RODO w sklepie internetowym - praktyczna lista obowiązków sprzedawcy

RODO w sklepie internetowym sprowadza się do kilku konkretnych obowiązków sprzedawcy: musisz wiedzieć, jakie dane klientów zbierasz i na jakiej podstawie, poinformować o tym klientów w polityce prywatności, zawrzeć umowy powierzenia z firmami, które przetwarzają dane w Twoim imieniu, zabezpieczyć dane, obsługiwać żądania klientów i zgłaszać naruszenia. Większość tych obowiązków da się uporządkować w kilka dni pracy, a potem wystarczy je aktualizować.

RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, stosuje się od 25 maja 2018 r. i obejmuje każdy sklep, który przetwarza dane osób fizycznych - imiona i nazwiska, adresy, e-maile, numery telefonów, historię zamówień. Dotyczy to zarówno własnego sklepu, jak i sprzedaży na marketplace'ach. Ten wpis nie jest poradą prawną, tylko praktyczną listą tego, co sprzedawca powinien mieć zrobione, pisaną z perspektywy osób, które wdrażają te zasady w systemach sklepu. Przy wątpliwościach co do konkretnych zapisów skonsultuj się z prawnikiem.

[#wazne] W skrócie: RODO w sklepie internetowym wymaga określenia podstaw przetwarzania danych klientów, polityki prywatności z obowiązkiem informacyjnym, umów powierzenia z dostawcami takimi jak hosting, system mailingowy czy system zamówień, rejestru czynności przetwarzania, zabezpieczeń technicznych, procedury obsługi żądań klientów i zgłaszania naruszeń. Obowiązki dotyczą też danych kupujących z marketplace'ów, np. z Allegro. W Vinson wdrażamy techniczną część tych obowiązków w ramach wsparcia IT dla sklepów.

Jakie dane przetwarza sklep internetowy i na jakiej podstawie

Przetwarzanie danych osobowych to każda operacja na danych: zbieranie, zapisywanie, przechowywanie, przesyłanie i usuwanie. W sklepie dzieje się to w wielu miejscach naraz - w panelu sklepu, w systemie zamówień, w programie do faktur, w skrzynce obsługi klienta, w systemie mailingowym i w narzędziach analitycznych. Każde z tych przetwarzań musi mieć podstawę prawną z art. 6 RODO. W sklepie internetowym najczęściej występują cztery:

[#chart:wit55a]

Zgoda nie jest podstawą „na wszystko”. Do realizacji zamówienia nie potrzebujesz zgody klienta, bo podstawą jest umowa, a dokumenty księgowe przechowujesz, bo wymagają tego przepisy podatkowe. Zgody potrzebujesz natomiast do newslettera i marketingu wysyłanego e-mailem lub SMS-em oraz - co do zasady - do plików cookies, które nie są niezbędne do działania sklepu, np. analitycznych i reklamowych. Zgoda musi być dobrowolna, więc nie uzależniaj od niej złożenia zamówienia, i musi dać się wycofać równie łatwo, jak się ją wyraża.

Dane kupujących z marketplace'ów

Gdy sprzedajesz na Allegro, Amazonie czy w Empik Place, dostajesz dane kupującego, żeby zrealizować zamówienie. W tym zakresie przetwarzasz je jako administrator i obowiązuje Cię RODO tak samo jak w sklepie. Wykorzystanie tych danych do marketingu, np. dopisanie kupujących do newslettera, wymaga osobnej podstawy, a regulaminy platform zwykle dodatkowo to ograniczają (stan na marzec 2026 - sprawdź aktualny regulamin platformy). Dane z marketplace'ów często trafiają też do systemu zamówień, np. Base, więc i ten dostawca powinien być objęty umową powierzenia.

