RODO dla małych firm: 5 błędów, które kosztują najwięcej

Na stronach małych firm najczęściej powtarza się pięć błędów RODO: brak informacji o przetwarzaniu danych przy formularzu, polityka prywatności skopiowana z cudzej strony, skrypty analityczne i reklamowe ładowane przed zgodą na cookies, brak umów powierzenia z dostawcami oraz zbieranie danych „na zapas”. Wszystkie da się naprawić w kilka dni, a część z nich w jedno popołudnie.

RODO obowiązuje od 2018 roku, ale wciąż większość stron, które audytuję, ma przynajmniej jedno z poniższych niedopatrzeń. Rzadko kończy się to od razu karą z UODO. Częściej problemem jest utracone zaufanie klienta albo skarga konkurencji. Warto jednak wiedzieć, że przepisy przewidują kary do 20 mln euro lub 4% rocznego obrotu, a organ bierze pod uwagę, czy firma w ogóle podjęła jakiekolwiek działania.

Pięć najczęstszych błędów

1. Formularz bez informacji, co dzieje się z danymi

Każdy formularz, który zbiera imię, e-mail czy telefon, musi informować, kto jest administratorem danych, w jakim celu i na jakiej podstawie je przetwarza oraz jakie prawa ma osoba (art. 13 RODO). Najprościej: krótka informacja pod formularzem i link do polityki prywatności. W gabinetach, np. na stronie dla logopedy czy dla osteopaty, formularz zapisu pyta tylko o kontakt i termin, a nie o stan zdrowia. Tak samo na stronie dla położnej, gdzie do zapisu wystarcza tydzień ciąży, i dla podologa, gdzie zdjęcia stóp trafiają do galerii tylko za pisemną zgodą.

Uwaga na popularny mit: do odpowiedzi na zapytanie z formularza zgoda zazwyczaj nie jest potrzebna. Podstawą jest podjęcie działań na prośbę osoby przed zawarciem umowy lub prawnie uzasadniony interes. Zgodę (osobny, niezaznaczony checkbox) zbierasz wtedy, gdy chcesz wysyłać newsletter albo informacje handlowe.

2. Polityka prywatności skopiowana z innej strony

Zdarza się częściej, niż myślisz, czasem razem z nazwą innej firmy w treści. Polityka musi opisywać Twoje faktyczne procesy: jakie formularze masz, jakich narzędzi używasz (analityka, czat, newsletter, płatności), komu przekazujesz dane i jak długo je przechowujesz.

3. Banner cookies, który niczego nie blokuje

Najczęstszy błąd techniczny: banner się wyświetla, ale Google Analytics, piksel Meta czy mapy cieplne ładują się, zanim użytkownik cokolwiek kliknie. Pliki cookies i skrypty, które nie są niezbędne do działania strony, mogą wystartować dopiero po zgodzie. Tak wynika z przepisów o cookies (obecnie ustawa Prawo komunikacji elektronicznej) i z wytycznych europejskich organów ochrony danych. Odmowa musi być tak samo łatwa jak akceptacja.

4. Brak umów powierzenia z dostawcami

Hosting, system mailingowy, CRM, narzędzie do rezerwacji: każdy z nich przetwarza dane Twoich klientów w Twoim imieniu. Potrzebujesz z nimi umowy powierzenia (art. 28 RODO). U dużych dostawców zwykle akceptujesz ją w panelu (DPA); wystarczy ją znaleźć i zachować.

Ten sam obowiązek dotyczy wykonawcy strony, jeśli po starcie ma wgląd w zgłoszenia z formularzy albo w bazę klientów sklepu. Umowę powierzenia najlepiej podpisać razem z umową na stronę; o innych zapisach, które warto w niej mieć, piszę w tekście o pytaniach przed podpisaniem umowy.

5. Zbieranie danych „na zapas”

Pole „PESEL”, „data urodzenia” czy „adres” w formularzu kontaktowym, bo „kiedyś się przyda”. Zasada minimalizacji mówi jasno: zbierasz tylko to, czego naprawdę potrzebujesz do celu. Mniej pól to też wyższa konwersja formularza.

Checklista: co powinna mieć Twoja strona

Jak sprawdzić, czy cookies ładują się przed zgodą

1. 1.Otwórz swoją stronę w oknie prywatnym przeglądarki i nie klikaj banneru.
2. 2.Naciśnij F12 → zakładka „Sieć” (Network) i odśwież stronę.
3. 3.Wpisz w filtr „google-analytics”, „facebook” albo „clarity”. Jeśli widzisz zapytania do tych adresów przed kliknięciem zgody, banner niczego nie blokuje.

Wyjątek to tryb Google Consent Mode, w którym przed zgodą wysyłane są tylko anonimowe sygnały bez plików cookies. Wtedy zapytania mogą się pojawić, ale nie zapisują identyfikatorów. Taki tryb warto opisać w polityce cookies, tak jak robię to w swojej.

Ile to kosztuje i kto powinien to zrobić

Techniczna część, czyli formularze, banner, który naprawdę blokuje skrypty, i zabezpieczenia, to praca dla wykonawcy strony. Treść polityki prywatności najlepiej przygotować z prawnikiem albo na solidnym wzorze, a potem dopasować do faktycznych narzędzi. Przy stronach internetowych, które buduję, zgodność techniczna z RODO jest częścią projektu od początku, a nie dopłatą na końcu.

Źródła: pełny tekst RODO w serwisie EUR-Lex oraz poradniki i decyzje Urzędu Ochrony Danych Osobowych.

Najczęstsze pytania