RODO i cookies na stronie małej firmy — czego wymaga prawo w 2026

• account_balance

  To nie jedno prawo, a dwa — i dwa różne urzędy

  Dane osobowe z formularza, newslettera i analityki reguluje RODO, a nadzoruje je Prezes UODO. Same pliki cookies — czyli zapisywanie i odczytywanie informacji w przeglądarce odwiedzającego — reguluje art. 399 Prawa komunikacji elektronicznej, które zastąpiło stare Prawo telekomunikacyjne 10 listopada 2024 r. Karę za cookies nakłada Prezes UKE, nie UODO. Polskie poradniki wrzucają to do jednego worka „RODO i ciasteczka" i przez to podają błędne kary oraz błędny organ.

• payments

  Kara za baner cookies nie wynosi 20 milionów euro

  Za naruszenie zasad cookies kara idzie z Prawa komunikacji elektronicznej: do 3% przychodu z poprzedniego roku. Ustawa ma jednak przepis, którego nie znajdziesz w żadnym artykule na ten temat: jeśli firma nie osiągnęła przychodu albo jej przychód nie przekroczył 500 000 zł, Prezes UKE może nałożyć karę najwyżej 15 000 zł (art. 446 ust. 3). „20 mln euro lub 4% obrotu" to pułap z RODO i dotyczy naruszeń przy danych osobowych, a nie samego braku baneru.

• checklist

  Trzy rzeczy, które musi mieć każda firmowa strona

  Po pierwsze polityka prywatności, która realnie opisuje Twoje narzędzia — to wykonanie obowiązku informacyjnego z art. 13 RODO. Po drugie baner cookies, w którym odrzucenie jest tak samo łatwe jak akceptacja i który blokuje skrypty do momentu zgody. Po trzecie zapis dowodu udzielenia zgody. Trzeci punkt pomija większość wdrożeń, a wymaga go zarówno zasada rozliczalności z RODO, jak i regulamin samego Google.

• report

  Realne ryzyko to skarga klienta, nie kontrola urzędu

  W 2025 r. do Prezesa UODO wpłynęło 12 827 skarg — o 61% więcej niż rok wcześniej. Nikt nie skanuje polskich stron firmowych w poszukiwaniu złego baneru. Postępowanie zaczyna się od jednej osoby, która uznała, że jej dane trafiły gdzieś bez podstawy: byłego pracownika, niezadowolonego klienta, odbiorcy newslettera zapisanego bez zgody.

Ten artykuł jest o tym, co realnie musi mieć strona małej firmy w 2026 roku, ile naprawdę kosztuje zaniedbanie i które obowiązki są pilne, a które to straszenie sprzedażowe. Wszystkie liczby pochodzą z ustawy albo ze sprawozdania Prezesa UODO za 2025 rok — linki są na końcu. Nie jest to porada prawna, tylko praktyczny opis stanu, w jakim zastaję strony klientów.

Dwa przepisy, dwa urzędy — tu zaczyna się całe zamieszanie

RODO mówi o danych osobowych: imieniu, adresie e-mail, numerze telefonu, adresie IP. Jeśli ktoś wypełnia formularz albo zapisuje się na newsletter, przetwarzasz jego dane i musisz mu powiedzieć kto, po co i na jak długo. To jest rola polityki prywatności.

Cookies to zupełnie inna sprawa. Art. 399 Prawa komunikacji elektronicznej mówi, że przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu końcowym użytkownika jest dozwolone tylko wtedy, gdy zostanie on wcześniej poinformowany — w sposób jednoznaczny, łatwy i zrozumiały — o celu, a następnie wyrazi zgodę. Przepis nie mówi o danych osobowych ani jednym słowem. Dotyczy każdej informacji zapisywanej w przeglądarce, także takiej, która nie identyfikuje nikogo.

Praktyczny wniosek jest niewygodny dla popularnego argumentu „ja nie zbieram danych, więc baner mnie nie dotyczy". Licznik odwiedzin, mapa Google wczytywana z zewnętrznego serwera, osadzone wideo, czat, piksel reklamowy — wszystko to zapisuje coś w przeglądarce i wszystko to wchodzi pod art. 399. Wyjątek jest wąski: zgody nie potrzebują tylko te zapisy, które są konieczne do wykonania transmisji albo do dostarczenia usługi wyraźnie żądanej przez użytkownika. Koszyk w sklepie i sesja logowania — tak. Analityka i remarketing — nie.