RODO w sklepie internetowym - lista obowiązków sprzedawcy

Poniższa lista porządkuje obowiązki od tych, które klient widzi na stronie, po te, które dzieją się w tle. Traktuj ją jak listę kontrolną i przy każdym punkcie zapisz, kto w firmie za niego odpowiada:

Obowiązek	Co konkretnie zrobić	Podstawa w RODO
Obowiązek informacyjny	Polityka prywatności na stronie i informacja przy formularzach	art. 13
Podstawy przetwarzania	Przypisanie podstawy do każdego celu: zamówienia, faktury, newsletter, analityka	art. 6
Umowy powierzenia	Umowa z każdym podmiotem przetwarzającym dane w Twoim imieniu	art. 28
Rejestr czynności przetwarzania	Tabela celów, kategorii danych, odbiorców i okresów przechowywania	art. 30
Bezpieczeństwo danych	Kontrola dostępu, 2FA, kopie zapasowe, szyfrowanie połączeń	art. 32
Prawa klientów	Procedura obsługi żądań dostępu, sprostowania, usunięcia i sprzeciwu	art. 12-22
Naruszenia	Rejestr incydentów i zgłoszenie do UODO w ciągu 72 godzin	art. 33-34

Rejestr czynności przetwarzania formalnie nie obowiązuje firm zatrudniających mniej niż 250 osób, ale wyjątek nie działa m.in. wtedy, gdy przetwarzanie nie ma charakteru sporadycznego. Sklep przetwarza dane klientów codziennie, więc w praktyce warto przyjąć, że rejestr jest potrzebny. To zresztą najprostszy sposób, by mieć cały obraz danych w jednym miejscu - wystarczy arkusz z kolumnami: cel, kategorie osób i danych, odbiorcy, okres przechowywania i zabezpieczenia.

Polityka prywatności i informacja przy formularzach

Polityka prywatności musi opisywać prostym językiem, kto jest administratorem, jak się z nim skontaktować, w jakich celach i na jakiej podstawie przetwarzasz dane, komu je przekazujesz, jak długo je przechowujesz i jakie prawa ma klient, w tym prawo skargi do Prezesa UODO. Przy formularzu zamówienia, rejestracji i zapisu na newsletter umieść krótką informację z linkiem do polityki. Kopiowanie gotowego wzoru bez dopasowania to częsty błąd - polityka musi wymieniać narzędzia, których naprawdę używasz. Aktualizuj ją przy każdej zmianie dostawcy, np. po wdrożeniu nowego systemu mailingowego, czatu na stronie czy narzędzia do opinii.

RODO w sklepie internetowym sprowadza się do kilku konkretnych obowiązków sprzedawcy: musisz wiedzieć, jakie dane klientów zbierasz i na jakiej podstawie, poinformować o tym klientów w polityce prywatności, zawrzeć umowy powierzenia z firmami, które przetwarzają dane w Twoim imieniu, zabezpieczyć dane, obsługiwać żądania klientów i zgłaszać naruszenia. Większość tych obowiązków da się uporządkować w kilka dni pracy, a potem wystarczy je aktualizować.

RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, stosuje się od 25 maja 2018 r. i obejmuje każdy sklep, który przetwarza dane osób fizycznych - imiona i nazwiska, adresy, e-maile, numery telefonów, historię zamówień. Dotyczy to zarówno własnego sklepu, jak i sprzedaży na marketplace'ach. Ten wpis nie jest poradą prawną, tylko praktyczną listą tego, co sprzedawca powinien mieć zrobione, pisaną z perspektywy osób, które wdrażają te zasady w systemach sklepu. Przy wątpliwościach co do konkretnych zapisów skonsultuj się z prawnikiem.

[#wazne] W skrócie: RODO w sklepie internetowym wymaga określenia podstaw przetwarzania danych klientów, polityki prywatności z obowiązkiem informacyjnym, umów powierzenia z dostawcami takimi jak hosting, system mailingowy czy system zamówień, rejestru czynności przetwarzania, zabezpieczeń technicznych, procedury obsługi żądań klientów i zgłaszania naruszeń. Obowiązki dotyczą też danych kupujących z marketplace'ów, np. z Allegro. W Vinson wdrażamy techniczną część tych obowiązków w ramach wsparcia IT dla sklepów.

