Audyt powdrożeniowy serwisu. Sprawdź, czy polityka prywatności zgadza się z tym, co odpala się na stronie

Opublikowaliście nową politykę prywatności, baner cookies działa, klauzule poprawione. Temat RODO zamknięty — tak przynajmniej wynika z raportu po wdrożeniu. A potem ktoś otwiera Wasz sklep w czystej sesji przeglądarki i okazuje się, że jedno narzędzie opisane w polityce w serwisie nie istnieje, a trzy inne działają, choć nie ma ich ani w polityce, ani w rejestrze czynności przetwarzania.

To nie jest sytuacja hipotetyczna. To schemat, który pojawia się regularnie kilka tygodni po zakończeniu wdrożenia RODO. Zarząd żyje w przekonaniu, że dokumentacja jest kompletna. Tymczasem serwis żyje własnym życiem — marketing instaluje nowe wtyczki, dostawca aktualizuje integracje, a nikt nie informuje osoby odpowiedzialnej za ochronę danych.

Ten artykuł pokazuje, czym jest audyt powdrożeniowy serwisu, dlaczego sama polityka prywatności nie wystarcza do wykazania zgodności z RODO i jak w kilku krokach sprawdzić, czy deklaracje w dokumentach odpowiadają temu, co faktycznie odpala się na Twojej stronie. Dowiesz się też, jakie ryzyka niesie rozjazd między dokumentacją a stanem faktycznym — i co z tym zrobić, zanim zrobi to za Ciebie Prezes UODO.

Podstawowe pojęcia, które musisz znać

Zanim przejdziemy do metody badania, warto uporządkować kilka terminów. Nie chodzi o teorię — chodzi o to, żebyś wiedział, co dokładnie sprawdzasz i dlaczego.

Dlaczego wdrożenie RODO nie zamyka tematu

Wdrożenie polityki prywatności, uruchomienie banera cookies i poprawienie klauzul to punkt wyjścia — nie punkt końcowy. Rozliczalność z art. 5 ust. 2 RODO wymaga, żebyś był w stanie wykazać zgodność w każdym momencie, nie tylko w dniu publikacji dokumentów.

Problem polega na tym, że serwis internetowy zmienia się szybciej niż dokumentacja. Marketing dodaje piksel śledzący. Księgowość integruje nowe narzędzie do fakturowania. Dostawca serwisu aktualizuje wtyczkę zbierania opinii, która domyślnie włącza automatyczną wysyłkę zaproszeń do oceny zakupu. Każda z tych zmian to nowa czynność przetwarzania — z własnym celem, podstawą prawną i potencjalnie z obowiązkiem zgody na komunikację elektroniczną (art. 398 Prawa komunikacji elektronicznej).

Rozjazd działa w dwie strony

To najważniejsza obserwacja z przeglądów powdrożeniowych. Rozbieżność między dokumentacją a rzeczywistością nie jest jednokierunkowa:

Audyt przeprowadzony wyłącznie „z papieru” — czyli polegający na przeczytaniu polityki — nie wykryje żadnego z tych dwóch kierunków. Żeby je zobaczyć, trzeba otworzyć serwis i porównać to, co się w nim dzieje, z tym, co mówi dokumentacja.

Trzy typowe źródła rozjazdu

1. Wtyczki z domyślnie włączonymi funkcjami. Wtyczka zbierania opinii po zakupie może automatycznie wysyłać e-maile z zaproszeniem do oceny — i robi to od momentu instalacji, zanim ktokolwiek świadomie podejmie decyzję o uruchomieniu tej funkcji. To odrębna czynność przetwarzania, a przy wysyłce e-mailem — dodatkowo objęta art. 398 Prawa komunikacji elektronicznej.
2. Integracje dodawane przez inne działy. Integracja księgowo-fakturowa, nowe narzędzie analityczne, piksel marketingowy — każde z nich przetwarza dane osobowe i wymaga wpisu do rejestru czynności, opisu w polityce oraz sprawdzenia, czy dostawca ma umowę powierzenia.
3. Dostawca mechanizmu zgód pominięty w dokumentacji. Paradoks: narzędzie, które ma zapewniać zgodność z RODO, samo nie jest ujęte w rejestrze czynności ani w polityce prywatności. O dostawcy mechanizmu zgód zapomina się najczęściej — bo jest „od zgodności”.

