RODO na stronie
internetowej firmy

Kiedy strona przetwarza dane osobowe

Wielu właścicieli firm zakłada, że RODO dotyczy ich strony dopiero wtedy, gdy prowadzą sklep albo newsletter. W praktyce wystarczy zwykły formularz kontaktowy. Imię, adres e-mail i treść wiadomości to dane osobowe, a Ty decydujesz, co się z nimi dzieje.

Dane przetwarzają też elementy, których na pierwszy rzut oka nie widać:

• Formularze — kontaktowy, zapytania o wycenę, zapisu na wizytę, rekrutacyjny, zamówienia.
• Poczta — wiadomość wysłana z linku do adresu e-mail trafia do Twojej skrzynki tak samo jak ta z formularza.
• Logi serwera — serwer zwykle zapisuje adresy IP i informacje o przeglądarce, choćby na potrzeby bezpieczeństwa.
• Analityka i piksele reklamowe — identyfikatory urządzeń, adresy IP, zachowanie na stronie.
• Osadzone elementy — mapa, film, czat, kalendarz rezerwacji czy czcionki ładowane z serwerów innej firmy mogą przekazywać jej dane odwiedzającego.
• Konta i komentarze — loginy, historia zamówień, publikowane opinie.

Dlatego zanim zaczniesz pisać politykę prywatności, zrób prostą inwentaryzację: co zbiera Twoja strona, po co, gdzie te dane trafiają i kto ma do nich dostęp. Bez tego każdy dokument będzie zgadywaniem, a wzór skopiowany z innej strony opisze cudze narzędzia, nie Twoje.

Administrator, hosting i umowa powierzenia

Jeśli to Twoja firma decyduje, po co i jak przetwarzane są dane ze strony, jesteś administratorem. Odpowiadasz za zgodność z RODO także wtedy, gdy stronę technicznie obsługuje ktoś inny.

Firmy, które przetwarzają dane w Twoim imieniu, to podmioty przetwarzające. Przy typowej stronie firmowej będą to najczęściej:

• dostawca hostingu, na którego serwerze zapisują się zgłoszenia i logi,
• dostawca poczty firmowej,
• narzędzie do wysyłki newslettera, system CRM albo system rezerwacji,
• wykonawca lub serwisant, który ma dostęp do panelu z danymi klientów.

Z każdym z nich potrzebujesz umowy powierzenia przetwarzania danych osobowych — wymaga tego art. 28 RODO. Duzi dostawcy zwykle mają ją w swoich warunkach albo jako dokument do zaakceptowania w panelu klienta. Warto go odszukać i zachować. Z mniejszymi podwykonawcami podpisuje się ją osobno.

Sam też pracuję na podstawie takiej umowy, gdy przy wdrożeniu albo opiece nad stroną mam dostęp do danych klientów mojego klienta. Jej wzór udostępniam publicznie, żeby można go było przeczytać jeszcze przed rozmową.

Formularz kontaktowy: czy potrzebna jest zgoda?

To najczęstsze pytanie i najczęstszy błąd. Na wielu stronach pod formularzem wisi obowiązkowy checkbox „Wyrażam zgodę na przetwarzanie moich danych osobowych”, bez którego nie da się wysłać wiadomości. Zwykle jest zbędny.

Zgoda to tylko jedna z podstaw prawnych wymienionych w art. 6 RODO. Gdy ktoś sam pisze do Ciebie z pytaniem o usługę, odpowiedź mieści się zazwyczaj w innej podstawie: w działaniach podejmowanych na żądanie tej osoby przed zawarciem umowy albo w Twoim prawnie uzasadnionym interesie, jakim jest odpowiadanie na wiadomości. Zgodę wymuszoną checkboxem trudno uznać za dobrowolną. Można ją też w każdej chwili wycofać — i co wtedy z korespondencją, którą już prowadzisz?

Zgody naprawdę potrzebujesz w innych sytuacjach:

• Marketing e-mailowy i SMS-owy. Wysyłanie informacji handlowych drogą elektroniczną wymaga uprzedniej zgody odbiorcy na podstawie art. 398 Prawa komunikacji elektronicznej. Więcej piszę o tym w artykule o newsletterze i zgodach.
• Dane szczególnych kategorii. Informacje o zdrowiu, na przykład w formularzu gabinetu, wymagają spełnienia dodatkowych warunków z art. 9 RODO i dużo większej ostrożności.
• Cookies i podobne technologie do analityki i reklamy — o nich niżej.

