np. wysyłać newsletter lub dzwonić z ofertami – wtedy musi być osobny i domyślnie pusty.

Jak długo mogę przechowywać dane z formularza?

Tak długo, jak to potrzebne do celu, w którym je zebrałeś. RODO nie podaje jednego terminu, więc ustal go sam i wpisz do polityki prywatności. Przykład: zapytania, które nie zakończyły się umową, usuwasz po 12 miesiącach od ostatniego kontaktu. Pamiętaj, że dane leżą często w kilku miejscach – w skrzynce e-mail, w bazie wtyczki formularzy i w CRM – i każde z nich trzeba uporządkować.

Podsumowanie

RODO na stronie internetowej to przede wszystkim porządek: aktualna polityka prywatności, rzetelny baner cookies połączony z trybem zgody Google, krótkie klauzule przy formularzach i osobne zgody marketingowe. Raz zrobiona checklista wystarczy na lata, o ile wracasz do niej przy każdej zmianie narzędzi.

Źródła