RODO w sklepie internetowym to obowiązek poprawnego zbierania zgód, jasnej polityki prywatności i cookies, baneru zgody zintegrowanego z Consent Mode v2 oraz realnego zabezpieczenia danych klientów. Jako IThandy wdrażam techniczną stronę zgodności w sklepach PrestaShop i WooCommerce - dla MŚP z Warszawy i zdalnie. Ta checklista pokazuje, co musisz mieć w 2026 roku i jakie błędy najczęściej kończą się karą od UODO.
- RODO obowiązuje każdy sklep zbierający dane osobowe - również jednoosobowy. Liczy się to, co robisz z danymi, nie wielkość firmy.
- Minimum techniczne na 2026: polityka prywatności i cookies, baner zgody (opt-in, nie domyślne haczyki), Consent Mode v2 dla Google, mechanizm usuwania konta i danych.
- Consent Mode v2 jest warunkiem działania kampanii Google Ads i poprawnych danych w GA4 - bez niego tracisz remarketing i konwersje.
- Bezpieczeństwo danych (HTTPS, kopie zapasowe, kontrola dostępu, aktualizacje) to integralna część RODO, nie osobny temat.
- Najczęstsze kary biorą się z domyślnie zaznaczonych zgód, baneru bez realnego odrzucenia i braku reakcji na żądanie usunięcia danych.
Czego wymaga RODO od sklepu internetowego
RODO obejmuje każdy sklep, który przetwarza dane osobowe klientów: imię, nazwisko, adres, e-mail, telefon, historię zamówień, adres IP. Nie ma progu wielkości - jednoosobowa działalność i duży sklep mają te same obowiązki, różni się tylko skala wdrożenia.
W praktyce sklep musi spełnić kilka wymagań jednocześnie:
- Minimalizacja - zbierasz tylko dane potrzebne do realizacji zamówienia i jasno wskazanych celów.
- Przejrzystość - klient wie, kto przetwarza dane, w jakim celu, jak długo i komu są przekazywane (kurier, płatności, hosting).
- Zgody i podstawy prawne - zamówienie opiera się na umowie, ale newsletter i remarketing wymagają osobnej, dobrowolnej zgody.
- Prawa osoby - dostęp, sprostowanie, usunięcie, ograniczenie i przeniesienie danych.
- Bezpieczeństwo - środki techniczne chroniące dane przed wyciekiem i nieuprawnionym dostępem.
- Umowy powierzenia - z każdym podmiotem przetwarzającym dane w Twoim imieniu (hosting, mailing, księgowość).
Polityka prywatności i polityka cookies
Polityka prywatności to dokument, który tłumaczy klientowi, co dzieje się z jego danymi. Polityka cookies opisuje, jakie pliki i skrypty śledzące działają w sklepie. W 2026 traktuje się je często łącznie, ale technicznie muszą być spójne z tym, co faktycznie ładuje Twój sklep.
Najczęstszy problem to rozjazd między dokumentem a rzeczywistością: polityka wymienia trzy narzędzia, a w kodzie strony działa dziesięć skryptów (piksel Facebooka, Hotjar, czat, mapy, narzędzia analityczne). Przed publikacją robię audyt realnie ładowanych skryptów i tagów w Google Tag Managerze, żeby dokument pokrywał się ze stanem faktycznym.
Baner zgody i Consent Mode v2
Baner cookies nie jest ozdobą - to mechanizm zbierania i egzekwowania zgody. W 2026 poprawny baner musi: domyślnie nie uruchamiać skryptów marketingowych i analitycznych, dawać realny przycisk odrzucenia na równi z akceptacją, pozwalać na wybór kategorii i zapisywać decyzję, którą da się później zmienić.
Druga warstwa to Google Consent Mode v2 - obowiązkowy dla sklepów korzystających z Google Ads i GA4 w EOG. Przekazuje on do narzędzi Google sygnały o zgodzie (np. ad_storage, analytics_storage) i steruje tym, czy Google może używać plików cookie i danych. Bez Consent Mode v2 remarketing i pomiar konwersji przestają działać poprawnie, a dane w GA4 są niepełne.
Inwentaryzuję wszystkie tagi i pliki cookie w GTM oraz w motywie sklepu - co się ładuje, kiedy i z jakim celem.
Wdrażam platformę zarządzania zgodą z kategoriami: niezbędne, analityczne, marketingowe. Skrypty czekają na zgodę.
Łączę baner z Consent Mode v2, ustawiam stany domyślne i aktualizację zgody, blokuję tagi do momentu decyzji klienta.
Sprawduję w trybie podglądu GTM, czy odrzucenie naprawdę blokuje śledzenie, i konfiguruję zapis decyzji użytkownika.
Poprawne wpięcie baneru w warstwę analityczną opisuję szerzej przy wdrożeniach analityki GA4, GTM i Looker Studio - bo zgodność i pomiar to dziś jeden proces.
Zgody marketingowe i prawo do bycia zapomnianym
Zgoda na newsletter, SMS czy remarketing musi być dobrowolna, konkretna i odrębna od akceptacji regulaminu. Zakazane są zgody domyślnie zaznaczone i jeden wspólny haczyk "akceptuję regulamin i zgadzam się na marketing". Każdy cel to osobna, świadoma decyzja - i musisz umieć udowodnić, kiedy i jak została udzielona.
Równie ważne jest prawo do bycia zapomnianym. Klient może zażądać usunięcia danych, a sklep musi to wykonać tam, gdzie nie ma innej podstawy prawnej do ich przechowywania (dane do faktur podlegają osobnym terminom). Technicznie oznacza to:
- działający mechanizm usunięcia konta i powiązanych danych w panelu klienta,
- procedurę realizacji żądania w wymaganym terminie,
- uwzględnienie kopii zapasowych i systemów połączonych (mailing, ERP, analityka),
- anonimizację zamiast kasowania tam, gdzie dane są potrzebne do rozliczeń.
