RODO, Omnibus i EAA w sklepie internetowym — checklista zgodności [2026]

RODO, Omnibus i EAA to trzy zestawy obowiązków, które musi spełniać każdy sklep internetowy sprzedający w Polsce i UE. RODO dotyczy danych klientów (polityka prywatności, zgody cookies, bezpieczeństwo), dyrektywa Omnibus nakazuje pokazywać najniższą cenę z 30 dni przed obniżką, a Europejski Akt o Dostępności (EAA) wymaga od 28 czerwca 2025 roku dostępności WCAG 2.1 AA. Braki w każdym z tych obszarów to ryzyko kar finansowych i pozwów — a ich wdrożenie jest tańsze na etapie projektowania sklepu niż jako poprawki po kontroli.

Ten artykuł to praktyczna checklista: co dokładnie musi być w sklepie, gdzie to umieścić w interfejsie i jak zweryfikować zgodność przed startem. Omawiam też najczęstsze błędy — od cen „przekreślonych" bez historii, po koszyki wykluczające klientów korzystających z czytników ekranu.

Najważniejsze: Trzy obowiązki sklepu internetowego w 2026: RODO (polityka prywatności, zgody, umowy powierzenia, bezpieczeństwo danych), Omnibus (najniższa cena z 30 dni przed każdą obniżką) i EAA/WCAG 2.1 AA (dostępność od 28.06.2025). Najniższa cena musi być widoczna przy każdej promocji — automatycznie, nie „na życzenie".

RODO w sklepie internetowym — co musi być wdrożone

RODO (rozporządzenie UE 2016/679) reguluje przetwarzanie danych osobowych klientów: imion, adresów, e-maili, numerów telefonu, danych płatniczych i historii zakupów. W sklepie przekłada się to na konkretne elementy:

• Polityka prywatności — dokument opisujący, jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, jak długo je przechowujesz i komu powierzasz (kurierzy, operatorzy płatności, hosting, narzędzia analityczne). Musi być dostępna z każdej strony (stopka) i linkowana w formularzach.
• Zgody cookies — banner z realnym wyborem: zgoda na statystyczne i marketingowe pliki cookies nie może być wymuszona ani domyślnie zaznaczona. „Odrzuć" musi być równie łatwe jak „Akceptuj". Skrypt analityczny nie może się uruchamiać przed zgodą.
• Zgody w formularzach — newsletter i kontakt wymagają osobnych, niezależnych checkboxów (nie zaznaczonych domyślnie). Zgoda marketingowa nie może być warunkiem zakupu.
• Umowy powierzenia — z każdym podmiotem przetwarzającym dane w Twoim imieniu: hostingiem, operatorem płatności, firmą kurierską, dostawcą narzędzia mailingowego, biurem księgowym.
• Rejestr czynności przetwarzania — dokumentacja wewnętrzna: jakie kategorie danych, w jakich celach, jak zabezpieczone. Obowiązkowa praktycznie dla każdego sklepu.
• Bezpieczeństwo danych — szyfrowanie (SSL), kontrola dostępu do panelu, kopie zapasowe, procedura reagowania na naruszenia (zgłoszenie do UODO w 72 h). Jeśli obsługujesz dane kart na własnym serwerze, wchodzą wymagania PCI DSS — najprościej przekazać płatności operatorowi.
• Prawa klientów — procedura realizacji prawa dostępu, sprostowania, usunięcia i przenoszenia danych. Klient musi mieć jasną ścieżkę: na jaki adres napisać i w jakim czasie dostanie odpowiedź (30 dni).

Kary za naruszenia RODO sięgają 20 mln euro lub 4% rocznego obrotu — w praktyce PUODO nakłada kary liczone w setkach tysięcy złotych za brak podstawy przetwarzania czy wycieki danych. Więcej o stronie formalnej piszę w artykule RODO na stronie internetowej.

Dyrektywa Omnibus — najniższa cena z 30 dni

Omnibus (dyrektywa UE 2019/2161) obowiązuje w Polsce od 1 stycznia 2023 roku i zmienił sposób prezentowania promocji: każda informacja o obniżce musi zawierać najniższą cenę tego produktu z ostatnich 30 dni przed obniżką. Dotyczy to wszystkich form promocji — przekreślonych cen, rabatów procentowych, wyprzedaży, kodów obniżających cenę w koszyku.

