RODO na stronie internetowej: polityka prywatności, cookies i formularze

Jeśli masz stronę firmową z formularzem kontaktowym i Google Analytics, to przetwarzasz dane osobowe. Nie musisz prowadzić sklepu ani wysyłać newslettera. Adres e-mail z formularza, numer telefonu, adres IP w logach serwera: to wszystko są dane osobowe w rozumieniu RODO. A skoro je przetwarzasz, masz obowiązki, których niedopełnienie kosztuje. W 2025 roku UODO pokazał, że nie żartuje: 16,93 mln zł kary dla McDonald's Polska i 27 mln zł dla Poczty Polskiej to dwie najwyższe sankcje w historii polskiego organu.

Przez 13 lat pracy przy stronach i sklepach przejrzałem setki polityk prywatności i banerów cookies. Większość ma te same błędy, które da się naprawić w jeden dzień roboczy. W tym artykule pokażę minimum prawne dla strony wizytówkowej: co musi zawierać polityka prywatności, jak poprawnie ustawić cookies po wejściu PKE i jak zaprojektować formularze, żeby spać spokojnie. Bez prawniczego żargonu, za to z cenami i konkretami.

Czy RODO dotyczy każdej strony internetowej?

Tak, RODO dotyczy praktycznie każdej strony firmowej, nawet najprostszej wizytówki bez sklepu. Wystarczy jeden z trzech elementów: formularz kontaktowy (zbierasz imię, e-mail, telefon), narzędzia analityczne lub marketingowe (Google Analytics, Pixel Meta, mapy ciepła) albo zwykłe logi serwera, w których zapisują się adresy IP. Każdy z nich oznacza przetwarzanie danych osobowych, a Ty stajesz się administratorem tych danych.

Według GUS w 2025 roku 67,5% przedsiębiorstw w Polsce miało własną stronę internetową. To setki tysięcy administratorów danych, z których spora część nigdy nie zajrzała do art. 13 RODO. Z mojego doświadczenia: na dziesięć stron firmowych, które audytuję przed przebudową, osiem ma politykę prywatności skopiowaną z innej strony albo wygenerowaną raz w 2018 roku i nigdy nieaktualizowaną.

Co ważne, RODO obowiązuje od maja 2018 roku, ale otoczenie prawne wokół stron www zmieniło się mocno później. Od 10 listopada 2024 roku obowiązuje Prawo komunikacji elektronicznej (PKE), które zastąpiło Prawo telekomunikacyjne i przeniosło na nowe tory zasady dotyczące cookies. Od 28 czerwca 2025 roku działa też polska ustawa o dostępności, która objęła m.in. e-commerce. Strona zrobiona "zgodnie z prawem" pięć lat temu dziś już zgodna nie jest.

Dobra wiadomość? Minimum prawne dla wizytówki to trzy rzeczy: poprawna polityka prywatności, działający baner cookies i porządnie opisane formularze. Przejdźmy przez nie po kolei.

Co musi zawierać polityka prywatności zgodna z RODO?

Polityka prywatności musi zawierać komplet informacji z art. 13 RODO, napisanych prostym językiem i dostępnych z każdej podstrony, najlepiej linkiem w stopce. To nie jest dokument ozdobny. To realizacja obowiązku informacyjnego, czyli jednego z najczęściej kontrolowanych elementów przy skargach do PUODO.

W praktyce najwięcej problemów sprawiają trzy punkty. Pierwszy: podstawy prawne, bo właściciele stron wpisują wszędzie "zgodę", choć dla formularza kontaktowego właściwy jest zwykle prawnie uzasadniony interes. Drugi: odbiorcy danych, bo mało kto pamięta, że firma hostingowa to podmiot przetwarzający i powinna być wymieniona (a z hostingiem trzeba mieć umowę powierzenia, większość polskich hostingów ma ją w regulaminie). Trzeci: okresy przechowywania, które często w ogóle nie są podane.

RODO dopuszcza informację warstwową. Pod formularzem dajesz krótką klauzulę z nazwą administratora i linkiem, a pełne szczegóły trzymasz w polityce. To rozwiązanie, które stosuję we wszystkich projektach, bo nie zaśmieca designu i spełnia wymogi.

Jak ustawić cookies i baner zgód po wejściu PKE?