Skontaktuj się z nami, jeśli chcesz sprawdzić, czy Twój serwis ma takie rozbieżności.

Jak przeprowadzić audyt powdrożeniowy serwisu krok po kroku

Przegląd powdrożeniowy nie wymaga specjalistycznego oprogramowania. Wymaga metody. Poniżej znajdziesz kolejność działań — od otwarcia przeglądarki po analizę treści polityki.

Krok 1: czysta sesja i obserwacja przed zgodą

1. Otwórz przeglądarkę w trybie prywatnym lub wyczyść dane witryny (cookies, pamięć podręczną, dane lokalne).
2. Wejdź na stronę serwisu — nie klikaj niczego na banerze cookies.
3. Otwórz narzędzia deweloperskie (F12 w większości przeglądarek).
4. Przejdź do zakładki Application → Storage → Cookies i spisz wszystkie cookies zapisane przed Twoją interakcją z banerem.
5. Przejdź do zakładki Network i sprawdź, jakie żądania sieciowe zostały wysłane — szukaj domen analitycznych, reklamowych i zewnętrznych.
6. Każdy cookie i każde żądanie zakwalifikuj: czy jest techniczne (niezbędne do działania serwisu), czy wymaga zgody.

Jeśli przed wyrażeniem zgody widzisz cookies analityczne lub reklamowe albo żądania do domen dostawców reklam — to sygnał alarmowy. Nie przesądza automatycznie o naruszeniu, ale wymaga wyjaśnienia: jaka jest podstawa prawna tego zapisu i czy użytkownik został o nim poinformowany.

Krok 2: sprawdzenie konfiguracji trybu zgody

Sprawdź wartości parametrów consent mode w kodzie strony:

Jeśli którykolwiek z tych parametrów ma domyślną wartość granted — narzędzia analityczne lub reklamowe uruchamiają się przed zgodą użytkownika.

Krok 3: ocena pierwszej warstwy banera

Otwórz baner cookies i sprawdź, jakie opcje widzi użytkownik na pierwszym ekranie:

Układ „spersonalizuj / zezwól na wszystkie” bez równorzędnego przycisku odrzucenia to wzorzec opisany jako niedozwolony w wytycznych EROD 03/2022. Art. 7 ust. 3 RODO wymaga, żeby wycofanie zgody było równie łatwe jak jej wyrażenie. Wyrok TSUE C-673/17 Planet49 potwierdził, że zgoda wymaga aktywnego, konkretnego działania, a wyrok C-61/19 Orange România wskazał, że zgoda nie jest dobrowolna, gdy użytkownik musi aktywnie sprzeciwić się przetwarzaniu (Decyzje Prezesa UODO – wykaz).

To zmiana, którą dostawca serwisu może wdrożyć na poziomie konfiguracji — nie wymaga nowego projektu ani dodatkowego budżetu.

Krok 4: zestawienie krzyżowe — polityka vs. serwis

To moment, w którym łączysz ustalenia techniczne z dokumentacją. Przygotuj dwie listy:

1. Narzędzia opisane w polityce, a niestwierdzone w serwisie — każde takie narzędzie to deklaracja przetwarzania, którego firma nie prowadzi.
2. Narzędzia stwierdzone w serwisie, a nieujęte w polityce i rejestrze czynności — każde takie narzędzie to przetwarzanie bez opisanej podstawy.

Rejestr systemów, który zawiera wyłącznie pozycje pozytywne („to mamy, to działa”), nie wykryje pierwszego kierunku rozjazdu. Dlatego warto celowo wpisywać pozycje negatywne z adnotacją „nie stwierdzono” — dzięki temu rejestr rozlicza dokumentację, a nie tylko spisuje stan.