Co to oznacza w praktyce dla sklepu

• Karta produktu — przy cenie promocyjnej musi być widoczna najniższa cena z 30 dni. Samo „-30%" i przekreślona cena nie wystarczą, jeśli przekreślona cena nie była realnie stosowana przez odpowiedni okres.
• Koszyk i checkout — jeśli rabat nalicza się dopiero w koszyku (kod promocyjny, rabat ilościowy), informacja o cenie odniesienia musi pojawić się razem z obniżką.
• Historia cen — sklep musi przechowywać historię cen każdego produktu, żeby móc wyliczyć cenę z 30 dni. To funkcja, którą trzeba zaprojektować na etapie wdrożenia — doklejenie jej do istniejącego sklepu bywa kosztowne.
• Komunikacja — „najniższa cena z 30 dni" musi być zrozumiała dla klienta, a nie ukryta w regulaminie. Kary nakładane przez UOKiK za wprowadzanie klientów w błąd sięgają dziesiątek tysięcy złotych za pojedyncze praktyki.

Uwaga: Przekreślona cena, która nigdy nie obowiązywała (albo obowiązywała symbolicznie przez dzień), to klasyczne naruszenie Omnibus. UOKiK regularnie kontroluje sklepy pod tym kątem — a skargę może złożyć każdy klient.

EAA i WCAG 2.1 AA — dostępność sklepu od 28.06.2025

Europejski Akt o Dostępności (EAA, dyrektywa UE 2019/882) obowiązuje w UE od 28 czerwca 2025 roku. W Polsce wdrożony ustawą o zapewnianiu spełniania wymagań dostępności — obejmuje m.in. usługi handlu elektronicznego. Sklep internetowy musi być dostępny dla osób z niepełnosprawnościami zgodnie z wytycznymi WCAG 2.1 na poziomie AA.

Z EAA wyłączeni są mikroprzedsiębiorcy świadczący usługi (zatrudniający mniej niż 10 osób i osiągający obrót do 2 mln euro rocznie) — ale wyłączenie nie zwalnia z dobrej praktyki: dostępny sklep sprzedaje więcej, a duzi kontrahenci i platformy (marketplace, programy partnerskie) coraz częściej wymagają zgodności w umowach.

Co konkretnie musi działać w sklepie według WCAG 2.1 AA

• Kontrasty — tekst i elementy interfejsu o współczynniku co najmniej 4,5:1. Szare napisy „dodaj do koszyka" na jasnym tle odpadają.
• Obsługa klawiatury — cała ścieżka zakupowa (menu, filtry, koszyk, checkout) musi działać bez myszki. Widoczny focus, logiczna kolejność tabulacji, brak pułapek fokusa.
• Alternatywy tekstowe — każde zdjęcie produktu i ikona funkcyjna z opisem alt. Zdjęcia produktowe z opisem „IMG_2034" to błąd.
• Formularze — etykiety powiązane z polami, komunikaty błędów opisujące problem („Podaj kod pocztowy w formacie 00-000", a nie „Błąd"), brak wymuszania rozwiązywania captcha wyłącznie wizualnej.
• Struktura nagłówków — logiczna hierarchia H1–H6, poprawne listy, tabele z nagłówkami. To także pomaga SEO.
• Materiały multimedialne — napisy do wideo, brak autoodtwarzania z dźwiękiem.

Dostępność nie jest osobnym projektem — to zestaw wymagań wtopionych w design i kod sklepu. Najlepiej wdrożyć je razem z projektem UX: kontrasty i focus wynikają z design systemu, formularze i filtry z komponentów. Osobny artykuł poświęcam temu, jak zapewnić dostępność strony internetowej.

Checklista zgodności sklepu — 16 punktów przed startem

1. Polityka prywatności linkowana w stopce i w formularzach.
2. Banner cookies z równorzędnym „Akceptuj" i „Odrzuć", skrypty po zgodzie.
3. Osobne zgody na newsletter i kontakt, niezaznaczone domyślnie.
4. Umowy powierzenia z hostingiem, płatnościami, kurierami, mailingiem.
5. Rejestr czynności przetwarzania prowadzony i aktualizowany.
6. Procedura zgłoszenia naruszenia danych (72 h do UODO).
7. SSL na całym sklepie, silne hasła i 2FA w panelu administracyjnym.
8. Kopie zapasowe z testem odtworzenia przynajmniej raz na kwartał.
9. Historia cen produktów zapisywana w bazie.
10. Najniższa cena z 30 dni widoczna przy każdej obniżce na karcie produktu.
11. Rabaty w koszyku pokazują cenę odniesienia.
12. Kontrasty interfejsu min. 4,5:1 (tekst) — sprawdzone audytem.
13. Cała ścieżka zakupowa przechodzona klawiaturą — przetestowana.
14. Zdjęcia i ikony z opisami alternatywnymi.
15. Formularze z etykietami i zrozumiałymi komunikatami błędów.
16. Regulamin z prawem odstąpienia (14 dni) i wzorem formularza zwrotu.

Jak zweryfikować zgodność sklepu?

