Polityka prywatności i RODO w sklepie - obowiązki sprzedawcy online

Sklep internetowy to, z punktu widzenia RODO, jeden z najbardziej intensywnych procesorów danych osobowych w całym ekosystemie e-commerce. Każde zamówienie, każdy zapis na newsletter, każde kliknięcie śledzone przez piksel Meta - to przetwarzanie danych, za które odpowiadasz Ty jako administrator. Polityka prywatności nie jest dokumentem "na wszelki wypadek" - to prawny obowiązek wynikający z art. 13 RODO, który od 25 maja 2018 roku dotyczy każdego sklepu online działającego na terenie UE bez wyjątku.

W 2025 roku UODO nałożył kary na polskie firmy o łącznej wartości 64,5 mln zł - pięciokrotnie więcej niż rok wcześniej. Morele.net zapłaciło 3,8 mln zł za nieodpowiednie zabezpieczenia danych 2,2 mln klientów. Nie straszę Cię statystykami - chcę, żebyś wiedział, że organy nadzorcze przestały przymykać oko na małe sklepy i wzrosły ich kompetencje weryfikacyjne. Ten artykuł pokazuje, co konkretnie musi znaleźć się w polityce prywatności Twojego sklepu, jak prawidłowo zbierać zgody marketingowe i z kim podpisać umowy powierzenia danych.

Co musi zawierać polityka prywatności - lista z art. 13 RODO

Art. 13 RODO definiuje minimalny zakres informacji, które musisz przekazać klientowi w momencie zbierania jego danych. Nie "możesz" - "musisz". Oto pełna lista obowiązkowych elementów:

Każdy z tych punktów musi być napisany prostym językiem, zrozumiałym dla osoby bez wykształcenia prawniczego. UODO wielokrotnie zwracał uwagę, że polityki pisane prawniczym żargonem nie spełniają wymogu przejrzystości z art. 5 RODO.

Podstawy prawne przetwarzania danych - to nie jest formalność

Największy błąd, jaki widzę w politykach prywatności małych sklepów WooCommerce, to wskazanie jednej podstawy prawnej "zgoda użytkownika" do wszystkiego. Tak nie działa RODO. Każdy cel przetwarzania ma własną, właściwą podstawę:

Dlaczego to ważne? Gdy powołujesz się na wykonanie umowy (lit. b), możesz przetwarzać dane bez zgody klienta i nie możesz jej żądać jako warunku zakupu. Gdy powołujesz się na zgodę (lit. a), klient może ją cofnąć w dowolnym momencie bez konsekwencji dla realizacji zamówienia. Mieszanie tych podstaw to prosta droga do kontroli.

U klienta prowadzącego sklep z odzieżą na Shoperze znalazłem w polityce zapis: "Podstawą przetwarzania danych jest Twoja zgoda wyrażona podczas zakupu." Problem: zakup to umowa, nie zgoda. Klient nie może cofnąć "zgody" i oczekiwać, że sklep anuluje zrealizowane zamówienie. Zmiana jednego zdania uchroniła go przed potencjalnym problemem z UODO.

Zgody marketingowe - gdzie najczęściej popełniane są błędy

Zgoda marketingowa to najtrudniejszy element w praktyce, bo sklepy od lat stosują triki, które RODO wprost zakazuje. Oto co jest nielegalne:

W WooCommerce domyślnie nie ma mechanizmu zbierania i przechowywania zgód marketingowych. Musisz to zorganizować osobno - albo przez integrację z platformą e-mail (MailerLite, FreshMail, GetResponse), która przechowuje historię zgód, albo przez dedykowaną wtyczkę jak WP GDPR Compliance. Sama baza subskrybentów to za mało - potrzebujesz dowodu: kiedy kto wyraził zgodę, na jakiej wersji formularza, na co dokładnie.

Warto tu wspomnieć o osobnym kanale - remarketingu przez Meta Pixel lub Google Ads. To nie jest "uzasadniony interes" - to wymaga wyraźnej zgody użytkownika przez baner cookies. Więcej o tym w kolejnej sekcji.

Baner cookies i Google Consent Mode v2

Baner cookies to nie tylko kwestia estetyki strony. Od marca 2024 roku Google Consent Mode v2 jest obowiązkowy dla sklepów używających GA4 i Google Ads - bez prawidłowej implementacji tracisz dane konwersji lub ryzykujesz przetwarzanie danych bez podstawy prawnej.

