Rejestr czynności przetwarzania w sklepie - jak go prowadzić krok po kroku

Łukasz Palej

Technical Implementation Expert

22.01.2026

Rejestr czynności przetwarzania w sklepie - jak go prowadzić krok po kroku

Wsparcie IT dla firm i sklepów

Łukasz PalejTechnical Implementation Expert

Wsparcie IT

Rejestr czynności przetwarzania to dokument, w którym sklep internetowy opisuje, jakie dane osobowe przetwarza, w jakim celu, komu je przekazuje, jak długo je przechowuje i jak je chroni. Obowiązek wynika z art. 30 RODO i w praktyce dotyczy niemal każdego sklepu, bo obsługa zamówień to przetwarzanie stałe, a nie sporadyczne. Rejestr prowadzisz w formie pisemnej, także elektronicznej - wystarczy dobrze ułożony arkusz, który aktualizujesz przy każdej zmianie narzędzi lub procesów.

Wielu właścicieli małych sklepów słyszało, że firmy zatrudniające mniej niż 250 osób są zwolnione z rejestru. To prawda tylko częściowo, a w e-commerce ten wyjątek prawie nigdy nie działa. Poniżej wyjaśniamy, kto musi prowadzić rejestr RODO, jakie kolumny powinien mieć, jak go wypełnić krok po kroku na przykładzie sklepu sprzedającego także na marketplace'ach i jak utrzymać go w aktualności bez zatrudniania osoby tylko do tego zadania.

[#wazne] W skrócie: rejestr czynności przetwarzania (rejestr RODO) to lista procesów, w których sklep przetwarza dane osobowe - od realizacji zamówień, przez newsletter, po kadry. Sklep internetowy przetwarza dane klientów stale, więc zwolnienie dla firm poniżej 250 pracowników zwykle go nie obejmuje. Rejestr musi zawierać m.in. cele, kategorie danych i odbiorców, terminy usunięcia oraz opis zabezpieczeń. W Vinson pomagamy sklepom i sprzedawcom marketplace zebrać techniczną część tych informacji: listę systemów, integracji, dostępów i zabezpieczeń.

Czy sklep internetowy musi prowadzić rejestr czynności przetwarzania?

Art. 30 ust. 5 RODO zwalnia z obowiązku prowadzenia rejestru przedsiębiorców zatrudniających mniej niż 250 osób, ale tylko wtedy, gdy przetwarzanie jednocześnie nie powoduje ryzyka naruszenia praw lub wolności osób, ma charakter sporadyczny i nie obejmuje szczególnych kategorii danych (np. o zdrowiu) ani danych dotyczących wyroków skazujących. Wystarczy, że jeden z tych warunków nie jest spełniony, i zwolnienie przestaje działać.

Sklep internetowy przetwarza dane klientów przy każdym zamówieniu: imię i nazwisko, adres dostawy, e-mail, telefon, historię zakupów, a często też dane do faktury. Dzieje się to codziennie, więc warunek sporadyczności nie jest spełniony i rejestr trzeba prowadzić niezależnie od liczby pracowników. To samo dotyczy sprzedawców, którzy działają wyłącznie na Allegro, Amazonie czy Empiku - dane kupujących trafiają do nich przy każdej transakcji, a sprzedawca jest ich administratorem w zakresie realizacji zamówienia.

Nawet gdyby zwolnienie miało zastosowanie, rejestr warto prowadzić. Zasada rozliczalności z art. 5 ust. 2 RODO wymaga, by administrator potrafił wykazać przestrzeganie przepisów, a bez spisu procesów trudno odpowiedzieć na pytanie klienta, kontrolera czy partnera biznesowego, co dzieje się z danymi w firmie. Poniżej porównanie sytuacji, w których zwolnienie teoretycznie może zadziałać, z tymi, w których rejestr jest obowiązkowy:

[#chart:wit56a]

Jakie kolumny ma mieć rejestr czynności przetwarzania

Rejestr czynności przetwarzania to tabela, w której każdy wiersz opisuje jeden proces, a kolumny odpowiadają informacjom wymaganym przez art. 30 ust. 1 RODO. Przepisy nie narzucają wzoru, więc możesz go prowadzić w arkuszu Google Sheets, Excelu albo w module systemu do zarządzania zgodnością. Ważne, by każdą z obowiązkowych informacji dało się łatwo odczytać. Poniżej zestawienie kolumn z przykładami dla typowego sklepu:

