Dane osobowe w e-commerce. Jak uporządkować chaos, zanim zacznie kosztować.

Dla przedsiębiorcy RODO E-commerce

lipiec 2026

8 minut

Ile narzędzi w Twoim sklepie internetowym przetwarza dane klientów? Jeśli odpowiedź brzmi „nie wiem dokładnie” — masz problem, o którym prawdopodobnie nie wie Twój zarząd, ale wie UODO.

Checkout, konto użytkownika, newsletter, Meta Pixel, Google Analytics, system mailingowy, chatbot, firma kurierska, operator płatności, CRM, heatmapy, pop-upy zapisu — to kilkanaście punktów, w których Twój sklep zbiera i przetwarza dane osobowe. Każdy z nich wymaga odrębnej podstawy prawnej, aktualnej klauzuli informacyjnej i — w przypadku zewnętrznych narzędzi — umowy powierzenia przetwarzania danych.

Tymczasem w większości sklepów internetowych dokumentacja opisuje model sprzed dwóch lat, polityka prywatności jest skopiowana z innego projektu, a marketing działa na zasadzie „jak działa”, a nie „jak powinno działać”. Prezes UODO w 2025 r. nałożył kary o łącznej wartości blisko 64,5 mln zł — wzrost o ok. 400% rok do roku — a e-commerce znalazł się wśród priorytetowych sektorów kontroli.

W tym artykule pokażę, jak wygląda typowy chaos danych w e-commerce, jakie ryzyka z tego wynikają i jak w czterech krokach przejść od rozproszonych procesów do uporządkowanego modelu ochrony danych osobowych w e-commerce — bez blokowania sprzedaży i marketingu.

Pojęcia, które warto znać przed lekturą

Zanim przejdziemy do meritum, kilka terminów, które pojawiają się w artykule i mają konkretne znaczenie prawne:

Jak wygląda chaos danych w typowym sklepie internetowym

Dane osobowe w e-commerce nie są zgromadzone w jednym miejscu. Pojawiają się w koncie klienta, checkoucie, newsletterze, kampaniach reklamowych, pikselach śledzących, formularzach kontaktowych, integracjach z dostawcami i obsłudze posprzedażowej. Każdy z tych elementów może działać na innej podstawie prawnej, zbierać inne kategorie danych i przekazywać je innym odbiorcom.

Problem polega na tym, że za poszczególne elementy odpowiadają różne zespoły:

Każdy z tych zespołów podejmuje decyzje o danych lokalnie, bez wspólnego modelu. Marketing wdraża nowe narzędzie analityczne. IT integruje kolejny system. Customer care zbiera dane w formularzach reklamacyjnych. Nikt nie sprawdza, czy za każdym z tych działań stoi świadoma decyzja, aktualna dokumentacja i umowa powierzenia.

Efekt: dokumentacja opisuje inny model niż ten, który faktycznie działa. Polityka prywatności mówi o trzech narzędziach, a sklep korzysta z dwunastu. Klauzule informacyjne są skopiowane z poprzedniego projektu. Zgody marketingowe nie rozróżniają celów przetwarzania.

To nie jest problem teoretyczny. Prezes UODO nałożył na DPD Polska łącznie ponad 11 mln zł kary — w tym 6,251 mln zł za korzystanie z usług zewnętrznych przewoźników bez zawarcia umów powierzenia przetwarzania danych. Dla sklepu internetowego, który przekazuje dane klientów firmom kurierskim, operatorom płatności i dostawcom narzędzi marketingowych, to bezpośredni sygnał ostrzegawczy.

Skontaktuj się — pomożemy Ci zdiagnozować stan ochrony danych w Twoim e-commerce.

Ryzyka, które rosną z każdą nową kampanią i integracją

Ryzyko niespójności między praktyką a dokumentacją

To najczęstsze źródło problemów przy kontroli UODO lub skardze klienta. Sklep komunikuje w polityce prywatności określony model przetwarzania, ale faktycznie działa inaczej — korzysta z większej liczby narzędzi, zbiera dane w innych punktach, przekazuje je innym odbiorcom.

Sprawa Morele.net — kara ponad 3,8 mln zł za brak adekwatnych środków bezpieczeństwa po wycieku danych 2,2 mln klientów — pokazuje, że UODO ocenia nie tylko treść dokumentów, ale przede wszystkim to, czy środki techniczne i organizacyjne odpowiadają rzeczywistemu modelowi działania.