Zasada jest prosta: przed zapisaniem jakichkolwiek cookies poza technicznie niezbędnymi musisz uzyskać zgodę użytkownika. PKE obowiązuje od 10 listopada 2024 roku i przejęło tę materię po Prawie telekomunikacyjnym. Jeśli Twoja polityka cookies powołuje się na art. 172 Prawa telekomunikacyjnego albo art. 10 ustawy o świadczeniu usług drogą elektroniczną, jest nieaktualna i wymaga poprawy.

Zgoda pod PKE musi spełniać standard RODO: dobrowolna, konkretna, świadoma i wyrażona aktywnym działaniem. Osobno dla każdej kategorii cookies. Jak to wygląda w podziale na kategorie?

Techniczna strona wdrożenia: na WordPressie najwygodniej działa wtyczka typu Complianz lub CookieYes spięta z Google Consent Mode v2. Skrypty Google Analytics i Pixela ładują się w trybie ograniczonym do momentu zgody, a po kliknięciu "Akceptuję analityczne" przechodzą w tryb pełny. Dzięki temu nie tracisz całkowicie danych do raportów, a jednocześnie nie zbierasz ich nielegalnie. Pamiętaj też o łatwym wycofaniu zgody: ikona lub link "Ustawienia cookies" w stopce to standard, którego brakuje na większości polskich stron.

Jak zaprojektować formularz kontaktowy zgodny z RODO?

Formularz kontaktowy nie wymaga checkboxa ze zgodą na przetwarzanie danych. To najczęstszy mit, z jakim się spotykam. Gdy klient pisze do Ciebie przez formularz, podstawą przetwarzania jest prawnie uzasadniony interes (odpowiedź na zapytanie) albo działania zmierzające do zawarcia umowy. Zgoda jako podstawa jest tu wręcz błędna, bo zgodę można cofnąć, a Ty i tak musisz odpowiedzieć na wiadomość.

Co zamiast checkboxa? Krótka klauzula informacyjna bezpośrednio pod przyciskiem wysyłki: kto jest administratorem, po co przetwarzasz dane i link do polityki prywatności. Dwa zdania wystarczą.

Checkbox staje się konieczny, gdy przy okazji kontaktu chcesz robić coś więcej. Newsletter? Osobna, aktywna zgoda, bez domyślnie zaznaczonego pola. Telefoniczny kontakt marketingowy? Kolejna osobna zgoda, bo PKE traktuje ją odrębnie od e-maila. Łączenie wszystkiego w jeden checkbox "akceptuję regulamin i zgadzam się na wszystko" to proszenie się o problemy.

Od strony technicznej dwa obowiązki: certyfikat SSL (formularz wysyłający dane po HTTP to wprost naruszenie zasady integralności i poufności) oraz kontrola tego, dokąd trafiają zgłoszenia. Jeśli wtyczka formularza zapisuje wiadomości w bazie WordPressa, te dane też podlegają RODO: ustaw automatyczne czyszczenie starych wpisów, na przykład po 12 miesiącach.

Jakie kary realnie grożą za braki RODO na stronie?

Maksymalna kara to 20 mln euro lub 4% rocznego światowego obrotu firmy, w zależności od tego, która kwota jest wyższa. To nie jest teoria z ustawy. Rok 2025 był pod tym względem rekordowy w Polsce.

Sprawa McDonald's Polska jest pouczająca także dla małych firm. Sieć powierzyła zewnętrznej firmie przetwarzanie danych pracowników do grafików, nie zrobiła analizy ryzyka i nie dopilnowała umowy powierzenia. Dane (w tym numery PESEL) wyciekły do publicznie dostępnego katalogu. Wniosek dla właściciela strony wizytówkowej? Za dane odpowiadasz Ty, nawet jeśli fizycznie leżą u dostawcy hostingu albo w narzędziu mailingowym. Dlatego umowy powierzenia i wybór sprawdzonych dostawców to nie biurokracja, tylko realne zabezpieczenie.

Czy mała firma z Poznania dostanie od razu milionową karę za zły baner cookies? Nie. Typowa ścieżka to skarga klienta do PUODO, wezwanie do złożenia wyjaśnień, ewentualnie upomnienie i nakaz dostosowania. Ale sama obsługa takiego postępowania to godziny pracy i nierzadko koszt prawnika. UODO nakładał już kary kilkutysięczne na jednoosobowe działalności, najczęściej za ignorowanie korespondencji urzędu. Taniej jest zrobić porządek raz, niż tłumaczyć się po fakcie.

Ile kosztuje doprowadzenie strony do zgodności z RODO?

