Checklista RODO 2026 dla strony www i sklepu online

Wprowadzenie – koniec okresu pobłażliwości

Osiem lat po wejściu RODO w życie inspektorzy nie pytają już „czy wdrożyłeś". Sprawdzają, co faktycznie działa na co dzień w firmie. W 2025 roku łączna wartość kar nałożonych w Polsce sięgnęła rekordowej kwoty, a większość trafiła do firm prywatnych. Połowa z nich – do branży e-commerce i marketingu internetowego.

Plan kontroli sektorowych UODO na 2026 rok wprost wymienia e-commerce i e-marketing jako priorytet. Poniżej konkretna checklista – czego naprawdę potrzebujesz, żeby twoja strona lub sklep internetowy przetrwały kontrolę bez dotkliwych konsekwencji finansowych.

Dokumenty, które inspektor sprawdza jako pierwsze

Są trzy rzeczy sprawdzane niemal zawsze podczas kontroli. Jeśli którejś brakuje, reszta rozmowy z inspektorem przebiega w zupełnie innym tonie.

Klauzule informacyjne przy każdym formularzu

Obowiązkowe przy każdym formularzu na stronie – kontaktowym, zamówieniowym, newsletterowym. Nie wystarczy ogólny link do polityki prywatności w stopce. Klauzula musi być podana przed zebraniem danych albo jako wyraźne odesłanie umieszczone obok samego formularza. Jeśli dane pochodzą z innego źródła, na przykład z kupionej bazy albo pozyskane od partnera biznesowego, zastosowanie ma dodatkowy przepis nakładający określony czas na poinformowanie osoby, której dane dotyczą.

Rejestr czynności przetwarzania

Wyjątek dla małych firm jest znacznie węższy, niż powszechnie się wydaje. Nie działa, jeśli przetwarzanie danych stwarza ryzyko dla praw i wolności osób. W praktyce oznacza to, że jeśli masz klientów, hostujesz ich dane i wysyłasz do nich maile – ryzyko istnieje niemal zawsze. Rejestr prowadzony w arkuszu kalkulacyjnym czy edytorze tekstu jest w porządku, o ile zawiera osiem obowiązkowych elementów i jest na bieżąco aktualizowany. To jeden z dokumentów najczęściej żądanych podczas kontroli.

Umowy powierzenia przetwarzania danych

Musisz je mieć podpisane z każdym podmiotem, który przetwarza dane w twoim imieniu – firmą hostingową, bramką płatności, firmą kurierską, narzędziami marketingowymi, biurem księgowym działającym online. Umowa powierzenia musi zawierać dziewięć elementów wskazanych w przepisach – ogólnikowy zapis w stylu „zgadzamy się na przetwarzanie danych" zdecydowanie nie wystarczy.

Polityka prywatności – nie szablon z generatora

Kopiowanie gotowego wzoru znalezionego w internecie to najczęstszy błąd, jaki popełniają właściciele stron. Urząd Ochrony Danych Osobowych nie sprawdza, czy polityka ładnie wygląda – sprawdza, czy opisuje rzeczywistość konkretnej firmy.

Poprawna polityka prywatności musi zawierać:

• Dane administratora – nazwę, adres, NIP, dane kontaktowe, informację o inspektorze ochrony danych, jeśli został wyznaczony
• Cele i podstawy prawne przetwarzania – każdy cel opisany osobno, z konkretną podstawą prawną
• Kategorie zbieranych danych osobowych
• Odbiorców danych oraz podmioty, którym powierzono przetwarzanie
• Okres przechowywania danych – konkretny, nie ogólnikowy zapis w stylu „przez czas trwania umowy", ale na przykład „dwa lata od realizacji zamówienia"
• Prawa użytkownika – od prawa dostępu do danych po prawo złożenia skargi do UODO
• Informację o transferze danych poza Europejski Obszar Gospodarczy – jeśli korzystasz z Google Analytics, Meta czy Mailchimp, musi być opisany mechanizm tego transferu
• Informację o ewentualnym profilowaniu i zautomatyzowanym podejmowaniu decyzji

Inspektorzy najczęściej wytykają brak informacji o transferze danych do Stanów Zjednoczonych, co po wyroku Trybunału Sprawiedliwości w sprawie Schrems II dotyczy właśnie narzędzi takich jak Google Analytics czy Meta. Drugim częstym problemem są nieprecyzyjne okresy przechowywania danych, a trzecim – język prawniczy zamiast zrozumiałego dla przeciętnego klienta.