Prawidłowy baner cookies musi:

• Pojawić się przy pierwszej wizycie, przed załadowaniem jakichkolwiek skryptów analitycznych
• Oferować wybór (accept all / reject all / customize) - sam przycisk "Akceptuj" bez opcji odmowy jest nielegalny
• Blokować ładowanie plików cookies i skryptów innych niż niezbędne do działania strony, dopóki użytkownik nie wyrazi zgody
• Przechowywać zapis udzielonej lub odmówionej zgody

Dla WooCommerce dostępne są sprawdzone rozwiązania: Cookiebot (od ok. 39 EUR/rok), CookiePilot (29 PLN/miesiąc z polskim supportem, obsługuje Consent Mode v2), Complianz (wtyczka WordPress, od 49 USD/rok). Darmowe wtyczki jak Cookie Notice często nie blokują skryptów przed zgodą - sprawdź to przez DevTools przed uruchomieniem sklepu.

Powierzenie przetwarzania danych - umowy DPA

Jeśli przekazujesz dane klientów zewnętrznemu podmiotowi, który przetwarza je w Twoim imieniu i zgodnie z Twoimi instrukcjami - masz obowiązek zawarcia z nim umowy powierzenia przetwarzania danych (DPA - Data Processing Agreement). To obowiązek wynikający z art. 28 RODO.

Z kim musisz mieć DPA? Przede wszystkim:

• Dostawca hostingu (LH.pl, OVH, Hetzner) - tu serwer stoi, tu są dane klientów w bazie MySQL
• Platforma e-mail marketingowej (MailerLite, FreshMail, GetResponse, Mailchimp) - przechowuje dane subskrybentów
• Systemy CRM i helpdesk (Freshdesk, HubSpot, Livechat) - jeśli tam trafiają dane klientów
• BaseLinker czy inne narzędzia do zarządzania zamówieniami - agregują dane z wielu kanałów
• Booking.com, Allegro, Empik Marketplace - jeśli na ich platformie sprzedajesz i exportujesz dane

Natomiast firmy kurierskie (InPost, DPD, DHL), bramki płatnicze (Przelewy24, PayU, BLIK, Tpay) czy Allegro to w typowym modelu samodzielni administratorzy danych - nie przetwarzają danych w Twoim imieniu, tylko realizują własne usługi. Musisz ich wymienić w polityce prywatności jako odbiorców danych, ale DPA nie jest wymagana.

Największe platformy SaaS mają gotowe DPA - Google (Google Workspace i Analytics), Meta, MailerLite. Zazwyczaj wystarczy zaakceptować je w panelu dostawcy lub podpisać online. Lokalne firmy hostingowe w Polsce często wymagają osobnej pisemnej umowy - zapytaj dostawcę.

Okresy przechowywania danych - ile i dlaczego

Jeden z najczęstszych błędów, jakie widzę audytując sklepy WooCommerce: brak jakichkolwiek zapisów o retencji danych albo nieprecyzyjne "przez czas niezbędny do realizacji usługi". RODO wymaga konkretnych kryteriów.

Praktyczne okresy dla typowego sklepu:

• Dane zamówień i faktury - 5 lat od końca roku podatkowego, w którym transakcja miała miejsce (obowiązek z ordynacji podatkowej i ustawy o rachunkowości)
• Dane konta klienta - przez czas aktywności konta, po usunięciu konta przez dodatkowy okres przedawnienia roszczeń (3 lata dla roszczeń z umów konsumenckich, 6 lat dla roszczeń przedsiębiorców)
• Dane z procesu reklamacji i zwrotów - przez okres rękojmi (2 lata od wydania towaru) plus czas na ewentualne postępowanie
• Dane do newslettera - do momentu cofnięcia zgody
• Logi systemowe i bezpieczeństwa - zazwyczaj 12-24 miesiące
• Dane z formularzy kontaktowych - do czasu rozwiązania sprawy plus rozsądny margines

Te okresy muszą znaleźć się wprost w polityce prywatności - nie jako jedna ogólna zasada, ale osobno dla każdego celu przetwarzania. Przy budowie sklepu internetowego na WooCommerce konfiguruję harmonogram automatycznego usuwania danych po upływie okresu retencji - WooCommerce ma do tego opcje w ustawieniach RODO lub można to obsłużyć wtyczką.

Prawa klientów - jak je obsłużyć w praktyce

Każdy klient ma prawo do: dostępu do swoich danych, sprostowania, usunięcia ("prawo do bycia zapomnianym"), ograniczenia przetwarzania, przeniesienia danych i wniesienia sprzeciwu. W polityce prywatności musisz te prawa opisać i wskazać, jak klient może je wykonać.

