Obowiązki prawne sklepu i strony w 2026: kompletna mapa z terminami i karami

Jeśli prowadzisz sklep internetowy albo stronę firmową w Polsce, rok 2026 zrzucił na Ciebie kilka obowiązków naraz. KSeF rusza w lutym i kwietniu, ustawa o nadzorze nad bezpieczeństwem produktów weszła w życie 3 stycznia, dostępność cyfrowa obowiązuje od ubiegłego czerwca, a w połowie roku dochodzi przycisk odstąpienia od umowy. Nikt tego nie zsynchronizował z myślą o małej firmie, więc wygląda to jak lawina.

Zebrałem to wszystko w jedną oś czasu, data po dacie, z konkretnymi kwotami kar i informacją kogo dany przepis dotyczy, a kto jest zwolniony. Pracuję jako developer od 13 lat, zrobiłem ponad 120 projektów na Shoper i WooCommerce, więc patrzę na to od strony wdrożeniowej: co realnie trzeba kliknąć, dodać i sprawdzić w sklepie. Zaznaczam od razu jedną rzecz, do której będę wracał: jestem webdeveloperem, nie prawnikiem ani księgowym, więc traktuj ten tekst jako mapę i punkt wyjścia, a nie opinię prawną.

Po co Ci ta mapa i jak z niej korzystać

Problem z przepisami 2026 nie polega na tym, że są skomplikowane pojedynczo. Polega na tym, że spadają jednocześnie i każdy ma inny zakres, inny termin i innego nadzorcę. KSeF to fiskus, GPSR to UOKiK i Inspekcja Handlowa, dostępność i Omnibus to znów UOKiK, a RODO to UODO. Łatwo coś przeoczyć, bo śledzisz jeden temat, a obok wchodzi drugi.

Dlatego ten artykuł działa jak dyspozytornia. Najpierw dostajesz oś czasu od 2025 do 2027, żeby zobaczyć cały krajobraz. Potem rozbieram każdy obowiązek osobno: kogo dotyczy, od kiedy, jaka kara za brak i co konkretnie zrobić. Na końcu znajdziesz tabelę kar zebraną w jednym miejscu, listę zwolnień dla najmniejszych firm i audyt, który zrobisz sam w pół godziny. Jeśli masz mało czasu, przeskocz do sekcji o samodzielnym audycie i wróć do szczegółów, kiedy znajdziesz konkretne luki.

Oś czasu 2025-2027: wszystko w jednym miejscu

Zanim wejdziemy w szczegóły, zobacz całość. To są najważniejsze daty, które dotyczą sklepów i stron firmowych. Większość już zadziałała albo zadziała w tym roku, więc nie masz luksusu odkładania na później.

28 czerwca 2025 to start obowiązku dostępności cyfrowej z Europejskiego Aktu o Dostępności. Od tego dnia nowe sklepy i nowe funkcjonalności muszą spełniać wymogi WCAG na poziomie AA. To już za Tobą, więc jeśli przegapiłeś, jesteś w opóźnieniu.

3 stycznia 2026 weszła w życie ustawa o nadzorze nad ogólnym bezpieczeństwem produktów, krajowa nakładka na unijny GPSR. Od tej daty UOKiK i Inspekcja Handlowa mają narzędzia do nakładania kar.

1 lutego 2026 to obowiązkowy KSeF dla największych, czyli firm z obrotem powyżej 200 mln zł brutto w 2024 roku. Reszta od tego dnia musi już przynajmniej odbierać e-faktury w systemie.

1 kwietnia 2026 to KSeF dla wszystkich pozostałych podatników VAT. To data, która dotyczy zdecydowanej większości sklepów.

19 czerwca 2026 to wejście obowiązku przycisku odstąpienia od umowy, wynikającego z dyrektywy UE 2023/2673. Rezygnacja z zakupu musi być tak prosta jak zakup.

1 stycznia 2027 to KSeF dla najmniejszych (sprzedaż do 10 tys. zł brutto miesięcznie) oraz moment, od którego rusza pełna administracyjna kara 100% VAT za faktury wystawione poza systemem.