Jakie dane przetwarza sklep internetowy i na jakiej podstawie

Przetwarzanie danych osobowych to każda operacja na danych: zbieranie, zapisywanie, przechowywanie, przesyłanie i usuwanie. W sklepie dzieje się to w wielu miejscach naraz - w panelu sklepu, w systemie zamówień, w programie do faktur, w skrzynce obsługi klienta, w systemie mailingowym i w narzędziach analitycznych. Każde z tych przetwarzań musi mieć podstawę prawną z art. 6 RODO. W sklepie internetowym najczęściej występują cztery:

[#chart:wit55a]

Zgoda nie jest podstawą „na wszystko”. Do realizacji zamówienia nie potrzebujesz zgody klienta, bo podstawą jest umowa, a dokumenty księgowe przechowujesz, bo wymagają tego przepisy podatkowe. Zgody potrzebujesz natomiast do newslettera i marketingu wysyłanego e-mailem lub SMS-em oraz - co do zasady - do plików cookies, które nie są niezbędne do działania sklepu, np. analitycznych i reklamowych. Zgoda musi być dobrowolna, więc nie uzależniaj od niej złożenia zamówienia, i musi dać się wycofać równie łatwo, jak się ją wyraża.

Dane kupujących z marketplace'ów

Gdy sprzedajesz na Allegro, Amazonie czy w Empik Place, dostajesz dane kupującego, żeby zrealizować zamówienie. W tym zakresie przetwarzasz je jako administrator i obowiązuje Cię RODO tak samo jak w sklepie. Wykorzystanie tych danych do marketingu, np. dopisanie kupujących do newslettera, wymaga osobnej podstawy, a regulaminy platform zwykle dodatkowo to ograniczają (stan na marzec 2026 - sprawdź aktualny regulamin platformy). Dane z marketplace'ów często trafiają też do systemu zamówień, np. Base, więc i ten dostawca powinien być objęty umową powierzenia.

RODO w sklepie internetowym - lista obowiązków sprzedawcy

Poniższa lista porządkuje obowiązki od tych, które klient widzi na stronie, po te, które dzieją się w tle. Traktuj ją jak listę kontrolną i przy każdym punkcie zapisz, kto w firmie za niego odpowiada:

Obowiązek	Co konkretnie zrobić	Podstawa w RODO
Obowiązek informacyjny	Polityka prywatności na stronie i informacja przy formularzach	art. 13
Podstawy przetwarzania	Przypisanie podstawy do każdego celu: zamówienia, faktury, newsletter, analityka	art. 6
Umowy powierzenia	Umowa z każdym podmiotem przetwarzającym dane w Twoim imieniu	art. 28
Rejestr czynności przetwarzania	Tabela celów, kategorii danych, odbiorców i okresów przechowywania	art. 30
Bezpieczeństwo danych	Kontrola dostępu, 2FA, kopie zapasowe, szyfrowanie połączeń	art. 32
Prawa klientów	Procedura obsługi żądań dostępu, sprostowania, usunięcia i sprzeciwu	art. 12-22
Naruszenia	Rejestr incydentów i zgłoszenie do UODO w ciągu 72 godzin	art. 33-34

Rejestr czynności przetwarzania formalnie nie obowiązuje firm zatrudniających mniej niż 250 osób, ale wyjątek nie działa m.in. wtedy, gdy przetwarzanie nie ma charakteru sporadycznego. Sklep przetwarza dane klientów codziennie, więc w praktyce warto przyjąć, że rejestr jest potrzebny. To zresztą najprostszy sposób, by mieć cały obraz danych w jednym miejscu - wystarczy arkusz z kolumnami: cel, kategorie osób i danych, odbiorcy, okres przechowywania i zabezpieczenia.

