Wymogi prawne strony firmowej - RODO, cookies i dane firmy

Strona firmowa to też zestaw obowiązków prawnych, o których wiele firm dowiaduje się dopiero wtedy, gdy ktoś zwróci im uwagę. Część z nich niesie realne ryzyko finansowe. Poniżej zbieramy wymogi prawne strony firmowej, które sprawdzamy w audytach, i opisujemy, co najczęściej idzie nie tak.

To nie jest porada prawna, tylko zestawienie techniczne. Jeśli działasz w branży regulowanej albo prowadzisz sklep, skonfrontuj je z prawnikiem.

01. Dane identyfikujące firmę

Podstawa, o której zaskakująco często się zapomina. Ustawa o świadczeniu usług drogą elektroniczną (art. 5) wymaga, żeby strona podawała co najmniej nazwę firmy, jej siedzibę i adres oraz adres e-mail. Dobrą praktyką jest też NIP, dzięki któremu klient sprawdzi Cię w rejestrze. Brak tych danych grozi karą grzywny.

Typowy błąd: strona ma tylko formularz i numer telefonu, bez nazwy podmiotu. Klient nie wie, z kim zawiera umowę.

02. Polityka prywatności

Jest potrzebna zawsze, gdy strona przetwarza dane osobowe, a przetwarza je już przy samym formularzu kontaktowym albo narzędziu analitycznym.

Zgodnie z art. 13 RODO powinna opisywać co najmniej: kto jest administratorem danych, jakie dane zbierasz, w jakim celu i na jakiej podstawie, jak długo je przechowujesz, komu je przekazujesz i jakie prawa ma użytkownik.

03. Zgody na cookies i to, jak działają

Tu jest największa rozbieżność między tym, co firmy mają, a tym, czego wymagają przepisy. Zasady dotyczące plików cookies opisuje dziś art. 399 Prawa komunikacji elektronicznej.

Sam baner nie wystarczy. Znaczenie ma to, kiedy uruchamiają się skrypty. Narzędzia analityczne i marketingowe powinny być zablokowane do momentu uzyskania zgody. Baner, który tylko informuje, podczas gdy Google Analytics zbiera dane od pierwszej sekundy, jest ozdobą, a nie mechanizmem.

Poprawnie działający mechanizm ma cztery cechy:

• Blokuje skrypty przed zgodą, zamiast tylko wyświetlać komunikat.
• Odmowa jest równie łatwa jak zgoda. Na to zwracają uwagę europejskie organy ochrony danych w raporcie o banerach cookies z 2023 roku. Jeśli „Akceptuję” to duży przycisk, a odmowa jest schowana w ustawieniach, mechanizm budzi wątpliwości.
• Pozwala wybrać kategorie, osobno analitykę i osobno marketing.
• Umożliwia późniejszą zmianę decyzji bez czyszczenia przeglądarki.

Cookies niezbędne do działania strony nie wymagają zgody. Wszystko poza nimi tak.

04. Consent Mode v2

To nie jest wymóg ustawowy, tylko wymaganie samego Google, ale skutki jego braku są bardzo konkretne.

Od marca 2024 roku Google wymaga Consent Mode v2, czyli przekazywania mu informacji o decyzji użytkownika w sprawie zgód, dla ruchu z Europejskiego Obszaru Gospodarczego. Bez niego dane o użytkownikach, którzy nie wyrazili zgody, przepadają zamiast być modelowane, listy remarketingowe przestają się uzupełniać, a pomiar konwersji w Google Ads robi się niepełny.

W praktyce firma bez Consent Mode v2 wydaje budżet reklamowy bez rzetelnej informacji o tym, co przynosi zapytania.

