Każda firma, która zbiera dane przez stronę — nawet tylko przez formularz kontaktowy — musi spełniać wymogi RODO: mieć politykę prywatności, informować o administratorze danych, zbierać zgody cookies i zabezpieczać formularze. Dla jednoosobowych działalności to często kilka godzin pracy, ale zaniedbanie kończy się karami sięgającymi milionów złotych albo skargą do UODO. Ten poradnik zbiera wymagania w jedną checklistę dla małej firmy.
Najważniejsze: Strona małej firmy pod RODO musi mieć: politykę prywatności z danymi administratora, informację o celach i podstawach przetwarzania, banner zgód cookies z możliwością odmowy, bezpieczny formularz z klauzulą informacyjną oraz rejestr czynności przetwarzania. Kary za naruszenia nakłada Prezes UODO — od upomnień po miliony złotych.
Czy RODO dotyczy mojej strony internetowej?
Tak, jeśli przez stronę zbierasz jakiekolwiek dane osobowe: imię i nazwisko, e-mail, telefon z formularza kontaktowego, adres dostawy w sklepie, adres IP w statystykach albo pliki cookies marketingowe. Nie ma znaczenia, czy jesteś jednoosobową działalnością, spółką czy fundacją — RODO nie zna wyjątku „mała firma".
Typowe sytuacje z życia małej firmy, w których RODO działa
- Formularz kontaktowy — zbiera imię, e-mail, treść wiadomości; potrzebna klauzula informacyjna i polityka prywatności.
- Zapytanie o wycenę — jeśli zapisujesz dane w CRM albo skrzynce, jesteś administratorem tych danych.
- Newsletter — wymaga zgody na komunikację marketingową (e-mail marketing to odrębna podstawa niż obsługa zapytania).
- Sklep internetowy — dane do zamówień, płatności i wysyłki; dochodzi rozliczalność i umowy z procesorami (płatności, kurierzy).
- Analityka i reklama — Google Analytics 4, piksel Meta, remarketing: to przetwarzanie wymagające podstawy prawnej i zgody.
Jeśli strona niczego nie zbiera — nie ma formularza, sklepu, analityki ani cookies innych niż niezbędne — obowiązków jest minimalnie, ale polityka prywatności i tak bywa potrzebna (np. przy logach serwera). Bezpieczniej ją mieć.
Co musi zawierać polityka prywatności małej firmy
Polityka prywatności to nie ozdoba — to dokument, który ma odpowiadać na pytania: kto, po co i jak długo przetwarza dane. Minimalny zakres dla strony małej firmy:
- Dane administratora — nazwa firmy, adres, NIP, kontakt (e-mail, telefon). Jeśli korzystasz z księgowej lub prawnika jako procesorów — wskaż ich role.
- Cele i podstawy przetwarzania — obsługa zapytań (art. 6 ust. 1 lit. b lub f RODO), marketing (zgoda — lit. a), obowiązki podatkowe (lit. c).
- Zakres danych — jakie dane zbierasz i skąd (formularz, cookies, logi).
- Okres przechowywania — np. zapytania 12 miesięcy, dokumenty księgowe 5 lat, dane marketingowe do wycofania zgody.
- Prawa użytkownika — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, skarga do UODO.
- Odbiorcy danych — hosting, poczta, system CRM, biuro rachunkowe, firmy kurierskie, dostawcy płatności.
- Przekazywanie poza EOG — jeśli używasz narzędzi z serwerami w USA (np. Google), wskaż podstawę transferu.
- Informacja o cookies — z linkiem do ustawień zgód.
Wzór z internetu to punkt wyjścia, nie rozwiązanie — dane administratora i lista narzędzi muszą być twoje. Jeśli strona ma sklep z płatnościami i kilkoma integracjami, warto zlecić dokument specjalistom (koszt: 500–1 500 zł netto).
Cookies i banner zgód — co jest obowiązkowe
Od 2023 roku organy nadzorcze w Polsce konsekwentnie egzekwują zasady dotyczące cookies: zgoda musi być dobrowolna, konkretna i poprzedzona informacją. W praktyce oznacza to:
- Banner z realnym wyborem — przyciski „Akceptuję" i „Odrzucam" na tym samym poziomie; „Odrzucam" nie może być wyszarzone i ukryte.