Polityka prywatności i informacja przy formularzach

Polityka prywatności musi opisywać prostym językiem, kto jest administratorem, jak się z nim skontaktować, w jakich celach i na jakiej podstawie przetwarzasz dane, komu je przekazujesz, jak długo je przechowujesz i jakie prawa ma klient, w tym prawo skargi do Prezesa UODO. Przy formularzu zamówienia, rejestracji i zapisu na newsletter umieść krótką informację z linkiem do polityki. Kopiowanie gotowego wzoru bez dopasowania to częsty błąd - polityka musi wymieniać narzędzia, których naprawdę używasz. Aktualizuj ją przy każdej zmianie dostawcy, np. po wdrożeniu nowego systemu mailingowego, czatu na stronie czy narzędzia do opinii.

Umowy powierzenia - z kim musi je mieć sklep internetowy

Podmiot przetwarzający to firma, która przetwarza dane Twoich klientów w Twoim imieniu i na Twoje polecenie. Z każdą taką firmą potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO). Duzi dostawcy zwykle udostępniają ją jako część regulaminu lub osobny dokument do akceptacji w panelu, więc często wystarczy go odnaleźć i zapisać. W typowym sklepie lista obejmuje:

Hosting i platformę sklepu - serwer lub abonament, w którym fizycznie leży baza klientów.
System zamówień i integrator - narzędzie, które pobiera zamówienia z marketplace'ów i sklepu.
System mailingowy i SMS - narzędzie do newslettera i powiadomień.
Biuro rachunkowe - otrzymuje faktury z danymi klientów.
Pocztę firmową i dysk w chmurze - Google Workspace lub Microsoft 365, do których trafiają maile i dokumenty z danymi.
Firmę IT lub agencję - jeśli ma dostęp do panelu sklepu, bazy danych lub skrzynek.

Nie każdy odbiorca danych jest podmiotem przetwarzającym. Firma kurierska czy operator płatności często działają jako odrębni administratorzy, bo przetwarzają dane we własnych celach i na własnych zasadach. Narzędzia analityczne i reklamowe mogą mieć jeszcze inny status. Status każdego dostawcy sprawdź w jego dokumentacji i wpisz do rejestru czynności przetwarzania. Jeśli korzystasz z usług dostawców spoza Europejskiego Obszaru Gospodarczego, sprawdź też, na jakiej podstawie dane są tam przekazywane.

Pliki cookies i baner zgód w sklepie

Pliki cookies niezbędne do działania sklepu, np. koszyka czy logowania, nie wymagają zgody. Na cookies analityczne i reklamowe, w tym piksele reklamowe i tagi remarketingowe, potrzebujesz co do zasady zgody wyrażonej przed ich uruchomieniem, a nie tylko informacji w stopce. W praktyce oznacza to baner, który pozwala zaakceptować lub odrzucić kategorie cookies równie łatwo, oraz konfigurację narzędzi tak, by skrypty uruchamiały się dopiero po zgodzie. Jeśli korzystasz z Google Analytics lub Google Ads, sprawdź, czy tryb uzyskiwania zgody jest poprawnie przekazywany z banera do tagów. Po wdrożeniu przejrzyj stronę w trybie prywatnym i sprawdź w narzędziach przeglądarki, czy przed kliknięciem w baner nie ładują się skrypty reklamowe.