Kolumna	Co wpisać	Przykład dla sklepu
Nazwa czynności	Krótka nazwa procesu	Realizacja zamówień ze sklepu i marketplace'ów
Administrator i kontakt	Nazwa firmy, adres, e-mail; dane inspektora ochrony danych, jeśli go wyznaczono	Nazwa firmy, adres siedziby, adres e-mail do spraw danych
Cel przetwarzania	Po co przetwarzasz dane w tym procesie	Zawarcie i wykonanie umowy sprzedaży, obsługa płatności i wysyłki
Kategorie osób	Czyje dane dotyczą procesu	Klienci, odbiorcy przesyłek
Kategorie danych	Jakie dane są przetwarzane	Imię i nazwisko, adres, e-mail, telefon, dane do faktury
Kategorie odbiorców	Komu dane są przekazywane lub powierzane	Hosting, platforma sklepu, firmy kurierskie, operator płatności, biuro rachunkowe
Przekazanie poza EOG	Państwo i mechanizm przekazania, jeśli występuje	Narzędzie mailingowe z USA - standardowe klauzule umowne
Termin usunięcia	Planowany czas przechowywania danych	Do upływu terminów przedawnienia roszczeń i obowiązków podatkowych
Środki bezpieczeństwa	Ogólny opis zabezpieczeń technicznych i organizacyjnych	Weryfikacja dwuetapowa, role w panelu, kopie zapasowe, szyfrowanie połączeń

Art. 30 nie wymaga wpisywania podstawy prawnej przetwarzania, ale warto dodać taką kolumnę. Dzięki niej od razu widać, czy proces opiera się na umowie, obowiązku prawnym, zgodzie czy prawnie uzasadnionym interesie, a te same informacje przepiszesz potem do polityki prywatności. Praktyczne są też kolumny „Systemy i narzędzia”, „Osoba odpowiedzialna” i „Data ostatniej zmiany” - nie są obowiązkowe, ale bardzo ułatwiają aktualizację.

Rejestr administratora a rejestr podmiotu przetwarzającego

Art. 30 ust. 2 RODO przewiduje drugi rodzaj dokumentu: rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora. Prowadzi go podmiot przetwarzający, czyli firma, która przetwarza dane na zlecenie innej. Typowy sklep prowadzi tylko rejestr administratora. Drugi rejestr będzie potrzebny, jeśli świadczysz usługi dla innych firm, np. prowadzisz fulfillment, obsługę klienta albo sprzedaż w modelu dropshippingu na rzecz dostawcy i przetwarzasz przy tym dane jego klientów.

Bezpłatna konsultacja IT

Masz problem techniczny w firmie lub sklepie?

Diagnoza problemu i plan naprawy
Bezpieczeństwo, kopie zapasowe, poczta
Stała opieka IT dla e-commerce

Konsultację poprowadzi Łukasz Palej, Technical Implementation Expert

Zobacz szczegóły usługi →

Jak prowadzić rejestr czynności przetwarzania krok po kroku

Najwięcej czasu zajmuje pierwsze wypełnienie rejestru. Później wystarczy go aktualizować. Dobrze sprawdza się kolejność, w której zaczynasz od systemów, a nie od przepisów - łatwiej przypomnieć sobie narzędzia, z których korzysta zespół, niż abstrakcyjne cele przetwarzania. Cały proces wygląda tak:

[#chart:wit56b]

Spis systemów i narzędzi - wypisz wszystko, co dotyka danych osobowych: platformę sklepu, system zamówień, konta na marketplace'ach, pocztę, narzędzie do newslettera, czat, księgowość, kadry, arkusze i dyski współdzielone.
Wydzielenie czynności - pogrupuj narzędzia według celów, np. realizacja zamówień, zwroty i reklamacje, marketing, obsługa klienta, rekrutacja. Jedna czynność może korzystać z kilku systemów.
Uzupełnienie kolumn - dla każdej czynności wpisz cel, kategorie osób i danych, odbiorców i podstawę prawną.
Sprawdzenie odbiorców i umów - przy każdym odbiorcy ustal, czy przetwarza dane w Twoim imieniu (wtedy potrzebna jest umowa powierzenia), czy jako odrębny administrator.
Terminy usunięcia - wpisz realny okres przechowywania i sprawdź, czy systemy pozwalają dane po nim usunąć lub zanonimizować.
Opis zabezpieczeń - krótko opisz kontrolę dostępu, kopie zapasowe, szyfrowanie i szkolenia zespołu.
Osoba i termin przeglądu - wyznacz właściciela rejestru i zaplanuj przegląd w kalendarzu.