Ryzyko w obszarze marketingu i profilowania

Marketing w e-commerce działa szybko. Nowe kampanie, nowe automatyzacje, nowe segmenty. Zgodność z RODO często nie nadąża za praktyką.

Trzy obszary, w których ryzyko jest najwyższe:

1. Remarketing bez właściwej zgody. Meta Pixel i Google Ads wymagają zgody na cookies analityczne i marketingowe zgodnie z PKE. Banner cookiowy, który wyświetla informację, ale nie blokuje skryptów do momentu wyrażenia zgody, nie spełnia wymogów prawa.
2. Profilowanie bez podstawy prawnej. Personalizacja cen, rekomendacje produktowe oparte na historii zakupów, automatyczna segmentacja klientów — to profilowanie w rozumieniu RODO (art. 4 pkt 4). Wymaga odrębnej podstawy prawnej i poinformowania klienta o prawie do sprzeciwu.
3. Łączenie danych z różnych źródeł. Gdy e-commerce łączy dane transakcyjne, behawioralne i marketingowe w jednym ekosystemie, tworzy mieszane zbiory danych. Zgodnie z rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych, jeśli dane osobowe i nieosobowe są nierozerwalnie związane, RODO ma zastosowanie do całego zbioru — nawet jeśli dane osobowe stanowią jego niewielką część.

Wytyczne EROD 03/2022 dotyczące dark patterns wskazują sześć kategorii zwodniczych wzorców projektowych, które mogą występować w banerach cookies i interfejsach zgód. Badanie UOKiK wykazało, że 75,7% przebadanych stron i aplikacji stosowało co najmniej jeden dark pattern. Najczęstsze: preselekcja (automatyczne zaznaczenie opcji za konsumenta) oraz fałszywy social proof („najczęściej wybierany”).

Ryzyko w relacjach z dostawcami technologii

Typowy sklep internetowy korzysta z kilkunastu zewnętrznych narzędzi: Google Analytics, Meta Pixel, system mailingowy (np. Mailchimp, GetResponse), CRM, heatmapy (np. Hotjar), platforma e-commerce, hosting, operator płatności, firma kurierska, software house.

Każde z tych narzędzi przetwarza dane klientów sklepu. Każde wymaga umowy powierzenia przetwarzania danych (art. 28 RODO). Brak takiej umowy oznacza, że odpowiedzialność za naruszenia po stronie dostawcy spoczywa na sklepie jako administratorze.

Dodatkowe wyzwanie to transfer danych poza EOG. Decyzja Komisji Europejskiej z 10 lipca 2023 r. o adekwatności EU-US Data Privacy Framework (DPF) upraszcza transfer danych do certyfikowanych podmiotów w USA. Wyrok Sądu UE z 3 września 2025 r. potwierdził ważność tej decyzji. Oznacza to, że transfer danych do Google, Meta czy Microsoft — jeśli są certyfikowane w DPF — może opierać się na art. 45 RODO.

Ale DPF nie zwalnia z pozostałych obowiązków:

1. Zgoda na cookies analityczne i marketingowe zgodnie z PKE
2. Obowiązek informacyjny z art. 13 i 14 RODO (wskazanie, że dane są przekazywane do USA i na jakiej podstawie)
3. Weryfikacja, czy konkretna jednostka dostawcy jest aktywnie certyfikowana i czy certyfikacja obejmuje dany typ danych
4. Podstawa prawna przetwarzania danych z art. 6 RODO (niezależna od mechanizmu transferu)

Ryzyko osobistej odpowiedzialności zarządu

Zarząd ponosi odpowiedzialność za obszar, którego operacyjnie nie kontroluje. Ryzyko jest rozproszone między marketing, e-commerce, IT, customer care i zewnętrznych partnerów — ale formalna odpowiedzialność spoczywa na administratorze danych. Kara 5,898 mln zł dla Glovo (Restaurant Partner Polska) za bezpodstawne pozyskiwanie skanów dowodów tożsamości użytkowników pokazuje, że organ nie rozróżnia między „to marketing tak ustawił” a „zarząd o tym wiedział”.