- Brak prechecked checkboxów — zgoda domyślnie zaznaczona nie jest zgodą.
- Podział na kategorie — niezbędne (bez zgody), analityczne, marketingowe (tylko za zgodą).
- Blokada skryptów przed zgodą — Google Analytics i piksele nie mogą odpalać się przed kliknięciem „Akceptuję"; popularne wtyczki consent mode robią to za ciebie.
- Możliwość zmiany decyzji — link „Ustawienia cookies" dostępny ze stopki strony.
- Rejestr zgód — narzędzie powinno zapisywać, kto i kiedy wyraził zgodę (to dowód rozliczalności).
Banner można wdrożyć wtyczką (np. CookieYes, Complianz) albo dedykowanym kodem — koszt to 0–400 zł rocznie plus konfiguracja.
Formularz kontaktowy i bezpieczeństwo danych
Formularz to najczęstszy punkt zbierania danych na stronie małej firmy. Wymagania praktyczne
- Klauzula informacyjna pod formularzem — krótka informacja + link do polityki prywatności; nie kopiuj całej polityki do formularza.
- Zgoda na kontakt — jeśli odpowiedź ma być marketingiem, potrzebna jest zgoda; do obsługi zapytania wystarczy podstawa z art. 6 RODO.
- HTTPS na całej stronie — certyfikat SSL chroni dane w drodze; bez niego przeglądarki oznaczają stronę jako niezabezpieczoną.
- Zabezpieczenie antyspamowe — honeypot lub captcha; spam to nie tylko bałagan, ale i ryzyko dla danych.
- Limit danych — zbieraj tylko to, co niezbędne. Numer PESEL, data urodzenia czy adres domowy rzadko są potrzebne do wyceny usługi.
- Kopie zapasowe z danymi — też podlegają RODO; trzymaj je zabezpieczone i nie dłużej, niż trzeba.
Rejestr czynności przetwarzania (RCP)
Rejestr czynności przetwarzania to dokument, w którym opisujesz, jakie dane przetwarzasz i po co — wymagany w praktyce od każdej firmy, także jednoosobowej. Minimalne kolumny: kategoria osób (klienci, kontrahenci), kategoria danych, cel, podstawa prawna, odbiorcy, okres przechowywania, środki bezpieczeństwa. Dla małej firmy wystarczy tabela w arkuszu — jedna strona na każdy proces (zapytania, zamówienia, newsletter, księgowość).
Jakie kary grożą za brak zgodności
Prezes UODO może nałożyć administracyjną karę pieniężną do 20 mln euro lub 4% rocznego obrotu (w zależności od tego, która kwota jest wyższa) — ale w praktyce kary dla małych firm są znacznie niższe i proporcjonalne do naruszenia. Realne scenariusze:
- Skarga klienta — najczęstsza droga: ktoś zgłasza brak możliwości odmowy cookies albo nie odpowiadasz na żądanie usunięcia danych.
- Upomnienie i nakaz naprawy — typowa pierwsza reakcja przy drobnych naruszeniach.
- Kara finansowa — przy naruszeniach powtarzanych, wycieku danych lub ignorowaniu żądań; zdarzają się kwoty od kilku tysięcy do kilkudziesięciu tysięcy złotych dla małych podmiotów.
- Odpowiedzialność wobec klienta — osoba, której dane naruszono, może dochodzić odszkodowania niezależnie od kary UODO.
Naruszenie trzeba też zgłosić do UODO w ciągu 72 godzin, jeśli może skutkować ryzykiem dla osób — dlatego warto mieć plan reakcji, zanim coś się stanie.
Checklista RODO dla małej firmy
- Polityka prywatności na stronie z twoimi danymi administratora.
- Klauzula informacyjna pod każdym formularzem.
- Banner cookies z równorzędnym „Akceptuję" i „Odrzucam" oraz blokadą skryptów.
- HTTPS i aktualny certyfikat SSL.