KSeF: fakturowanie po nowemu, luty i kwiecień 2026

Krajowy System e-Faktur to centralna platforma Ministerstwa Finansów, przez którą będą przechodzić wszystkie faktury B2B. Koniec z PDF-em wysyłanym mailem jako dokument właściwy: faktura istnieje dopiero wtedy, gdy trafi do KSeF i dostanie swój numer.

Terminy zależą od wielkości. Jeśli Twój obrót brutto w 2024 roku przekroczył 200 mln zł, jesteś dużym podatnikiem i KSeF obowiązuje Cię od 1 lutego 2026. Jeśli nie przekroczył, czyli przypadek niemal każdego sklepu MSP, wchodzisz od 1 kwietnia 2026. Najmniejsi, ze sprzedażą do 10 tys. zł brutto miesięcznie, mają odroczenie do 1 stycznia 2027. Tu jest pułapka: nawet jeśli wystawiasz faktury później, odbierać e-faktury w systemie musisz już od lutego 2026, więc dostęp do KSeF trzeba mieć skonfigurowany wcześniej.

Dla sklepu praktyka wygląda tak. Jeśli sprzedajesz głównie konsumentom (B2C) i wystawiasz głównie paragony, KSeF dotknie Cię tam, gdzie wystawiasz faktury firmom. Integracja idzie zwykle przez system fakturowy albo wtyczkę: BaseLinker, Fakturownia czy moduł w samym Shoperze gadają z KSeF przez API. W WooCommerce robi się to przez wtyczkę fakturową spiętą z systemem zewnętrznym. To jest właśnie ten kawałek, gdzie wchodzę ja jako developer, bo trzeba poprawnie zmapować dane, NIP-y i numerację.

Jakie kary za brak KSeF w 2026

Tu jest dobra wiadomość. W 2026 roku administracyjna kara w wysokości 100% kwoty VAT z faktury wystawionej poza systemem jest zawieszona. Rok ma charakter ochronny. Pełna kara, do 100% VAT (lub do 18,7% kwoty należności przy fakturze bez wykazanego VAT), rusza dopiero od 1 stycznia 2027. To nie znaczy, że luty i kwiecień to wolna amerykanka: od 1 kwietnia 2026 działa odpowiedzialność karno-skarbowa za fakturowanie poza KSeF. Po szczegółowy rozkład progów obrotu i terminów dla różnych typów firm przygotowałem osobny poradnik o tym, od kiedy i dla kogo KSeF obowiązuje w 2026.

GPSR i ustawa o nadzorze: bezpieczeństwo produktów

GPSR, czyli unijne rozporządzenie 2023/988 o ogólnym bezpieczeństwie produktów, działa bezpośrednio od 13 grudnia 2024. Polska dołożyła do tego krajową nakładkę: ustawa o nadzorze nad ogólnym bezpieczeństwem produktów weszła w życie 3 stycznia 2026 i zastąpiła stare przepisy z 2003 roku. Dopiero ta ustawa daje organom realne narzędzia do karania.

Dla sklepu GPSR oznacza konkretne obowiązki przy każdej karcie produktu. Musisz podać dane producenta (nazwa, adres, dane kontaktowe), a jeśli producent jest spoza UE, dane importera lub upoważnionego przedstawiciela w Unii. Do tego ostrzeżenia, instrukcje bezpieczeństwa i informacje umożliwiające identyfikację produktu (numer partii, model), wszystko w języku polskim. Łańcuch odpowiedzialności obejmuje teraz całość: producenta, importera, dystrybutora, aż po platformę internetową, przez którą sprzedajesz.

Nadzór trafił do UOKiK jako krajowego koordynatora i do Inspekcji Handlowej jako głównego organu kontrolnego. To Inspekcja prowadzi kontrole, nakłada kary i sprawdza zgodność w całym łańcuchu dostaw. Kary z ustawy sięgają 1 mln zł, a ich wysokość zależy od wagi naruszenia, liczby niezgodnych produktów, powtarzalności i tego, czy współpracujesz z organem.