Cztery kroki do uporządkowania danych w e-commerce

Uporządkowanie ochrony danych osobowych w e-commerce nie wymaga zatrzymania sprzedaży ani przebudowy całego marketingu. Wymaga natomiast systematycznego podejścia. Poniżej cztery kroki, które prowadzą od diagnozy do spójnego modelu.

Krok 1: mapowanie punktów zbierania danych

Zacznij od stworzenia pełnej listy miejsc, w których Twój sklep zbiera dane osobowe. Dla każdego punktu ustal:

Cel: uzyskać pełny obraz tego, co faktycznie dzieje się z danymi w sklepie. Dopiero po tej inwentaryzacji można ocenić, czy dokumentacja odpowiada rzeczywistości.

Krok 2: inwentaryzacja narzędzi i umów powierzenia

Zrób listę wszystkich zewnętrznych narzędzi i usług, które przetwarzają dane klientów. Dla każdego sprawdź:

1. Czy jest zawarta umowa powierzenia przetwarzania danych (art. 28 RODO)
2. Czy dane są transferowane poza EOG — jeśli tak, na jakiej podstawie (DPF, standardowe klauzule umowne, inna)
3. Czy zakres powierzenia odpowiada faktycznemu zakresowi przetwarzania
4. Czy dostawca wdrożył odpowiednie środki bezpieczeństwa

Jeśli korzystasz z narzędzi US-based (Google Analytics, Meta, Mailchimp, HubSpot), zweryfikuj, czy konkretna jednostka dostawcy jest certyfikowana w ramach EU-US Data Privacy Framework. Lista certyfikowanych podmiotów jest publiczna i dostępna na stronie Departamentu Handlu USA.

Krok 3: aktualizacja dokumentacji i mechanizmów zgód

Na podstawie wyników kroków 1 i 2 zaktualizuj:

1. Politykę prywatności — tak, aby opisywała faktyczny model działania sklepu, a nie szablon z poprzedniego projektu. Wskaż realne procesy, narzędzia i cele przetwarzania.
2. Klauzule informacyjne — odrębne dla każdego punktu zbierania danych (checkout, konto, newsletter, formularz kontaktowy). Każda klauzula musi zawierać 10 elementów wymaganych przez RODO, w tym informację o profilowaniu i transferze poza EOG.
3. Mechanizm zgód cookies — upewnij się, że banner cookiowy faktycznie blokuje skrypty do momentu wyrażenia zgody. Zapewnij równorzędną wizualnie opcję odmowy. Wdróż stały mechanizm ponownego otwarcia panelu zgody.
4. Zgody marketingowe — rozdziel zgody na poszczególne cele: newsletter, remarketing, profilowanie, automatyzacje. Blankietowa zgoda na wiele celów jednocześnie jest niedopuszczalna zgodnie z wytycznymi EROD 05/2020.

Krok 4: ustalenie zasad wewnętrznych i procedury aktualizacji

1. Wyznacz jedną osobę odpowiedzialną za koordynację tematu danych osobowych. Nie musi to być Inspektor Ochrony Danych — wystarczy osoba, która zbiera informacje z marketingu, IT, customer care i e-commerce.
2. Przygotuj prosty dokument dla marketingu — „co wolno, czego nie, na jakiej podstawie” w zakresie remarketingu, segmentacji, profilowania i automatyzacji.
3. Wdróż procedurę aktualizacji — po każdej istotnej zmianie (nowa integracja, nowy kanał marketingowy, zmiana dostawcy) dokumentacja musi być zaktualizowana. Bez tego polityka prywatności zacznie ponownie odbiegać od rzeczywistości w ciągu kilku tygodni.
4. Przygotuj procedurę reakcji na incydent — kto reaguje, w jakim czasie, jakie kroki podejmuje, kiedy eskaluje do prawnika. Termin zgłoszenia naruszenia do UODO to 72 godziny od wykrycia (art. 33 RODO). Toyota Bank Polska zapłaciła 78 tys. zł kary za przekroczenie tego terminu.
5. Przeprowadź krótkie szkolenie dla zespołów marketingu, customer care i e-commerce — nie z teorii RODO, ale z konkretnych reguł dla ich codziennych zadań.

