Wymogi prawne strony firmowej — RODO, cookies, obowiązek informacyjny

Strona firmowa to nie tylko marketing — to także zestaw obowiązków, o których większość firm dowiaduje się dopiero wtedy, gdy ktoś zwróci im uwagę. A część z nich niesie realne ryzyko finansowe.

Poniżej lista rzeczy, które sprawdzamy w audytach najczęściej, wraz z opisem, co idzie nie tak. To nie jest porada prawna — to zestawienie techniczne, które warto skonfrontować z prawnikiem, jeśli działacie w regulowanej branży.

01. Dane identyfikujące firmę

Podstawa, o której zaskakująco często się zapomina. Na stronie powinny znaleźć się dane pozwalające zidentyfikować podmiot i się z nim skontaktować: pełna nazwa firmy, adres, NIP i sposób kontaktu.

Najczęstszy błąd: strona ma tylko formularz i numer telefonu, bez nazwy podmiotu i NIP-u. Klient nie wie, z kim zawiera umowę.

02. Polityka prywatności

Wymagana zawsze, gdy strona przetwarza dane osobowe — a przetwarza je już przy samym formularzu kontaktowym albo narzędziu analitycznym.

Powinna opisywać co najmniej: kto jest administratorem danych, jakie dane zbieracie, w jakim celu, na jakiej podstawie, jak długo je przechowujecie, komu je przekazujecie i jakie prawa ma użytkownik.

03. Zgody na cookies — i to, jak działają

Tu jest największa rozbieżność między tym, co firmy mają, a tym, czego wymagają przepisy.

Sam baner nie wystarczy. Znaczenie ma to, kiedy uruchamiają się skrypty. Narzędzia analityczne i marketingowe powinny być zablokowane do momentu uzyskania zgody. Baner, który tylko informuje, a Google Analytics zbiera dane od pierwszej sekundy, jest ozdobą, nie mechanizmem.

Poprawnie działający mechanizm ma cztery cechy:

• Blokuje skrypty przed zgodą, zamiast tylko wyświetlać komunikat
• Odmowa jest równie łatwa jak zgoda — jeśli „Akceptuję" to duży przycisk, a odmowa jest ukryta w ustawieniach, mechanizm budzi wątpliwości
• Pozwala wybrać kategorie — osobno analityka, osobno marketing
• Umożliwia zmianę decyzji później, bez czyszczenia przeglądarki

Cookies niezbędne do działania strony nie wymagają zgody. Wszystko poza nimi — tak.

04. Consent Mode v2

To nie jest wymóg ustawowy, tylko wymaganie samego Google — ale skutki jego braku są bardzo konkretne.

Od marca 2024 roku Google wymaga Consent Mode v2 dla ruchu z Europejskiego Obszaru Gospodarczego. Bez tego mechanizmu dane o użytkownikach, którzy nie wyrazili zgody, są bezpowrotnie tracone zamiast modelowane, listy remarketingowe przestają działać, a pomiar konwersji w Google Ads robi się niepełny.

W praktyce oznacza to, że firma bez Consent Mode v2 wydaje budżet reklamowy bez rzetelnej informacji zwrotnej o tym, co przynosi zapytania.

05. Formularze kontaktowe

Formularz zbiera dane osobowe, więc wymaga trzech rzeczy:

• Informacji, kto i po co przetwarza dane — choćby zwięzłej, z odnośnikiem do polityki prywatności
• Zgody odrębnej dla każdego celu. Odpowiedź na zapytanie to jeden cel, newsletter to drugi. Jedna zbiorcza zgoda „na wszystko" jest wadliwa.
• Braku zgód zaznaczonych z góry. Zgoda musi być czynnością użytkownika, nie stanem domyślnym.

06. Sklep — dodatkowe obowiązki

Sprzedaż online to osobna kategoria z własnym zestawem wymogów:

• Regulamin określający zasady zawierania umowy, płatności i dostawy
• Informacja o prawie odstąpienia od umowy i wzór formularza odstąpienia
• Jasna informacja o cenie całkowitej, łącznie z kosztami dostawy, przed złożeniem zamówienia
• Procedura reklamacyjna i informacja o rękojmi
• Przycisk zamówienia jednoznacznie wskazujący obowiązek zapłaty
• Zasady prezentowania obniżek cen — przy promocjach obowiązują szczegółowe wymogi dotyczące podawania ceny wcześniejszej

Regulamin sklepu to dokument, przy którym odradzamy kopiowanie i szablony z internetu. To jest miejsce na prawnika.

07. Dostępność

Obszar, który przez lata dotyczył wyłącznie instytucji publicznych, a stopniowo obejmuje coraz szerszy krąg podmiotów — w tym część firm sprzedających konsumentom online.

Niezależnie od obowiązku warto pamiętać, że wymóg dostępności regularnie pojawia się w dokumentacji zamówień publicznych. Firma startująca w przetargach ma tu konkretny, biznesowy powód, żeby o to zadbać. Rozpisaliśmy to w tekście o audycie dostępności i WCAG.

Pięć najczęstszych błędów

Jak to sprawdzić u siebie

Podstawowy przegląd zajmuje kwadrans:

• Wejdźcie na stronę w oknie prywatnym i nie klikajcie banera. Otwórzcie narzędzia deweloperskie w przeglądarce i sprawdźcie, czy mimo braku zgody wysyłane są zapytania do usług analitycznych.
• Przeczytajcie własną politykę prywatności i sprawdźcie, czy opisuje narzędzia, których faktycznie używacie.
• Otwórzcie formularz i sprawdźcie, czy któraś zgoda jest zaznaczona z góry.
• Poszukajcie na stronie nazwy firmy, adresu i NIP-u.

Cztery punkty i macie obraz sytuacji. Jeśli wolicie mieć to sprawdzone razem z szybkością, SEO i dostępnością — bezpłatny audyt obejmuje status zgód i Consent Mode v2.

Podsumowanie

Większość wymogów sprowadza się do jednej zasady: użytkownik ma wiedzieć, kto zbiera jego dane i po co, i ma mieć realny wybór. Rzeczy, które to naruszają, zwykle nie są celowe — wynikają z konfiguracji zrobionej raz i nigdy niesprawdzonej.

Najpilniejszy punkt z całej listy to zgody. To jednocześnie najczęstszy błąd, najłatwiejszy do wykrycia przez osoby trzecie i jedyny, który potrafi kosztować firmę realne pieniądze.

Ten tekst opisuje kwestie techniczne i nie stanowi porady prawnej. Zakres obowiązków zależy od rodzaju działalności — dokumenty warto skonsultować z prawnikiem.