RODO w sklepie internetowym: 5 błędów, które popełnia się w e‑commerce
RODO, czyli unijne Ogólne Rozporządzenie o Ochronie Danych Osobowych, obowiązuje od 2018 r. i w 2025 r. ciągle jest jednym z najważniejszych aktów prawnych regulujących działalność sklepów internetowych. Wielu właścicieli e‑biznesów wciąż jednak postrzega ochronę danych jak uciążliwy dodatek.
Tymczasem kary za naruszenia potrafią sięgać milionów euro, a najczęstsze błędy wynikają raczej z niedbalstwa niż złej woli. Oto przedstawiam pięć typowych pomyłek, które w 2024–2025 r. wytknął Urząd Ochrony Danych Osobowych (PUODO) i sądy – zobacz, co proponujemy, by im zapobiegać.
Błąd 1 – brak audytu RODO i nieaktualna dokumentacja
Zgodnie z RODO przedsiębiorca prowadzący sklep online powinien prowadzić rejestr czynności przetwarzania danych, dokumentować podstawy prawne i regularnie weryfikować swoje procedury. Tymczasem wiele firm w ogóle nie przeprowadza audytów lub bazuje na dokumentach sprzed kilku lat. Kontrola PUODO w 2024 r. wykazała, że firma usługowa z Wrocławia została ukarana 200 tys. zł za brak rejestru czynności.
Brak audytu utrudnia ocenę, jakie dane są zbierane i na jakiej podstawie prawnej, dlatego podstawową praktyką powinien być:
- Regularny audyt RODO – minimum raz w roku przeprowadzić inwentaryzację procesów i zweryfikować, czy baza danych jest aktualna.
- Aktualizacja dokumentacji – polityki prywatności i rejestry czynności powinny odzwierciedlać rzeczywiste działania. Kopiowanie cudzych wzorców bez dostosowania do specyfiki działalności jest błędem.
Błąd 2 – niewłaściwe zbieranie zgód marketingowych i cookies
Zgoda na przetwarzanie danych musi być dobrowolna, konkretna, świadoma i jednoznaczna. Mimo to w wielu sklepach zgody są domyślnie zaznaczone lub łączone w jednym checkboxie dla kilku celów. PUODO w 2024 r. nałożył 500 tys. zł kary na sklep internetowy za brak prawidłowych zgód marketingowych.
Błędów jest więcej:
- Ukrywanie przycisku „Odrzuć” w banerze cookies. W 2024 r. Trybunał Sprawiedliwości UE wskazał, że użytkownik musi równie łatwo odrzucić cookies, jak je zaakceptować. Nowe wytyczne UODO z marca 2025 r. wprost zakazują bannerów z jednym przyciskiem „Akceptuję” bez równoważnej opcji „Odrzuć wszystkie”.
- Domyślne zaznaczanie zgód lub łączenie kilku zgód w jedno pole – jest to sprzeczne z art. 6 ust. 1 lit. a RODO. Formularze powinny mieć oddzielne pola na zgodę marketingową, analityczną, profilowanie itd.
Co zrobić?
- Stosować przejrzyste formularze zgody, bez ukrytych checkboxów.
- Przechowywać dowody wyrażenia zgody – datę, sposób i treść.
- Umożliwić odrzucenie cookies jednym kliknięciem i zapewnić realną alternatywę (np. wersję bez śledzenia).
Błąd 3 – brak procedur reagowania na incydenty
RODO nakłada obowiązek zgłaszania naruszeń danych do PUODO w ciągu 72 godzin i informowania osób, których dane dotyczą. Wiele firm nie ma formalnych procedur reakcji, co skutkuje spóźnionymi zgłoszeniami. Przykładowo w 2024 r. jedna z firm IT otrzymała 300 tys. zł kary za opóźnienie zgłoszenia wycieku danych.
Aby uniknąć problemów, należy:
- Opracować procedury incydentów – określić, kto zgłasza naruszenie i jak informuje poszkodowane osoby.
- Wdrożyć systemy monitorowania – narzędzia DLP umożliwiają szybkie wykrycie wycieków.
- Szkolenia zespołu – pracownicy powinni umieć rozpoznać phishing i inne zagrożenia.
Błąd 4 – niedostateczne zabezpieczenia techniczne i organizacyjne
Naruszenia RODO często wynikają z braku szyfrowania, ograniczeń dostępu lub audytów IT. W 2024 r. firma z sektora zdrowotnego zapłaciła 1 mln zł kary za brak szyfrowania bazy pacjentów. Niewystarczające zabezpieczenia techniczne są szczególnie niebezpieczne w dobie ataków ransomware.
Dobre praktyki obejmują:
- Szyfrowanie danych w transporcie i przechowywaniu – np. protokoły TLS, szyfrowanie baz danych.
- Zasada najmniejszych uprawnień – tylko upoważnieni pracownicy mają dostęp do danych.
- Regularne audyty IT – testy penetracyjne i ocena infrastruktury pozwalają wykryć luki zanim zrobią to cyberprzestępcy.
Błąd 5 – niewłaściwe umowy powierzenia przetwarzania danych
Sklepy internetowe korzystają z zewnętrznych podmiotów: dostawców hostingu, systemów ERP czy firm kurierskich. RODO wymaga zawarcia umów powierzenia przetwarzania danych określających obowiązki stron. Niestety wiele firm nie podpisuje takich umów lub używa ogólnych wzorców. W 2024 r. e‑commerce ukarano 400 tys. zł za brak umowy z dostawcą usług chmurowych.
Aby zminimalizować ryzyko:
- Weryfikować podwykonawców pod kątem zgodności z RODO i bezpieczeństwa.
- Sporządzać szczegółowe umowy powierzenia, określające zakres, czas i cel przetwarzania, obowiązki podwykonawcy oraz procedury reagowania.
- Regularnie audytować dostawców pod kątem przestrzegania umowy.
Błędy w ochronie danych osobowych wynikają często z braku świadomości i procedur. W 2025 r. inspektorzy PUODO zapowiadają wzmożone kontrole banerów cookies i zgód marketingowych, a sądy europejskie zaostrzają linię orzeczniczą. Właściciele sklepów internetowych powinni traktować RODO jako inwestycję w zaufanie klientów, a nie uciążliwy obowiązek. Regularne audyty, przejrzyste formularze zgód, procedury incydentów, solidne zabezpieczenia i rzetelne umowy powierzenia to fundamenty zgodności z prawem. Ich wdrożenie pomaga uniknąć wysokich kar oraz buduje reputację sklepu, który dba o prywatność swoich klientów.
Czy potrzebujesz audytu RODO?
Jeśli tak skontaktuj się z OPISEO – nasi specjaliści pomogą w dostosowaniu Twojego e-sklepu do wymogów związanych z przetwarzaniem danych osobowych. Napisz czego dotyczy Twój problem – skontaktujemy się natychmiast.