Jeśli sprzedajesz na Allegro czy przez własny sklep produkty fizyczne, potraktuj to poważnie. Anegdota z mojego podwórka: u jednego klienta z asortymentem zabawek i akcesoriów dziecięcych import szedł z Azji i karty produktów nie miały danych importera w UE. Uzupełnienie tego w eksporcie z hurtowni do Shopera zajęło popołudnie pracy nad mapowaniem pól, ale ściągnęło z firmy realne ryzyko kary przy pierwszej kontroli.

Dostępność cyfrowa EAA: od czerwca 2025

Europejski Akt o Dostępności (EAA) obowiązuje w Polsce od 28 czerwca 2025 na podstawie ustawy o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług. Dla e-commerce oznacza to, że sklep ma być użyteczny także dla osób z niepełnosprawnościami: niewidomych korzystających z czytników ekranu, osób słabowidzących, osób poruszających się tylko klawiaturą.

W praktyce to wdrożenie wytycznych WCAG. Każda nowa funkcjonalność i nowy sklep powinny celować w poziom AA. To oznacza między innymi: opisy alternatywne dla zdjęć produktów, odpowiedni kontrast tekstu, możliwość przejścia przez całą ścieżkę zakupową samą klawiaturą, poprawnie oznaczone pola formularzy i komunikaty błędów, których nie sygnalizuje tylko kolor. Dla developera to konkretna robota w szablonie i w koszyku, nie magia.

Kto jest zwolniony. Mikroprzedsiębiorstwo, czyli firma zatrudniająca do 10 osób i z rocznym obrotem poniżej 2 mln EUR, jest zwolnione z obowiązku w zakresie świadczonych usług. Uwaga na haczyk: to zwolnienie dotyczy usług, a nie zawsze produktów objętych ustawą. Jeśli wprowadzasz do obrotu produkty wymienione w ustawie (na przykład sprzęt komputerowy, czytniki, terminale), zwolnienie mikrofirmy nie działa tak samo. Szczegóły, kto dokładnie łapie się na zwolnienie i jakie produkty są wyjątkiem, rozpisałem w poradniku o tym, kogo dotyczy dostępność EAA i jakie są zwolnienia.

Jakie kary za brak dostępności

Sankcje są dotkliwe: za niedostosowanie kary mogą sięgnąć nawet 10% rocznego obrotu. To stawia dostępność w jednej lidze z najpoważniejszymi naruszeniami konsumenckimi. Dobra wiadomość jest taka, że poprawki dostępnościowe niemal zawsze podnoszą też konwersję i ocenę strony w wyszukiwarce, więc to nie jest wyłącznie koszt zgodności. Sam, budując strony i sklepy, zakładam WCAG od początku, bo poprawianie tego po fakcie kosztuje więcej.

Omnibus i prawa konsumenta: ceny, promocje, regulamin

Dyrektywa Omnibus działa już od 2023 roku, ale w 2026 dochodzi do niej nowy element i ostrzejsze egzekwowanie. Podstawowy obowiązek znasz: przy każdej obniżce musisz pokazać najniższą cenę z 30 dni przed promocją. Co istotne, ta informacja ma być widoczna nie tylko na karcie produktu, ale też na listach produktów, w modułach promocyjnych i w wynikach wyszukiwarki sklepu. To częsta luka, bo platformy domyślnie pokazują przekreśloną cenę regularną, a nie tę najniższą z 30 dni.

Nowość na 2026 to wspomniany już przycisk odstąpienia od umowy. Od 19 czerwca 2026, na podstawie dyrektywy UE 2023/2673, rezygnacja z zakupu online musi być tak samo łatwa jak sam zakup. Jeśli klient mógł kupić jednym kliknięciem, musi też móc odstąpić elektronicznie, w tym samym środowisku, bez konieczności drukowania i wysyłania papierowych formularzy. To wymaga dodania konkretnej funkcji w panelu klienta albo wyraźnego mechanizmu na stronie.

Do tego dochodzą stałe obowiązki dokumentowe: aktualny regulamin sklepu, polityka prywatności, informacja o prawie odstąpienia (14 dni), jasne dane sprzedawcy i koszty dostawy podane przed finalizacją zamówienia. To są rzeczy, które kontrola sprawdza najszybciej, bo widać je z poziomu przeglądarki.

