Dlaczego e-commerce i RODO to trudne połączenie?
Sklep internetowy przetwarza więcej danych osobowych niż przeciętna strona: adresy dostawy, dane płatnicze, historię zamówień, dane do faktur, korespondencję z klientami, a często też profile behawioralne z Google Analytics i Facebook Pixel. Każdy z tych procesów wymaga oddzielnej podstawy prawnej, właściwego okresu przechowywania i informacji w polityce prywatności.
Poniżej znajdziesz kompletną listę kontrolną — co musisz zrobić krok po kroku.
Krok 1: Ustal, jakie dane przetwarzasz
Zanim zaczniesz pisać dokumenty, zrób inwentaryzację:
| Cel przetwarzania | Kategorie danych | Podstawa prawna |
|---|---|---|
| Realizacja zamówień | Imię, nazwisko, adres, telefon, email | Art. 6 ust. 1 lit. b (umowa) |
| Konto klienta | Dane logowania, historia zakupów | Art. 6 ust. 1 lit. b (umowa) |
| Fakturowanie | Imię/firma, adres, NIP | Art. 6 ust. 1 lit. c (obowiązek prawny) |
| Newsletter | Adres email | Art. 6 ust. 1 lit. a (zgoda) |
| Analityka (GA4) | Dane o zachowaniu, IP | Art. 6 ust. 1 lit. a (zgoda) |
| Remarketing | Dane o zachowaniu, cookies | Art. 6 ust. 1 lit. a (zgoda) |
| Reklamacje | Dane ze zgłoszenia | Art. 6 ust. 1 lit. c (obowiązek prawny) |
| Obsługa klienta | Korespondencja, dane zamówienia | Art. 6 ust. 1 lit. f (uzasadniony interes) |
Krok 2: Przygotuj wymagane dokumenty
Polityka prywatności (obowiązkowa)
Musi zawierać informacje wymagane przez art. 13 RODO. Dla sklepu internetowego szczególnie ważne sekcje to:
Regulamin sklepu (obowiązkowy)
Wymagany przez ustawę o świadczeniu usług drogą elektroniczną (UŚUDE) i ustawę o prawach konsumenta (UPK). Musi zawierać:
Polityka cookies (obowiązkowa jeśli używasz trackerów)
Jeśli masz Google Analytics, Facebook Pixel, Google Ads — masz obowiązek:
Rejestr Czynności Przetwarzania (zalecany, praktycznie obowiązkowy)
Dla sklepu z wieloma procesami przetwarzania RCP to podstawowe narzędzie zarządzania zgodnością. Pozwala:
Krok 3: Zadbaj o zgodę na cookies i analitykę
Baner cookies dla sklepu internetowego to jeden z najważniejszych elementów zgodności. Musi:
1. Pojawiać się przed załadowaniem trackerów — Google Analytics nie może się uruchamiać zanim użytkownik wyrazi zgodę
2. Oferować równorzędne opcje — przyciski "Akceptuj" i "Odrzuć" muszą być równie widoczne
3. Pamiętać wybór — zapisywać preferencje w localStorage i respektować je przy kolejnych wizytach
4. Umożliwiać zmianę decyzji — użytkownik musi móc wycofać zgodę równie łatwo co ją wyrazić
Krok 4: Zadbaj o formularze i checkboxy
Formularz zamówienia
Pod polem do akceptacji regulaminu umieść osobny checkbox (domyślnie odznaczony) dla marketingu. Przykład:
*"Wyrażam zgodę na otrzymywanie informacji handlowych drogą elektroniczną."*
Formularz newslettera
Osobny checkbox ze zgodą marketingową. Link do polityki prywatności. Informacja o możliwości wypisania się.
Konto klienta
Przy rejestracji: wymagana akceptacja regulaminu i polityki prywatności (link, nie pełna treść). Opcjonalny, odznaczony domyślnie checkbox marketingowy.
Krok 5: Ustal okresy przechowywania danych
Dla sklepu internetowego standardowe okresy:
| Dane | Okres przechowywania | Podstawa |
|---|---|---|
| Dane zamówień i faktur | 5 lat od końca roku podatkowego | Ustawa o rachunkowości |
| Dane do reklamacji | 3 lata od zakończenia sprawy | Kodeks cywilny |
| Dane konta klienta | Do usunięcia konta + 30 dni | Uzasadniony interes |
| Newsletter | Do cofnięcia zgody | RODO art. 6 lit. a |
| Logi analityczne (GA4) | 14 miesięcy | Ustawienie w GA4 |
| Korespondencja z klientem | 3 lata | Uzasadniony interes |
Krok 6: Zawrzyj umowy powierzenia
Lista podmiotów wymagających DPA w typowym sklepie:
Krok 7: Umieść wymagane informacje na stronie
Stopka strony musi zawierać linki do:
Strona produktu — żadnych specjalnych wymogów, ale jeśli zbierasz dane przez formularze zamówienia wstępnego, potrzebujesz klauzuli informacyjnej.
Strona kasy (checkout) — obowiązkowo:
Najczęstsze błędy sklepów e-commerce
1. Jeden checkbox dla regulaminu i marketingu — to naruszenie RODO. Zgoda marketingowa musi być oddzielna od akceptacji regulaminu.
2. Google Analytics bez banera cookies — najczęstsze naruszenie, łatwe do wykrycia przez skargi użytkowników.
3. Polityka prywatności bez listy podmiotów przetwarzających — firma kurierska i bramka płatności muszą być wymienione.
4. Brak informacji o prawie odstąpienia na stronie produktu — wymagane przez UPK art. 12.
5. Dane klientów przechowywane w arkuszu kalkulacyjnym bez zabezpieczeń — naruszenie zasady integralności i poufności (art. 5 ust. 1 lit. f RODO).
Podsumowanie — checklista dla sklepu e-commerce
Wygeneruj politykę prywatności, regulamin i politykę cookies dla swojego sklepu na [regulaminrodo.pl](/generate) — formularz pyta o Twoje narzędzia i automatycznie dostosowuje dokumenty do Twojego sklepu.