Aktualizuj po zmianie rzeczywistości, nie tylko kalendarza
RODO nie ustanawia jednego terminu, na przykład corocznej wymiany polityki prywatności. Dokument powinien jednak pozostawać zgodny z faktycznym przetwarzaniem, a informacje mają być przejrzyste i dostępne we właściwym czasie. Art. 13 ust. 3 RODO wymaga przekazania informacji o innym celu przed rozpoczęciem dalszego przetwarzania w tym celu.
Przegląd okresowy jest dobrą kontrolą organizacyjną, lecz nie zastępuje aktualizacji wywołanej zmianą. W praktyce warto używać listy zdarzeń, które automatycznie otwierają zadanie „privacy review”.
Siedem wyzwalaczy przeglądu
1. Nowy cel albo nowa funkcja
Formularz zapisu na konsultację, newsletter, komentarze, pobranie materiału, analityka czy kampania remarketingowa nie są jednym celem. Przed uruchomieniem funkcji ustal cel, podstawę prawną, niezbędny zakres danych i moment przekazania informacji.
Jeżeli nowy cel ma opierać się na zgodzie, wcześniejsza zgoda o innym, węższym zakresie nie rozszerza się automatycznie. Zapis na wiadomości serwisowe nie oznacza zapisu marketingowego.
2. Nowy dostawca lub zmiana jego roli
Zmiana hostingu, poczty, systemu formularzy, newslettera, analityki albo zabezpieczeń powinna uruchomić weryfikację:
- jakie dane trafiają do dostawcy;
- czy działa jako procesor, odrębny administrator czy w kilku rolach;
- jakie umowy i ustawienia obowiązują;
- gdzie dane są przetwarzane i czy występuje transfer poza EOG;
- ilu dalszych dostawców bierze udział w usłudze;
- jaki okres retencji wynika z konfiguracji i umowy.
Nie przypisuj wszystkim dostawcom jednej roli i nie wpisuj automatycznie standardowych klauzul umownych. Podstawa transferu może zależeć od konkretnego podmiotu, usługi, certyfikacji i warunków obowiązujących w danym dniu.
3. Zmiana formularza lub zakresu danych
Dodanie telefonu, NIP-u, załącznika albo pola swobodnego tekstu zmienia ryzyko i może zmienić treść obowiązku informacyjnego. Najpierw zapytaj, czy pole jest potrzebne. Przy prostej stronie firmowej formularz kontaktowy zwykle nie powinien zachęcać do przesyłania danych szczególnych kategorii.
4. Zmiana retencji lub sposobu usuwania
Polityka powinna podawać okres przechowywania albo kryteria jego ustalania. Gdy zmieniasz TTL szkicu, czas przechowywania wiadomości, logów lub subskrypcji, popraw jednocześnie konfigurację, procedurę usuwania i publiczną informację. Samo skrócenie tekstu w polityce nie usuwa danych z systemu.
5. Zmiana cookies, analityki albo reklamy
Dodanie GA4, Google Ads, osadzonego filmu lub innego tagu wymaga przeglądu kodu i Prawa komunikacji elektronicznej. Art. 399 PKE dotyczy przechowywania informacji w urządzeniu końcowym i dostępu do informacji już zapisanej. Dla operacji opcjonalnych zgoda musi poprzedzać działanie, chyba że zachodzi ustawowy wyjątek.
Consent Mode jest mechanizmem technicznym Google, a nie podstawą prawną. W Basic Consent Mode Google opisuje brak ładowania tagów i brak transmisji danych przed zgodą. Jeśli przechodzisz na wariant Advanced, zachowanie się zmienia: przy odmowie mogą być wysyłane pomiary bez cookies. Taka zmiana wymaga ponownej oceny i aktualizacji opisu.
6. Zmiana administratora lub danych kontaktowych
Zmiana nazwy, adresu, sposobu kontaktu albo danych IOD — jeśli został wyznaczony — wymaga poprawienia miejsc, w których użytkownik otrzymuje te informacje. Przy zmianie administratora nie zakładaj automatycznie, że wszystkie dotychczasowe cele i zgody pozostają bez zmian; oceń konkretną operację i podstawę kontynuacji.
7. Zmiana prawa, wytycznych lub warunków produktu
Monitoruj źródła urzędowe i dokumentację używanych usług. Dla polskich stron istotnym przykładem było wejście w życie Prawa komunikacji elektronicznej, które obecnie zawiera reguły marketingu elektronicznego i dostępu do informacji w urządzeniu. Równolegle dostawcy, tacy jak Google, zmieniają funkcje i ustawienia. Aktualizacja dokumentacji produktu nie jest sama w sobie zmianą prawa, ale może ujawnić, że dotychczasowy opis techniczny jest nieaktualny.
Czy trzeba powiadamiać wszystkich użytkowników
Nie każda korekta literówki wymaga wiadomości do całej bazy. Znaczenie ma wpływ zmiany na osobę oraz moment wymagany przez RODO. O nowym celu trzeba poinformować przed dalszym przetwarzaniem. Gdy zmienia się podstawa zgody lub jej zakres, może być potrzebne nowe, ważne oświadczenie. Przy innych istotnych zmianach dobierz zauważalny kanał do ryzyka i relacji z osobą, zamiast chować nową wersję w stopce.
Bezpieczna procedura wydania
- Zapisz zgłoszenie zmiany i właściciela procesu.
- Porównaj stan przed i po: dane, cele, podstawy, role, transfery, retencja, prawa i cookies.
- Zmień kod, konfigurację, umowy i tekst jako jeden pakiet.
- Przetestuj formularze, tagi przed zgodą i po zgodzie oraz wycofanie zgody.
- Nadaj wersję, datę przeglądu i zachowaj poprzednią wersję wraz z changelogiem.
- Jeżeli zmiana dotyczy nowego celu, przekaż informację przed rozpoczęciem tego przetwarzania.
Dla prostej strony firmowej można dodatkowo wykonywać cykliczny przegląd kontrolny. Częstotliwość dobierz do tempa zmian; nie przedstawiaj jej jako uniwersalnego terminu ustawowego.
Metryka redakcyjna
- Autor i redakcja: Redakcja regulaminrodo.pl
- Metoda źródłowa: Tezy o momencie i zakresie informacji sprawdzono w RODO, reguły cookies i marketingu w obowiązującym PKE, a różnice Basic i Advanced Consent Mode w oficjalnej dokumentacji Google.
- Data przeglądu: 7 sierpnia 2026 r.
- Zakres: prosta polska strona firmowa bez sprzedaży, kont użytkowników i nietypowych operacji.
- Ograniczenie: materiał ma charakter edukacyjny i nie jest indywidualną opinią prawną; sposób powiadomienia zależy od rodzaju zmiany i relacji z osobą.