Compliance strony internetowej: co musi sprawdzić właściciel firmy?

Na stronie jest polityka prywatności, na dole wyskakuje baner cookies, a pod formularzem znajduje się checkbox. Czy to wystarczy, żeby strona była zgodna z prawem?

Odpowiedź zależy od tego, co dzieje się po drugiej stronie ekranu. Baner może pytać o zgodę, choć narzędzie reklamowe już wysyła dane. Formularz może deklarować kontakt w sprawie wyceny, a jednocześnie dopisywać klienta do newslettera. Regulamin może opisywać funkcje, których witryna w ogóle nie ma.

Compliance strony internetowej to zgodność jej treści, działania i sposobu obsługi danych z wymaganiami, które dotyczą konkretnej firmy. Dokumenty, interfejs i konfiguracja techniczna muszą opisywać ten sam proces.

Inspiracją do tego artykułu była rozmowa Dawida Medwediuka z radcą prawnym Wojciechem Wawrzakiem, autorem praKreacja.pl, w odcinku #059 podcastu SEO Fridays „Przestrzegaj prawa na swojej stronie WWW”. Rozwijamy ten temat z perspektywy projektowania i utrzymania stron firmowych, uzupełniając go o aktualne źródła prawne i techniczne.

Ten poradnik dotyczy najczęstszych sytuacji na polskich stronach firmowych i w sprzedaży konsumenckiej. Zakres obowiązków zależy również od branży, odbiorców i funkcji serwisu; tekst nie zastępuje oceny prawnej konkretnego wdrożenia.

#Zacznij od sprawdzenia, co strona faktycznie robi

Zanim wybierzesz dokumenty lub wtyczkę do cookies, przygotuj listę funkcji. Uwzględnij także elementy dodane przez marketing: piksele reklamowe, mapy, filmy, czat, kalendarz spotkań i narzędzia do nagrywania sesji.

Przy każdej funkcji zapisz: jakie informacje wykorzystuje, dokąd je wysyła, kiedy się uruchamia i kto nią zarządza. Taka inwentaryzacja daje prawnikowi i wykonawcy strony wspólny punkt wyjścia.

To mapa tematów do sprawdzenia. Ostateczna lista wymagań powstaje po ocenie sposobu działania poszczególnych funkcji.

#Polityka prywatności powinna opisywać rzeczywistość

RODO, czyli ogólne rozporządzenie o ochronie danych, wymaga przekazania informacji o przetwarzaniu danych. Polityka prywatności jest wygodnym miejscem ich zebrania, ale sama nazwa dokumentu nie przesądza o spełnieniu obowiązku.

Trzeba wskazać m.in. administratora, cele i podstawy przetwarzania, odbiorców lub ich kategorie, okres przechowywania albo kryteria jego ustalania oraz prawa użytkownika. Zależnie od sytuacji dochodzą informacje o transferach poza EOG, profilowaniu czy obowiązku podania danych. Informacja powinna być dostępna przy ich zbieraniu. RODO, art. 12–13 — tekst udostępniony przez UODO.

Przykład: firma zmienia zwykły formularz na kalendarz zewnętrznego dostawcy. Od tej chwili wiadomość może trafiać do innego systemu, a dostawca może otrzymywać dodatkowe dane. To dobry moment na przegląd polityki i konfiguracji integracji.

Podobnie warto sprawdzić, czy deklarowane usuwanie zgłoszeń obejmuje również CRM i skrzynkę pocztową. Dokument ma odpowiadać temu, co firma potrafi wykonać.

#Cookies: przycisk „Odrzuć” musi mieć skutek

W Polsce przechowywanie informacji w urządzeniu użytkownika lub uzyskiwanie do niej dostępu reguluje przede wszystkim art. 399 Prawa komunikacji elektronicznej. Co do zasady wymaga to uprzedniej informacji i zgody. Wyjątki dotyczą m.in. czynności niezbędnych do dostarczenia usługi wyraźnie żądanej przez użytkownika lub transmisji komunikatu. Prawo komunikacji elektronicznej, art. 399.

Dlatego sama obecność cookies nie oznacza automatycznie konieczności wyświetlania banera zgód. Najpierw ustal ich przeznaczenie. Z kolei zamiana cookies na inną technologię zapisu w przeglądarce nie usuwa automatycznie obowiązków.

Jeśli zgoda jest potrzebna, zaprojektuj jej obsługę tak, żeby użytkownik mógł:

• zaakceptować opcjonalne cele albo równie łatwo je odrzucić;
• wybrać poszczególne cele bez domyślnie zaznaczonych zgód;
• wrócić do ustawień i wycofać zgodę;
• zrozumieć, na co się decyduje, bez rozszyfrowywania niejasnych etykiet.

Dobrym punktem odniesienia jest baner z widocznymi opcjami „Zaakceptuj wszystkie”, „Odrzuć opcjonalne” i „Ustawienia”. Ukrywanie odmowy oraz mylące projektowanie przycisków należą do problemów opisanych przez europejskie organy ochrony danych. Raport EROD dotyczący banerów cookies.