Prawa klientów - jak obsłużyć żądanie zgodnie z RODO

Klient może zażądać dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania lub przeniesienia, a także wnieść sprzeciw, np. wobec marketingu. Na żądanie odpowiadasz bez zbędnej zwłoki, nie później niż w ciągu miesiąca, z możliwością przedłużenia o kolejne dwa miesiące w uzasadnionych przypadkach (art. 12 RODO). Najprościej mieć jedną procedurę dla wszystkich żądań:

[#chart:wit55b]

Usunięcie danych nie zawsze oznacza usunięcie wszystkiego. Faktury i dokumenty księgowe musisz przechowywać przez okres wymagany przepisami podatkowymi, zwykle 5 lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku (stan na marzec 2026). W takim przypadku usuwasz konto klienta, wypisujesz go z newslettera i kasujesz dane z narzędzi marketingowych, a dokumenty księgowe zostają do końca okresu przechowywania. Pamiętaj, że dane klienta zwykle są w kilku systemach - w sklepie, w systemie zamówień, w narzędziu mailingowym i w skrzynce obsługi klienta. Usunięcie tylko w jednym z nich nie wystarcza.

Bezpieczeństwo danych w sklepie - techniczna strona RODO

RODO nie wymienia konkretnych zabezpieczeń, tylko wymaga środków odpowiednich do ryzyka (art. 32). Dla sklepu internetowego oznacza to w praktyce kilka sprawdzalnych rzeczy:

Indywidualne konta i role - każdy pracownik ma własny login z dostępem tylko do potrzebnych danych.
Weryfikacja dwuetapowa - na panelu sklepu, poczcie, systemie zamówień i kontach marketplace.
Szyfrowane połączenie - certyfikat SSL na całej stronie sklepu, nie tylko w koszyku.
Kopie zapasowe i test odtwarzania - dostępność danych to też element bezpieczeństwa w rozumieniu RODO.
Aktualizacje oprogramowania - system sklepu, wtyczki i serwer bez znanych luk.
Odbieranie dostępów natychmiast po odejściu pracownika lub zakończeniu współpracy - pomoże w tym lista kontrolna odbierania dostępów.

Te same zabezpieczenia chronią sklep przed włamaniem i utratą danych, więc wdrażasz je raz, a korzystasz podwójnie. Ogranicz też liczbę miejsc, w których leżą dane klientów: eksporty zamówień w arkuszach na prywatnych dyskach czy listy klientów wysyłane mailem to częste źródło naruszeń. Plan działania na wypadek awarii lub wycieku opisujemy w poradniku utrata danych sklepu - plan awaryjny krok po kroku.

Naruszenie ochrony danych - 72 godziny na zgłoszenie

Naruszenie to każdy incydent, w którym dane klientów zostały ujawnione, utracone, zmienione lub stały się niedostępne - od wysłania maila z listą klientów do niewłaściwego odbiorcy po włamanie na serwer. Jeśli naruszenie może powodować ryzyko dla klientów, zgłaszasz je do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33). Przy wysokim ryzyku zawiadamiasz też samych klientów (art. 34). Każde naruszenie, także niezgłaszane, wpisujesz do wewnętrznego rejestru. Najtrudniejsza bywa ocena, czy incydent trzeba zgłosić - przykłady pomocne w pierwszej ocenie:

[#chart:wit55c]

[#uwaga] Za naruszenie RODO grożą administracyjne kary pieniężne do 20 mln euro lub do 4% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 RODO). Poza karami realnym kosztem są skargi klientów, postępowanie wyjaśniające i czas zespołu - uporządkowana dokumentacja i wdrożone zabezpieczenia znacznie ułatwiają przejście przez taką sytuację.

Jak Vinson pomaga wdrożyć RODO w sklepie internetowym

Vinson to agencja e-commerce z Bochni działająca od 2021 r., autoryzowany partner Shoper i certyfikowany partner Base, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. W ramach wsparcia informatycznego dla firm i sklepów robimy przegląd systemów, w których są dane klientów, przygotowujemy listę dostawców do umów powierzenia i szkic rejestru czynności przetwarzania, wdrażamy indywidualne konta, weryfikację dwuetapową i kopie zapasowe, konfigurujemy baner cookies zgodnie z przyjętymi przez Ciebie zasadami i ustawiamy procedurę usuwania danych we wszystkich systemach - w sklepie, w systemie zamówień i w narzędziach marketingowych. Treść dokumentów i ocenę prawną zostawiamy prawnikowi, z którym współpracuje Twoja firma.

