RODO w sklepie internetowym: dla właścicieli e-commerce – od polityki prywatności po kary UODO

RODO nakłada na każdy sklep internetowy konkretne obowiązki: politykę prywatności, klauzulę informacyjną i rejestr czynności przetwarzania. Brak zgodności grozi karą UODO do 20 mln EUR lub 4% rocznego obrotu – a naruszenie danych może wymagać powiadomienia każdego klienta. Ten przewodnik pokazuje krok po kroku, co wdrożyć.

Kim jest administrator danych w sklepie internetowym i dlaczego to ważne

Właściciel sklepu internetowego jest administratorem danych osobowych klientów i odpowiada za ich ochronę – niezależnie od tego, kto zarządza platformą techniczną. Administrator to zgodnie z art. 4 pkt 7 RODO osoba fizyczna lub prawna, która samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W sklepie internetowym to właściciel decyduje, jakie dane zbiera (imię, adres, e-mail, historia zakupów) i w jakim celu (realizacja zamówień, marketing, analityka).

Kluczowy wniosek dla każdego właściciela e-commerce: odpowiedzialność RODO nie przenosi się na platformę sprzedażową. Sklep zbudowany na Shopify, WooCommerce, Shoper, PrestaShop czy Magento nie zwalnia z roli administratora – platforma pełni wyłącznie funkcję procesora (podmiotu przetwarzającego) w rozumieniu art. 4 pkt 8 RODO, działając w imieniu administratora na podstawie umowy powierzenia.

Przykład praktyczny: sklep w modelu dropshippingu – właściciel jest administratorem wobec klienta końcowego, dropshipper-dostawca staje się procesorem (lub odrębnym administratorem przy własnej polityce). Każda taka konfiguracja wymaga zmapowania ról.

Zasada rozliczalności (accountability) z art. 5 ust. 2 RODO wymaga, by administrator nie tylko przestrzegał zasad ochrony danych, ale potrafił to udowodnić przed UODO. Praktycznie oznacza to dokumentację: politykę prywatności, klauzule informacyjne, rejestr czynności przetwarzania, umowy DPA z partnerami i polityki bezpieczeństwa. RODO w sklepie internetowym opiera się więc na tej zasadzie – bez dokumentacji nie ma zgodności, nawet jeśli faktycznie przetwarzanie odbywa się prawidłowo.

Kiedy sklep zarejestrowany poza UE też podlega RODO

Sklep z siedzibą poza Unią Europejską również podlega RODO, jeśli spełnia kryterium terytorialne z art. 3 ust. 2 RODO – oferuje towary lub usługi osobom przebywającym w UE albo monitoruje ich zachowania (np. cookies analityczne, remarketing).

Przykład: sklep zarejestrowany w USA, wysyłający paczki do Polski i Niemiec, ma identyczne obowiązki jak sklep w Warszawie. Co więcej, zgodnie z art. 27 RODO musi wyznaczyć przedstawiciela w UE – osobę fizyczną lub prawną pełniącą funkcję punktu kontaktowego dla klientów i organów nadzorczych. Brak takiego przedstawiciela jest naruszeniem podlegającym karze administracyjnej z art. 83 RODO.

Jakie obowiązki nakłada RODO na sklep internetowy – przegląd

RODO nakłada na sklep internetowy 10 kluczowych obowiązków – od polityki prywatności i klauzuli informacyjnej po rejestr czynności przetwarzania i umowy z dostawcami. Każdy z nich wynika z konkretnego artykułu rozporządzenia 2016/679 i podlega kontroli UODO.

#	Obowiązek	Podstawa prawna	Sankcja za brak
1	Polityka prywatności	art. 13 RODO	do 20 mln EUR / 4% obrotu
2	Prawidłowe zbieranie zgód	art. 7 RODO	do 20 mln EUR / 4% obrotu
3	Klauzula informacyjna przy formularzach	art. 13 RODO	do 20 mln EUR / 4% obrotu
4	Rejestr czynności przetwarzania (RCP)	art. 30 RODO	do 10 mln EUR / 2% obrotu
5	Umowy powierzenia z dostawcami (DPA)	art. 28 RODO	do 10 mln EUR / 2% obrotu
6	Realizacja praw klientów	art. 15-22 RODO	do 20 mln EUR / 4% obrotu
7	Zabezpieczenia techniczne	art. 32 RODO	do 10 mln EUR / 2% obrotu
8	Zgłaszanie naruszeń do UODO w 72h	art. 33 RODO	do 10 mln EUR / 2% obrotu
9	Dokumentacja wewnętrzna (upoważnienia, rejestr naruszeń)	art. 24, 33 ust. 5 RODO	do 10 mln EUR / 2% obrotu
10	Regulamin sklepu zgodny z RODO	art. 13 + ustawa o świadczeniu usług drogą elektroniczną	do 20 mln EUR / 4% obrotu

Powyższe obowiązki to fundament zgodności RODO w sklepie internetowym. GDPR (General Data Protection Regulation) to angielska nazwa tego samego rozporządzenia – 2016/679 – obowiązującego od 25 maja 2018 r. w całej Unii Europejskiej. UODO (Urząd Ochrony Danych Osobowych) to polski organ nadzorczy z siedzibą w Warszawie, który kontroluje wykonywanie tych obowiązków i nakłada kary administracyjne.

W praktyce każdy sklep musi posiadać widoczną politykę prywatności w stopce strony, zaprojektowane prawidłowo formularze ze zgodami, regulamin uwzględniający przetwarzanie danych, RCP w formie arkusza lub narzędzia online oraz podpisane umowy DPA z każdym dostawcą zewnętrznym. Niespełnienie któregokolwiek punktu naraża właściciela sklepu na kontrolę i karę.

Wdrożenie RODO krok po kroku: 6 etapów (audyt → dokumentacja)

Wdrożenie RODO w sklepie internetowym przebiega według sprawdzonej metodyki w 6 etapach – od inwentaryzacji procesów do gotowej dokumentacji zewnętrznej:

1. Audyt procesów przetwarzania – identyfikacja wszystkich danych zbieranych przez sklep (formularze, cookies, integracje), celów (zamówienia, newsletter, remarketing) i podstaw prawnych z art. 6 RODO
2. Określenie przyszłych procesów – planowane zmiany: nowe funkcje (program lojalnościowy), integracje (CRM, marketing automation), kanały (social commerce)
3. Analiza ryzyka – ocena zagrożeń dla praw klientów: utrata danych, nieautoryzowany dostęp, ujawnienie haseł
4. Dobór środków bezpieczeństwa – techniczne (SSL, szyfrowanie, 2FA) i organizacyjne (upoważnienia, szkolenia)
5. Dokumentacja wewnętrzna – RCP, upoważnienia pracowników, rejestr naruszeń, polityki bezpieczeństwa
6. Dokumentacja zewnętrzna – polityka prywatności na stronie, klauzule informacyjne przy formularzach, banner cookies (CMP), umowy DPA z procesorami

Realny czas wdrożenia RODO w sklepie internetowym: 4-12 tygodni w zależności od skali i liczby procesów.

Podstawy prawne przetwarzania danych w e-commerce (art. 6 RODO)

W sklepie internetowym przetwarzanie danych opiera się na dwóch głównych podstawach: wykonaniu umowy (art. 6 ust. 1 lit. b) przy realizacji zamówień i zgodzie klienta (art. 6 ust. 1 lit. a) przy marketingu. Wybór właściwej podstawy prawnej z art. 6 RODO to fundament zgodności – błąd skutkuje karą UODO i naraża sklep na skargi klientów.