Jeśli zbierasz kilka zgód, każda powinna być osobna, niezaznaczona domyślnie i niewymagana do wysłania zapytania. Wycofanie zgody musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3 RODO).

Zbieraj tylko to, czego potrzebujesz

Każde pole formularza to dane, za które odpowiadasz. Do odpowiedzi na zapytanie wystarczy zwykle imię, kontakt i treść wiadomości. Telefon może być opcjonalny, a adres potrzebny jest dopiero przy zamówieniu. Numeru PESEL, daty urodzenia czy skanów dokumentów przez zwykły formularz nie zbieraj wcale. Mniej pól to zresztą także więcej wysłanych formularzy.

Co napisać przy formularzu

RODO wymaga, żeby informacje o przetwarzaniu przekazać w chwili zbierania danych (art. 13). Nie musisz jednak wklejać pod formularzem całej polityki prywatności drobnym drukiem. Dobrze sprawdza się informowanie warstwowe: krótka informacja przy przycisku i link do pełnej treści.

Pierwsza warstwa powinna odpowiedzieć na najważniejsze pytania: kto jest administratorem, po co zbiera dane i gdzie przeczytać resztę. Na przykład:

Administratorem Twoich danych jest [nazwa firmy, adres]. Dane z formularza wykorzystamy, żeby odpowiedzieć na wiadomość i przygotować ofertę. Szczegóły, w tym Twoje prawa i okres przechowywania danych, znajdziesz w polityce prywatności.

Sam link do polityki prywatności w stopce, bez żadnej informacji przy formularzu, to za mało. Osoba, która wysyła wiadomość, powinna dostać podstawowe informacje tam, gdzie podaje dane.

Sprawdź przy okazji technikę. Formularz musi działać przez HTTPS, wiadomości powinny trafiać na właściwy adres, a nie leżeć latami w bazie wtyczki, o której nikt nie pamięta. O tym, jak zaprojektować formularz kontaktowy, który ludzie wypełniają, piszę osobno.

Co musi zawierać polityka prywatności

Polityka prywatności to pełna informacja o tym, jak strona i firma przetwarzają dane. Jej zakres wynika przede wszystkim z art. 13 RODO. Ma być napisana zwięźle i zrozumiale — ściana prawniczego tekstu nie pomaga ani klientowi, ani Tobie.

Najsłabszym punktem wielu polityk jest okres przechowywania. Sformułowanie „do czasu osiągnięcia celu” niewiele mówi. Lepiej napisać wprost, że zapytania, z których nie wynikła współpraca, usuwasz po określonym czasie, a dokumenty rozliczeniowe przechowujesz tak długo, jak wymagają tego przepisy podatkowe. A potem naprawdę tak robić.

Polityka musi też pasować do rzeczywistości. Gdy dodajesz na stronę czat, mapę albo nowe narzędzie reklamowe, dokument trzeba zaktualizować. Informacje o cookies możesz zawrzeć w polityce prywatności albo wydzielić do osobnej polityki cookies.

Uproszczenie dla mikrofirm przy umowach z konsumentami

Mikroprzedsiębiorca może przy umowach z konsumentami wykonać obowiązek informacyjny, udostępniając odpowiednie informacje na swojej stronie internetowej albo wywieszając je w widocznym miejscu w lokalu (art. 4a ustawy o prawach konsumenta). Ułatwienie nie obejmuje firm, które przetwarzają dane szczególnych kategorii, na przykład o zdrowiu. Nie zwalnia też z pozostałych obowiązków, więc informacja przy formularzu i tak się przydaje.

Analityka, mapy, czat: narzędzia zewnętrzne

Najwięcej niespodzianek kryje się w dodatkach. Każdy skrypt innej firmy osadzony na stronie może zbierać dane odwiedzających, często zanim ktokolwiek cokolwiek kliknie. Dotyczy to analityki, pikseli reklamowych, okienek czatu, filmów i map, zewnętrznych czcionek czy narzędzi do nagrywania sesji.

Przy każdym takim narzędziu zadaj cztery pytania:

1. Czy naprawdę go potrzebuję i czy ktoś korzysta z danych, które zbiera?
2. Czy zapisuje coś w urządzeniu użytkownika albo to odczytuje? Jeśli tak, a nie jest to niezbędne do działania usługi, potrzebujesz zgody (art. 399 Prawa komunikacji elektronicznej).
3. Gdzie trafiają dane i czy wychodzą poza Europejski Obszar Gospodarczy?
4. Czy dostawca działa jako podmiot przetwarzający, czy jako osobny administrator — i czy polityka prywatności to opisuje?