Ile może wynieść kara od UOKiK

UOKiK dostał mocne narzędzie: za naruszenia zbiorowych interesów konsumentów kara może sięgnąć 10% rocznego obrotu firmy, a dla osób zarządzających dodatkowo do 2 mln zł. To dotyczy zarówno Omnibusa, jak i braku przycisku odstąpienia czy wprowadzających w błąd promocji. Konkretne przykłady decyzji, stawki i to, za co realnie karze UOKiK, rozłożyłem w osobnym tekście o karach UOKiK dla sklepów internetowych w 2026.

DSA: akt o usługach cyfrowych

Akt o usługach cyfrowych (DSA), rozporządzenie UE 2022/2065, obowiązuje większość platform w UE od lutego 2024. Dla typowego, małego sklepu prowadzonego na własnej domenie DSA ma ograniczony zasięg, bo najcięższe obowiązki spadają na platformy pośredniczące i te bardzo duże, jak Allegro czy duże marketplace'y. Mikro i mali przedsiębiorcy są zwolnieni z części wymogów.

Gdzie DSA dotyka Ciebie. Jeśli umożliwiasz użytkownikom zamieszczanie treści, na przykład recenzji produktów albo komentarzy, wchodzą obowiązki dotyczące moderacji, mechanizmu zgłaszania nielegalnych treści i przejrzystości. Jeśli sprzedajesz wyłącznie przez marketplace, to platforma bierze na siebie większość ciężaru DSA, ale wymaga od Ciebie weryfikacji danych sprzedawcy (tak zwane KYC, know your business customer). Kary za naruszenia DSA sięgają 6% globalnego rocznego obrotu, ale w praktyce dla małego sklepu na własnym sklepie internetowym ryzyko jest dużo mniejsze niż przy Omnibusie czy GPSR.

RODO i polityka prywatności: obowiązek, który nie znika

RODO obowiązuje nieprzerwanie od 2018 roku i nie ma żadnej ulgi dla małych firm. W natłoku nowości 2026 łatwo o nim zapomnieć, a to wciąż jeden z najczęściej kontrolowanych obszarów. Dla sklepu kluczowe są trzy rzeczy: zgodna polityka prywatności opisująca jak przetwarzasz dane, prawidłowa zgoda na pliki cookies (z realną możliwością odrzucenia, nie tylko przyciskiem akceptuj) oraz wewnętrzne procedury, jak rejestr czynności przetwarzania.

Sam baner cookies to za mało. Musi pozwalać odrzucić śledzące ciasteczka równie łatwo, jak je zaakceptować, i nie może ładować skryptów marketingowych przed zgodą. To częsty błąd na sklepach, gdzie piksel Meta czy Google Analytics startuje od razu, mimo że klient jeszcze nic nie kliknął. Z perspektywy technicznej to zwykle kwestia poprawnej konfiguracji Consent Mode i kolejności ładowania skryptów, którą warto sprawdzić przy okazji audytu pozycjonowania i analityki.

Tabela kar: ile realnie ryzykujesz

Zebrałem najważniejsze sankcje w jednym miejscu, żebyś widział proporcje. Najdotkliwsze są kary liczone od obrotu, bo dla rosnącej firmy 10% rocznego obrotu to kwota, która potrafi wywrócić biznes. Kary kwotowe (jak 1 mln zł z GPSR) są groźne dla mniejszych, ale przewidywalne.

Wniosek z tej tabeli jest prosty. Dla typowego sklepu MSP największe realne ryzyko to UOKiK przy Omnibusie i dostępności oraz Inspekcja Handlowa przy bezpieczeństwie produktów. To tu kontrole są najczęstsze i najszybsze, bo wystarczy otworzyć Twoją stronę. KSeF jest bardziej przewidywalny, bo ma jasny termin i okres ochronny, a kara administracyjna rusza dopiero w 2027.

Kto jest zwolniony: ściąga dla najmniejszych firm

Nie wszystko dotyczy każdego, i to ważne, żeby nie wpaść w panikę. Najwięcej zwolnień daje status mikroprzedsiębiorstwa: firma poniżej 10 osób i z rocznym obrotem poniżej 2 mln EUR. Taki status zwalnia z wymogów dostępności EAA w zakresie usług oraz z części obowiązków DSA. Ale nie zwalnia z reszty.