Artykuł 6 RODO wymienia 6 dopuszczalnych podstaw prawnych przetwarzania:

• lit. a – zgoda osoby, której dane dotyczą
• lit. b – wykonanie umowy lub działania przed jej zawarciem
• lit. c – obowiązek prawny administratora (np. faktury, ewidencja VAT)
• lit. d – ochrona żywotnych interesów osoby fizycznej (rzadko w e-commerce)
• lit. e – interes publiczny (nie dotyczy sklepów)
• lit. f – prawnie uzasadniony interes administratora

Tabela mapowania celów przetwarzania w sklepie internetowym na podstawy prawne:

Cel przetwarzania	Podstawa prawna art. 6 RODO	Komentarz
Realizacja zamówienia (adres, dane kontaktowe)	lit. b – wykonanie umowy	Bez checkboxa zgody
Wystawienie faktury i archiwizacja	lit. c – obowiązek prawny	Ordynacja podatkowa, 5 lat
Newsletter	lit. a – zgoda	Osobny checkbox
Remarketing Google Ads / Meta	lit. a – zgoda lub lit. f – LIA	Wymaga testu LIA
Analityka strony (Google Analytics)	lit. f – uzasadniony interes	Cookie analityczne wymaga zgody
Obsługa reklamacji	lit. b lub lit. c	Ustawa o prawach konsumenta
Obrona przed roszczeniami	lit. f – uzasadniony interes	Termin przedawnienia
Profilowanie zakupowe	lit. a – zgoda	Art. 22 RODO

Najczęstszy błąd właścicieli sklepów: zbieranie zgody na realizację zamówienia. Jeśli klient wpisuje adres do wysyłki, podstawą jest wykonanie umowy (lit. b) – dodatkowy checkbox zgody jest zbędny i wręcz wprowadza w błąd. Z kolei brak osobnej zgody na newsletter to wprost naruszenie art. 7 RODO (warunki ważnej zgody).

Wybór podstawy prawnej ma bezpośredni wpływ na prawa klientów. Przy zgodzie (lit. a) klient ma prawo do przenoszenia danych (art. 20) i pełne prawo do usunięcia (art. 17). Przy uzasadnionym interesie (lit. f) klient ma prawo sprzeciwu (art. 21), ale nie ma prawa do przenoszenia.

Kiedy wystarczy umowa, a kiedy trzeba zbierać zgodę?

Praktyczna zasada dla właściciela sklepu internetowego: dane niezbędne do realizacji zamówienia = umowa (bez checkboxa), wszystko poza tym = zgoda lub uzasadniony interes.

Sytuacja	Podstawa	Wymagany checkbox?
Zakup z dostawą (imię, adres, telefon)	art. 6 lit. b – umowa	NIE
Założenie konta klienta	art. 6 lit. b – umowa	NIE
Zapis do newslettera	art. 6 lit. a – zgoda	TAK
Cookies marketingowe / remarketing	art. 6 lit. a – zgoda	TAK (przez CMP)
Wysyłka oferty SMS	art. 6 lit. a – zgoda	TAK
Faktura VAT	art. 6 lit. c – prawo	NIE
Cookies niezbędne (sesja, koszyk)	art. 6 lit. f – interes	NIE

Klient nie może być zmuszany do udzielenia zgody marketingowej w zamian za realizację zamówienia – to warunkowa zgoda zakazana przez art. 7 ust. 4 RODO.

Test równowagi uzasadnionego interesu (LIA) – marketing bez zgody

Test LIA (Legitimate Interest Assessment) to formalna procedura uzasadniająca przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO w sklepie internetowym. Pozwala wysyłać marketing bezpośredni do istniejących klientów bez konieczności zbierania kolejnej zgody – pod warunkiem przeprowadzenia i udokumentowania testu.

LIA składa się z 3 etapów oceny:

1. Cel – czy istnieje konkretny, prawnie dopuszczalny interes administratora? Przykład: utrzymanie relacji z istniejącymi klientami przez wysyłkę informacji o nowych produktach z tej samej kategorii
2. Konieczność – czy przetwarzanie jest niezbędne do osiągnięcia celu? Czy nie da się tego osiągnąć mniej inwazyjnymi środkami?
3. Równoważenie – czy interes administratora przeważa nad prawami i wolnościami osoby? Uwzględnia rozsądne oczekiwania klienta i kontekst

Motyw 47 RODO wprost wskazuje, że marketing bezpośredni może stanowić uzasadniony interes administratora. Praktyka: klient kupił buty w sklepie sportowym – wysyłka informacji o promocji na skarpety to mieszczący się w jego oczekiwaniach uzasadniony interes. Wysyłka oferty kredytu konsumenckiego – już nie.

Kluczowe ograniczenie: klient ma prawo sprzeciwu z art. 21 RODO wobec marketingu opartego na uzasadnionym interesie, a sklep musi natychmiast zaprzestać wysyłki. Każdy email marketingowy musi zawierać widoczny link „wypisz się” (one-click unsubscribe).

LIA daje przewagę: zwiększa konwersję list mailingowych (brak utraty klientów na ekranie zgody) i upraszcza UX zakupu. Wymaga jednak udokumentowanego testu – sam fakt nazwania interesu „uzasadnionym” nie wystarczy przed UODO.

Polityka prywatności w sklepie internetowym – co musi zawierać

Polityka prywatności to obowiązkowy dokument każdego sklepu internetowego – musi zawierać dane administratora, cel i podstawę przetwarzania, odbiorców danych, okres retencji oraz prawa klientów, napisana prostym językiem zrozumiałym dla każdego użytkownika. Wynika to z art. 13 RODO w połączeniu z zasadą przejrzystości z art. 12 RODO.

Lista 11 obowiązkowych elementów polityki prywatności w sklepie internetowym:

1. Tożsamość i dane kontaktowe administratora – pełna nazwa firmy, NIP, REGON, adres siedziby, e-mail kontaktowy do spraw RODO
2. Dane kontaktowe IOD – jeśli sklep wyznaczył Inspektora Ochrony Danych (osobny adres e-mail, np. iod@sklep.pl)
3. Cele przetwarzania i podstawy prawne – dla każdego celu osobno (zamówienia → art. 6 lit. b, newsletter → art. 6 lit. a)
4. Prawnie uzasadnione interesy – jeśli powołujesz się na art. 6 lit. f (np. analityka, marketing do istniejących klientów)
5. Odbiorcy danych – kategorie podmiotów: kurierzy (InPost, DPD), dostawcy hostingu (OVH, home.pl), systemy mailingowe (GetResponse, FreshMail), bramki płatności (Przelewy24, Tpay)
6. Przekazywanie do państw trzecich – jeśli używasz Google Analytics, Mailchimp lub innych narzędzi z USA – z informacją o standardowych klauzulach umownych (SCC)
7. Okres przechowywania danych (retencja) – dla każdej kategorii: dane zamówieniowe (5 lat), newsletter (do cofnięcia zgody), logi serwera (12 miesięcy)
8. Prawa osoby – 8 praw RODO z art. 15-22 i prawo skargi do UODO (art. 77)
9. Prawo wniesienia skargi do Prezesa UODO – z adresem: ul. Stawki 2, 00-193 Warszawa
10. Informacja o dobrowolności lub obowiązku podania danych – z konsekwencjami niepodania
11. Informacja o profilowaniu – jeśli sklep stosuje automatyczne podejmowanie decyzji lub profilowanie z istotnymi konsekwencjami

Polityka prywatności sklepu internetowego musi być dostępna bez logowania – link w stopce każdej podstrony, widoczny już przy pierwszej wizycie klienta. Język prosty i jasny (art. 12 RODO) – nie wolno używać żargonu prawniczego, długich zdań ani odsyłań do artykułów rozporządzenia bez wyjaśnienia.

Najczęstsze błędy w politykach prywatności sklepów internetowych:

• Kopiowanie cudzej polityki – dokument jest nieważny, bo zawiera dane innego administratora i odbiorców innego sklepu
• Ogólniki bez konkretów – „przetwarzamy dane w celach marketingowych” zamiast „wysyłamy newsletter z ofertami nowych produktów raz w tygodniu”
• Brak listy konkretnych odbiorców – klient ma prawo wiedzieć, kto fizycznie ma dostęp do jego adresu (np. nazwa kuriera, dostawcy CRM)
• Nieaktualizowanie po zmianach – dodanie nowej integracji (np. nowe narzędzie marketing automation) wymaga aktualizacji polityki

Klauzula informacyjna art. 13 RODO – wzór dla sklepu

Klauzula informacyjna to skrócona wersja polityki prywatności wyświetlana przy konkretnym formularzu zbierania danych – zamówienia, rejestracji konta, zapisu do newslettera lub formularzu kontaktowym. Różnica wobec polityki prywatności: polityka to ogólny dokument na stronie (link w stopce), klauzula informacyjna to kontekstowa informacja w punkcie zbierania danych.