05. Formularze kontaktowe

Formularz zbiera dane osobowe, więc wymaga trzech rzeczy:

• Informacji, kto i po co przetwarza dane, choćby krótkiej, z odnośnikiem do polityki prywatności.
• Osobnej zgody na każdy dodatkowy cel. Odpowiedź na zapytanie to jeden cel, newsletter drugi. Jedna zbiorcza zgoda „na wszystko” jest wadliwa.
• Braku zgód zaznaczonych z góry. Zgoda musi być działaniem użytkownika, a nie stanem domyślnym. Potwierdził to Trybunał Sprawiedliwości UE w sprawie Planet49 z 2019 roku.

06. Sklep - dodatkowe obowiązki

Sprzedaż online to osobna kategoria z własnym zestawem wymogów:

• Regulamin określający zasady zawierania umowy, płatności i dostawy.
• Informacja o prawie odstąpienia od umowy i wzór formularza odstąpienia.
• Jasna informacja o cenie całkowitej, łącznie z kosztami dostawy, przed złożeniem zamówienia.
• Procedura reklamacyjna i informacja o odpowiedzialności za niezgodność towaru z umową. Od 2023 roku przy sprzedaży konsumentom zastąpiła ona dawną rękojmię.
• Przycisk zamówienia, który jednoznacznie mówi o obowiązku zapłaty, na przykład „Zamawiam i płacę”.
• Zasady pokazywania obniżek. Przy promocji obok nowej ceny podajesz najniższą cenę z 30 dni przed obniżką.

Regulamin sklepu to dokument, przy którym odradzamy kopiowanie i szablony z internetu. To miejsce na prawnika.

07. Dostępność

Przez lata dotyczyła wyłącznie instytucji publicznych. Od 28 czerwca 2025 roku Akt o dostępności obejmuje też część firm sprzedających konsumentom przez internet, z wyjątkiem mikroprzedsiębiorców. Szczegóły opisaliśmy w tekście Akt o dostępności a sklep internetowy.

Niezależnie od obowiązku pamiętaj, że Prawo zamówień publicznych każe uwzględniać dostępność w opisie przedmiotu zamówienia. Firma startująca w przetargach ma więc konkretny, biznesowy powód, żeby o to zadbać. Co sprawdza się w takim przeglądzie, rozpisaliśmy w tekście o audycie dostępności i WCAG.

Pięć najczęstszych błędów

Jak sprawdzić wymogi prawne na swojej stronie

Podstawowy przegląd zajmie Ci kwadrans:

• Wejdź na stronę w oknie prywatnym i nie klikaj banera. Otwórz narzędzia deweloperskie w przeglądarce, przejdź do zakładki z ruchem sieciowym i sprawdź, czy mimo braku zgody wysyłane są zapytania do usług analitycznych.
• Przeczytaj własną politykę prywatności i sprawdź, czy opisuje narzędzia, których faktycznie używasz.
• Otwórz formularz i sprawdź, czy któraś zgoda jest zaznaczona z góry.
• Poszukaj na stronie nazwy firmy, adresu i adresu e-mail.

Cztery punkty i masz obraz sytuacji. Większość wymogów sprowadza się do jednej zasady: użytkownik ma wiedzieć, kto zbiera jego dane i po co, i ma mieć realny wybór. Rzeczy, które to naruszają, zwykle nie są celowe, tylko wynikają z konfiguracji zrobionej raz i nigdy niesprawdzonej.

Jeśli masz czas tylko na jedną rzecz, zacznij od zgód. Ten błąd najłatwiej wykryć z zewnątrz, a jednocześnie dotyczy i przepisów o ochronie danych, i zasad Google Ads.

Ten tekst opisuje kwestie techniczne i nie stanowi porady prawnej. Zakres obowiązków zależy od rodzaju działalności, dlatego dokumenty skonsultuj z prawnikiem.

Sprawdzimy, czy Twoja strona zbiera dane zgodnie z zasadami

Baner zgód, Consent Mode v2, polityka prywatności i narzędzia uruchamiane przed zgodą, w bezpłatnym raporcie.

Zamów bezpłatny audyt →