Jest jeszcze art. 400, jedno zdanie, które łączy oba porządki: do uzyskania zgody stosuje się odpowiednio przepisy o ochronie danych osobowych. To znaczy, że zgoda na cookies musi spełniać standard RODO — być dobrowolna, konkretna, świadoma i tak samo łatwa do wycofania jak do udzielenia. Właśnie dlatego baner z jednym przyciskiem „Rozumiem" nie działa: nie ma w nim wyboru, więc nie ma zgody.

Ile naprawdę wynosi kara — liczby z ustawy i z UODO

Prawo komunikacji elektronicznej wymienia dwa tryby przy cookies. Art. 444 ust. 1 pkt 82 obejmuje przechowywanie informacji w urządzeniu końcowym lub dostęp do niej niezgodnie z art. 399. Art. 444 ust. 2 pkt 8 dotyczy niewypełnienia obowiązku uzyskania zgody i tu kara jest fakultatywna — Prezes UKE może ją nałożyć, „jeżeli przemawia za tym charakter lub zakres naruszenia". Wysokość ustala art. 446: do 3% przychodu za poprzedni rok kalendarzowy, a przy przychodzie nieprzekraczającym 500 000 zł — nie więcej niż 15 000 zł.

Po stronie RODO obowiązuje znany pułap 20 mln euro albo 4% obrotu, ale to górna granica dla największych naruszeń w Europie, a nie stawka za firmową stronę. Sprawozdanie Prezesa UODO za 2025 r. pokazuje realną skalę: 32 kary nałożone na 23 podmioty w 20 sprawach, łącznie 64 436 940,25 zł. Najwyższa — 27 124 816 zł dla Poczty Polskiej — to 42% całej tej kwoty. Najniższa wyniosła 3 157 zł i dotyczyła osoby fizycznej prowadzącej jednoosobową działalność gospodarczą. To jest właściwy rząd wielkości dla mikrofirmy.

Jest w tym sprawozdaniu jeszcze jedna informacja, której nie znajdziesz w żadnym poradniku. Prezes UODO ma na podstawie art. 445 Prawa komunikacji elektronicznej własne uprawnienie do nakładania kar za część obowiązków z tej ustawy — i w całym 2025 roku nie skorzystał z niego ani razu. Wniosek jest taki: ryzyko finansowe przy cookies jest dziś w Polsce niskie, ale ryzyko przy danych osobowych jest jak najbardziej realne, bo tam kary są nakładane regularnie i rosną.

Polityka prywatności: co musi być w środku

Polityka prywatności to nie ozdoba w stopce, a wykonanie obowiązku informacyjnego. Musi odpowiadać na pytania odwiedzającego, zanim on je zada, i — co ważniejsze — musi być prawdziwa. Skopiowany dokument, w którym wymieniono narzędzia, których nie używasz, i pominięto te, których używasz, jest gorszy od krótkiego tekstu napisanego pod Twoją stronę.

Ostatni punkt dotyczy praktycznie każdej strony z Google Analytics. Komisja Europejska przyjęła 10 lipca 2023 r. decyzję o adekwatności dla EU-US Data Privacy Framework, więc dane mogą płynąć do firm w USA uczestniczących w tym programie bez dodatkowych klauzul umownych. To wygodne, ale trzeba to w polityce napisać, bo odwiedzający ma prawo wiedzieć, gdzie trafiają jego dane.

Baner cookies, który spełnia wymogi — pięć cech

• block

  Blokuje skrypty przed zgodą, a nie po niej

  Najczęstszy błąd wdrożenia: baner wyświetla się, a Analytics i piksel Meta już działają w tle. Wtedy zgoda jest fikcją, bo informacja została zapisana w przeglądarce przed jej wyrażeniem. To dokładnie sytuacja z art. 399: dostęp do urządzenia nastąpił bez spełnienia warunku. Sprawdzisz to sam — otwórz stronę w oknie prywatnym, wejdź w narzędzia deweloperskie i zobacz, czy przed kliknięciem czegokolwiek pojawiły się cookies analityczne.