Obowiązek klauzuli wynika z art. 13 RODO – administrator musi poinformować osobę o przetwarzaniu w momencie zbierania danych, a nie dopiero po fakcie.

Przykładowy wzór klauzuli przy formularzu zamówienia:

Administratorem Twoich danych osobowych jest [nazwa firmy], NIP […], z siedzibą w […]. Twoje dane (imię, adres, e-mail, telefon) przetwarzamy w celu realizacji zamówienia (art. 6 ust. 1 lit. b RODO) oraz wystawienia faktury (art. 6 ust. 1 lit. c RODO). Odbiorcami danych są: kurier [InPost/DPD], operator płatności [Przelewy24], dostawca hostingu [home.pl]. Dane przechowujemy przez 5 lat od zakończenia zamówienia (faktury). Masz prawo dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia oraz skargi do Prezesa UODO. Pełna polityka prywatności: [link].

Klauzula skrócona przy newsletterze powinna wyraźnie informować o dobrowolności zgody, prawie do jej wycofania w każdym momencie (link wypisu) i celu marketingowym.

Prawidłowe zbieranie zgód – checkboxy, newsletter, remarketing

Zgoda na przetwarzanie danych w sklepie internetowym musi być dobrowolna, konkretna, świadoma i jednoznaczna – domyślnie zaznaczony checkbox jest niezgodny z RODO i może skutkować karą UODO. Wymagania zgody określa art. 7 RODO w połączeniu z motywem 32 i 42 rozporządzenia.

5 warunków ważnej zgody RODO (art. 7 + motyw 32):

1. Dobrowolność – bez przymusu, bez warunkowania jej innym świadczeniem
2. Konkretność – zgoda na konkretny cel, nie ogólna „na marketing”
3. Świadomość – klient wie, kto, po co i na jak długo zbiera dane
4. Jednoznaczność – aktywne działanie (zaznaczenie checkboxa), nigdy domyślne
5. Odwołalność – możliwość wycofania tak łatwo, jak udzielenia (art. 7 ust. 3)

Dodatkowo art. 7 ust. 1 RODO wymaga, by administrator umiał wykazać, że klient wyraził zgodę – oznacza to obowiązek zapisania w bazie: data, godzina, IP, treść zgody, formularz, na którym została udzielona.

Co jest dozwolone, a co zabronione przy projektowaniu checkboxów w sklepie internetowym:

Praktyka	Status RODO
Checkbox domyślnie zaznaczony „wyrażam zgodę”	NIEDOZWOLONE (motyw 32)
Łączenie zgody marketingowej z akceptacją regulaminu	NIEDOZWOLONE (art. 7 ust. 4)
Jeden checkbox na 5 różnych celów	NIEDOZWOLONE (wymóg konkretności)
Osobne checkboxy: regulamin, newsletter, profilowanie	DOZWOLONE i zalecane
„Klikając Kup teraz wyrażasz zgodę na newsletter”	NIEDOZWOLONE (brak aktywnego działania)
Pełna treść zgody pod checkboxem	DOZWOLONE i zalecane

Newsletter wymaga osobnego checkboxa, niezaznaczonego domyślnie, z wyraźną informacją: kto wysyła, jak często i jakie treści. Standardem jest double opt-in – po zapisie klient otrzymuje e-mail z linkiem potwierdzającym, dopiero kliknięcie aktywuje zapis. Zwiększa to jakość bazy i stanowi dowód świadomej zgody.

Wycofanie zgody musi być tak łatwe jak jej udzielenie (art. 7 ust. 3 RODO). W praktyce: link „wypisz się” w każdym e-mailu marketingowym, jednoklikowy proces, bez konieczności logowania ani podawania powodu. Sklep internetowy nie może wymagać telefonu ani formularza papierowego do wypisania się z newslettera.

Remarketing Google Ads i Meta wymaga albo osobnej zgody (lit. a), albo udokumentowanego testu LIA (lit. f). Większość sklepów wybiera zgodę przez Consent Management Platform (CMP) – to bezpieczniejsza i prostsza opcja.

Cookies i zgody na pliki cookie – banner CMP

Sklep internetowy musi uzyskać zgodę użytkownika PRZED wgraniem cookies analitycznych i marketingowych na jego urządzenie – obowiązek wynika z art. 173 ustawy Prawo telekomunikacyjne (implementacja dyrektywy ePrivacy) w połączeniu z RODO przy danych osobowych w cookies.

Rodzaje cookies w sklepie internetowym:

• Niezbędne (sesja, koszyk, logowanie, CSRF) – bez zgody, podstawa: art. 6 lit. f RODO + ePrivacy art. 5(3) wyjątek
• Funkcjonalne (preferencje języka, lista życzeń) – zalecana zgoda
• Analityczne (Google Analytics, Hotjar, Matomo) – zgoda wymagana
• Marketingowe (Meta Pixel, Google Ads, Criteo) – zgoda wymagana

Consent Management Platform (CMP) to narzędzie zarządzające zgodami cookies – banner na stronie pozwalający akceptować, odrzucać lub wybierać kategorie cookies. Popularne CMP w polskim e-commerce: Cookiebot, OneTrust, Iubenda, CookieYes.

Prawidłowy banner cookies w sklepie internetowym musi spełniać 4 warunki:

1. „Akceptuj wszystko” widoczne i jednym kliknięciem
2. „Odrzuć wszystko” równie widoczne i tak samo łatwe (te same wymiary, kolor, hierarchia)
3. Granularny wybór kategorii (analityczne osobno, marketingowe osobno)
4. Brak preselekcji zgód marketingowych i analitycznych

Najczęstszy błąd: dark patterns – przycisk „Akceptuj” zielony i duży, „Odrzuć” szary i ukryty pod „Ustawienia”. UODO uznaje to za naruszenie art. 7 RODO (brak swobody zgody) – kary nakładane są coraz częściej.

Zakazane sformułowania: „Kontynuując przeglądanie wyrażasz zgodę”, „Korzystając ze strony akceptujesz cookies” – CJUE w orzeczeniu Planet49 (C-673/17) z 2019 r. orzekł, że dorozumiana zgoda na cookies nie spełnia wymogów RODO.

Prawa klientów wynikające z RODO – jak je obsłużyć w sklepie

Klient sklepu internetowego ma 8 praw wynikających z RODO – sklep musi umożliwić ich realizację w ciągu 30 dni od wniosku, bez ponoszenia opłat przez klienta. Termin może zostać przedłużony do 90 dni w przypadkach skomplikowanych (art. 12 ust. 3 RODO), ale wymaga to powiadomienia klienta o przyczynie.

Pełna tabela 8 praw klientów w sklepie internetowym:

Prawo	Artykuł RODO	Co klient może żądać	Termin	Kiedy można odmówić
Dostęp do danych	art. 15	Kopii danych osobowych i informacji o przetwarzaniu	30 dni	Bardzo rzadko – nadużycie prawa
Sprostowanie	art. 16	Poprawy błędnych lub uzupełnienia niekompletnych danych	30 dni	Prawie nigdy
Usunięcie (prawo do bycia zapomnianym)	art. 17	Usunięcia danych	30 dni	Obowiązek prawny (faktury 5 lat)
Ograniczenie przetwarzania	art. 18	Zablokowania przetwarzania	30 dni	Rzadko – obrona roszczeń
Przenoszenie danych	art. 20	Danych w formacie CSV/JSON/XML	30 dni	Tylko dane na podstawie umowy/zgody
Sprzeciw	art. 21	Zaprzestania marketingu bezpośredniego	Niezwłocznie	Nie ma prawa odmówić w marketingu
Brak profilowania automatycznego	art. 22	Interwencji człowieka w decyzję	30 dni	Wyjątki (zgoda, umowa, prawo)
Skarga do Prezesa UODO	art. 77	Złożenia skargi do organu	Bez terminu	Nigdy – to prawo bezwzględne

Procedura obsługi wniosków klientów RODO w sklepie internetowym powinna obejmować:

1. Kanał wniosków – dedykowany e-mail (np. rodo@sklep.pl) lub formularz na stronie
2. Weryfikacja tożsamości – wystarczy dopasowanie e-maila wniosku do e-maila konta klienta; nie wolno wymagać skanu dowodu osobistego (to nadmiarowe)
3. Termin – 30 dni od otrzymania wniosku (potwierdzenie odbioru natychmiast)
4. Forma odpowiedzi – na żądanie klienta (e-mail, list); domyślnie e-mail
5. Dokumentacja – log wniosków: data wpływu, treść, decyzja, data odpowiedzi
6. Brak opłat – pierwszy wniosek bezpłatny; ponowne mogą być odpłatne tylko jeśli są oczywiście nieuzasadnione

Bardzo częsty błąd: ignorowanie wniosków lub odpowiadanie automatem „Państwa wniosek został przyjęty do rozpatrzenia”. UODO wielokrotnie karało za brak realizacji praw – to drugi co do popularności powód kar w polskim e-commerce. Sklep internetowy musi mieć wewnętrzną procedurę z osobą odpowiedzialną i SLA.

