RODO przy wysyłce – jakie dane odbiorcy przekazujesz InPostowi

Podstawa przekazania danych i polityka prywatności sklepu

Przekazanie danych przewoźnikowi w celu doręczenia zamówienia opiera się zwykle na art. 6 ust. 1 lit. b RODO – przetwarzanie jest niezbędne do wykonania umowy sprzedaży. Nie potrzebujesz do tego osobnej zgody klienta. Musisz jednak poinformować go o tym, komu przekazujesz dane – to element obowiązku informacyjnego z art. 13 RODO.

Polityka prywatności powinna być spójna z regulaminem sklepu – o zapisach dotyczących dostawy piszemy w artykule regulamin sklepu a dostawa InPost. Jeśli wysyłasz powiadomienia o przesyłce z własnego systemu, uwzględnij też ten kanał – zobacz powiadomienia o przesyłce InPost.

Etykieta i pole referencyjne – gdzie łatwo o błąd

Etykieta przewozowa to dokument, który przechodzi przez wiele rąk: magazyn, kuriera, sortownię, Paczkomat. Wszystko, co na niej wydrukujesz, może zobaczyć wiele osób. Dlatego warto uważać na pola opcjonalne.

• numer referencyjny – wpisuj numer zamówienia, a nie nazwy produktów, szczególnie przy asortymencie intymnym, medycznym czy suplementach

• nazwa nadawcy – sprawdź, czy nie zdradza zawartości paczki, jeśli sprzedajesz produkty, o których klient może nie chcieć informować otoczenia

• uwagi do doręczenia – nie wpisuj w nich danych, które nie są potrzebne kurierowi

• wadliwe lub podwójne wydruki etykiet – niszcz je, a nie wyrzucaj w całości do kosza

[#przyklad] Sklep z suplementami ustawił we wtyczce automatyczne wypełnianie pola referencyjnego nazwami produktów, żeby ułatwić pakowanie. Po przeglądzie zmienił to na numer zamówienia, a listę produktów drukuje na osobnym dokumencie wkładanym do paczki. Etykieta zawiera teraz tylko dane potrzebne do doręczenia.

O formatach etykiet i wydruku piszemy w artykule drukarka do etykiet InPost.

Dostępy, tokeny i integracje

Dane odbiorców są dostępne nie tylko w sklepie, ale też w Managerze Paczek, systemie do obsługi zamówień i wtyczkach. Każde z tych miejsc to potencjalny punkt wycieku. RODO wymaga stosowania odpowiednich środków technicznych i organizacyjnych (art. 32), co w praktyce oznacza kilka prostych zasad.

• osobne konta dla pracowników zamiast wspólnego loginu – zobacz użytkownicy w Managerze Paczek

• logowanie dwuetapowe tam, gdzie jest dostępne – regulamin Managera Paczek od 17 września 2026 r. przewiduje logowanie kontem InPost z weryfikacją dwuetapową

• tokeny API przechowywane bezpiecznie i odwoływane, gdy przestają być potrzebne – piszemy o tym w artykule bezpieczeństwo kluczy API i konta InPost

• uprawnienia w systemie zamówień dopasowane do roli – magazyn nie potrzebuje dostępu do raportów finansowych

[#tip] Raz na kwartał przejrzyj listę osób i aplikacji, które mają dostęp do kont przewoźników i systemu zamówień. Usuń konta byłych pracowników i nieużywane integracje. To kilka minut pracy, które realnie zmniejszają ryzyko.

Retencja danych i zwroty

Dane o przesyłkach przydają się przy reklamacjach i zwrotach, ale nie trzeba ich trzymać bez końca. Ustal okres przechowywania danych zamówień i przesyłek, uwzględniając obowiązki podatkowe i terminy reklamacyjne. Reklamację przesyłki w InPost można złożyć w ciągu 12 miesięcy od nadania – to dobra wskazówka, jak długo warto mieć pod ręką dane konkretnej przesyłki. Proces reklamacji opisujemy w artykule reklamacja przesyłki InPost.

Przy zwrotach dane przepływają w drugą stronę: klient przekazuje przewoźnikowi swoje dane jako nadawca. Jeśli korzystasz z usługi Szybkie Zwroty, klient wypełnia formularz z danymi zamówienia i dostaje kod nadania. Opisz ten proces w polityce prywatności – szczegóły usługi znajdziesz w artykule Szybkie Zwroty InPost.