• balance

  „Odrzuć" tak samo widoczne jak „Akceptuję"

  Zgoda ma być dobrowolna, a nie jest dobrowolna, jeśli odrzucenie wymaga wejścia w ustawienia i odklikania trzech suwaków, podczas gdy akceptacja to jeden duży zielony przycisk. Dwa przyciski tej samej wielkości na pierwszym ekranie to najprostszy sposób, żeby nie mieć problemu. Nadchodzące przepisy unijne idą dokładnie w tym kierunku.

• tune

  Kategorie, a nie „wszystko albo nic"

  Niezbędne — zawsze aktywne, bez zgody. Analityczne, funkcjonalne i marketingowe — osobno, domyślnie wyłączone. Zaznaczone z góry okienko nie jest zgodą; Trybunał Sprawiedliwości UE rozstrzygnął to w sprawie Planet49 i nic się od tamtej pory nie zmieniło.

• undo

  Wycofanie zgody równie łatwe jak jej udzielenie

  Potrzebny jest trwały sposób powrotu do wyborów: link w stopce albo mała ikonka w narożniku. Jeśli po zaakceptowaniu wszystkiego odwiedzający nie ma jak zmienić decyzji bez czyszczenia przeglądarki, warunek nie jest spełniony.

• receipt_long

  Zapis dowodu zgody

  Musisz umieć wykazać, że zgoda była. Wymaga tego zasada rozliczalności, ale też polityka zgody użytkownika UE Google, która wprost nakłada obowiązek przechowywania zapisów o udzielonych zgodach i podania instrukcji ich wycofania. Sensowne narzędzia do banerów robią to automatycznie — warto sprawdzić, czy Twoje w ogóle coś zapisuje.

Formularz kontaktowy: zgoda czy nie zgoda?

Tu popełnia się błąd odwrotny do zaniedbania — nadmiar. Standardem stał się obowiązkowy checkbox „wyrażam zgodę na przetwarzanie moich danych", bez którego formularza nie da się wysłać. Problem w tym, że jeśli ktoś sam pisze do Ciebie z pytaniem o ofertę, podstawą przetwarzania jego danych nie jest zgoda, tylko działania niezbędne przed zawarciem umowy albo Twój uzasadniony interes. Zgoda, którą trzeba dać, żeby w ogóle wysłać wiadomość, nie jest dobrowolna, a więc jest wadliwa.

Co powinno być pod przyciskiem: krótka informacja, kto jest administratorem i po co zbiera te dane, oraz link do polityki prywatności. Osobne, niezaznaczone okienko zostaw dla tego, co naprawdę wymaga zgody — zapisu na newsletter albo kontaktu w sprawach marketingowych w przyszłości. Jedno pole, jedna zgoda, jeden cel.

Trzy obowiązki, o których nie pisze żaden poradnik

• handshake

  Umowa powierzenia z hostingiem, pocztą i newsletterem

  Firma hostingowa przechowuje bazę z danymi z formularza, a dostawca newslettera trzyma listę adresów. Oba podmioty przetwarzają dane osobowe w Twoim imieniu, więc art. 28 RODO wymaga umowy powierzenia. W praktyce zwykle nie trzeba niczego negocjować — poważni dostawcy udostępniają ją w panelu klienta albo jako załącznik do regulaminu. Trzeba to jednak sprawdzić i zachować, bo to pierwszy dokument, o który zapyta urząd.

• list_alt

  Rejestr czynności przetwarzania — wyjątek dla małych nie działa tak, jak myślisz

  Pokutuje przekonanie, że firmy poniżej 250 osób są zwolnione z prowadzenia rejestru. UODO wyjaśnia, że zwolnienie upada, gdy przetwarzanie może powodować ryzyko naruszenia praw, gdy nie ma charakteru sporadycznego albo gdy obejmuje dane szczególnych kategorii — i wystarczy, że zachodzi którakolwiek z tych sytuacji. Regularne zapytania z formularza i lista newsletterowa nie są przetwarzaniem sporadycznym. Rejestr to zresztą tabela na jedną stronę, nie projekt na miesiąc.