- Rejestr czynności przetwarzania (choćby tabela).
- Umowy powierzenia z podwykonawcami przetwarzającymi dane (hosting, CRM, księgowość, płatności).
- Procedura obsługi żądań: dostęp, usunięcie, sprostowanie (odpowiedź w ciągu miesiąca).
- Zabezpieczone kopie zapasowe i aktualizacje systemu.
- Szkolenie zespołu (choćby krótkie) z podstaw bezpieczeństwa danych.
- Plan reakcji na naruszenie: kto wykrywa, kto zgłasza, w jakim terminie.
Jeśli budujesz stronę od zera, te elementy są częścią wdrożenia — pytaj wykonawcę o politykę prywatności, banner zgód i bezpieczeństwo formularzy w standardzie. Piszę o tym w przewodniku strony internetowe dla małych firm.
Najczęściej zadawane pytania
Czy jednoosobowa działalność musi mieć politykę prywatności na stronie?
Tak, jeśli strona zbiera jakiekolwiek dane osobowe — nawet przez prosty formularz kontaktowy. Polityka prywatności to realizacja obowiązku informacyjnego z art. 13 RODO. Jej brak przy zbieraniu danych to naruszenie, niezależnie od rozmiaru firmy.
Czy wystarczy wzór polityki prywatności z internetu?
Wzór to dobry punkt wyjścia, ale musi być uzupełniony twoimi danymi: nazwą firmy, adresem, listą narzędzi (hosting, analityka, CRM, księgowość) i faktycznymi okresami przechowywania. Kopia cudzego dokumentu z obcymi danymi to gorsza sytuacja niż jego brak — pokazuje, że nie wiesz, jak przetwarzasz dane.
Czy potrzebuję zgody na cookies analityczne?
Tak — Google Analytics, piksele i podobne narzędzia wymagają zgody użytkownika przed uruchomieniem. Cookies niezbędne (sesja, bezpieczeństwo) nie wymagają zgody, ale muszą być opisane w polityce. Wymóg egzekwuje Prezes UODO, a w praktyce także dostawcy przeglądarek i sami klienci.
Ile kosztuje wdrożenie zgodności RODO na stronie małej firmy?
Polityka prywatności od specjalisty: 500–1 500 zł netto. Banner cookies: 0–400 zł rocznie (wtyczka) + konfiguracja. Jeśli budujesz stronę z wykonawcą, te elementy są zwykle częścią wdrożenia. Rejestr czynności przetwarzania prowadzisz sam — to tabela, nie projekt.
Czy formularz kontaktowy wymaga zgody na przetwarzanie danych?
Do obsługi zapytania wystarczy podstawa prawna „uzasadniony interes" albo „czynności przed zawarciem umowy" — zgoda nie jest konieczna, ale potrzebna jest klauzula informacyjna. Zgoda jest potrzebna, gdy chcesz wysyłać treści marketingowe (newsletter, oferty) — wtedy zaznacz ją osobno i niezależnie.
Co zrobić, gdy ktoś poprosi o usunięcie danych?
Masz miesiąc na odpowiedź (w uzasadnionych przypadkach można go wydłużyć o kolejne dwa miesiące, informując wnioskującego). Sprawdź, czy nie ma podstaw do dalszego przetwarzania (np. obowiązki podatkowe), usuń lub zanonimizuj dane ze wszystkich systemów — w tym z CRM, newslettera i kopii zapasowych — i potwierdź wykonanie wnioskodawcy.
Źródła
- RODO — rozporządzenie (UE) 2016/679
- UODO — Urząd Ochrony Danych Osobowych
- UOKiK — dyrektywa Omnibus i obowiązki informacyjne
👉 Budujesz stronę z myślą o zgodności? Zobacz, jak wygląda tworzenie stron internetowych — oddaję strony z polityką prywatności, bannerem zgód i bezpiecznymi formularzami w standardzie. Napisz przez formularz kontaktowy.
📖 Zobacz również: Strony internetowe dla małych firm — ile kosztuje i co zawierać oraz Dostępność strony internetowej — WCAG i EAA.