Najpierw ustal, co blog rzeczywiście robi
RODO nie nakazuje dokumentu o nazwie „polityka prywatności”. Nakazuje natomiast przekazać osobie jasne informacje o przetwarzaniu jej danych. Gdy dane zbierasz bezpośrednio od czytelnika, zakres i moment przekazania informacji określa przede wszystkim art. 13 RODO.
Dlatego odpowiedź nie zależy od etykiety „blog”, lecz od przepływów danych. Prosty blog firmowy może przetwarzać dane przez:
- logi hostingu i zabezpieczeń;
- formularz kontaktowy;
- zapis na newsletter;
- komentarze lub formularz opinii;
- osadzone mapy, filmy, fonty albo widżety społecznościowe;
- narzędzia analityczne i reklamowe.
Nawet strona bez formularza może pozostawiać logi techniczne. Z drugiej strony nie należy wpisywać do polityki usług, których blog nie używa. Zacznij od inwentaryzacji kodu, konfiguracji hostingu i umów z dostawcami.
Jak przełożyć mapę danych na informację dla czytelnika
Dla każdego rzeczywistego procesu zapisz osobno:
- kto jest administratorem i jak się z nim skontaktować;
- po co dane są używane i jaka jest podstawa prawna;
- jakie kategorie danych trafiają do procesu;
- komu dane są ujawniane i jaką rolę ma konkretny dostawca;
- czy dochodzi do przekazania poza EOG i na jakiej podstawie;
- jak długo dane są potrzebne albo według jakich kryteriów ustalasz retencję;
- jakie prawa przysługują osobie i jak może je wykonać;
- czy podanie danych jest wymagane oraz co się stanie, gdy czytelnik ich nie poda;
- czy występuje profilowanie lub zautomatyzowane podejmowanie decyzji.
Role dostawców trzeba sprawdzić w warunkach konkretnej usługi. Nie każdy hosting, system komentarzy czy narzędzie marketingowe działa zawsze wyłącznie jako podmiot przetwarzający.
Formularz, komentarze i newsletter to trzy różne cele
Nie łącz ich jednym ogólnym zdaniem. Odpowiedź na wiadomość może opierać się — zależnie od jej treści — na działaniach przed zawarciem umowy albo na prawnie uzasadnionym interesie w obsłudze korespondencji. Publikacja i moderacja komentarzy wymaga osobnej oceny celu, danych widocznych publicznie oraz czasu przechowywania. Newsletter marketingowy wymaga także uwzględnienia uprzedniej zgody na kanał komunikacji z art. 398 Prawa komunikacji elektronicznej.
Zgoda na newsletter nie może być warunkiem wysłania zwykłego formularza kontaktowego. Kupującego ani autora komentarza nie dopisuje się automatycznie do marketingu.
Analityka i reklama: zgoda oraz faktyczne zachowanie tagów
Art. 399 Prawa komunikacji elektronicznej reguluje przechowywanie informacji w urządzeniu końcowym i dostęp do informacji już zapisanej. Wyjątek obejmuje między innymi operacje konieczne do transmisji komunikatu lub dostarczenia usługi wyraźnie żądanej przez użytkownika. Typowe znaczniki analityczne i reklamowe trzeba ocenić poza tym wyjątkiem.
Dla prostej strony rozsądnym technicznym punktem wyjścia jest Basic Consent Mode: według dokumentacji Google tagi nie ładują się, a dane nie są przesyłane przed zgodą. To zachowanie produktu, nie certyfikat zgodności. Baner powinien rozdzielać co najmniej analitykę i reklamę, umożliwiać odmowę oraz dawać stałą drogę do zmiany decyzji.
Polityka ma opisywać to, co zostało wdrożone i przetestowane. Nie wpisuj „anonimowej analityki” tylko dlatego, że GA4 nie zapisuje pełnego adresu IP użytkownika z EOG — inne identyfikatory, parametry zdarzeń i połączenie z reklamami nadal wymagają oceny.
Gdzie pokazać informacje
Pełny dokument w stopce jest użyteczny, ale przy miejscu zbierania danych zastosuj krótką warstwę informacyjną z linkiem do szczegółów. Czytelnik powinien przed wysłaniem formularza rozumieć co najmniej administratora, cel, podstawę, retencję i główne prawa. Sam checkbox „akceptuję politykę” nie zastępuje informacji i nie powinien tworzyć pozornej zgody na proces, który ma inną podstawę.
Kontrola dla prostej polskiej strony firmowej
- spisz wszystkie żądania sieciowe, cookies, formularze i integracje;
- usuń pola oraz wtyczki, które nie są potrzebne;
- zweryfikuj role, lokalizacje i warunki dostawców;
- dopasuj warstwę przy formularzu do pełnej polityki;
- zablokuj opcjonalne tagi do chwili właściwej zgody;
- przetestuj „tylko niezbędne”, zgodę częściową, zgodę pełną i wycofanie;
- wersjonuj dokument i zapisuj datę przeglądu.
Site Starter obejmuje tylko prostą stronę podmiotu z Polski, bez sklepu, kont użytkowników, dzieci, danych szczególnych kategorii, branż regulowanych, nietypowych transferów i profilowania. Takie przypadki wymagają osobnej analizy.
Metryka redakcyjna
- Autor i redakcja: Redakcja regulaminrodo.pl
- Metoda źródłowa: Każdą tezę normatywną porównano z tekstem RODO i obowiązującym Prawem komunikacji elektronicznej; opis Basic Consent Mode oparto wyłącznie na oficjalnej dokumentacji Google.
- Data przeglądu: 7 sierpnia 2026 r.
- Zakres: prosta polska strona firmowa lub blog bez sprzedaży i kont użytkowników.
- Ograniczenie: materiał ma charakter edukacyjny i nie jest indywidualną opinią prawną; właściwa ocena zależy od faktycznego kodu, umów i przepływów danych.