• schedule

  72 godziny na zgłoszenie naruszenia

  Włamanie na stronę, przejęta skrzynka, laptop z bazą klientów zostawiony w pociągu, omyłkowa wysyłka newslettera z widocznymi adresami wszystkich odbiorców — to naruszenia ochrony danych i masz na ich zgłoszenie do UODO 72 godziny od stwierdzenia. W 2025 r. zgłoszeń było 22 435, o 51% więcej niż rok wcześniej. Karę dostaje się nie tylko za wyciek, ale też za samo milczenie.

Co zmieni Digital Omnibus — i dlaczego nie warto na niego czekać

19 listopada 2025 r. Komisja Europejska przedstawiła pakiet upraszczający przepisy cyfrowe, w którym zasady dotyczące urządzeń końcowych mają przenieść się z dyrektywy o prywatności elektronicznej do samego RODO. Zapowiedzi są konkretne: obowiązkowy przycisk odrzucenia wszystkiego jednym kliknięciem, lista celów neutralnych dla prywatności — w tym pomiar liczby odwiedzin — dla których zgoda nie będzie potrzebna, oraz preferencje ustawiane raz w przeglądarce i respektowane przez strony. Prezes UODO brał udział w przygotowaniu wspólnej opinii Europejskiej Rady Ochrony Danych i EIOD do tego wniosku.

To jednak wciąż projekt w toku prac legislacyjnych, a nie obowiązujące prawo. Do momentu jego przyjęcia i wejścia w życie obowiązuje art. 399 Prawa komunikacji elektronicznej w dzisiejszym brzmieniu. Dobra wiadomość jest taka, że kierunek zmian jest znany, więc baner ustawiony dziś tak, jak opisałem wyżej — z równorzędnym odrzuceniem i kategoriami — będzie zgodny również po reformie.

Checklista na jeden wieczór

• visibility

  Test w oknie prywatnym

  Otwórz swoją stronę w trybie prywatnym i zobacz w narzędziach deweloperskich, czy przed kliknięciem czegokolwiek zapisały się już cookies analityczne lub reklamowe. Jeśli tak, baner jest ozdobą, a nie mechanizmem zgody.

• balance

  Odrzucenie na pierwszym ekranie

  Sprawdź, czy da się odrzucić wszystko jednym kliknięciem, bez wchodzenia w ustawienia. Jeśli nie — popraw to, bo jest to zarówno dzisiejszy wymóg dobrowolności zgody, jak i kierunek nadchodzących przepisów unijnych.

• edit_document

  Polityka zgodna ze stanem faktycznym

  Przeczytaj własną politykę prywatności z ołówkiem: wykreśl narzędzia, których nie używasz, i dopisz te, których używasz. Sprawdź, czy jest w niej informacja o przekazywaniu danych do USA, jeśli masz Analytics albo osadzone wideo.

• folder_shared

  Umowy powierzenia w jednym folderze

  Zajrzyj do panelu hostingu, poczty i systemu newslettera, znajdź umowę powierzenia przetwarzania i zapisz kopię u siebie. Do tego samego folderu wrzuć rejestr czynności przetwarzania — jedną tabelę z tym, co zbierasz, po co, gdzie leży i jak długo trzymasz.

• crisis_alert

  Plan na 72 godziny

  Zapisz w widocznym miejscu, co robisz, gdy dojdzie do wycieku: kogo zawiadamiasz, w jakim terminie i kto ma dostęp do kopii zapasowych. Trzy zdania wystarczą, ale muszą istnieć przed zdarzeniem, nie po nim.

Jeśli wolisz zobaczyć czarno na białym, co na Twojej stronie faktycznie się uruchamia i czego brakuje w dokumentach, to jest dokładnie zakres audytu strony internetowej — sprawdzam między innymi, czy baner realnie blokuje skrypty i czy polityka prywatności zgadza się ze stanem faktycznym. Jeśli natomiast planujesz nową stronę, warto mieć to ustawione od pierwszego dnia, a nie łatane później: opisuję to na podstronie strony internetowe. Wdrożenie samodzielnie też jest realne — ten artykuł jest po to, żeby było wiadomo, co dokładnie trzeba zrobić.