Najczęściej zadawane pytania

Czy mały sklep internetowy musi stosować RODO?

Tak. RODO obowiązuje każdy sklep, który przetwarza dane osób fizycznych, niezależnie od wielkości firmy i liczby zamówień. Wielkość firmy wpływa tylko na niektóre obowiązki, np. na zwolnienie z rejestru czynności przetwarzania, które w sklepie zwykle i tak nie ma zastosowania.

Czy sklep internetowy musi mieć inspektora ochrony danych?

Większość małych sklepów nie musi. Inspektor jest obowiązkowy m.in. wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę lub na przetwarzaniu na dużą skalę danych szczególnych kategorii (art. 37 RODO). Sklep może jednak wyznaczyć inspektora dobrowolnie.

Czy do realizacji zamówienia potrzebuję zgody klienta na przetwarzanie danych?

Nie. Podstawą przetwarzania danych przy zamówieniu jest umowa sprzedaży, a przy fakturach - obowiązek prawny. Zgoda jest potrzebna do newslettera, marketingu e-mailowego i SMS-owego oraz co do zasady do nieniezbędnych plików cookies.

Jak długo sklep może przechowywać dane klientów?

Tak długo, jak wymaga tego cel: dane do zamówienia przez okres realizacji i możliwych roszczeń, dokumenty księgowe przez okres wymagany przepisami podatkowymi, a dane do newslettera do wycofania zgody. Okresy przechowywania wpisz do rejestru czynności przetwarzania i do polityki prywatności.

Co grozi za brak zgodności z RODO w sklepie?

Prezes UODO może nałożyć administracyjną karę pieniężną, której górna granica wynosi 20 mln euro lub 4% rocznego światowego obrotu. Klient może też dochodzić odszkodowania za szkodę wynikającą z naruszenia przepisów (art. 82 RODO). Wysokość kary zależy m.in. od wagi naruszenia i współpracy z organem.

Jeśli chcesz uporządkować techniczną część RODO w swoim sklepie - konta, dostępy, kopie zapasowe i usuwanie danych we wszystkich systemach - skontaktuj się z nami w sprawie wsparcia IT. Na początek warto przeczytać, jak zaplanować backup danych firmy e-commerce według zasady 3-2-1.

Umowy powierzenia - z kim musi je mieć sklep internetowy

Podmiot przetwarzający to firma, która przetwarza dane Twoich klientów w Twoim imieniu i na Twoje polecenie. Z każdą taką firmą potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO). Duzi dostawcy zwykle udostępniają ją jako część regulaminu lub osobny dokument do akceptacji w panelu, więc często wystarczy go odnaleźć i zapisać. W typowym sklepie lista obejmuje:

Hosting i platformę sklepu - serwer lub abonament, w którym fizycznie leży baza klientów.
System zamówień i integrator - narzędzie, które pobiera zamówienia z marketplace'ów i sklepu.
System mailingowy i SMS - narzędzie do newslettera i powiadomień.
Biuro rachunkowe - otrzymuje faktury z danymi klientów.
Pocztę firmową i dysk w chmurze - Google Workspace lub Microsoft 365, do których trafiają maile i dokumenty z danymi.
Firmę IT lub agencję - jeśli ma dostęp do panelu sklepu, bazy danych lub skrzynek.

Nie każdy odbiorca danych jest podmiotem przetwarzającym. Firma kurierska czy operator płatności często działają jako odrębni administratorzy, bo przetwarzają dane we własnych celach i na własnych zasadach. Narzędzia analityczne i reklamowe mogą mieć jeszcze inny status. Status każdego dostawcy sprawdź w jego dokumentacji i wpisz do rejestru czynności przetwarzania. Jeśli korzystasz z usług dostawców spoza Europejskiego Obszaru Gospodarczego, sprawdź też, na jakiej podstawie dane są tam przekazywane.