UODO patrzy na e-commerce — plan kontroli sektorowych

Prezes UODO w planie kontroli sektorowych na 2025 r. wprost wskazał branżę e-commerce jako jeden z priorytetowych obszarów nadzoru. Wcześniej, w planach na 2022 r. i 2026 r., organ również uwzględniał sektory powiązane z handlem online.

UODO nie publikuje oficjalnego „scenariusza” kontroli dla e-commerce, ale na podstawie dotychczasowych decyzji i sprawozdań organu można zrekonstruować obszary weryfikowane w pierwszej kolejności:

W 2024 r. do UODO wpłynęło 8 056 skarg i 14 842 zgłoszenia naruszeń. W 2025 r. liczba skarg wzrosła do ok. 12 986, a zgłoszeń naruszeń do 22 435. Kontrola nie musi zacząć się od inicjatywy organu — wystarczy skarga klienta, by UODO przyjrzał się całemu modelowi przetwarzania danych w sklepie.

Warto też pamiętać o dodatkowych obowiązkach wynikających z DSA (akt o usługach cyfrowych), który od 17 lutego 2024 r. stosowany jest w całości. Art. 25 DSA zabrania projektowania interfejsów w sposób manipulujący lub zakłócający zdolność użytkowników do podejmowania wolnych decyzji. Dla marketplace’ów i platform sprzedażowych oznacza to kolejną warstwę regulacyjną obok RODO.

Jak możemy pomóc uporządkować dane osobowe w Twoim e-commerce

Uporządkowanie ochrony danych w sklepie internetowym to nie jednorazowa aktualizacja polityki prywatności. To przegląd całego modelu — od punktów zbierania danych, przez narzędzia marketingowe i analityczne, po relacje z dostawcami technologii.

Nasze wsparcie obejmuje:

1. Audyt przetwarzania danych — mapowanie wszystkich punktów zbierania danych, inwentaryzacja narzędzi, weryfikacja umów powierzenia i mechanizmów zgód
2. Raport ryzyk i rekomendacji — wskazanie obszarów wymagających korekty, ocena poziomu ryzyka, szacunek możliwych konsekwencji
3. Aktualizacja dokumentacji — polityka prywatności, klauzule informacyjne, umowy powierzenia, regulamin cookies — dopasowane do faktycznego modelu działania sklepu
4. Zasady dla marketingu — dokument „co wolno, czego nie, na jakiej podstawie” dla remarketingu, profilowania, automatyzacji i segmentacji
5. Szkolenie dla zespołów — praktyczne reguły pracy z danymi dla marketingu, customer care i e-commerce
6. Stałe wsparcie — monitoring zmian regulacyjnych, aktualizacja dokumentacji po zmianach w modelu biznesowym, wsparcie przy incydentach

Pracujemy z e-commerce, SaaS i platformami cyfrowymi. Znamy specyfikę szybkich wdrożeń, równoległych integracji i presji na wyniki marketingowe. Projektujemy rozwiązania, które porządkują ryzyko bez blokowania sprzedaży i user experience.

Uporządkuj dane, zanim zacznie to kosztować

Ochrona danych osobowych w e-commerce to nie kwestia jednorazowego dokumentu. To model, który musi nadążać za biznesem — za nowymi narzędziami, kampaniami, integracjami i kanałami sprzedaży.

Kary UODO rosną (64,5 mln zł w 2025 r.), e-commerce jest wśród priorytetowych sektorów kontroli, a skarga jednego klienta może uruchomić weryfikację całego modelu przetwarzania danych. Jednocześnie — prawo do ochrony danych nie jest bezwzględne. Celem nie jest zakaz zbierania danych, lecz uporządkowanie procesów tak, by przetwarzanie było proporcjonalne, uzasadnione i przejrzyste.

Jeśli nie wiesz, ile narzędzi w Twoim sklepie przetwarza dane klientów, od czego zacząć porządkowanie i czy Twoja dokumentacja odpowiada rzeczywistości — napisz do nas. Pokażemy, gdzie są najważniejsze luki i pomożemy je zamknąć.

Najczęściej zadawane pytania

Skąd mam wiedzieć, czy mój sklep internetowy jest zgodny z RODO, skoro politykę prywatności pisał ktoś inny dwa lata temu?