Prawo do bycia zapomnianym (art. 17 RODO) – procedura usunięcia danych

Prawo do bycia zapomnianym z art. 17 RODO zobowiązuje sklep internetowy do usunięcia danych klienta, gdy cel przetwarzania ustał, klient cofnął zgodę lub przetwarzanie odbywa się bezpodstawnie. Realizacja w terminie 30 dni od otrzymania wniosku.

Kiedy sklep MUSI usunąć dane:

• Cel przetwarzania zakończony (zamówienie zrealizowane, klient zażądał usunięcia konta)
• Cofnięcie zgody na przetwarzanie (newsletter)
• Brak ważnej podstawy prawnej (np. nielegalne pozyskanie danych)
• Sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu, gdy nie ma ważniejszej podstawy

Kiedy sklep MOŻE odmówić usunięcia danych:

• Obowiązek prawny przechowywania – faktury VAT i dokumenty finansowe 5 lat (Ordynacja podatkowa, art. 86)
• Obrona roszczeń – dokumenty potrzebne w postępowaniu sądowym (do końca terminu przedawnienia, zwykle 6 lat dla roszczeń konsumenckich)
• Realizacja umowy – jeśli umowa nadal obowiązuje (np. subskrypcja)

Procedura usunięcia: weryfikacja tożsamości → identyfikacja danych do usunięcia (konto, newsletter, historia logowań) → wyłączenie z bazy aktywnej → zachowanie minimum koniecznego (faktury) z odpowiednim oznaczeniem → potwierdzenie klientowi.

Ważne: anonimizacja (nieodwracalne usunięcie identyfikatorów) jest równoważna z usunięciem – dane zanonimizowane przestają być danymi osobowymi w rozumieniu RODO.

Rejestr czynności przetwarzania danych (RCP) – jak prowadzić

Każdy sklep internetowy ma obowiązek prowadzenia rejestru czynności przetwarzania danych (RCP) – nawet jeśli zatrudnia mniej niż 250 osób. Wynika to z art. 30 ust. 5 RODO: wyjątek dla małych podmiotów NIE dotyczy administratora przetwarzającego dane w sposób ciągły, a sklep internetowy zbiera dane klientów codziennie.

RCP (po angielsku Records of Processing Activities, RoPA) to wewnętrzny dokument zawierający spis wszystkich operacji przetwarzania danych osobowych w organizacji. UODO ma prawo zażądać RCP w trakcie kontroli – brak rejestru to natychmiastowe naruszenie z karą do 10 mln EUR lub 2% obrotu (art. 83 ust. 4 RODO).

8 obowiązkowych elementów RCP (art. 30 ust. 1 RODO):

1. Dane administratora – nazwa, kontakt; ewentualnie współadministrator i przedstawiciel
2. Dane IOD – jeśli wyznaczony
3. Cele przetwarzania – konkretne, nie ogólne
4. Kategorie osób, których dane dotyczą – klienci, pracownicy, dostawcy, kontrahenci
5. Kategorie danych osobowych – identyfikacyjne, kontaktowe, finansowe, behawioralne
6. Kategorie odbiorców – kurierzy, operatorzy płatności, hosting, marketing
7. Przekazywanie do państw trzecich – z podstawą (SCC, decyzja KE)
8. Planowane terminy usunięcia (retencja) – dla każdej kategorii
9. Opis środków bezpieczeństwa – techniczne i organizacyjne (skrótowo)

Przykładowe wpisy RCP dla sklepu internetowego:

Czynność przetwarzania	Cel	Podstawa	Kategoria danych	Retencja
Realizacja zamówień	Wykonanie umowy sprzedaży	art. 6 lit. b	Imię, nazwisko, adres, telefon, e-mail	5 lat (faktury)
Konto klienta	Świadczenie usługi konta	art. 6 lit. b	Login, hasło (hash), historia zakupów	Czas konta + 1 rok
Newsletter	Marketing bezpośredni	art. 6 lit. a (zgoda)	E-mail, imię, segmentacja	Do cofnięcia zgody
Reklamacje	Wykonanie obowiązku prawnego	art. 6 lit. c	Dane zamówienia, opis reklamacji	6 lat
Cookies analityczne	Analiza ruchu	art. 6 lit. a (zgoda)	ID użytkownika, zachowanie	24 miesiące
Logi serwera	Bezpieczeństwo IT	art. 6 lit. f	IP, user-agent, timestamp	12 miesięcy

Format RCP: Excel, Google Sheets, Word lub dedykowane narzędzie (np. Vivantio, OneTrust, ODO 24). Nie istnieje obowiązkowy szablon UODO – liczy się kompletność informacji. Większość polskich sklepów internetowych prowadzi RCP w arkuszu kalkulacyjnym z osobnymi zakładkami dla każdej kategorii czynności.

RCP musi być aktualizowany przy każdej zmianie procesów – dodanie integracji z nowym dostawcą, uruchomienie programu lojalnościowego, zmiana retencji wymaga wpisu. UODO sprawdza nie tylko istnienie rejestru, ale jego aktualność.

Dokumentacja wewnętrzna: upoważnienia, rejestr naruszeń

Oprócz RCP sklep internetowy musi prowadzić 3 inne dokumenty wewnętrzne wynikające z RODO i polskiej ustawy o ochronie danych osobowych z 10 maja 2018 r.

1. Upoważnienia do przetwarzania danych osobowych – każdy pracownik sklepu z dostępem do danych klientów musi mieć indywidualne, pisemne upoważnienie. Upoważnienie zawiera: imię i nazwisko upoważnionego, zakres dostępu (jakie dane, w jakim zakresie), datę nadania, podpis administratora. Rejestr osób upoważnionych to wymóg z art. 29 RODO (przetwarzanie wyłącznie z polecenia administratora).

2. Rejestr naruszeń ochrony danych – obowiązek z art. 33 ust. 5 RODO: sklep musi dokumentować wszystkie naruszenia, nawet te niezgłaszane do UODO (gdy ryzyko dla osób jest niskie). Rejestr zawiera: datę i godzinę zdarzenia, opis naruszenia, kategorie danych, liczbę osób dotkniętych, podjęte działania, decyzję o zgłoszeniu.

3. Rejestr powierzeń przetwarzania (DPA) – ewidencja wszystkich umów powierzenia z procesorami: nazwa dostawcy, zakres danych, data umowy, kraj przetwarzania, sub-processorowie. Ułatwia kontrolę UODO i analizę ryzyka.

Polityka bezpieczeństwa danych i instrukcja zarządzania systemem informatycznym – choć formalnie nie obowiązkowe pod RODO (zniesione przez nowelę z 2018 r.), w praktyce każdy poważny sklep internetowy je prowadzi jako element systemu zgodności i dowód rozliczalności.

Umowy powierzenia przetwarzania danych (art. 28 RODO) – kiedy wymagane

Sklep internetowy musi zawrzeć umowę powierzenia przetwarzania danych (DPA) z każdym zewnętrznym podmiotem, który przetwarza dane klientów w imieniu sklepu – od dostawcy hostingu po system CRM. Wynika to z art. 28 ust. 3 RODO – przetwarzanie przez procesora bez ważnej DPA jest naruszeniem podlegającym karze administracyjnej.