Krok 5: weryfikacja klauzul informacyjnych

Przejdź przez wszystkie formularze w serwisie (kontaktowy, newsletterowy, rejestracyjny) i sprawdź klauzule pod nimi:

1. Czy dane administratora są uzupełnione — czy nie widnieje placeholder typu „(dane administratora danych osobowych…)”.
2. Czy klauzula zawiera pełny katalog informacji z art. 13 RODO: tożsamość administratora, cel przetwarzania, podstawę prawną, okres przechowywania, prawa osoby.
3. Czy formularz newslettera rozdziela dwie warstwy zgody: zgodę na kanał komunikacji elektronicznej (art. 398 Prawa komunikacji elektronicznej) od podstawy przetwarzania danych z RODO.

Niewypełniony placeholder potrafi przetrwać kilka przeglądów z rzędu — bo nikt nie czyta klauzuli, którą sam wkleił.

Krok 6: analiza treści polityki prywatności

Analizę treści polityki rób na końcu — żeby porównać ją z ustalonym stanem faktycznym, nie odwrotnie. Sprawdź:

1. Czy polityka jest oznaczona jako „projekt” — jeśli tak, jest wiążąca wobec osób, których dane dotyczą, a sama siebie opisuje jako niegotową.
2. Czy ma uzupełnioną datę publikacji.
3. Czy powołuje się na art. 173 Prawa telekomunikacyjnego (uchylony) zamiast na art. 399 Prawa komunikacji elektronicznej — odwołanie do uchylonego przepisu jest natychmiastowym sygnałem, że dokument jest przestarzały.
4. Czy odwołuje się do dokumentów, których nikt nie sporządził: oceny skutków transferu do państwa trzeciego (TIA), analizy ryzyka, oceny skutków dla ochrony danych (DPIA). TIA i DPIA to dwa odrębne dokumenty — TIA bada efektywność zabezpieczeń transferu w kontekście prawa państwa trzeciego, DPIA ocenia skutki przetwarzania z art. 35 RODO. Polityka, która powołuje się na oba, musi mieć oba sporządzone.

Najczęstsze uchybienia wykrywane w przeglądach powdrożeniowych

Z doświadczenia przeglądów serwisów e-commerce wyłania się powtarzalny wzorzec. Poniższa tabela grupuje uchybienia według priorytetu — od tych, które wymagają natychmiastowej reakcji, po te wymagające ustalenia stanu faktycznego.

Zwróć uwagę na pozycje „do ustalenia”. Przegląd prowadzony z zewnątrz nie powie nic o szyfrowaniu danych w spoczynku ani o testach kopii zapasowych — te elementy wymagają potwierdzenia od zespołu IT. Lepiej to napisać wprost, niż pozwolić uwierzyć, że raport obejmuje wszystko.

Wniosek, który powtarza się w każdym przeglądzie: większość uchybień pilnych to proste zmiany po stronie dostawcy serwisu. Nie wymagają nakładu po stronie firmy poza wydaniem polecenia. Lista uchybień nie musi oznaczać nowego projektu i nowego budżetu.

Rejestr systemów — narzędzie, które porządkuje cały proces

Sam przegląd to jednorazowe badanie. Żeby wyniki nie zaginęły i żeby kolejny przegląd miał punkt odniesienia, potrzebujesz rejestru systemów i narzędzi działających w serwisie.

Rejestr powinien mieć co najmniej cztery kolumny:

Pozycje negatywne (narzędzie opisane w polityce, ale niestwierdzone w serwisie) to świadoma decyzja dokumentacyjna. Dzięki nim rejestr rozlicza dokumentację, a nie tylko spisuje stan. Pozycja oceniona jako zgodna też powinna mieć wpis z rekomendacją utrzymaniową — inaczej po roku nikt nie pamięta, że coś sprawdzono i wypadło dobrze.

Transfery danych poza EOG

Przy każdym narzędziu z siedzibą poza Europejskim Obszarem Gospodarczym sprawdź podstawę transferu. Na dzień publikacji tego artykułu decyzja wykonawcza Komisji (UE) 2023/1795 ustanawiająca adekwatność ochrony w ramach EU-US Data Privacy Framework pozostaje formalnie obowiązująca (Decyzja (UE) 2023/1795 – tekst polski EUR-Lex). Obejmuje wyłącznie organizacje z USA certyfikowane w ramach DPF. Postępowania kwestionujące tę decyzję toczą się przed sądami UE (Dokument postępowania C_202506610), ale do daty publikacji nie zapadł prawomocny wyrok unieważniający.