Pliki cookies i baner zgód w sklepie

Pliki cookies niezbędne do działania sklepu, np. koszyka czy logowania, nie wymagają zgody. Na cookies analityczne i reklamowe, w tym piksele reklamowe i tagi remarketingowe, potrzebujesz co do zasady zgody wyrażonej przed ich uruchomieniem, a nie tylko informacji w stopce. W praktyce oznacza to baner, który pozwala zaakceptować lub odrzucić kategorie cookies równie łatwo, oraz konfigurację narzędzi tak, by skrypty uruchamiały się dopiero po zgodzie. Jeśli korzystasz z Google Analytics lub Google Ads, sprawdź, czy tryb uzyskiwania zgody jest poprawnie przekazywany z banera do tagów. Po wdrożeniu przejrzyj stronę w trybie prywatnym i sprawdź w narzędziach przeglądarki, czy przed kliknięciem w baner nie ładują się skrypty reklamowe.

Prawa klientów - jak obsłużyć żądanie zgodnie z RODO

Klient może zażądać dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania lub przeniesienia, a także wnieść sprzeciw, np. wobec marketingu. Na żądanie odpowiadasz bez zbędnej zwłoki, nie później niż w ciągu miesiąca, z możliwością przedłużenia o kolejne dwa miesiące w uzasadnionych przypadkach (art. 12 RODO). Najprościej mieć jedną procedurę dla wszystkich żądań:

[#chart:wit55b]

Usunięcie danych nie zawsze oznacza usunięcie wszystkiego. Faktury i dokumenty księgowe musisz przechowywać przez okres wymagany przepisami podatkowymi, zwykle 5 lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku (stan na marzec 2026). W takim przypadku usuwasz konto klienta, wypisujesz go z newslettera i kasujesz dane z narzędzi marketingowych, a dokumenty księgowe zostają do końca okresu przechowywania. Pamiętaj, że dane klienta zwykle są w kilku systemach - w sklepie, w systemie zamówień, w narzędziu mailingowym i w skrzynce obsługi klienta. Usunięcie tylko w jednym z nich nie wystarcza.

Bezpieczeństwo danych w sklepie - techniczna strona RODO

RODO nie wymienia konkretnych zabezpieczeń, tylko wymaga środków odpowiednich do ryzyka (art. 32). Dla sklepu internetowego oznacza to w praktyce kilka sprawdzalnych rzeczy:

Indywidualne konta i role - każdy pracownik ma własny login z dostępem tylko do potrzebnych danych.
Weryfikacja dwuetapowa - na panelu sklepu, poczcie, systemie zamówień i kontach marketplace.
Szyfrowane połączenie - certyfikat SSL na całej stronie sklepu, nie tylko w koszyku.
Kopie zapasowe i test odtwarzania - dostępność danych to też element bezpieczeństwa w rozumieniu RODO.
Aktualizacje oprogramowania - system sklepu, wtyczki i serwer bez znanych luk.
Odbieranie dostępów natychmiast po odejściu pracownika lub zakończeniu współpracy - pomoże w tym lista kontrolna odbierania dostępów.

Te same zabezpieczenia chronią sklep przed włamaniem i utratą danych, więc wdrażasz je raz, a korzystasz podwójnie. Ogranicz też liczbę miejsc, w których leżą dane klientów: eksporty zamówień w arkuszach na prywatnych dyskach czy listy klientów wysyłane mailem to częste źródło naruszeń. Plan działania na wypadek awarii lub wycieku opisujemy w poradniku utrata danych sklepu - plan awaryjny krok po kroku.