Procesor (podmiot przetwarzający) to zgodnie z art. 4 pkt 8 RODO osoba fizyczna lub prawna, która przetwarza dane osobowe w imieniu administratora. Kluczowa różnica: procesor nie ustala celów ani środków przetwarzania – robi to administrator. Procesor wykonuje polecenia.

Lista typowych dostawców e-commerce wymagających DPA:

Kategoria	Przykładowi dostawcy	DPA wymagane?
Hosting i VPS	OVH, home.pl, nazwa.pl, AWS	TAK
Platforma sklepu (SaaS)	Shopify, Shoper, IdoSell	TAK (zwykle wbudowane w ToS)
Systemy mailingowe	GetResponse, FreshMail, Mailchimp	TAK
Operatorzy płatności	Przelewy24, Tpay, PayU, Stripe	Zwykle administrator niezależny – sprawdź
Kurierzy	InPost, DPD, DHL, GLS	Zazwyczaj TAK (transport w imieniu sklepu)
Google Analytics, Meta Pixel	Google, Meta	TAK (Data Processing Addendum)
Systemy CRM i ERP	Salesforce, Pipedrive, Sello	TAK
Fulfillment i magazyny zewnętrzne	Linker Cloud, Omnipack	TAK
Helpdesk i chat	Zendesk, Tidio, Livechat	TAK
Marketing automation	SALESmanago, Edrone	TAK

8 obowiązkowych elementów DPA (art. 28 ust. 3 RODO):

1. Przedmiot i czas przetwarzania
2. Charakter i cel przetwarzania
3. Rodzaj danych osobowych i kategorie osób
4. Prawa i obowiązki administratora
5. Zakaz korzystania z sub-processorów bez zgody administratora (lub zgoda ogólna z prawem sprzeciwu)
6. Obowiązek pomocy administratorowi przy realizacji praw osób (art. 15-22)
7. Usunięcie lub zwrot danych po zakończeniu świadczenia usługi
8. Prawo administratora do audytu procesora

DPA może być odrębną umową lub załącznikiem do umowy głównej (np. SaaS Service Agreement). Większość globalnych dostawców (Google, AWS, Shopify) udostępnia własne wzory DPA online – administrator musi je przejrzeć i zaakceptować, zachowując kopię.

Sub-processing (powierzenie dalsze) – procesor nie może powierzyć danych dalszemu podmiotowi (np. hosting korzystający z innego data center) bez zgody administratora. RODO dopuszcza zgodę ogólną pod warunkiem powiadamiania o zmianach i prawa sprzeciwu.

Partnerzy sklepu a RODO: kurierzy, hostingi, bramki płatności (PCI DSS)

Każdy partner sklepu internetowego pełni jedną z trzech ról RODO: administrator (samodzielny), procesor (przetwarza w imieniu sklepu) lub współadministrator (wspólnie ustala cele).

Partner	Rola RODO	DPA wymagane	Uwagi
Hosting (OVH, home.pl)	Procesor	TAK	Standardowa DPA u dostawcy
Kurier (InPost, DPD)	Procesor lub administrator	Zwykle TAK	Zależy od umowy – zazwyczaj procesor
Bramka płatności (Przelewy24, Stripe)	Administrator niezależny	NIE (ale informacja w polityce)	Operator płatności ustala własne cele
Mailing (GetResponse)	Procesor	TAK	DPA w panelu klienta
Google Analytics	Procesor	TAK	Google DPA – automatyczna akceptacja w GA4
Meta Pixel	Współadministrator	TAK	Joint Controllership Addendum
Fulfillment (magazyn zewnętrzny)	Procesor	TAK	Pełen dostęp do danych klientów
Księgowość zewnętrzna	Administrator (własne obowiązki prawne)	NIE	Ale obowiązek powiadomienia w polityce

PCI DSS (Payment Card Industry Data Security Standard) to standard bezpieczeństwa danych kart płatniczych zarządzany przez PCI Security Standards Council, niezależny od RODO. Dotyczy każdego sklepu internetowego przyjmującego płatności kartą – nawet jeśli faktyczna obróbka karty odbywa się u operatora płatności (jak Stripe czy Przelewy24).

PCI DSS dzieli sklepy na 4 poziomy w zależności od liczby transakcji rocznie:

• Level 1: > 6 mln transakcji
• Level 2: 1-6 mln
• Level 3: 20 tys. – 1 mln
• Level 4: < 20 tys. (większość polskich sklepów)

Większość polskich sklepów internetowych korzysta z trybu redirect/iframe (klient przekierowywany do bramki płatności) – dane karty nigdy nie trafiają na serwer sklepu, co minimalizuje wymagania PCI DSS do SAQ A (najprostszy kwestionariusz).

Zabezpieczenia techniczne wymagane przez RODO w sklepie

RODO nie definiuje listy obowiązkowych zabezpieczeń, ale każdy sklep internetowy musi wdrożyć środki techniczne adekwatne do ryzyka – certyfikat SSL, szyfrowanie haseł i kopie zapasowe to absolutne minimum wymagane przez art. 32 RODO. Zasada „odpowiedniego poziomu bezpieczeństwa” daje elastyczność, ale przenosi odpowiedzialność na administratora – to on musi udowodnić, że dobór środków był adekwatny.

Czynniki ryzyka, które sklep internetowy musi ocenić przed doborem zabezpieczeń (art. 32 ust. 1 RODO):

• Charakter, zakres, kontekst i cele przetwarzania – dane finansowe vs. tylko mailing
• Skala przetwarzania – 1 000 klientów rocznie vs. 1 mln
• Prawdopodobieństwo i waga ryzyka dla praw i wolności osób
• Stan wiedzy technicznej – co jest aktualnym standardem branży
• Koszty wdrożenia – proporcjonalność

Lista 9 środków technicznych rekomendowanych dla sklepu internetowego:

1. Certyfikat SSL/TLS (HTTPS) – obowiązkowy. Bez SSL dane klienta przesyłane są jawnie – poważne naruszenie art. 32
2. Szyfrowanie haseł algorytmami bcrypt, Argon2 lub scrypt – nigdy MD5 ani SHA1 (te są łamliwe)
3. Dwuskładnikowa weryfikacja (2FA) dla panelu administratora – blokuje 99% ataków bruteforce
4. Zarządzanie uprawnieniami – zasada minimalnego dostępu (least privilege), odrębne konta dla pracowników
5. Regularne aktualizacje systemu, CMS, wtyczek – większość ataków wykorzystuje znane luki
6. Kopie zapasowe (backup) – codzienne, przechowywane poza serwerem głównym, z testowaniem odtworzenia raz na kwartał
7. Ochrona przed SQL injection i XSS – WAF (Web Application Firewall), walidacja danych wejściowych
8. Testy penetracyjne – dla sklepów o dużym ruchu lub po major update; raz na 12-24 miesiące
9. Monitoring i logi zdarzeń – logowanie prób logowania, dostępu do danych, zmian konfiguracji; retencja 6-12 miesięcy

Pseudonimizacja (art. 4 pkt 5 RODO) – zastąpienie identyfikatorów (e-mail, telefon) tokenami niemożliwymi do powiązania z osobą bez osobnego klucza. Stosowana w analityce i testach środowisk – dane analityczne na pseudonimizowanych ID przestają być wprost danymi osobowymi.

Środki organizacyjne uzupełniające techniczne: polityki haseł (min. 12 znaków, rotacja), szkolenia pracowników (raz w roku), procedury reagowania na incydenty, klauzule poufności w umowach z dostawcami.

SSL, szyfrowanie haseł, backup danych, testy penetracyjne

Cztery filary technicznego bezpieczeństwa sklepu internetowego zgodnego z RODO: SSL, szyfrowanie haseł, backup i testy penetracyjne. Każdy z nich pojawia się w dotychczasowych decyzjach UODO jako element oceny zabezpieczeń.

SSL/TLS (Secure Sockets Layer / Transport Layer Security) szyfruje komunikację między przeglądarką klienta a serwerem sklepu. Sprawdzenie: zielona kłódka w pasku adresu (Chrome), prefix https://. Darmowe certyfikaty wystawia Let’s Encrypt – nie ma ekonomicznego uzasadnienia dla braku SSL w 2026 r. UODO w decyzji DKN.5131.20.2021 ukarał administratora za brak SSL na 40 000 zł.