Dla typowej strony wizytówkowej całość zamyka się w przedziale od kilkuset do około dwóch tysięcy złotych netto. Najdroższym elementem jest polityka prywatności, najtańszym baner cookies, bo dobre narzędzia mają wersje darmowe.

Pytanie, które słyszę najczęściej: generator czy prawnik?

Moja rekomendacja po 120+ projektach: wizytówka i prosty serwis firmowy spokojnie jedzie na dobrym generatorze. Sklep internetowy, serwis z rekrutacją albo strona zbierająca dane zdrowotne to już robota dla prawnika.

Najczęstsze błędy RODO, które widzę na stronach firmowych

Najczęstszy błąd to skrypty śledzące uruchamiane przed zgodą użytkownika. GA4, Pixel Meta i Hotjar wystrzeliwują przy wejściu na stronę, a baner cookies jest tylko dekoracją. Drugi w kolejności: polityka prywatności skopiowana z cudzej strony, czasem nawet z nazwą innej firmy w treści. Widziałem to nie raz i nie dwa.

> W listopadzie robiłem audyt strony firmy szkoleniowej z Poznania: GA4 i Pixel Meta odpalały się przed jakąkolwiek zgodą, a polityka prywatności z 2019 roku powoływała się na nieistniejące już Prawo telekomunikacyjne. Naprawa zajęła niecałe dwa dni robocze. Po wdrożeniu Complianz z Consent Mode v2 zgodę na analitykę wyrażało około 70% odwiedzających, więc firma nie straciła danych do raportów, a przestała zbierać je nielegalnie.

Dalsza lista grzechów wygląda tak: brak przycisku odmowy w banerze (sama "Akceptuję" to nie zgoda), brak możliwości wycofania zgody ze stopki, formularze bez klauzuli informacyjnej, domyślnie zaznaczone checkboxy newslettera, brak SSL na podstronie z formularzem oraz wiadomości z formularzy przechowywane w bazie latami bez żadnej retencji.

Jest jeszcze jeden błąd, o którym mało kto myśli: wtyczki i motywy ładujące zasoby z zewnętrznych serwerów bez wiedzy właściciela. Google Fonts ładowane bezpośrednio z serwerów Google to klasyk, za który niemieckie sądy zasądzały już odszkodowania. Na rynku polskim ryzyko jest mniejsze, ale dobra praktyka jest darmowa: fonty hostuje się lokalnie. W moich realizacjach stron internetowych to standard od lat, podobnie jak lokalne ładowanie skryptów analitycznych tam, gdzie się da.

Od czego zacząć: plan na jeden dzień roboczy

Zacznij od inwentaryzacji, bo nie zabezpieczysz czegoś, o czym nie wiesz. Otwórz swoją stronę w trybie incognito z otwartą zakładką Network w narzędziach deweloperskich i sprawdź, jakie skrypty ładują się przed kliknięciem czegokolwiek w banerze. Potem przejdź przez cztery kroki.

Krok pierwszy: spisz wszystkie miejsca, gdzie zbierasz dane (formularze, komentarze, narzędzia analityczne, mailing) i wszystkich dostawców, którym dane powierzasz. Krok drugi: zaktualizuj lub wygeneruj politykę prywatności według checklisty z tego artykułu, koniecznie z odniesieniem do PKE zamiast starych ustaw. Krok trzeci: wdróż baner cookies z prawdziwym blokowaniem skryptów i opcją odmowy, najlepiej spięty z Consent Mode v2. Krok czwarty: dodaj klauzule informacyjne pod formularzami i ustaw retencję danych w wtyczkach.

Ile to zajmie? Przy sprawnej ręce technicznej jeden dzień roboczy plus koszt polityki prywatności. Jeśli wolisz oddać to komuś, kto robi to regularnie, orientacyjne stawki znajdziesz w moim cenniku, a zakres prac zawsze ustalam indywidualnie, bo strona stronie nierówna.

Na koniec uczciwie: RODO na stronie wizytówkowej to nie jest rocket science. Polityka prywatności z kompletem informacji, baner cookies, który naprawdę blokuje skrypty, i formularze z klauzulą informacyjną załatwiają 90% tematu. Resztę robi zdrowy rozsądek, czyli zbieranie tylko tych danych, których faktycznie potrzebujesz. Jeśli chcesz, żebym przejrzał Twoją stronę pod kątem RODO przy okazji przebudowy albo audytu, napisz do mnie przez formularz na dole tej strony. Odpowiadam zwykle w ciągu jednego dnia roboczego.