Naruszenie ochrony danych - 72 godziny na zgłoszenie

Naruszenie to każdy incydent, w którym dane klientów zostały ujawnione, utracone, zmienione lub stały się niedostępne - od wysłania maila z listą klientów do niewłaściwego odbiorcy po włamanie na serwer. Jeśli naruszenie może powodować ryzyko dla klientów, zgłaszasz je do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33). Przy wysokim ryzyku zawiadamiasz też samych klientów (art. 34). Każde naruszenie, także niezgłaszane, wpisujesz do wewnętrznego rejestru. Najtrudniejsza bywa ocena, czy incydent trzeba zgłosić - przykłady pomocne w pierwszej ocenie:

[#chart:wit55c]

[#uwaga] Za naruszenie RODO grożą administracyjne kary pieniężne do 20 mln euro lub do 4% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 RODO). Poza karami realnym kosztem są skargi klientów, postępowanie wyjaśniające i czas zespołu - uporządkowana dokumentacja i wdrożone zabezpieczenia znacznie ułatwiają przejście przez taką sytuację.

Jak Vinson pomaga wdrożyć RODO w sklepie internetowym

Vinson to agencja e-commerce z Bochni działająca od 2021 r., autoryzowany partner Shoper i certyfikowany partner Base, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. W ramach wsparcia informatycznego dla firm i sklepów robimy przegląd systemów, w których są dane klientów, przygotowujemy listę dostawców do umów powierzenia i szkic rejestru czynności przetwarzania, wdrażamy indywidualne konta, weryfikację dwuetapową i kopie zapasowe, konfigurujemy baner cookies zgodnie z przyjętymi przez Ciebie zasadami i ustawiamy procedurę usuwania danych we wszystkich systemach - w sklepie, w systemie zamówień i w narzędziach marketingowych. Treść dokumentów i ocenę prawną zostawiamy prawnikowi, z którym współpracuje Twoja firma.

Najczęściej zadawane pytania

Czy mały sklep internetowy musi stosować RODO?

Tak. RODO obowiązuje każdy sklep, który przetwarza dane osób fizycznych, niezależnie od wielkości firmy i liczby zamówień. Wielkość firmy wpływa tylko na niektóre obowiązki, np. na zwolnienie z rejestru czynności przetwarzania, które w sklepie zwykle i tak nie ma zastosowania.

Czy sklep internetowy musi mieć inspektora ochrony danych?

Większość małych sklepów nie musi. Inspektor jest obowiązkowy m.in. wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę lub na przetwarzaniu na dużą skalę danych szczególnych kategorii (art. 37 RODO). Sklep może jednak wyznaczyć inspektora dobrowolnie.

Czy do realizacji zamówienia potrzebuję zgody klienta na przetwarzanie danych?

Nie. Podstawą przetwarzania danych przy zamówieniu jest umowa sprzedaży, a przy fakturach - obowiązek prawny. Zgoda jest potrzebna do newslettera, marketingu e-mailowego i SMS-owego oraz co do zasady do nieniezbędnych plików cookies.

Jak długo sklep może przechowywać dane klientów?

Tak długo, jak wymaga tego cel: dane do zamówienia przez okres realizacji i możliwych roszczeń, dokumenty księgowe przez okres wymagany przepisami podatkowymi, a dane do newslettera do wycofania zgody. Okresy przechowywania wpisz do rejestru czynności przetwarzania i do polityki prywatności.

Co grozi za brak zgodności z RODO w sklepie?

Prezes UODO może nałożyć administracyjną karę pieniężną, której górna granica wynosi 20 mln euro lub 4% rocznego światowego obrotu. Klient może też dochodzić odszkodowania za szkodę wynikającą z naruszenia przepisów (art. 82 RODO). Wysokość kary zależy m.in. od wagi naruszenia i współpracy z organem.

Jeśli chcesz uporządkować techniczną część RODO w swoim sklepie - konta, dostępy, kopie zapasowe i usuwanie danych we wszystkich systemach - skontaktuj się z nami w sprawie wsparcia IT. Na początek warto przeczytać, jak zaplanować backup danych firmy e-commerce według zasady 3-2-1.

RODO w sklepie internetowym - praktyczna lista obowiązków sprzedawcy