Szyfrowanie haseł – sklep nigdy nie powinien przechowywać haseł w postaci jawnej ani szyfrowanych algorytmami symetrycznymi (które można odszyfrować). Standard branżowy: bcrypt (cost factor ≥ 12), Argon2id, scrypt. Algorytmy MD5 i SHA1 są łamliwe w sekundach na nowoczesnym GPU – ich używanie to naruszenie art. 32.

Backup – standardem jest strategia 3-2-1: 3 kopie danych, na 2 różnych nośnikach, 1 kopia poza siedzibą (offsite). Codzienny backup automatyczny + cotygodniowy pełny + miesięczny archiwalny. Krytyczny element: testowanie odtworzenia. Sam backup jest bezużyteczny, jeśli nie da się z niego przywrócić sklepu.

Testy penetracyjne (pentesty) – kontrolowane symulacje ataków na sklep przez etycznych hakerów. Zalecane: przed launchem nowego sklepu, po każdej dużej aktualizacji silnika, raz w roku dla sklepów Tier 1 (powyżej 100 000 zamówień rocznie). Koszt: 5 000 – 50 000 zł w zależności od zakresu.

Privacy by Design i Privacy by Default – projektowanie sklepu

Art. 25 RODO wprowadza dwa fundamentalne obowiązki w projektowaniu systemów informatycznych: Privacy by Design (uwzględnienie ochrony danych już na etapie projektowania) i Privacy by Default (najwyższa ochrona prywatności jako ustawienie domyślne). To wyróżnik – tylko 2 z 9 polskich poradników o RODO w sklepie internetowym omawia ten temat.

Privacy by Design w sklepie internetowym oznacza, że ochrona danych osobowych nie jest dokładana po fakcie, ale jest częścią procesu projektowania od pierwszego dnia. Praktyczne zastosowania:

• Minimalizacja danych – formularz zamówienia nie zbiera daty urodzenia, jeśli nie jest niezbędna
• Domyślne ograniczenie celu – nowy klient zapisuje konto tylko do realizacji zamówień, marketing wymaga osobnej akcji
• Privacy Impact Assessment przy nowych funkcjach – ocena wpływu przed wdrożeniem programu lojalnościowego
• Threat modeling – identyfikacja wektorów ataku przed napisaniem kodu
• Architektura zero-trust – każdy mikrousługowy moduł sklepu autoryzuje dostęp osobno

Privacy by Default to zasada „bezpieczne ustawienia od startu”. Klient nie musi nic zmieniać, by jego prywatność była chroniona maksymalnie. Praktyka:

• Brak domyślnie zaznaczonych checkboxów marketingowych
• Minimalny zakres pól w formularzach (* tylko dla niezbędnych)
• Wygasanie sesji po określonym czasie nieaktywności
• Profile prywatne w społecznościowych elementach sklepu (recenzje pod nickiem, nie pełnym imieniem)
• Cookies marketingowe wyłączone do momentu aktywnej zgody

Praktyczne wdrożenie przy rebrandingu sklepu lub uruchomieniu nowych funkcji (programu lojalnościowego, konta użytkownika premium): checklista Privacy by Design dla zespołu deweloperskiego, formalne DPIA dla operacji wysokiego ryzyka, akceptacja IOD lub osoby odpowiedzialnej za RODO w sklepie internetowym przed wdrożeniem produkcyjnym.

Naruszenie danych osobowych w sklepie – co zrobić (art. 33 i 34 RODO)

Gdy sklep internetowy stwierdzi naruszenie danych osobowych, ma 72 godziny na zgłoszenie do UODO (art. 33 RODO) – a jeśli naruszenie niesie wysokie ryzyko dla klientów, musi powiadomić każdą poszkodowaną osobę (art. 34 RODO). Termin liczy się od stwierdzenia naruszenia, nie od jego wystąpienia – ważna jest świadomość administratora.

Definicja naruszenia ochrony danych osobowych z art. 4 pkt 12 RODO: przypadkowe lub niezgodne z prawem zniszczenie, utrata, modyfikacja, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Trzy typy naruszeń w sklepie internetowym:

1. Naruszenie poufności – wyciek danych klientów (atak hakerski, błąd konfiguracji bazy, przesłanie e-maila do złego odbiorcy)
2. Naruszenie integralności – zmodyfikowanie danych bez zgody (zmana adresów dostawy przez ransomware)
3. Naruszenie dostępności – utrata danych (awaria serwera bez backupu, ransomware bez okupu)

Procedura postępowania po stwierdzeniu naruszenia w sklepie internetowym:

1. Identyfikacja i opanowanie incydentu – odcięcie zaatakowanego systemu, zmiana haseł, zachowanie dowodów
2. Ocena ryzyka dla osób – czy ujawnione dane mogą skutkować szkodą (kradzież tożsamości, oszustwo finansowe, dyskryminacja)
3. Decyzja: zgłosić do UODO i/lub powiadomić osoby? – dwa odrębne progi
4. Zgłoszenie do UODO w 72 godziny przez formularz online na uodo.gov.pl (jeśli ryzyko nie jest „mało prawdopodobne”)
5. Powiadomienie osób fizycznych (jeśli wysokie ryzyko – art. 34)
6. Dokumentacja w rejestrze naruszeń (art. 33 ust. 5) – obowiązek nawet przy niezgłaszanych incydentach
7. Działania naprawcze – eliminacja przyczyny, uzupełnienie zabezpieczeń

Kiedy NIE TRZEBA zgłaszać naruszenia do UODO (art. 33 ust. 1 RODO):

• Naruszenie nie skutkuje ryzykiem dla praw i wolności osób (np. dane były zaszyfrowane, klucz nie został naruszony)
• Skradziony nośnik z zaszyfrowanymi danymi (klucz odrębny i bezpieczny)
• Wewnętrzny błąd, który nie spowodował wycieku poza organizację

Formularz zgłoszeniowy UODO znajduje się na uodo.gov.pl/pl/file/626 – zawiera pola: dane administratora, opis naruszenia, kategorie i orientacyjna liczba osób, możliwe konsekwencje, podjęte środki.

Powiadamianie klientów o naruszeniu (art. 34 RODO) – kiedy i jak

Art. 34 RODO wymaga, by sklep internetowy bezpośrednio powiadomił każdego klienta, którego dane zostały naruszone, jeśli istnieje wysokie ryzyko naruszenia jego praw i wolności. To drugi, często ważniejszy obowiązek niż samo zgłoszenie do UODO – i wyróżnik tego artykułu, bo tylko 1 z 9 polskich konkurentów go omawia.

„Wysokie ryzyko” w praktyce sklepu internetowego oznacza:

• Ujawnienie haseł (nawet zahaszowanych słabymi algorytmami)
• Wyciek numerów kart płatniczych lub CVV
• Ujawnienie pełnych danych adresowych razem z e-mailem (ryzyko phishingu i kradzieży tożsamości)
• Wyciek danych wrażliwych (zdrowie, religia, orientacja – rzadko w typowym sklepie)
• Ujawnienie historii zakupów ujawniającej intymne aspekty życia (apteka internetowa)

Treść obowiązkowego powiadomienia klienta (art. 34 ust. 2 RODO):

1. Charakter naruszenia – co dokładnie się stało, jasno i zrozumiale
2. Dane kontaktowe IOD lub innej osoby do kontaktu
3. Możliwe konsekwencje dla klienta – phishing, kradzież tożsamości, próby wyłudzeń
4. Środki zaradcze podjęte przez administratora – łatka systemu, wymuszone zmiany haseł, monitoring
5. Zalecane działania klienta – zmiana hasła, monitoring konta bankowego, czujność wobec podejrzanych e-maili

Forma powiadomienia: e-mail do każdej osoby. Nie wystarczy post na blogu, komunikat na stronie ani wpis na Facebooku – to „publiczne ogłoszenie” dopuszczalne tylko gdy indywidualne powiadomienie jest „niewspółmiernym wysiłkiem” (np. miliony osób, brak adresów).