Polityka musi być dostępna przed zebraniem danych. Sam link w stopce strony to absolutne minimum – przy każdym formularzu powinna znajdować się dodatkowa klauzula informacyjna albo bezpośrednie odesłanie do właściwego fragmentu polityki.

Cookies i zgody – wyrok TSUE i nowe reguły banera

To obszar, w którym w 2026 roku boli najbardziej. Po wyroku Trybunału Sprawiedliwości Unii Europejskiej z października 2024 roku w sprawie C-21/23 sytuacja jest przesądzona: użytkownik musi mieć tak samo łatwą możliwość odrzucenia cookies, jak ich zaakceptowania. Żadnych sztuczek interfejsowych.

Poradnik Urzędu Ochrony Danych Osobowych z marca 2025 roku mówi wprost: zakazany jest przycisk typu „Akceptuję i przechodzę do sklepu" bez równie widocznej opcji „Odrzuć wszystkie". Trzy przyciski – akceptuj, odrzuć, preferencje – muszą być identyczne wizualnie, tego samego rozmiaru i wymagać dokładnie tej samej liczby kliknięć. Ikona zamknięcia w rogu banera nie jest odmową zgody, tylko zamknięciem komunikatu – zgoda w takim wypadku wciąż nie została udzielona.

Zgody wymagają: GA4, Meta Pixel, Google Ads i remarketing, wbudowane filmy z YouTube, narzędzia czatu i map, a także wszystkie skrypty śledzące inne niż ściśle niezbędne do działania strony.

Zgody nie wymagają: token sesji, zabezpieczenie przed atakami CSRF, koszyk zakupowy oraz mechanizm logowania – wszystko, co jest niezbędne do samego przepływu informacji przez sieć i podstawowych funkcji strony.

Consent Mode v2 i logi zgód

Jeśli korzystasz z Google Ads lub Google Analytics 4, wdrożenie Consent Mode w drugiej wersji to już obowiązek, nie opcja. System opiera się na czterech parametrach: przechowywanie danych na potrzeby reklam, przechowywanie danych analitycznych, przekazywanie danych użytkownika na potrzeby reklam oraz personalizacja reklam. Domyślny stan każdego z tych sygnałów na każdej podstronie musi wynosić „odmowa" – dopiero po wyrażeniu zgody zmienia się na „zezwolenie". Inspektor sprawdzi to bezpośrednio w narzędziach deweloperskich przeglądarki, obserwując sygnały wysyłane przez skrypt zgody.

Same logi zgód również podlegają obowiązkowi dokumentacyjnemu. Musisz przechowywać datę i godzinę wyrażenia zgody, jej dokładną treść, identyfikator użytkownika oraz metodę weryfikacji tożsamości osoby wyrażającej zgodę. Po cofnięciu zgody masz trzydzieści dni na usunięcie powiązanych danych.

Sklep online – błąd checkboxa przy realizacji zamówienia

Sklepy internetowe wciąż powtarzają te same błędy, mimo że są one prawnie oczywiste. Pierwszy z nich to checkbox o treści „Wyrażam zgodę na przetwarzanie danych w celu realizacji zamówienia". Jest to prawnie wadliwe rozwiązanie. Podstawą realizacji zamówienia jest umowa, a nie zgoda użytkownika. Taka „zgoda" jest w praktyce nieważna, ponieważ nie jest dobrowolna – bez podania danych zamówienie po prostu nie może zostać zrealizowane.

Prawidłowe rozwiązanie wygląda inaczej: w formularzu zamówienia nie umieszcza się w ogóle checkboxa dotyczącego realizacji zamówienia, a klient zamiast tego otrzymuje klauzulę informacyjną wskazującą właściwą podstawę prawną przetwarzania jego danych.

Jedna zgoda na wszystko – dlaczego to już nie przejdzie

Drugi powtarzający się błąd to jeden checkbox łączący zgodę na newsletter, wiadomości SMS i kontakt telefoniczny. Od listopada 2024 roku Prawo Komunikacji Elektronicznej wymaga wyraźnego wskazania konkretnego kanału komunikacji. Oznacza to konieczność wprowadzenia osobnych checkboxów dla każdego kanału z osobna, przy czym żaden z nich nie może być domyślnie zaznaczony.

Zgoda ukryta w regulaminie

Trzeci błąd to formuła typu „Akceptuję regulamin i wyrażam zgodę [na cele marketingowe]" połączona w jednym oświadczeniu. Takie połączenie narusza zasadę konkretności i dobrowolności zgody. Powinny funkcjonować trzy osobne elementy: obowiązkowy checkbox akceptacji regulaminu, informacja o zapoznaniu się z polityką prywatności (która nie jest zgodą, tylko potwierdzeniem wiedzy), oraz odrębne, opcjonalne checkboxy dla każdej zgody marketingowej z osobna.