Granica 10 osób i 2 mln EUR jest tu kluczowa, ale uważaj na produkty. Przy EAA zwolnienie mikrofirmy dotyczy usług, a nie zawsze produktów objętych ustawą. Jeśli rośniesz i zbliżasz się do progów, lepiej wdrożyć dostępność wcześniej, niż gonić ją w popłochu po przekroczeniu zatrudnienia. W mojej praktyce firmy, które przygotowały sklep z wyprzedzeniem, nie miały później stresu przy każdej nowej kontroli.

Self-audit w 30 minut: sprawdź się sam

Ten audyt zrobisz sam, bez prawnika, z laptopem i stoperem. Nie zastąpi pełnej opinii prawnej, ale wyłapie 80% typowych luk, które kontrola wychwytuje od razu. Przejdź po kolei i zapisuj, co jest na zielono, a co wymaga poprawki.

Jeśli przy tej liście zapaliło Ci się więcej niż dwa, trzy czerwone światła, to znak, że warto zaplanować poprawki w bloku, a nie po jednej. Zwykle da się je załatwić w ramach jednego sprintu wdrożeniowego na sklepie, bo wiele z nich dotyka tych samych miejsc: koszyka, karty produktu i stopki z dokumentami.

Najczęstsze błędy, które kosztują najwięcej

Po dziesiątkach wdrożeń widzę, że te same potknięcia powtarzają się niezależnie od branży. Pierwszy: odkładanie KSeF do ostatniego dnia. Konfiguracja, testy i mapowanie danych zajmują czas, a w marcu wszyscy nagle szukają developera naraz. Drugi: pokazywanie przy promocji ceny regularnej przekreślonej zamiast najniższej z 30 dni. To wygląda niewinnie, a jest klasycznym naruszeniem Omnibusa.

Trzeci błąd: traktowanie dostępności jak kosmetyki na koniec projektu. WCAG zbudowane od początku kosztuje ułamek tego, co przeróbka gotowego sklepu. Czwarty: baner cookies, który tylko udaje zgodę, a piksele i tak ładują się od razu. Piąty, najczęstszy przy produktach: brak danych importera spoza UE na karcie, co od 2026 łapie GPSR. Każdy z tych błędów da się usunąć szybciej, niż się wydaje, jeśli wiesz, czego szukać. Jeśli wolisz, żeby ktoś przeszedł po tym z Tobą i poukładał priorytety, napisz do mnie, robię takie przeglądy zgodności dla sklepów na Shoper i WooCommerce.

Plan działania na najbliższe tygodnie

Nie próbuj zrobić wszystkiego naraz. Ustaw kolejność według terminów i ryzyka. Najpierw KSeF, bo ma twardą datę i wymaga technicznej konfiguracji z wyprzedzeniem. Potem Omnibus i przygotowanie pod przycisk odstąpienia, bo to UOKiK i kary od obrotu. Równolegle GPSR, jeśli sprzedajesz produkty fizyczne, bo Inspekcja Handlowa już kontroluje. Dostępność wpleć w najbliższe zmiany na sklepie, zamiast traktować jak osobny wielki projekt.

Na koniec wróć do RODO i cookies, bo to obowiązuje cały czas i często jest najszybsze do poprawienia. Jeśli prowadzisz dopiero stronę firmową bez sprzedaży, większość tych obowiązków Cię nie dotyczy, ale polityka prywatności i zgoda na cookies obowiązują Cię tak samo. Cały materiał poradnikowy o zgodności sklepów zbieram na bieżąco na blogu, więc zaglądaj po szczegółowe instrukcje do poszczególnych punktów z tej osi czasu. Powtórzę to, od czego zacząłem: jestem developerem, nie prawnikiem, więc przy każdej wątpliwości interpretacyjnej skonsultuj konkretny przepis z radcą prawnym specjalizującym się w e-commerce. Moja rola to sprawić, żeby Twój sklep technicznie spełniał to, co prawo nakazuje.