Plan awaryjny: standardowe klauzule umowne (SCC) z art. 46 RODO, połączone z oceną prawa i praktyki państwa odbiorcy (Transfer Impact Assessment — TIA) oraz dodatkowymi środkami technicznymi (szyfrowanie, pseudonimizacja). SCC nie mogą być modyfikowane, ale mogą być włączone do szerszej umowy z dodatkowymi klauzulami, pod warunkiem że nie są z nimi sprzeczne.

Relacja z dostawcą serwisu — co wpisać do umowy

Dostawca serwisu (hosting, utrzymanie, rozwój) działa jako podmiot przetwarzający na podstawie art. 28 RODO. To on wdraża wtyczki, aktualizuje integracje i konfiguruje mechanizm zgód. Jeśli robi to bez Twojej wiedzy — Ty jako administrator tracisz kontrolę nad przetwarzaniem.

Art. 28 ust. 3 RODO daje Ci narzędzia, ale musisz je aktywnie wykorzystać w umowie powierzenia:

Kara umowna za niewykonanie tych obowiązków wymaga odrębnego uregulowania — RODO jej nie ustanawia automatycznie.

Jak często powtarzać przegląd

RODO nie określa sztywnej częstotliwości przeglądów. Art. 24 ust. 1 nakazuje wdrażać środki i „w razie potrzeby” je przeglądać i aktualizować. Art. 32 ust. 1 lit. d wymaga regularnego testowania i oceny skuteczności środków. Kontrole podmiotów przetwarzających powinny odbywać się co najmniej raz do roku (Wytyczne 05/2020 dotyczące zgody – UODO).

W kontekście serwisu internetowego sprawdza się następujący rytm:

Status „do ustalenia” z przeglądu powinien być tymczasowy. Przypisz każdej takiej pozycji właściciela (kto odpowiada za wyjaśnienie), termin odpowiedzi (zróżnicowany według ryzyka) i ścieżkę eskalacji przy braku odpowiedzi. Brak odpowiedzi nie jest akceptacją ryzyka — jest brakiem rozliczalności.

Możemy Ci w tym pomóc

Przegląd powdrożeniowy nie musi być skomplikowany — ale musi być rzetelny. Wymaga połączenia analizy technicznej serwisu z oceną dokumentacji i znajomością aktualnego stanu prawnego. To jest dokładnie to, co robimy w ramach rocznego programu ochrony danych.

Nasze wsparcie obejmuje trzy poziomy, dopasowane do potrzeb firmy:

1. Minimum operacyjne — jednorazowy przegląd serwisu z listą uchybień pilnych, zestawieniem krzyżowym polityka–serwis i rekomendacjami z adresatem i priorytetem.
2. Solidna baza — przegląd plus rejestr systemów i narzędzi, aktualizacja polityki prywatności i klauzul informacyjnych.
3. Pełne zabezpieczenie — roczny program z monitoringiem zmian prawa, rejestrem transferów i subprocesorów, cyklicznymi przeglądami oraz funkcją Inspektora Ochrony Danych po stronie kancelarii.

Pracujemy z firmami e-commerce, SaaS i IT, które traktują ochronę danych jako element zarządzania organizacją — nie jako jednorazowy projekt do zamknięcia.

Zgodność RODO to proces, nie dokument

Polityka prywatności to dokument. Zgodność z RODO to stan, który wymaga ciągłej weryfikacji. Każda nowa wtyczka, każda integracja, każda zmiana u dostawcy serwisu może stworzyć nową czynność przetwarzania — z własnym celem, podstawą prawną i obowiązkiem informacyjnym.

Audyt powdrożeniowy serwisu to metoda, która pozwala wykryć rozbieżności, zanim zrobi to organ nadzorczy. Większość uchybień pilnych to proste zmiany konfiguracyjne, które dostawca serwisu może wdrożyć na Twoje polecenie. Kosztowne są dopiero dokumenty, których nikt nie sporządził, i procesy, których nikt nie monitoruje.

