RODO na stronie firmowej – 7 rzeczy, które musisz mieć w 2026 roku

Na początek uspokojenie: celem tego artykułu nie jest wywołanie paniki. Urzędy nie polują na małe firmy z wizytówkami w internecie. Ale RODO obowiązuje każdego, kto przetwarza dane osobowe — a Twoja strona przetwarza dane, nawet jeśli wydaje Ci się, że nie. Formularz kontaktowy, statystyki odwiedzin, adresy IP w logach serwera: to wszystko dane osobowe w rozumieniu przepisów.

Do rzeczy. Siedem elementów, przez które przechodzę przy każdej stronie, którą buduję lub przejmuję w opiekę.

1. Polityka prywatności — konkretna, nie skopiowana

Podstawowy dokument, do którego linkujesz ze stopki. Musi opisywać Twoją stronę, nie „jakąś stronę": kto jest administratorem danych (pełne dane firmy), jakie dane zbierasz, po co, na jakiej podstawie prawnej, komu je powierzasz (hosting, narzędzia analityczne) i jakie prawa ma osoba, której dane dotyczą.

Polityka skopiowana z innej strony to klasyk: opisuje newsletter, którego nie masz, i sklep, którego nie prowadzisz — a nie wspomina o formularzu, który masz naprawdę. Taki dokument nie chroni, tylko dokumentuje niedbałość.

2. Baner cookies z prawdziwym wyborem

Wymogi są dziś jasne i konsekwentnie egzekwowane w całej UE:

• „Odrzuć" musi być tak samo łatwe jak „Akceptuj" — na tym samym poziomie banera, nie ukryte w „ustawieniach zaawansowanych".
• Zgoda przed załadowaniem skryptów — statystyki i piksele reklamowe mogą ruszyć dopiero po kliknięciu „Akceptuj", nie od wejścia na stronę.
• Możliwość zmiany decyzji — link „Ustawienia cookies" dostępny cały czas, np. w stopce.

Test, który możesz zrobić w minutę: otwórz swoją stronę w trybie prywatnym z otwartą konsolą przeglądarki (zakładka Sieć). Jeśli żądania do googletagmanager.com albo facebook.com lecą zanim cokolwiek klikniesz — Twój baner jest dekoracją.

3. Google Consent Mode v2 — jeśli używasz narzędzi Google

Od marca 2024 Google wymaga Consent Mode v2 od stron korzystających z Google Ads i GA4 w Europejskim Obszarze Gospodarczym. W praktyce: Twój baner cookies musi przekazywać do Google sygnały o zgodzie użytkownika w ustandaryzowanym formacie. Bez tego tracisz dane remarketingowe i konwersje w kampaniach — czyli płacisz za reklamy, których skuteczności nie możesz mierzyć.

4. Fonty Google hostowane lokalnie

Mało znany, a realny temat. Gdy strona ładuje fonty bezpośrednio z serwerów Google (typowe fonts.googleapis.com w kodzie), adres IP każdego odwiedzającego wędruje do Google — bez jego zgody. Niemiecki sąd (LG München, 2022) uznał to za naruszenie RODO i zasądził odszkodowanie na rzecz użytkownika. Od tamtej pory fala pozwów i wezwań przeszła przez Niemcy i Austrię.

Rozwiązanie jest proste i przy okazji przyspiesza stronę: pliki fontów hostuje się na własnym serwerze. Wszystkie strony, które buduję, mają fonty self-hosted w standardzie — łącznie z tą, którą właśnie czytasz.

5. Formularze ze zgodą i informacją

Każdy formularz zbierający dane (kontaktowy, zapis na newsletter, wycena) potrzebuje:

• klauzuli informacyjnej — krótka informacja kto i po co przetwarza dane, z linkiem do polityki prywatności,
• checkboxa zgody tam, gdzie jest wymagany — niezaznaczonego domyślnie,
• szyfrowanego przesyłania — czyli działającego certyfikatu SSL (o tym niżej).

Uwaga na drugą skrajność: nie każdy formularz wymaga checkboxa. Odpowiedź na zapytanie z formularza kontaktowego ma inną podstawę prawną niż wysyłka newslettera. Nadgorliwe checkboxy „zgadzam się na wszystko" potrafią być równie błędne jak ich brak.

6. Certyfikat SSL (kłódka) — absolutne minimum

Strona firmowa bez HTTPS w 2026 roku to jak biuro bez zamka w drzwiach. Przeglądarki oznaczają takie strony jako „Niezabezpieczone", Google obniża je w wynikach wyszukiwania, a przesyłanie danych z formularza bez szyfrowania to wprost naruszenie zasad RODO. Certyfikaty są dziś darmowe (Let's Encrypt) — nie ma żadnej wymówki.

7. Umowa powierzenia danych z dostawcami

Twoje dane klientów fizycznie leżą na serwerze hostingodawcy — czyli powierzasz mu ich przetwarzanie. Porządny hosting ma gotową umowę powierzenia (często akceptowaną razem z regulaminem — warto to sprawdzić, a nie zakładać). To samo dotyczy systemu do newslettera czy zewnętrznego CRM. Lista podmiotów, którym powierzasz dane, powinna pokrywać się z tym, co deklarujesz w polityce prywatności.

Ściąga: szybki audyt w 5 minut

Element	Jak sprawdzić	Czerwona flaga
Polityka prywatności	Czy opisuje realnie Twoją stronę?	Wzmianki o usługach, których nie masz
Baner cookies	Czy jest przycisk „Odrzuć" obok „Akceptuj"?	Tylko „Akceptuję" lub ukryte odrzucenie
Skrypty przed zgodą	Konsola przeglądarki → zakładka Sieć	Google/Meta ładują się od wejścia
Fonty Google	Szukaj „fonts.googleapis.com" w źródle strony	Fonty lecą z serwerów Google
Formularz	Czy jest klauzula informacyjna?	Samo pole „wyślij" bez słowa o danych
SSL	Kłódka przy adresie w przeglądarce	„Niezabezpieczona" przy adresie
Umowy powierzenia	Regulamin hostingu / panel usługodawcy	Nie wiesz, gdzie fizycznie są dane

Jedno zastrzeżenie na koniec: jestem specjalistą od stron internetowych, nie prawnikiem — powyższa lista to praktyka wdrożeniowa, a w nietypowych sytuacjach (dane medyczne, marketing na dużą skalę) warto skonsultować się z kancelarią. Natomiast te siedem punktów to poziom, poniżej którego żadna firmowa strona schodzić nie powinna.

Planujesz nową stronę albo sklep? Zobacz też: ile kosztuje sklep internetowy w 2026 — formalności RODO to stały element każdej mojej wyceny, nie płatny dodatek.