Najczęstsze pytania

Od kiedy KSeF jest obowiązkowy dla małego sklepu internetowego?

Jeśli Twój obrót brutto w 2024 roku nie przekroczył 200 mln zł, KSeF staje się dla Ciebie obowiązkowy od 1 kwietnia 2026. Najmniejsi podatnicy, których łączna sprzedaż nie przekracza 10 tys. zł brutto miesięcznie, mają czas do 1 stycznia 2027. Niezależnie od progu, odbierać e-faktury w systemie musisz już od lutego 2026.

Czy mikrofirma jest zwolniona ze wszystkich nowych obowiązków w 2026?

Nie ze wszystkich. Mikrofirma poniżej 10 osób i 2 mln EUR obrotu jest zwolniona z wymogów dostępności EAA w zakresie usług i z części obowiązków DSA. Ale KSeF, Omnibus, obowiązek najniższej ceny z 30 dni, przycisk odstąpienia od umowy i RODO obowiązują Cię tak samo jak dużą firmę.

Jaka jest najwyższa kara za brak dostosowania sklepu do przepisów?

Najdotkliwsze sankcje sięgają 10% rocznego obrotu firmy, i tyle grozi za naruszenia praw konsumenta, Omnibusa, braku przycisku odstąpienia czy dostępności EAA. DSA przewiduje do 6% globalnego obrotu, a ustawa GPSR kary do 1 mln zł. KSeF działa inaczej: kara 100% VAT jest zawieszona do końca 2026, ale odpowiedzialność karno-skarbowa działa już wcześniej.

Co to jest GPSR i czy dotyczy mojego sklepu?

GPSR to unijne rozporządzenie o ogólnym bezpieczeństwie produktów, stosowane bezpośrednio od 13 grudnia 2024. Polska ustawa o nadzorze nad ogólnym bezpieczeństwem produktów weszła w życie 3 stycznia 2026 i nakłada konkretne kary. Jeśli sprzedajesz produkty konsumentom, GPSR Cię dotyczy: każdy produkt musi mieć dane producenta, ostrzeżenia i instrukcje w języku polskim.

Czy muszę mieć przycisk odstąpienia od umowy w sklepie?

Tak, od 19 czerwca 2026. Dyrektywa UE 2023/2673 wymaga, żeby rezygnacja z zakupu online była tak samo prosta jak sam zakup. Jeśli klient kupuje jednym kliknięciem, musi też móc odstąpić elektronicznie, w tym samym środowisku. Brak takiego rozwiązania grozi karą do 10% obrotu.

Co grozi za fakturę wystawioną poza KSeF w 2026 roku?

W 2026 roku administracyjna kara w wysokości 100% VAT jest zawieszona, więc rok ma charakter ochronny. Od 1 kwietnia 2026 działa jednak odpowiedzialność karno-skarbowa za faktury poza systemem. Pełna kara administracyjna do 100% kwoty VAT (lub do 18,7% przy fakturze bez wykazanego VAT) wchodzi dopiero od 1 stycznia 2027.

Czy WCAG i dostępność dotyczą zwykłej strony firmowej bez sklepu?

Strona wizytówka bez sprzedaży i bez usług objętych ustawą zwykle nie jest twardo objęta EAA. Jeśli jednak prowadzisz przez stronę e-commerce, bankowość, usługi telekomunikacyjne czy rezerwacje, dostępność na poziomie WCAG 2.1 AA staje się obowiązkiem. W praktyce każdą nową funkcjonalność warto budować już zgodnie z tymi wytycznymi, bo i tak poprawia konwersję.

Od czego zacząć, jeśli nie wiem, które przepisy mnie dotyczą?

Zacznij od trzech pytań: ile masz osób i jaki obrót (to decyduje o zwolnieniach), czy sprzedajesz produkty czy usługi, oraz kiedy ostatnio aktualizowałeś regulamin i politykę prywatności. Na tej podstawie ustawiasz priorytety z osi czasu w tym artykule. Jeśli utkniesz na technicznej stronie, napisz do mnie, robię takie audyty dla sklepów na Shoper i WooCommerce.