Część narzędzi da się zastąpić prostszymi rozwiązaniami. Mapę może zastąpić statyczny obrazek z linkiem do nawigacji, film może ładować się dopiero po kliknięciu, a czcionki można serwować z własnego serwera. Strona staje się wtedy prostsza prawnie i zwykle szybsza. To, co wymaga zgody i jak powinien wyglądać baner cookies, opisuję w osobnym tekście.

Bezpieczeństwo, naruszenia i prawa osób

RODO nie kończy się na dokumentach. Art. 32 wymaga środków technicznych i organizacyjnych dopasowanych do ryzyka. Dla strony firmowej oznacza to przede wszystkim:

• HTTPS na całej stronie, nie tylko przy formularzu,
• aktualny system, wtyczki i oprogramowanie serwera — na małych stronach do włamań dochodzi najczęściej przez znane, niezałatane luki,
• osobne konta dla osób z dostępem do panelu, silne hasła i logowanie dwuetapowe,
• kopie zapasowe, z których da się odtworzyć stronę,
• usuwanie starych zgłoszeń i nieużywanych kont.

Jeśli dojdzie do naruszenia — ktoś wykradnie bazę zgłoszeń albo dane trafią do niewłaściwej osoby — masz co do zasady 72 godziny od jego stwierdzenia na zgłoszenie go Prezesowi UODO. Zgłoszenie nie jest potrzebne, gdy naruszenie raczej nie powoduje ryzyka dla osób, których dane dotyczą (art. 33 RODO). Przy wysokim ryzyku trzeba też zawiadomić te osoby. Każde naruszenie musisz też udokumentować wewnętrznie, także takie, którego nie zgłaszasz (art. 33 ust. 5 RODO).

Osoby, których dane przetwarzasz, mogą żądać dostępu do nich, ich sprostowania czy usunięcia. Odpowiadasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w uzasadnionych przypadkach termin można przedłużyć o kolejne dwa miesiące (art. 12 ust. 3 RODO). Dobrze mieć jeden adres do takich spraw i wiedzieć, kto w firmie je obsługuje.

Rejestr czynności i inspektor ochrony danych

Firmy zatrudniające mniej niż 250 osób są zwolnione z prowadzenia rejestru czynności przetwarzania, ale tylko wtedy, gdy przetwarzanie ma charakter sporadyczny, nie powoduje ryzyka i nie obejmuje danych szczególnych kategorii (art. 30 ust. 5 RODO). Firma, która stale obsługuje zapytania i klientów, zwykle nie spełnia warunku sporadyczności, więc bezpieczniej taki rejestr prowadzić. To kilka tabel, nie tom dokumentacji.

Inspektora ochrony danych większość małych firm wyznaczać nie musi. Obowiązek dotyczy między innymi sytuacji, gdy główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii albo na regularnym i systematycznym monitorowaniu osób na dużą skalę (art. 37 RODO).

Checklista RODO dla strony firmowej

• Wiesz, jakie dane zbiera strona: formularze, poczta, logi, analityka, osadzone narzędzia.
• Formularze mają tylko potrzebne pola i krótką informację o przetwarzaniu z linkiem do polityki prywatności.
• Wysłanie zapytania nie wymaga zgody, a zgody marketingowe są osobne i niezaznaczone domyślnie.
• Polityka prywatności opisuje Twoje rzeczywiste narzędzia, cele, okresy przechowywania i prawa osób.
• Masz umowy powierzenia z hostingiem, pocztą i dostawcami narzędzi.
• Skrypty analityczne i reklamowe uruchamiają się dopiero po zgodzie.
• Strona działa przez HTTPS, system i wtyczki są aktualne, a kopie zapasowe sprawdzone.
• Wiesz, kto odpowiada na żądania osób i co robić przy naruszeniu.

W moich pakietach stron podstawowe dokumenty, czyli politykę prywatności i informacje przy formularzach, przygotowuję na bazie wzorów. Uzupełniam je danymi firmy i listą narzędzi, które faktycznie działają na stronie, a formularze projektuję tak, żeby zbierały tylko to, co potrzebne. Przy danych o zdrowiu, rekrutacji, profilowaniu albo rozbudowanym marketingu warto dodatkowo skorzystać z pomocy prawnika specjalizującego się w ochronie danych.

Ten artykuł to informacja ogólna według stanu prawnego z października 2026 r., a nie porada prawna. W konkretnej sprawie skonsultuj się z prawnikiem lub inspektorem ochrony danych.