Wyjątki od obowiązku powiadomienia (art. 34 ust. 3 RODO):

• Dane były zaszyfrowane odpowiednim algorytmem, klucz nie został naruszony
• Administrator zastosował środki eliminujące prawdopodobieństwo wysokiego ryzyka (np. natychmiastowy reset wszystkich haseł)
• Powiadomienie wiązałoby się z nieproporcjonalnym wysiłkiem – wówczas wystarczy publiczny komunikat

Praktycznie: jeśli sklep internetowy stracił bazę z e-mailami i hashami haseł zahaszowanymi MD5 – MUSI powiadomić każdego klienta indywidualnie, bo MD5 łamie się w godziny. Jeśli baza była zaszyfrowana AES-256, a klucz na osobnym HSM – obowiązek nie powstaje.

Ocena skutków dla ochrony danych (DPIA) – kiedy obowiązkowa

Ocena skutków dla ochrony danych (DPIA – Data Protection Impact Assessment) to formalna analiza wymagana przez art. 35 RODO dla operacji przetwarzania o wysokim ryzyku dla praw i wolności osób fizycznych. Sklep internetowy musi przeprowadzić DPIA w 3 sytuacjach (lista UODO, komunikat z 17 czerwca 2019 r.):

1. Systematyczna i kompleksowa ocena czynników osobowych – profilowanie klientów do automatycznych decyzji (np. cena dynamiczna w zależności od profilu)
2. Przetwarzanie danych wrażliwych na dużą skalę – apteki internetowe, sklepy z wyrobami medycznymi
3. Systematyczne monitorowanie miejsc publicznie dostępnych – rzadkie w e-commerce

W typowym sklepie internetowym DPIA dotyczy: rozbudowanych programów lojalnościowych z głębokim profilowaniem, systemów rekomendacji opartych o AI, integracji scoringu kredytowego w odroczonych płatnościach.

Struktura DPIA (art. 35 ust. 7 RODO):

• Systematyczny opis operacji przetwarzania i celów
• Ocena niezbędności i proporcjonalności
• Identyfikacja ryzyk dla osób
• Środki minimalizujące ryzyko

DPIA powinna być przeprowadzona przed rozpoczęciem operacji – nie po fakcie. Jeśli ryzyko pozostaje wysokie mimo zaplanowanych środków, administrator konsultuje się z Prezesem UODO (art. 36 RODO).

Inspektor Ochrony Danych (IOD) – kiedy sklep musi go wyznaczyć

Większość sklepów internetowych nie musi wyznaczać Inspektora Ochrony Danych (IOD/DPO) – obowiązek z art. 37 RODO dotyczy podmiotów przetwarzających dane wrażliwe na dużą skalę lub prowadzących systematyczne monitorowanie na szeroką skalę. Standardowy sklep z odzieżą czy elektroniką jest poza tym obowiązkiem.

Trzy przypadki obowiązkowego IOD (art. 37 ust. 1 RODO):

1. Organy publiczne i władze (z wyjątkiem sądów) – nie dotyczy sklepów internetowych
2. Główna działalność polega na operacjach przetwarzania, które wymagają regularnego i systematycznego monitorowania osób na dużą skalę – dotyczyć może sieci sklepów z rozbudowanym systemem CCTV i e-commerce z masowym profilowaniem
3. Główna działalność polega na przetwarzaniu szczególnych kategorii danych (zdrowie, biometria, religia) lub danych dotyczących wyroków karnych na dużą skalę – apteki internetowe, sklepy z wyrobami medycznymi

W typowym e-commerce IOD NIE jest wymagany – nawet duży sklep z elektroniką, modą, kosmetykami nie spełnia kryteriów. Wyjątki:

• Apteka internetowa – dane zdrowotne (recepty, leki) na dużą skalę = wymagany
• Sklep z wyrobami medycznymi – może być wymagany w zależności od skali
• Sklep z usługami zdrowotnymi – wymagany
• Sklep prowadzący masowe profilowanie behawioralne (programy lojalnościowe ze scoringiem) – rozważnie

Dobrowolne wyznaczenie IOD lub outsourcing zewnętrznego DPO to częsta praktyka w polskim e-commerce powyżej 100 000 klientów rocznie – daje to:

• Sygnał dla klientów o profesjonalnym podejściu do RODO
• Wsparcie w razie kontroli UODO
• Aktualną wiedzę prawną bez konieczności zatrudniania prawnika

Koszt outsourcingu IOD w Polsce: od ok. 500 zł netto/miesiąc za podstawową obsługę małego sklepu, 2 000-5 000 zł/miesiąc dla średnich sklepów z większą skalą procesów. Ceny obejmują dostępność konsultacyjną, audyty roczne i obsługę incydentów.

Jeśli sklep internetowy wyznaczy IOD (obowiązkowo lub dobrowolnie), musi:

• Zgłosić IOD do UODO w ciągu 14 dni – rejestr IOD na uodo.gov.pl
• Opublikować dane kontaktowe IOD w polityce prywatności
• Zapewnić IOD niezależność (raportowanie bezpośrednio do najwyższego kierownictwa)
• Zapewnić zasoby do wykonywania zadań z art. 39 RODO (informowanie, monitorowanie, doradztwo, kontakt z UODO)

Kary UODO za naruszenie RODO w e-commerce – ile ryzykujesz

UODO może nałożyć na sklep internetowy karę do 20 mln EUR lub 4% całkowitego rocznego obrotu – w praktyce kary dla polskich MŚP sięgają od kilku do kilkuset tysięcy złotych i dotyczą głównie braku polityki prywatności, nieprawidłowych zgód i naruszeń danych. Podstawą jest art. 83 RODO, który definiuje dwa poziomy kar.

Niższy próg kar (art. 83 ust. 4 RODO) – do 10 mln EUR lub 2% rocznego obrotu (wybierana wartość wyższa):

• Naruszenia obowiązków administratora i procesora (art. 8, 11, 25-39, 42, 43)
• Brak rejestru czynności przetwarzania (RCP)
• Brak umów powierzenia (DPA)
• Niewyznaczenie IOD gdy wymagany
• Nienależyte zabezpieczenia (art. 32)
• Brak zgłoszenia naruszenia w 72h

Wyższy próg kar (art. 83 ust. 5 RODO) – do 20 mln EUR lub 4% rocznego obrotu:

• Naruszenie zasad podstawowych przetwarzania (art. 5, 6, 7, 9)
• Nieprawidłowe zgody marketingowe
• Naruszenie praw osób (art. 12-22)
• Niewykonanie żądań realizacji praw klientów
• Przekazywanie danych do państw trzecich bez podstawy
• Niewykonanie nakazu UODO

Polskie przykłady decyzji UODO w e-commerce (stan 2026):

Naruszenie	Przykładowa kara
Brak adekwatnych zabezpieczeń (wyciek danych)	100 000 – 4 900 000 zł
Niewykonanie obowiązku informacyjnego	50 000 – 1 000 000 zł
Niedostateczna weryfikacja procesorów	100 000 – 1 500 000 zł
Brak realizacji prawa do usunięcia	20 000 – 200 000 zł
Nieprawidłowe zgody marketingowe	50 000 – 500 000 zł
Brak SSL i bezpiecznego logowania	40 000 zł

Faktory wpływające na wysokość kary (art. 83 ust. 2 RODO):

1. Charakter, skala i czas trwania naruszenia
2. Umyślność lub nieumyślność
3. Działania podjęte w celu zminimalizowania szkody
4. Stopień odpowiedzialności (dotychczasowa zgodność)
5. Wcześniejsze naruszenia administratora
6. Współpraca z UODO podczas postępowania
7. Kategorie danych dotkniętych
8. Sposób, w jaki UODO dowiedział się o naruszeniu

Jak przygotować sklep internetowy na kontrolę UODO: kompletny zestaw dokumentacji (polityka prywatności, RCP, DPA, rejestr naruszeń, upoważnienia), logi systemowe za 12 miesięcy, polityki bezpieczeństwa, wyznaczona osoba do kontaktu z UODO. Kontrola UODO trwa zwykle 5-30 dni roboczych, zaczyna się od listu z prośbą o przedłożenie dokumentów, kończy decyzją administracyjną.

