Czy moja strona jest zgodna z RODO? Lista kontrolna 2026

Strona internetowa prawie zawsze przetwarza dane osobowe: adres IP odwiedzających, dane z formularza kontaktowego, pliki cookie narzędzi Google czy Facebooka. Dlatego dotyczy jej RODO, a od 10 listopada 2024 r. także nowe Prawo komunikacji elektronicznej, które reguluje pliki cookie (art. 399).

Kary za naruszenia RODO mogą sięgać 20 mln euro lub 4% rocznego obrotu, ale dla małej firmy częstszym problemem są skargi klientów, kontrola po skardze i utrata zaufania. Dobra wiadomość: większość braków poprawisz w jeden dzień.

• Jest na stronie i da się do niej łatwo przejść (zwykle link w stopce).
• Podaje pełne dane administratora: nazwę firmy, adres, NIP, e-mail.
• Opisuje, jakie dane zbierasz, po co, na jakiej podstawie prawnej i jak długo je przechowujesz.
• Wymienia odbiorców danych: hosting, pocztę, narzędzia Google lub Facebooka.
• Informuje o prawach: dostęp, sprostowanie, usunięcie, sprzeciw, skarga do Prezesa UODO.
• Jest aktualna — opisuje narzędzia, których naprawdę używa strona, a nie szablon sprzed lat.

To najczęstszy problem. Zasada jest prosta: pliki cookie i skrypty, które nie są niezbędne do działania strony (statystyki, reklamy, piksel Facebooka), mogą się uruchomić dopiero po zgodzie.

• Baner pojawia się przed załadowaniem Google Analytics, Google Ads czy piksela Facebooka — nie po.
• Przycisk „Odrzuć” jest tak samo widoczny jak „Akceptuj”.
• Żadna zgoda nie jest zaznaczona z góry.
• Zgodę można zmienić w każdej chwili, np. linkiem „Pliki cookie” w stopce.
• Jeśli używasz Google Ads lub Analytics, potrzebny jest tryb zgody Google (Consent Mode v2) — bez niego Google ogranicza reklamy i pomiar w Unii Europejskiej.

Jeśli strona nie używa żadnych skryptów śledzących, baner nie jest potrzebny — wystarczy informacja w polityce prywatności.

• Pod formularzem jest krótka informacja: kto jest administratorem danych, po co je zbierasz i link do polityki prywatności.
• Do samej odpowiedzi na zapytanie nie potrzebujesz osobnej zgody (to podstawa „podjęcie działań na prośbę osoby”).
• Zgoda na newsletter albo marketing to osobny, niezaznaczony domyślnie checkbox.
• Formularz zbiera tylko potrzebne dane. Pole „PESEL” czy „data urodzenia” w zapytaniu ofertowym to sygnał ostrzegawczy.
• Formularz działa przez HTTPS, a wiadomości nie trafiają na prywatną skrzynkę bez kontroli dostępu.

• Czcionki Google ładowane z serwerów Google przekazują adres IP odwiedzającego. W Niemczech sąd (LG München, 2022) uznał to za naruszenie. Rozwiązanie: czcionki na własnym serwerze.
• Mapy Google osadzone na stronie ustawiają pliki cookie od razu. Lepiej ładować mapę po kliknięciu albo po zgodzie.
• Filmy z YouTube osadzaj w trybie youtube-nocookie.com albo po kliknięciu.
• Czat, piksel, widget opinii: każdy to kolejny odbiorca danych, który powinien być w polityce prywatności i, jeśli śledzi, w banerze zgody.

• Masz umowę powierzenia przetwarzania danych (art. 28 RODO) z firmą hostingową i dostawcą poczty. U dużych dostawców to zwykle część regulaminu — warto ją pobrać i zachować.
• Strona działa wyłącznie przez HTTPS, z przekierowaniem z http.
• Panel administracyjny ma silne hasło i dwuskładnikowe logowanie, a wtyczki i system są aktualizowane.
• Na stronie są pełne dane firmy, wymagane też przez ustawę o świadczeniu usług drogą elektroniczną.
• Jeśli na stronie wciąż jest link do unijnej platformy ODR, usuń go — platforma została zamknięta 20 lipca 2025 r.

Część punktów sprawdzisz tylko ręcznie (umowy, treść polityki). Resztę — HTTPS, nagłówki bezpieczeństwa, politykę prywatności, skrypty ładowane przed zgodą — sprawdza automatycznie nasz darmowy audyt strony. Wynik dostajesz w 30 sekund, a jeśli chcesz, przygotujemy raport z listą poprawek.

Ten artykuł to praktyczna lista kontrolna, a nie porada prawna. Przy sklepie internetowym, danych o zdrowiu albo nietypowym przetwarzaniu danych skonsultuj się z prawnikiem lub inspektorem ochrony danych.