Testuj efekt decyzji. W nowej sesji sprawdź ruch sieciowy i zapis w przeglądarce przed wyborem, po odmowie, po zgodzie oraz po jej wycofaniu. Narzędzia wymagające zgody powinny zachowywać się zgodnie z każdym z tych stanów.

#Consent Mode pomaga wdrożyć decyzję użytkownika

Google Consent Mode przekazuje narzędziom Google informacje o stanie zgód. Nie zastępuje oceny prawnej ani prawidłowego zebrania zgody.

Google rozróżnia dwa sposoby wdrożenia. W trybie Basic tagi pozostają zablokowane do uzyskania odpowiedniej zgody. W trybie Advanced mogą uruchamiać się wcześniej i przesyłać sygnały pomiarowe bez cookies mimo stanu odmowy. Dokumentacja Google: Basic i Advanced Consent Mode.

Wniosek dla właściciela strony: informacja „mamy Consent Mode v2” nie odpowiada jeszcze na pytanie, jakie dane są wysyłane i na jakiej podstawie. Brak cookies również nie jest sam w sobie dowodem braku przetwarzania danych osobowych.

Podczas odbioru wdrożenia poproś o pokazanie działania analityki w przeglądarce. Sprawdź też integracje poza Google — każdy dodatkowy skrypt potrzebuje własnej weryfikacji.

#Formularz kontaktowy i newsletter to różne cele

Przy zwykłym zapytaniu nie należy automatycznie wymagać „zgody na RODO”. Zależnie od sytuacji podstawą obsługi wiadomości mogą być działania przed zawarciem umowy lub uzasadniony interes. Obowiązek informacyjny pozostaje; akceptacja polityki prywatności nie jest sama w sobie podstawą przetwarzania. RODO, art. 6 i 13.

Osobno potraktuj późniejszy marketing. Wysłanie pytania o ofertę nie daje dowolności w dopisywaniu nadawcy do kampanii. Uprzednią zgodę na przesyłanie informacji handlowych reguluje art. 398 Prawa komunikacji elektronicznej. Prawo komunikacji elektronicznej, art. 398.

Praktycznie: formularz wyceny powinien realizować wycenę. Jeśli proponujesz również newsletter, pokaż osobny, zrozumiały wybór. Sprawdź cały proces: zapis, potwierdzenie, wysyłkę i wypisanie się. Double opt-in, czyli potwierdzenie zapisu wiadomością e-mail, pomaga ograniczyć zapisy cudzych adresów i udokumentować decyzję odbiorcy.

#Kiedy strona potrzebuje regulaminu?

Nie rozstrzygaj tego wyłącznie pytaniem „czy mam sklep?”. Ustawa o świadczeniu usług drogą elektroniczną przewiduje regulamin dla takich usług. Obowiązek może więc dotyczyć także konta użytkownika, newslettera czy innych funkcji dostępnych bez opłaty.

Regulamin powinien obejmować m.in. rodzaje i zakres usług, warunki techniczne, zasady zawierania i rozwiązywania umów oraz reklamacje. Użytkownik musi mieć możliwość zapoznania się z nim przed zawarciem umowy i jego utrwalenia. Ustawa określa też obowiązki udostępniania danych usługodawcy. Ustawa o świadczeniu usług drogą elektroniczną, art. 5 i 8.

Dla prostej strony informacyjnej najpierw oceń faktyczny zakres usług. Kopiowanie kilkunastostronicowego regulaminu sklepu do witryny lokalnej firmy zwykle utrudnia zrozumienie jej zasad.

#Sprzedajesz konsumentom? Sprawdź całą ścieżkę zakupu

W sprzedaży na odległość istotne informacje trzeba przedstawić przed zawarciem umowy. Dotyczy to m.in. danych przedsiębiorcy, cech świadczenia, łącznej ceny, dodatkowych kosztów, wykonania umowy, reklamacji oraz prawa odstąpienia i jego wyjątków. Przycisk finalizujący odpłatne zamówienie musi jednoznacznie komunikować obowiązek zapłaty. UOKiK: sprzedaż poza lokalem i na odległość.

Dochodzi do tego sposób prezentowania oferty:

• Obniżki: przy ogłaszaniu obniżenia ceny zasadniczo trzeba pokazać najniższą cenę z 30 dni przed obniżką; przepisy przewidują również szczególne przypadki. UOKiK: informacje o obniżkach cen.
• Opinie: jeśli udostępniasz opinie konsumentów o produktach, poinformuj, czy i jak je weryfikujesz. Nie deklaruj „potwierdzonych zakupów”, jeśli proces tego nie zapewnia. UOKiK: weryfikacja opinii.
• Aktualność dokumentów: platforma ODR została zamknięta 20 lipca 2025 r. Stary odsyłacz w regulaminie wymaga aktualizacji; nie oznacza to zniesienia innych obowiązków dotyczących pozasądowego rozwiązywania sporów. Komisja Europejska: zamknięcie ODR.

Przejdź zakup na telefonie. Informacja obecna w dokumencie może być w praktyce pominięta przez źle zaprojektowany koszyk lub formularz.