W PrestaShop i WooCommerce część tych funkcji jest dostępna natywnie lub przez moduły zgodności GDPR, ale prawie zawsze trzeba je dopiąć do integracji zewnętrznych - newslettera, systemu kurierskiego czy ERP Subiekt GT, gdzie dane klientów też się zapisują.
Bezpieczeństwo danych jako część RODO
RODO wymaga "odpowiednich środków technicznych i organizacyjnych". To nie jest osobny temat obok zgód - to ich fundament. Wyciek danych klientów to naruszenie, które trzeba zgłosić do UODO w ciągu 72 godzin, a często też powiadomić poszkodowanych. Dlatego bezpieczeństwo techniczne wpisuję w każdą checklistę RODO.
Minimalny zestaw zabezpieczeń, który wdrażam i kontroluję:
- Pełne HTTPS - cała witryna, formularze i panel administracyjny.
- Kontrola dostępu - silne hasła, role i uprawnienia, najlepiej logowanie dwuskładnikowe.
- Aktualizacje - sklep, moduły i wtyczki bez znanych podatności.
- Kopie zapasowe - regularne, testowane i przechowywane poza serwerem produkcyjnym.
- Logi i monitoring - wiesz, kto i kiedy miał dostęp do danych, i widzisz próby włamania.
Te elementy łączę z usługą bezpieczeństwa IT, bo zgodność z RODO bez technicznego zabezpieczenia sklepu istnieje tylko na papierze.
Najczęstsze błędy i kary
Decyzje UODO i organów w innych krajach UE powtarzają ten sam wzorzec - kary najczęściej dotyczą nie braku dokumentu, lecz braku działającego mechanizmu. Oto błędy, które widzę najczęściej w sklepach MŚP:
| Błąd | Skutek | Jak naprawiam |
|---|---|---|
| Domyślnie zaznaczone zgody marketingowe | Zgoda nieważna, ryzyko skargi i kary | Osobne, odznaczone checkboxy z jasnym celem |
| Baner bez realnego "Odrzuć" | Wymuszanie zgody, naruszenie zasady dobrowolności | Równorzędne przyciski akceptacji i odrzucenia |
| Skrypty śledzące ładowane przed zgodą | Przetwarzanie bez podstawy prawnej | Blokada tagów do decyzji + Consent Mode v2 |
| Brak reakcji na żądanie usunięcia danych | Naruszenie praw osoby, skarga do UODO | Procedura i mechanizm usunięcia konta |
| Brak umów powierzenia z dostawcami | Niekontrolowany przepływ danych | Inwentaryzacja podmiotów i podpisanie umów |
Kary za naruszenia RODO sięgają w skali UE milionów euro, ale dla MŚP groźniejsze bywa realne ryzyko: skarga klienta, kontrola, utrata zaufania i przestój sklepu po incydencie. Taniej i spokojniej jest wdrożyć zgodność raz, porządnie, niż gasić pożar po fakcie.
Chcesz mieć pewność, że Twój sklep PrestaShop lub WooCommerce spełnia wymagania RODO od strony technicznej? Przejdę checklistę, naprawię baner i Consent Mode v2 oraz zabezpieczę dane klientów.
Zapytaj o wycenęZobacz też zakres usługi zgodność z RODO albo umów konsultację, jeśli chcesz najpierw przejść swoje wątpliwości punkt po punkcie.
FAQ
Czy jednoosobowy sklep internetowy musi spełniać RODO?
Tak. RODO obowiązuje każdego, kto przetwarza dane osobowe klientów, niezależnie od wielkości firmy. Jednoosobowa działalność, która zbiera adresy do wysyłki i e-maile, ma te same obowiązki co duży sklep - różni się tylko skala wdrożenia i dokumentacji.
Czym jest Consent Mode v2 i czy muszę go mieć?
Consent Mode v2 to mechanizm Google, który przekazuje narzędziom (GA4, Google Ads) informację o zgodzie użytkownika i steruje używaniem plików cookie. Jeśli korzystasz z Google Ads lub GA4 i kierujesz reklamy do osób z EOG, jest praktycznie obowiązkowy - bez niego remarketing i pomiar konwersji przestają działać poprawnie.
Czy gotowy moduł GDPR wystarczy do zgodności z RODO?
Moduł GDPR w PrestaShop czy wtyczka w WooCommerce załatwia część funkcji (eksport danych, usunięcie konta, zgody), ale nie obejmuje całości. Trzeba go dopiąć do baneru, Consent Mode v2, integracji zewnętrznych oraz bezpieczeństwa sklepu, a treść polityki i podstawy prawne ocenia prawnik.
Jak szybko trzeba usunąć dane na żądanie klienta?
Żądanie realizuje się bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Usuwasz dane tam, gdzie nie ma innej podstawy ich przechowywania - dane z faktur podlegają odrębnym terminom podatkowym, więc często stosuje się anonimizację zamiast pełnego skasowania.
Czy bezpieczeństwo sklepu wlicza się do RODO?
Tak. RODO wymaga odpowiednich środków technicznych chroniących dane: HTTPS, kontroli dostępu, aktualizacji, kopii zapasowych i monitoringu. Wyciek danych to naruszenie, które trzeba zgłosić do UODO w ciągu 72 godzin, dlatego zabezpieczenia traktuję jako integralną część zgodności, a nie osobny dodatek.