Jeśli Twoja firma przeszła wdrożenie RODO i chcesz sprawdzić, czy temat faktycznie jest zamknięty — napisz do nas.

Najczęściej zadawane pytania

Zapłaciliśmy za wdrożenie RODO pół roku temu — po co nam kolejny przegląd tej samej strony?

Wdrożenie ustala stan na dzień publikacji dokumentów. Od tego momentu serwis się zmienia: marketing dodaje narzędzia, dostawca aktualizuje wtyczki, pojawiają się nowe integracje. Przegląd powdrożeniowy sprawdza, czy deklaracje z polityki nadal odpowiadają temu, co faktycznie dzieje się na stronie. Bez niego nie masz pewności, że dokumentacja jest aktualna — a rozliczalność z art. 5 ust. 2 RODO wymaga wykazania zgodności w każdym momencie, nie tylko w dniu wdrożenia.

Ile to kosztuje po stronie IT? Czy lista uchybień oznacza nowy projekt?

Większość uchybień pilnych wykrywanych w przeglądach to zmiany konfiguracyjne po stronie dostawcy serwisu — dodanie przycisku odrzucenia na banerze, uzupełnienie placeholdera w klauzuli, usunięcie oznaczenia „projekt” z polityki. Nie wymagają nakładu po stronie firmy poza wydaniem polecenia. Kosztowne stają się dopiero pozycje wymagające dokumentów, których nikt nie sporządził (TIA, DPIA, analiza ryzyka), oraz prace organizacyjno-techniczne po stronie IT (szyfrowanie, testy kopii zapasowych).

Jak sprawdzić w pięć minut, czy nasz baner cookies jest ustawiony prawidłowo?

Otwórz stronę w czystej sesji przeglądarki (tryb prywatny lub wyczyszczone dane witryny). Nie klikaj niczego na banerze. Sprawdź dwie rzeczy: czy na pierwszej warstwie banera obok „zezwól na wszystkie” jest równorzędny wizualnie przycisk „odrzuć wszystkie”, oraz czy w zakładce Application → Cookies w narzędziach deweloperskich nie pojawiły się cookies analityczne lub reklamowe przed Twoją interakcją z banerem. Jeśli brakuje przycisku odrzucenia lub cookies zapisują się przed zgodą — to sygnał wymagający wyjaśnienia.

Czy automatyczne maile z prośbą o opinię po zakupie wymagają osobnej zgody?

Automatyczna wysyłka zaproszeń do wystawienia opinii to odrębna czynność przetwarzania z własnym celem i podstawą prawną. Przy wysyłce e-mailem jest dodatkowo objęta art. 398 Prawa komunikacji elektronicznej, który wymaga zgody na przesyłanie niezamówionej informacji handlowej drogą elektroniczną. Funkcja ta bywa domyślnie włączona przy instalacji wtyczki zbierania opinii — sprawdź konfigurację i ustal, czy Twoja firma świadomie ją uruchomiła.

Czy polityka prywatności opublikowana jako „projekt” bez daty jest wiążąca?

Tak — polityka opublikowana w serwisie jest wiążąca wobec osób, których dane dotyczą, niezależnie od tego, jak ją oznaczyłeś. Oznaczenie „projekt” z pustym polem daty publikacji działa na Twoją niekorzyść: w razie sporu lub kontroli jest argumentem, że administrator sam uznał dokument za niegotowy, a mimo to opublikował go jako obowiązujący. Usuń oznaczenie „projekt” i uzupełnij datę publikacji.

Czy mogę zlecić taki przegląd dostawcy serwisu, czy musi go zrobić ktoś z zewnątrz?

Dostawca serwisu działa jako podmiot przetwarzający — nie powinien sam oceniać własnej zgodności. Przegląd powdrożeniowy powinien przeprowadzić ktoś niezależny od dostawcy: wewnętrzny IOD, zewnętrzny doradca lub kancelaria. Dostawca serwisu jest natomiast adresatem rekomendacji — to on wdraża zmiany konfiguracyjne i techniczne wynikające z przeglądu.