#Dostępność cyfrowa: obowiązek zależy od usługi

Polski Akt o Dostępności obowiązuje od 28 czerwca 2025 r. i obejmuje określone produkty oraz usługi, w tym handel elektroniczny dla konsumentów. Nie ustanawia identycznego obowiązku dla każdej strony firmowej. Ustawa wyłącza usługi oferowane lub świadczone przez mikroprzedsiębiorców; zakres wyłączenia trzeba odróżnić od obowiązków dotyczących produktów i innych przepisów o dostępności. Polski Akt o Dostępności, art. 2–3 i 84.

Przegląd techniczny warto zacząć od prostych pytań: czy stronę można obsłużyć klawiaturą? Czy formularze mają etykiety i zrozumiałe komunikaty błędów? Czy powiększenie tekstu nie zasłania przycisków? Czy użytkownik czytnika ekranu może ukończyć rezerwację lub zakup?

WCAG pomaga porządkować pracę nad dostępnością. Sama instalacja dodatku z ikoną dostępności nie potwierdza jednak usunięcia barier. Potrzebne jest sprawdzenie rzeczywistych zadań użytkownika.

#Treści, licencje i materiały użytkowników

Przed publikacją ustal prawa do zdjęć, tekstów, filmów, muzyki i fontów. Samo znalezienie materiału w wyszukiwarce nie daje licencji do wykorzystania go na stronie firmy. W przypadku wizerunku trzeba dodatkowo ocenić podstawę jego rozpowszechniania i ustawowe wyjątki. Ustawa o prawie autorskim i prawach pokrewnych, m.in. art. 17 i 81.

Warto zachowywać źródła materiałów i warunki licencji wraz z plikami projektu. Przy treściach generowanych przez AI sprawdzaj również regulamin narzędzia, podobieństwo do cudzych materiałów i sposób przedstawienia osób lub marek. Nie traktuj wygenerowania pliku jako automatycznego potwierdzenia praw do każdej formy użycia.

Jeśli użytkownicy publikują własne treści, przeanalizuj zastosowanie DSA (Digital Services Act), czyli aktu o usługach cyfrowych. Akt dotyczy usług pośrednich; sam fakt prowadzenia witryny nie oznacza objęcia jej całym katalogiem obowiązków platform internetowych. Kwalifikacja konkretnej funkcji wpływa na wymagania dotyczące m.in. zgłoszeń i moderacji. Komisja Europejska: pytania i odpowiedzi o DSA.

#Checklista do odbioru i późniejszego utrzymania strony

Poniższą listę potraktuj jako plan przeglądu technicznego i organizacyjnego:

• Mamy aktualną listę formularzy, integracji i narzędzi marketingowych.
• Wiemy, dokąd trafiają dane i kto ma do nich dostęp.
• Dokumenty opisują obecne działanie strony.
• Sprawdziliśmy zachowanie narzędzi przed zgodą, po odmowie i po jej wycofaniu.
• Zapytanie o ofertę nie powoduje nieoczekiwanego zapisu do marketingu.
• Przetestowaliśmy wypisanie z newslettera i obsługę zgłoszeń użytkowników.
• Regulamin i dane firmy odpowiadają świadczonym usługom.
• Jeśli sprzedajemy online, sprawdziliśmy koszyk, ceny, komunikaty i potwierdzenia.
• Ustaliliśmy zakres obowiązków dotyczących dostępności i treści użytkowników.
• Potrafimy wskazać źródła i licencje publikowanych materiałów.
• Ktoś odpowiada za aktualizacje, uprawnienia dostępu i sprawdzanie kopii zapasowych.

Powtarzaj przegląd po zmianach: nowym pikselu, formularzu, systemie rezerwacji, operatorze płatności lub uruchomieniu sprzedaży na kolejnym rynku. Warto wpisać go również do zakresu opieki nad stroną.

#Jak podejść do tego z GKD Agency?

Najpierw ustalamy, co strona ma robić i jakie narzędzia są do tego potrzebne. Następnie przekładamy uzgodnione wymagania na formularze, ustawienia zgód, integracje i interfejs. Przy kwestiach prawnych potrzebna jest współpraca z osobą, która oceni model działalności i przygotuje właściwe dokumenty.

Dobry odbiór wdrożenia obejmuje pokazanie konkretnych zachowań: co uruchamia się po zgodzie, co dzieje się po odmowie i dokąd trafia zapytanie klienta. Dzięki temu właściciel firmy wie, co otrzymuje i co trzeba później utrzymywać.

Chcesz uporządkować swoją stronę? Napisz do GKD Agency — opisz, czy strona zbiera zapytania, prowadzi newsletter, przyjmuje rezerwacje czy sprzedaje. To punkt wyjścia do ustalenia zakresu przeglądu i zmian technicznych.

Polecamy pełną rozmowę w SEO Fridays #059 oraz materiały jej gościa, Wojciecha Wawrzaka na praKreacja.pl. Podcast prowadzi Dawid Medwediuk. Artykuł GKD jest samodzielnym opracowaniem; źródła prawne i techniczne podano przy poszczególnych zagadnieniach. Data weryfikacji źródeł: 9 września 2026 r.