• Audyt dostępności — automatyczne skanery (axe, Wave, Lighthouse) wyłapią 30–40% problemów WCAG: kontrasty, alty, etykiety. Resztę (obsługa klawiatury, czytnik ekranu, sens struktury) trzeba przetestować ręcznie — najlepiej z osobą korzystającą z technologii asystujących.
• Test Omnibus — wybierz 5 produktów w promocji i sprawdź, czy cena z 30 dni jest widoczna, poprawna i zgodna z historią w bazie. Poproś klienta/klientkę z zewnątrz, żeby znalazł najniższą cenę — jeśli zajmie mu to dłużej niż kilka sekund, komunikacja wymaga poprawy.
• Przegląd RODO — przejdź sklep jako nowy użytkownik: czy banner daje realny wybór, czy polityka opisuje wszystkie narzędzia (GA4, piksel Meta, mailing), czy zgody nie są wiązane z zakupem. Sprawdź, czy umowy powierzenia pokrywają wszystkich podwykonawców — lista zmienia się wraz z narzędziami.

Kontrola UOKiK, PUODO albo skarga klienta zawsze zaczyna się od pytań o te trzy obszary. Sklep, który przechodzi powyższą checklistę, jest na takie pytania przygotowany.

Najczęściej zadawane pytania

Czy mały sklep internetowy też musi spełniać Omnibus?

Tak — dyrektywa Omnibus nie ma progu wielkości firmy. Każdy sklep informujący o obniżce musi pokazać najniższą cenę z 30 dni przed obniżką. Zwolnieni nie są też sprzedawcy na marketplace — obowiązek dotyczy każdego sprzedawcy detalicznego.

Czy EAA dotyczy mojego sklepu?

EAA obejmuje usługi handlu elektronicznego od 28 czerwca 2025 roku, ale mikroprzedsiębiorcy świadczący usługi (poniżej 10 pracowników i 2 mln euro obrotu) są z niego wyłączeni. Nawet jeśli korzystasz z wyłączenia, dostępność warto wdrożyć: poprawia konwersję i SEO, a duzi partnerzy (marketplace, zamówienia publiczne, korporacje) coraz częściej wymagają WCAG w umowach.

Czy banner cookies z „Akceptuj" i „Odrzuć" wystarczy?

Nie. Oprócz równorzędnych przycisków liczy się to, co dzieje się pod spodem: skrypty analityczne i marketingowe nie mogą uruchamiać się przed zgodą, wybór musi być zapamiętany, a użytkownik musi móc zmienić decyzję (link „Ustawienia cookies"). Banner, który ładuje piksel przed kliknięciem, to naruszenie niezależnie od wyglądu.

Gdzie w sklepie pokazać najniższą cenę z 30 dni?

Na karcie produktu — bezpośrednio przy cenie promocyjnej, w formie zrozumiałego zdania („Najniższa cena z 30 dni przed obniżką: X zł"). Jeśli rabat powstaje dopiero w koszyku, informacja musi pojawić się w koszyku razem z obniżką. Historia cen musi być zapisywana w bazie — bez niej nie da się wykazać zgodności.

Jakie kary grożą za brak zgodności?

• RODO: do 20 mln euro lub 4% rocznego obrotu. Omnibus: kary UOKiK za wprowadzanie konsumentów w błąd — w praktyce dziesiątki tysięcy złotych za stwierdzone naruszenia, plus obowiązek naprawy praktyki. EAA: kary nakładane przez organ nadzoru, a do tego roszczenia konsumentów. Najdroższa jest jednak naprawa po fakcie: przebudowa koszyka pod Omnibus albo audyt dostępności po wdrożeniu kosztują więcej niż projekt z compliance od początku.

Czy dostępność WCAG pogorszy wygląd sklepu?

Nie — dobrze zaprojektowana dostępność jest niewidoczna dla większości użytkowników: to odpowiednie kontrasty, czytelna typografia, działające stany focus i formularze z etykietami. Sklepy projektowane pod WCAG wyglądają nowocześnie, bo dostępność wymusza porządek w hierarchii i interakcjach. Ograniczenia dotyczą głównie efektów dekoracyjnych, które i tak nie sprzedają.

👉 Projektujesz sklep i chcesz mieć zgodność od pierwszego dnia? Zobacz, jak wdrażam RODO, Omnibus i EAA w projektach: projektowanie sklepów internetowych. Napisz na kontakt@informatix.com.pl — sprawdzę Twój sklep pod kątem trzech obszarów zgodności.

📖 Zobacz również: Projektowanie sklepów internetowych — kompletny przewodnik, RODO na stronie internetowej oraz Dostępność strony internetowej — WCAG i EAA.