Newsletter jako prezent za zakupy

Czwarty błąd to traktowanie zapisu na newsletter jako „prezentu" czy rabatu przy zakupach. Wyrok Trybunału Sprawiedliwości Unii Europejskiej z listopada 2025 roku w sprawie C-654/23 (Inteligo Media) rozstrzygnął, że biuletyn informacyjny zawierający odesłania do treści odpłatnych stanowi marketing bezpośredni i jako taki wymaga odrębnej zgody. Mechanizm podwójnego potwierdzenia zapisu nie jest prawnie wymagany, ale stanowi złoty dowód poprawności procesu i jest rekomendowanym standardem.

Bezpieczeństwo techniczne – konkrety, nie slogany

Urząd Ochrony Danych Osobowych nie sprawdza abstrakcyjnych „środków bezpieczeństwa" opisanych ogólnikowo w dokumentacji, tylko konkretne, weryfikowalne elementy:

• Obowiązkowe szyfrowanie połączenia SSL/TLS na całej stronie
• Hasła haszowane algorytmem bcrypt lub Argon2 – nigdy przestarzałym MD5 czy SHA1
• Dwuskładnikowe uwierzytelnianie dla panelu administracyjnego
• Zasada najmniejszych uprawnień – osoby upoważnione do przetwarzania działają wyłącznie w niezbędnym im zakresie
• Regularne aktualizacje oprogramowania, w tym systemu CMS i wtyczek
• Codzienny backup przechowywany poza głównym serwerem
• Zapora aplikacyjna typu WAF
• Testy penetracyjne wykonywane co dwanaście do dwudziestu czterech miesięcy
• Monitoring i rejestrowanie zdarzeń bezpieczeństwa

Brak odpowiednich zabezpieczeń to najczęstsza przyczyna nakładanych kar – dotyczy to około jednej czwartej wszystkich decyzji. Na drugim miejscu znajduje się niezgłoszenie naruszenia ochrony danych w wymaganym terminie. Naruszenie zgłasza się do UODO w ciągu siedemdziesięciu dwóch godzin od jego stwierdzenia. Przy wysokim ryzyku dla osób, których dane dotyczą, trzeba je dodatkowo zawiadomić w ciągu dwudziestu czterech godzin od momentu zgłoszenia do urzędu.

Konsekwencje – kary realne, nie tylko na papierze

System kar administracyjnych jest dwupoziomowy: do dziesięciu milionów euro lub dwóch procent rocznego obrotu firmy za lżejsze naruszenia, a do dwudziestu milionów euro lub czterech procent obrotu za naruszenia poważniejsze. Do tego dochodzi odpowiedzialność karna – grzywna, ograniczenie wolności, a w przypadku danych wrażliwych nawet kara pozbawienia wolności w wymiarze kilku lat.

W praktyce Urząd Ochrony Danych Osobowych bada nie to, „czy procedura istnieje na papierze", ale czy rzeczywiście funkcjonuje w codziennej działalności firmy. Wdrożone działania naprawcze oraz regularnie przeprowadzane audyty stanowią okoliczności łagodzące, które realnie wpływają na obniżenie wymiaru nałożonej kary.

Od czego zacząć – trzy pierwsze kroki

RODO w 2026 roku to nie nowe prawo, które „trzeba jeszcze ogarnąć" – to aktywny, realny obszar egzekucji. Znaczna część sklepów internetowych wciąż myli podstawę prawną cookies z podstawą prawną wysyłki mailingów reklamowych.

Zacznij od trzech konkretnych działań: zweryfikuj politykę prywatności pod kątem tego, czy opisuje rzeczywistość twojej firmy, czy wciąż jest szablonem sprzed kilku lat; popraw baner cookies tak, aby zawierał trzy równoważne przyciski z domyślną odmową zgody; sprawdź, czy checkboxy w procesie zakupowym twojego sklepu nie proszą o zgodę tam, gdzie w rzeczywistości podstawą przetwarzania powinna być umowa. Pozostałe elementy – rejestr czynności przetwarzania, umowy powierzenia, logi zgód – to kolejny, równie ważny krok.

Nie odkładaj tego na przyszły rok. Urząd Ochrony Danych Osobowych oficjalnie zapowiedział kontrole sektorowe w obszarze e-marketingu i e-commerce na 2026 rok.