Jak ustalić terminy usunięcia danych

Kolumna z terminami usunięcia sprawia najwięcej kłopotu, bo wpis „bezterminowo” nie spełnia zasady ograniczenia przechowywania. W sklepie terminy wynikają zwykle z przepisów i umów. Dokumenty księgowe przechowujesz co do zasady przez 5 lat, licząc od końca roku, w którym upłynął termin płatności podatku (stan na styczeń 2026 - sprawdź aktualne przepisy). Dane potrzebne do obrony przed roszczeniami trzymasz do upływu terminu przedawnienia. Dane z newslettera - do wycofania zgody lub wypisania się, a dane z konta klienta - do jego usunięcia albo przez okres wskazany w regulaminie. Ważne, by termin w rejestrze dało się wykonać technicznie, na przykład przez regularne czyszczenie starych kont w panelu sklepu i w systemie zamówień.

Typowe czynności przetwarzania w sklepie internetowym i na marketplace'ach

W małym sklepie rejestr ma zwykle od kilku do kilkunastu wierszy. Poniżej najczęstsze czynności, od których warto zacząć. Każdą z nich rozpisujesz na osobny wiersz rejestru:

[#chart:wit56c]

Przy sprzedaży na marketplace'ach pamiętaj, że dane kupujących często przechodzą przez kilka systemów naraz. Zamówienie z Allegro trafia do systemu zamówień, z niego do programu do wysyłek i do księgowości. Jeśli korzystasz z integratora, np. Base, wpisz go jako odbiorcę danych w czynności „realizacja zamówień” - jak dobrze poukładać ten przepływ, opisujemy na stronie wdrożenia Base dla sprzedawców. Szerszy przegląd obowiązków znajdziesz w artykule RODO w sklepie internetowym - praktyczna lista obowiązków sprzedawcy.

Nie zapomnij o narzędziach marketingowych

Piksele reklamowe, Google Analytics, narzędzia do mapy kliknięć i porzuconych koszyków też przetwarzają dane osobowe, bo identyfikatory plików cookies i adresy IP pozwalają wyróżnić konkretną osobę. Wpisz je do czynności „analityka i marketing internetowy” razem z dostawcami i informacją o ewentualnym przekazaniu danych poza Europejski Obszar Gospodarczy. Ta sama lista przyda się przy konfiguracji banera cookies i aktualizacji polityki prywatności.

[#przyklad] Przykładowy wiersz rejestru dla newslettera: nazwa czynności - wysyłka newslettera; cel - marketing bezpośredni produktów sklepu; podstawa - zgoda subskrybenta; kategorie osób - subskrybenci; kategorie danych - adres e-mail, imię, historia otwarć i kliknięć; odbiorcy - dostawca narzędzia do e-mail marketingu i hosting; przekazanie poza EOG - zależnie od dostawcy, z mechanizmem wskazanym w jego umowie; termin usunięcia - do wycofania zgody, a dane potwierdzające zgodę do upływu terminu przedawnienia roszczeń; zabezpieczenia - weryfikacja dwuetapowa w panelu narzędzia, dostęp tylko dla dwóch osób z działu marketingu.

Taki wiersz wypełniasz w kilka minut, jeśli wiesz, jakiego narzędzia używasz i kto ma do niego dostęp. Najdłużej trwa zwykle ustalenie, czy dostawca przechowuje dane w Europie, dlatego tę informację sprawdzaj od razu w jego dokumentacji lub umowie powierzenia.

Jak aktualizować rejestr RODO w małej firmie

Rejestr przestaje mieć wartość w dniu, w którym przestaje odpowiadać rzeczywistości. Najprościej ustalić listę zdarzeń, które zawsze wymagają zmiany w dokumencie:

Nowe narzędzie lub integracja - np. czat na stronie, system opinii, nowy program do wysyłek.
Nowy kanał sprzedaży - wejście na kolejny marketplace albo uruchomienie sklepu w innym kraju.
Zmiana dostawcy - nowy hosting, biuro rachunkowe, firma kurierska lub agencja.
Nowy cel przetwarzania - program lojalnościowy, konkurs, rekrutacja, monitoring magazynu.
Zmiana zabezpieczeń - wdrożenie weryfikacji dwuetapowej, menedżera haseł albo nowego systemu kopii zapasowych.