Zgodność z RODO nie zależy od tego, kto napisał politykę prywatności, lecz od tego, czy opisuje ona faktyczny model działania sklepu. Jeśli od momentu jej powstania zmieniłeś platformę, wdrożyłeś nowe narzędzia marketingowe, dodałeś integracje lub zmienił się sposób obsługi klienta — dokumentacja prawdopodobnie nie odpowiada rzeczywistości. Zacznij od porównania tego, co jest opisane w polityce, z tym, co faktycznie dzieje się w sklepie. Jeśli widzisz rozbieżności — zaktualizuj dokumentację lub zleć audyt.

Czy mogę legalnie prowadzić remarketing przez Meta Pixel i Google Ads bez wyraźnej zgody użytkownika?

Nie. Zarówno Meta Pixel, jak i Google Ads opierają się na cookies marketingowych, które wymagają uprzedniej zgody użytkownika zgodnie z Prawem komunikacji elektronicznej. Banner cookiowy musi faktycznie blokować skrypty do momentu wyrażenia zgody — samo wyświetlenie informacji nie wystarczy. Po uzyskaniu zgody na cookies potrzebujesz jeszcze podstawy prawnej przetwarzania danych z art. 6 RODO. Transfer danych do Meta i Google w USA może opierać się na EU-US Data Privacy Framework, ale pod warunkiem weryfikacji certyfikacji konkretnej jednostki dostawcy.

Co mi grozi, jeśli nie mam umów powierzenia danych z dostawcami narzędzi, z których korzystam od lat?

Brak umowy powierzenia przetwarzania danych (art. 28 RODO) oznacza, że cała odpowiedzialność za naruszenia po stronie dostawcy spoczywa na Tobie jako administratorze. DPD Polska zapłaciło 6,251 mln zł kary właśnie za korzystanie z usług zewnętrznych przewoźników bez zawarcia takich umów. Fortum Marketing and Sales Polska zostało ukarane kwotą 4,9 mln zł m.in. za brak weryfikacji podmiotu przetwarzającego. Zrób inwentaryzację wszystkich narzędzi i dla każdego sprawdź, czy umowa powierzenia istnieje i czy odpowiada faktycznemu zakresowi przetwarzania.

Kto w firmie powinien odpowiadać za dane osobowe — ja jako CEO, dział marketingu, IT, czy powinienem zatrudnić IOD?

Formalnie odpowiedzialność spoczywa na administratorze danych, czyli na Twojej firmie — a za firmę odpowiada zarząd. Nie każdy e-commerce musi wyznaczać Inspektora Ochrony Danych (IOD), ale każdy powinien mieć jedną osobę koordynującą temat danych osobowych w organizacji. Ta osoba zbiera informacje z marketingu, IT, customer care i e-commerce, pilnuje aktualizacji dokumentacji i eskaluje problemy. Bez takiej koordynacji każdy zespół podejmuje decyzje o danych osobno — i nikt nie ma pełnego obrazu.

Czy muszę aktualizować dokumentację za każdym razem, gdy wdrażam nowe narzędzie marketingowe?

Tak — jeśli nowe narzędzie przetwarza dane osobowe klientów (a w e-commerce prawie każde narzędzie to robi). RODO wymaga, by dokumentacja odzwierciedlała aktualny stan przetwarzania. Nowe narzędzie oznacza nowy punkt przetwarzania, potencjalnie nowego odbiorcę danych i nową podstawę prawną. Bez aktualizacji polityki prywatności, klauzul informacyjnych i rejestru czynności przetwarzania Twoja dokumentacja zaczyna odbiegać od rzeczywistości — a to najczęstsze źródło problemów przy kontroli UODO lub skardze klienta.

Jeśli klient złoży skargę do UODO, to urząd sprawdzi cały mój model przetwarzania danych, czy tylko ten jeden punkt?

UODO może ograniczyć się do zbadania konkretnej skargi, ale może też rozszerzyć zakres postępowania, jeśli w trakcie analizy wykryje inne nieprawidłowości. Sprawa Morele.net zaczęła się od wycieku danych, ale organ ocenił cały model zabezpieczeń — techniczny i organizacyjny. Dlatego warto traktować każdą skargę jako potencjalny punkt wejścia do szerszej weryfikacji i zadbać o spójność całego modelu ochrony danych, a nie tylko pojedynczych elementów.