Pomyłka przy wysyłce jako naruszenie ochrony danych

Najczęstsze incydenty w sklepach internetowych nie wynikają z ataków hakerów, ale z pomyłek przy pakowaniu. Paczka z fakturą trafia do niewłaściwej osoby, etykieta jednego klienta zostaje naklejona na paczkę innego, a do kartonu trafia wydruk z danymi kilku zamówień. Każda taka sytuacja oznacza, że dane osobowe klienta zobaczyła osoba nieuprawniona.

RODO wymaga, żeby administrator ocenił każde naruszenie ochrony danych. Jeśli naruszenie może powodować ryzyko naruszenia praw lub wolności osób, trzeba je zgłosić Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO), a przy wysokim ryzyku – zawiadomić także osobę, której dane dotyczą (art. 34). Nawet jeśli uznasz, że zgłoszenie nie jest potrzebne, naruszenie trzeba udokumentować w wewnętrznym rejestrze.

Najlepszą ochroną jest proces, który ogranicza ryzyko pomyłek: etykieta drukowana w momencie pakowania konkretnego zamówienia, skanowanie produktów przy pakowaniu i dokumenty sprzedaży wysyłane elektronicznie zamiast wkładane do paczki. O typowych błędach przy wysyłkach piszemy w artykule najczęstsze błędy sklepów przy wysyłkach InPost.

Wysyłka w dropshippingu i od dostawców

Jeśli zamówienia wysyła za Ciebie hurtownia lub producent, przekazujesz mu dane klienta, a on – przewoźnikowi. To osobny przepływ danych, który wymaga uregulowania w umowie z dostawcą i uwzględnienia w polityce prywatności. Piszemy o tym szerzej w artykule dropshipping z InPost.

Wykres – pięć kroków przeglądu RODO w procesie wysyłki [#chart:ip78b]

Najczęściej zadawane pytania

Czy potrzebuję zgody klienta na przekazanie danych InPost?

Zwykle nie. Przekazanie danych przewoźnikowi w celu doręczenia zamówienia jest niezbędne do wykonania umowy (art. 6 ust. 1 lit. b RODO). Musisz jednak poinformować klienta w polityce prywatności, że przekazujesz dane przewoźnikom.

Kto jest administratorem danych przy przesyłce InPost?

Według § 33 regulaminu usługi Paczkomat 24/7 InPost jest administratorem danych nadawców i osób umocowanych do nadawania lub odbioru przesyłek, w celach związanych z wykonywaniem usług. Sklep pozostaje administratorem danych swoich klientów w zakresie realizacji zamówienia.

Czy numer telefonu odbiorcy jest obowiązkowy?

Przy Paczkomacie tak. Regulamin wymaga podania 9-cyfrowego numeru telefonu komórkowego odbiorcy, który służy m.in. do powiadomienia o możliwości odbioru przesyłki.

Co wpisać w polu referencyjnym na etykiecie?

Najbezpieczniej numer zamówienia. Unikaj nazw produktów i innych informacji, które mogą zdradzać zawartość paczki lub dane wrażliwe.

Czy przy fulfillmencie potrzebna jest umowa powierzenia?

Zwykle tak, bo operator logistyczny przetwarza dane Twoich klientów w Twoim imieniu. Sprawdź zapisy umowy z operatorem i skonsultuj je z prawnikiem lub inspektorem ochrony danych.

Jak długo przechowywać dane o przesyłkach?

Tak długo, jak jest to potrzebne do realizacji celów, np. obsługi reklamacji i obowiązków podatkowych. Reklamację przesyłki w InPost składa się w ciągu 12 miesięcy od nadania – to praktyczna wskazówka przy ustalaniu okresu przechowywania.

Podsumowanie

Przekazanie danych odbiorcy przewoźnikowi to normalna część realizacji zamówienia, oparta na wykonaniu umowy. Kluczowe jest to, żeby przekazywać tylko potrzebne dane, informować o tym klientów w polityce prywatności, uważać na pola drukowane na etykiecie i kontrolować dostęp do kont i integracji. Przy fulfillmencie i dropshippingu uregulowanie przepływu danych w umowach jest równie ważne jak sama logistyka.

Wdrażamy i obsługujemy wysyłki InPost w sklepach internetowych – w tym konfigurację pól etykiet, uprawnień pracowników i integracji tak, żeby dane klientów trafiały tylko tam, gdzie są potrzebne. Sprawdź wdrożenie Base z automatyzacją wysyłek.