[#tip] Dodaj do rejestru kolumnę „Data ostatniej zmiany” i zapisuj historię wersji, np. przez wbudowaną historię zmian w Google Sheets. Raz na pół roku przejrzyj cały dokument razem z listą użytkowników w panelach i listą płatnych subskrypcji - to najszybszy sposób, by wyłapać narzędzie, które ktoś z zespołu dodał bez informowania pozostałych.

Najczęstsze błędy w rejestrze czynności przetwarzania

Skopiowany wzór bez dopasowania - rejestr opisuje procesy, których w firmie nie ma, i pomija te, które są.
Jedna czynność na wszystko - wiersz „sprzedaż” obejmujący zamówienia, marketing i reklamacje uniemożliwia wpisanie różnych celów i terminów usunięcia.
Brak odbiorców technicznych - pominięty hosting, poczta, integrator lub zewnętrzny informatyk z dostępem do panelu.
Ogólnikowe zabezpieczenia - wpis „stosujemy odpowiednie środki” zamiast konkretów, które da się sprawdzić.
Dokument z jednej daty - rejestr przygotowany raz i nigdy nieaktualizowany.

Rejestr warto prowadzić razem z porządkiem w dostępach. Jeśli w kolumnie zabezpieczeń wpisujesz role w panelu i odbieranie dostępów, procedura musi faktycznie działać - pomoże w tym nasza lista kontrolna odbierania dostępów po odejściu pracownika.

Jak Vinson pomaga przygotować rejestr czynności przetwarzania

Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. Nie zastępujemy prawnika ani inspektora ochrony danych, ale w ramach wsparcia informatycznego dla firm i sklepów przygotowujemy techniczną część rejestru: spis systemów, integracji i kont na marketplace'ach, mapę przepływu danych zamówień, listę dostawców z dostępem do danych oraz opis zabezpieczeń, takich jak role w panelu, weryfikacja dwuetapowa i kopie zapasowe. Pomagamy też wdrożyć ustawienia, które pozwalają realnie usuwać dane po terminach wpisanych w rejestrze.

Najczęściej zadawane pytania

Czy mały sklep internetowy musi mieć rejestr czynności przetwarzania?

W praktyce tak. Zwolnienie dla firm poniżej 250 pracowników działa tylko przy przetwarzaniu sporadycznym, bez ryzyka i bez szczególnych kategorii danych. Sklep przetwarza dane klientów przy każdym zamówieniu, więc przetwarzanie nie jest sporadyczne i rejestr jest obowiązkowy.

Czy rejestr RODO można prowadzić w Excelu?

Tak. Art. 30 RODO wymaga formy pisemnej, w tym elektronicznej, i nie narzuca konkretnego narzędzia. Arkusz Excel lub Google Sheets wystarczy, jeśli zawiera wszystkie obowiązkowe informacje, ma kontrolowany dostęp i jest aktualizowany.

Komu trzeba pokazać rejestr czynności przetwarzania?

Rejestr udostępniasz na żądanie organu nadzorczego, w Polsce Prezesa UODO. Nie musisz go publikować ani przekazywać klientom. Klienci otrzymują informacje o przetwarzaniu w polityce prywatności, która powinna być spójna z rejestrem.

Jak często aktualizować rejestr czynności przetwarzania?

Za każdym razem, gdy zmienia się proces, narzędzie, dostawca lub cel przetwarzania. Dodatkowo warto robić pełny przegląd co najmniej raz na pół roku. Data ostatniej zmiany przy każdym wierszu pokazuje, które wpisy wymagają sprawdzenia.

Czy za brak rejestru grozi kara?

Tak. Naruszenie art. 30 RODO podlega administracyjnej karze pieniężnej do 10 mln euro lub do 2% rocznego światowego obrotu, zgodnie z art. 83 ust. 4 RODO. Organ bierze pod uwagę m.in. charakter naruszenia i współpracę firmy, a brak rejestru często wychodzi na jaw przy kontroli po incydencie.

Jeśli chcesz uporządkować dane o systemach i dostępach w sklepie, zanim usiądziesz do rejestru, skontaktuj się z nami w sprawie wsparcia IT. Opis zabezpieczeń w rejestrze łatwiej przygotować, gdy masz już działające kopie zapasowe - zobacz nasz poradnik backup danych firmy e-commerce - zasada 3-2-1 w praktyce.