W praktyce oznacza to: musisz mieć adres e-mail lub formularz do zgłoszenia żądania i procedurę wewnętrzną, która pozwala Ci obsłużyć je w terminie 30 dni. 30 dni to maksimum - przy skomplikowanych sprawach możesz przedłużyć do 90 dni, ale musisz klienta o tym poinformować w ciągu pierwszych 30.

U klienta ze sklepem z elektroniką dostałem zgłoszenie klienta żądającego usunięcia konta i wszystkich danych. Problem - zamówienie sprzed roku wciąż było w systemie księgowym. Właśnie dlatego prawo do usunięcia nie jest absolutne: możesz odmówić usunięcia danych, które musisz zachować z obowiązku prawnego (faktury na 5 lat). Klientowi usunęliśmy konto w WooCommerce, zanonimizowaliśmy dane osobowe w zamówieniu i zostawiliśmy tylko kwoty i numery zamówień wymagane dla celów podatkowych. Taka odpowiedź na żądanie, z wyjaśnieniem dlaczego część danych zostaje - to prawidłowa procedura.

Rejestr Czynności Przetwarzania - czy mały sklep musi go prowadzić?

Art. 30 RODO zwalnia z obowiązku prowadzenia Rejestru Czynności Przetwarzania (RCP) firmy zatrudniające mniej niż 250 osób - ale z ważnym wyjątkiem. Jeśli przetwarzanie jest nieregularne, obowiązek nie ma zastosowania. Problem: przetwarzanie danych w e-commerce nigdy nie jest nieregularne. Każda transakcja, każdy log, każdy e-mail z potwierdzeniem zamówienia to przetwarzanie danych - i to stałe, ciągłe.

Praktyczna konkluzja: każdy sklep internetowy, niezależnie od wielkości, powinien prowadzić RCP. To nie musi być rozbudowany dokument - może być arkusz Excela z kolumnami: nazwa czynności, cel, podstawa prawna, kategorie danych, odbiorcy, okres retencji, zabezpieczenia. Przy ewentualnej kontroli UODO brak RCP to dodatkowa okoliczność obciążająca, nawet jeśli formalnie nie byłeś zobowiązany.

Gdzie umieścić politykę prywatności i jak ją linkować

Polityka prywatności musi być łatwo dostępna - standardem jest link w stopce strony, widoczny na każdej podstronie. Dodaj go też:

• Przy formularzu zamówienia (checkout) - obok checkboxa akceptacji regulaminu
• Przy każdym formularzu zbierającym dane (kontaktowy, zapis na newsletter, rejestracja konta)
• W stopce każdego e-maila transakcyjnego (potwierdzenie zamówienia, wysyłki, faktury)
• W banerze cookies - link do pełnej polityki

Politykę prywatności zaktualizuj po każdej zmianie: nowy dostawca SaaS, nowa platforma e-mail, zmiana platformy płatności. Dobrą praktyką jest wersjonowanie - data ostatniej aktualizacji widoczna na początku dokumentu i historia zmian.

Jeśli prowadzisz sklep zarówno w Polsce, jak i Niemczech, przygotuj osobną wersję polityki po niemiecku - nie tylko tłumaczenie, ale dostosowanie do lokalnych wymagań (np. Datenschutzerklärung z odwołaniem do BayLDA lub LfDI jako lokalnego organu nadzorczego). Regulamin i politykę prywatności dla sklepu DE opisuję szerzej przy okazji tematyki obowiązków prawnych sklepu w 2026.

Najczęstsze błędy - lista kontrolna przed startem sklepu

Lista może wyglądać długo, ale większość punktów to jednorazowa konfiguracja. Sklep WooCommerce, który od początku jest prawidłowo skonfigurowany, nie wymaga cotygodniowej pracy nad RODO. Porównaj to z kosztem kary UODO albo utratą zaufania klientów po wycieku danych.

Jeśli chcesz wiedzieć, jakie inne obowiązki prawne czekają na Ciebie jako właściciela sklepu, zajrzyj do kalendarza terminów prawnych dla sklepów online w 2026 albo do artykułu o prawie odstąpienia i obsłudze zwrotów w 14 dniach. Temat dyrektywy Omnibus i pokazywania najniższej ceny z 30 dni omawiam w osobnym artykule o Omnibus i wymaganiach cenowych.

Jestem developerem WordPress i WooCommerce, nie prawnikiem ani księgowym - ten artykuł traktuję jako poradnik techniczny i praktyczny, ale w sprawach prawnych warto skonsultować się z kancelarzą specjalizującą się w prawie e-commerce lub ochronie danych. Jeśli chcesz, żebym pomógł technicznie wdrożyć RODO w Twoim sklepie - napisz przez formularz kontaktowy albo sprawdź, co robię przy budowie sklepów internetowych.