Skarga klienta to obecnie najczęstszy powód postępowań UODO wobec sklepów internetowych. Każdy klient ma prawo skargi z art. 77 RODO – wystarczy formularz online na uodo.gov.pl. Brak odpowiedzi sklepu na wniosek RODO często skutkuje skargą do UODO i postępowaniem.

Profilowanie klientów i retencja danych – dodatkowe ryzyka

Profilowanie automatyczne i nieprawidłowa retencja danych to dwa obszary, w których sklepy internetowe najczęściej naruszają RODO niezamierzenie. Oba stanowią naruszenie zasad podstawowych z art. 5 RODO (minimalizacja, ograniczenie przechowywania).

Profilowanie automatyczne z art. 22 RODO – sklep internetowy nie może podejmować decyzji wyłącznie na podstawie zautomatyzowanego przetwarzania (w tym profilowania), wywołujących istotne skutki dla klienta. Wyjątki: zgoda klienta, niezbędność do umowy, prawo Unii lub państwa członkowskiego.

W praktyce sklepu istotne skutki to: odmowa udzielenia kredytu konsumenckiego, dynamiczna cena znacznie odbiegająca od standardowej, automatyczna blokada konta. Klient ma prawo żądać interwencji człowieka, wyrażenia własnego stanowiska i zakwestionowania decyzji.

Tabela zalecanych okresów retencji danych w sklepie internetowym:

Kategoria danych	Zalecany okres retencji	Podstawa prawna
Dokumenty finansowe (faktury VAT)	5 lat od końca roku podatkowego	Ordynacja podatkowa, art. 86
Dane kont klientów aktywnych	Czas aktywności + 1 rok	Uzasadniony interes
Dane marketingowe (newsletter)	Do wycofania zgody	Art. 7 RODO
Logi systemowe (bezpieczeństwo)	6-12 miesięcy	Uzasadniony interes
Dane reklamacyjne	2 lata po rozpatrzeniu	Ustawa o prawach konsumenta
Dane gwarancyjne	2 lata od dostawy	Kodeks cywilny
Roszczenia konsumenckie	6 lat	Termin przedawnienia
Cookies analityczne	24 miesiące maks.	Wytyczne EROD
Dane potencjalnych klientów (lead)	6 miesięcy bez aktywności	Art. 5 ust. 1 lit. e RODO
CV kandydatów do pracy	1 rok lub do końca rekrutacji	Uzasadniony interes

Najczęstszy błąd retencyjny w polskich sklepach internetowych: przechowywanie pełnych danych klientów po wykonaniu zamówienia „na zawsze” w bazie marketingowej. To narusza zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. Po upływie celu sklep ma 3 opcje: usunąć, zanonimizować lub przenieść do archiwum tylko niezbędne dane (faktury).

FAQ – najczęstsze pytania o RODO w sklepie internetowym

Odpowiedzi na 10 najczęściej zadawanych pytań właścicieli sklepów internetowych o RODO – od zakresu obowiązków po obsługę wniosków klientów i wysokość kar UODO.

Jakie są obowiązki sprzedawcy w sklepie internetowym?

Sprzedawca w sklepie internetowym ma 10 kluczowych obowiązków RODO: polityka prywatności (art. 13), zgody marketingowe (art. 7), klauzula informacyjna przy formularzach, rejestr czynności przetwarzania (art. 30), umowy DPA z dostawcami (art. 28), realizacja 8 praw klientów (art. 15-22), zabezpieczenia techniczne (art. 32), zgłaszanie naruszeń w 72h (art. 33), dokumentacja wewnętrzna oraz regulamin sklepu zgodny z RODO.

Kiedy nie trzeba zgody na RODO?

Zgoda na przetwarzanie danych nie jest wymagana, gdy istnieje inna podstawa prawna z art. 6 RODO: wykonanie umowy (zamówienie, konto klienta), obowiązek prawny (faktury, ewidencja VAT) lub uzasadniony interes administratora po teście LIA (analityka, marketing do istniejących klientów). Zgoda jest konieczna tylko przy newsletterze, cookies marketingowych i remarketingu bez LIA.

Co mówi artykuł 28 RODO?

Artykuł 28 RODO reguluje umowę powierzenia przetwarzania (DPA) między administratorem a procesorem. Sklep internetowy musi zawrzeć DPA z każdym dostawcą zewnętrznym przetwarzającym dane klientów w jego imieniu – hostingiem, systemem mailingowym, kurierem, CRM. Umowa musi określać przedmiot, czas, charakter, cel, rodzaj danych, prawa stron i obowiązki bezpieczeństwa procesora.

Co mówi artykuł 34 RODO?

Artykuł 34 RODO nakłada obowiązek bezpośredniego powiadomienia osoby fizycznej o naruszeniu jej danych osobowych, gdy naruszenie skutkuje wysokim ryzykiem dla jej praw i wolności. Sklep internetowy musi wysłać e-mail do każdego dotkniętego klienta z opisem naruszenia, możliwymi konsekwencjami, środkami zaradczymi i danymi kontaktowymi. Wyjątek: gdy dane były zaszyfrowane, a klucz bezpieczny.

Jak napisać politykę prywatności dla sklepu internetowego?

Politykę prywatności sklepu internetowego pisze się według 11 obowiązkowych elementów art. 13 RODO: dane administratora, IOD (jeśli jest), cele i podstawy prawne, uzasadnione interesy, odbiorcy, państwa trzecie, retencja, prawa osób, prawo skargi do UODO, dobrowolność danych, profilowanie. Język prosty (art. 12 RODO), link w stopce każdej podstrony, dostępność bez logowania.

Co powinna zawierać polityka prywatności?

Polityka prywatności sklepu internetowego musi zawierać: pełne dane administratora, listę celów przetwarzania z podstawami prawnymi, kategorie odbiorców (kurierzy, hosting, mailing), informacje o przekazywaniu do państw trzecich (Google Analytics, Mailchimp), okresy retencji dla każdej kategorii danych, opis 8 praw klientów, prawo skargi do UODO, informację o profilowaniu i dobrowolności podania danych.

Czy sklep na WooCommerce/Shoperze musi wdrożyć RODO samodzielnie?

Tak – właściciel sklepu na WooCommerce, Shoperze, Shopify czy IdoSell jest administratorem danych osobowych swoich klientów i ponosi pełną odpowiedzialność za zgodność z RODO. Platforma e-commerce pełni rolę procesora (zwykle z wbudowaną DPA w warunkach świadczenia usługi), ale obowiązki polityki prywatności, zgód, RCP i praw klientów spoczywają na właścicielu sklepu.

Jak długo sklep musi przechowywać dane klientów?

Okres przechowywania danych w sklepie internetowym zależy od kategorii: faktury VAT – 5 lat (Ordynacja podatkowa), dane konta klienta – czas aktywności + 1 rok, dane reklamacyjne – 2 lata po rozpatrzeniu, roszczenia konsumenckie – 6 lat (termin przedawnienia), newsletter – do wycofania zgody, logi systemowe – 6-12 miesięcy. Po upływie tych terminów dane należy usunąć lub zanonimizować.

Czy mały sklep internetowy też musi mieć IOD?

Mały sklep internetowy zwykle NIE musi wyznaczać Inspektora Ochrony Danych (IOD/DPO). Obowiązek z art. 37 RODO dotyczy podmiotów monitorujących osoby na dużą skalę lub przetwarzających dane wrażliwe (apteki, sklepy z wyrobami medycznymi). Standardowy sklep z odzieżą, elektroniką, kosmetykami jest poza obowiązkiem – może jednak dobrowolnie wyznaczyć IOD lub skorzystać z outsourcingu (od 500 zł/miesiąc).

Co grozi za brak polityki prywatności?

Brak polityki prywatności w sklepie internetowym to naruszenie art. 13 RODO, podlegające karze administracyjnej z art. 83 ust. 5 RODO – do 20 mln EUR lub 4% rocznego obrotu (wyższa wartość). W praktyce polskich MŚP kary UODO za brak lub niekompletną politykę prywatności sięgają 50 000 – 1 000 000 zł, w zależności od skali sklepu, czasu trwania naruszenia i współpracy z organem.