Najczęstsze pytania

Czy polityka prywatności w sklepie internetowym jest obowiązkowa?

Tak, bezwzględnie. Każdy sklep internetowy zbiera dane osobowe (imię, adres, e-mail, dane płatności), a RODO nakłada na administratora obowiązek informacyjny z art. 13. Polityka prywatności to najprostszy sposób jego spełnienia. Brak polityki to nie tylko ryzyko kary UODO - przy kontroli to pierwszy dokument, którego szukają inspektorzy.

Czy mogę użyć gotowego szablonu polityki prywatności z internetu?

Możesz go użyć jako punktu startowego, ale nie możesz go skopiować 1:1. Polityka musi odzwierciedlać Twoje faktyczne procesy: jakich dostawców SaaS używasz, ile czasu przechowujesz dane, kto jest Twoim DPO (jeśli powołany). Szablon napisany dla firmy ze Szwecji i inną architekturą IT nie spełni Twoich obowiązków. UODO podczas kontroli porównuje treść polityki z faktyczną praktyką - rozbieżności bywają podstawą kar.

Jak prawidłowo zbierać zgody na newsletter w WooCommerce?

Checkbox zgody musi być niezaznaczony domyślnie, mieć własną treść (osobną od zgody na regulamin) i być opcjonalny - klient musi móc kupić bez zapisu na newsletter. Treść powinna mówić wprost: co będziesz wysyłać, jak często, kto jest nadawcą. Przechowuj datę, godzinę i wersję formularza każdej wyrażonej zgody. Wycofanie zgody musi być równie proste jak jej udzielenie - link do rezygnacji w każdym mailu.

Czy muszę podpisywać umowę DPA z PayU, Przelewy24 albo InPost?

To zależy od roli danego podmiotu. Bramki płatnicze jak PayU i Przelewy24 są zazwyczaj odrębnymi administratorami danych (przetwarzają dane płatności na własnych zasadach), więc DPA nie jest wymagane - wystarczy ujawnić je w polityce jako odbiorcę danych. InPost i inne firmy kurierskie, którym przekazujesz dane adresowe w celu dostawy, też są samodzielnymi administratorami. DPA wymagasz od hostingu, platformy e-mail marketingowej (MailerLite, FreshMail, Mailchimp) i narzędzi CRM, które przechowują dane Twoich klientów na Twoim zlecenie.

Co grozi za brak lub nieaktualną politykę prywatności w sklepie?

Kara UODO może wynieść do 20 mln EUR lub 4% rocznego obrotu - wyższa z tych kwot. W Polsce w 2025 roku łączna suma kar wzrosła do 64,5 mln zł, pięciokrotnie więcej niż rok wcześniej. Morele.net zapłaciło 3,8 mln zł za nieodpowiednie zabezpieczenia. Dla małego sklepu realniejsze ryzyko to kara kilkudziesięciu tysięcy złotych, czasem wezwanie do usunięcia uchybień w trybie administracyjnym, a przede wszystkim utrata zaufania klientów.

Jak długo mogę przechowywać dane klientów po zrealizowaniu zamówienia?

Dane transakcyjne i fakturowe musisz trzymać 5 lat od końca roku podatkowego - wymóg prawa podatkowego. Dane konta klienta możesz przetwarzać przez czas aktywności konta, po jego usunięciu przez dodatkowy okres przedawnienia roszczeń (zazwyczaj 3-6 lat zależnie od podstawy). Dane marketingowe przechowujesz wyłącznie do momentu wycofania zgody. Nie możesz trzymać danych bezterminowo - to jeden z najczęstszych błędów w WooCommerce.

Czy baner cookies zastępuje politykę prywatności?

Nie, to dwa odrębne obowiązki. Baner cookies zarządza zgodą na pliki śledzące (analityczne, reklamowe) i wynika z Prawa Telekomunikacyjnego oraz RODO. Polityka prywatności realizuje obowiązek informacyjny z art. 13 RODO i opisuje całość przetwarzania danych. Oba dokumenty są wymagane, a baner powinien linkować do polityki prywatności i polityki cookies.

Kiedy muszę zgłosić naruszenie bezpieczeństwa danych do UODO?

Gdy naruszenie może powodować ryzyko naruszenia praw i wolności osób fizycznych - masz 72 godziny od wykrycia incydentu na zgłoszenie go do UODO przez formularz na stronie uodo.gov.pl. Jeśli ryzyko jest wysokie (np. wyciek danych płatniczych lub adresowych), masz też obowiązek poinformowania poszkodowanych klientów bez zbędnej zwłoki. Brak zgłoszenia w terminie jest odrębną podstawą kary.