Każdy sklep internetowy zbiera dane. Imię, adres dostawy, e-mail, numer telefonu — to minimum niezbędne do realizacji zamówienia. Ale Black Friday dokłada kolejne warstwy: lista mailingowa, kody rabatowe, kampanie remarketingowe, cookies analityczne, piksel Mety. W szczycie sezonu skala przetwarzania danych gwałtownie rośnie, a razem z nią rośnie ryzyko niezgodności z rozporządzeniem (UE) 2016/679, czyli RODO.
Urząd Ochrony Danych Osobowych aktywnie prowadzi postępowania i nakłada kary finansowe — m.in. w listopadzie 2026 r. Prezes UODO wydał decyzję stwierdzającą brak zapewnienia bezpiecznego przetwarzania danych przez jedną z instytucji. Jeszcze wcześniej, w połowie 2026 r., UODO wszczął szersze badanie realizacji obowiązków przejrzystości i informacyjnych przez podmioty działające w sieci. Dla właściciela sklepu internetowego wniosek jest jeden: zanim uruchomisz kampanię Black Friday, sprawdź, czy Twoje procedury są zgodne z RODO.
Ten artykuł nie jest analizą prawną ani poradą dla adwokata. To praktyczny przegląd dla właściciela MŚP, który prowadzi sklep internetowy i chce przed sezonem upewnić się, że nie ma oczywistych luk.
Dlaczego Black Friday jest wyjątkowy z punktu widzenia RODO
Black Friday nie tworzy nowych przepisów — RODO obowiązuje przez cały rok. Ale ten jeden tydzień koncentruje kilka działań naraz, które łącznie zwiększają ryzyko błędu:
Więcej nowych klientów — rejestracja konta, zapis do newslettera, zakup bez rejestracji. Każdy z tych scenariuszy wymaga innego podejścia do podstawy prawnej przetwarzania i obowiązku informacyjnego.
Intensywniejszy marketing — kampanie e-mailowe do bazy, retargeting w Google i Meta, push notyfikacje. Każdy z tych kanałów opiera się na wcześniej zebranych danych lub wymaga świeżych zgód.
Więcej dostawców zewnętrznych — integracje z kurierami, bramkami płatności, narzędziami analitycznymi, systemami do wysyłki e-mail. Każdy z nich to potencjalnie nowy podmiot przetwarzający dane w imieniu Twojego sklepu, który wymaga umowy powierzenia.
Skrócony czas decyzji — działania uruchamiane w pośpiechu, bez sprawdzenia, czy zgody na newsletter zostały zebrane prawidłowo albo czy polityka prywatności uwzględnia najnowsze integracje.
Podstawa prawna przetwarzania — sześć opcji, trzy w praktyce
Artykuł 6 RODO wymienia sześć legalnych podstaw przetwarzania danych. Przetwarzanie jest dozwolone wyłącznie wtedy, gdy do konkretnego celu przypisana jest co najmniej jedna z nich. W e-commerce w praktyce istotne są trzy:
Realizacja umowy (art. 6 ust. 1 lit. b)
To podstawa dla wszystkich danych niezbędnych do zrealizowania zamówienia: imię, adres, e-mail do potwierdzenia, numer telefonu dla kuriera. Klient składa zamówienie — zawiera umowę sprzedaży. Przetwarzanie danych wymaganych do wykonania tej umowy nie wymaga osobnej zgody.
Co to oznacza w praktyce: nie warto prosić o “zgodę na przetwarzanie danych w celu dostawy” — to błędne podejście. Podstawą jest umowa, nie zgoda. Zbędne pytania o zgodę tam, gdzie masz inną podstawę prawną, komplikują UX i mogą powodować zamieszanie przy późniejszym odwołaniu zgód.
Uzasadniony interes administratora (art. 6 ust. 1 lit. f)
Pozwala przetwarzać dane, gdy Twój uzasadniony interes przeważa nad interesami lub prawami osoby, której dane dotyczą. W e-commerce stosuje się to m.in. do wykrywania fraudów, analizy własnej statystyki sprzedaży (bez zewnętrznych narzędzi analitycznych), bezpieczeństwa systemów.
Co to oznacza w praktyce: ta podstawa wymaga przeprowadzenia tzw. testu równowagi — Twój interes vs. interes użytkownika. Nie jest to procedura, którą należy pomijać. Jeśli używasz uzasadnionego interesu jako “wygodnej” podstawy dla marketingu bezpośredniego do istniejących klientów, musisz zapewnić im prawo sprzeciwu.
Zgoda (art. 6 ust. 1 lit. a)
Niezbędna dla celów, które nie mieszczą się w realizacji umowy ani uzasadnionym interesie — przede wszystkim newsletter i e-mail marketing do nowych kontaktów, spersonalizowane reklamy oparte na profilowaniu, większość cookie’ów śledzących.
Kiedy zgoda jest ważna — cztery wymogi RODO
Artykuł 7 RODO precyzuje, kiedy zgoda jest prawnie skuteczna. Wielu właścicieli sklepów ma narzędzia do zbierania zgód, ale sama checkboxka nie wystarczy.
Administrator musi być w stanie wykazać, że zgoda została udzielona
Logi zgód muszą być przechowywane: kto, kiedy, na co wyraził zgodę, z jakiego formularza, w jakiej wersji treści. Jeśli UODO zapyta o dowód zgody konkretnej osoby na wysyłkę newslettera — musisz mieć tę informację dostępną.
Praktyczna weryfikacja: sprawdź, czy Twój system do e-mail marketingu zapisuje datę, źródło i treść zgody przy każdym zapisie. Jeśli przeprowadzałeś w przeszłości import zewnętrznej bazy lub zbierałeś adresy przez formularz, który nie logował tych danych — te kontakty mogą nie mieć ważnej dokumentacji zgody.
Zgoda musi być wyraźnie oddzielona od innych spraw
Formularz rejestracji konta nie może zawierać jednej dużej checkboxki “Zapoznałem się z regulaminem i polityką prywatności i wyrażam zgodę na przetwarzanie danych i wysyłkę newslettera i retargeting”. Każdy odrębny cel wymaga odrębnej, możliwej do zidentyfikowania zgody.
Typowy błąd: wiązanie akceptacji regulaminu z zapisem na newsletter. Regulamin to umowa, newsletter to marketing — to dwie różne rzeczy, wymagające oddzielnych checkboxek.
Wycofanie zgody musi być równie łatwe jak jej udzielenie
Jeśli zgoda była zbierana jednym kliknięciem w formularzu zapisu, wycofanie jej musi być równie proste — link “wypisz się” w stopce e-maila to minimum. Ukrywanie opcji rezygnacji, wymuszanie wielostopniowego procesu przez panel konta albo brak opcji wycofania konkretnych zgód (tylko “usuń konto” jako jedyna opcja) — to naruszenia art. 7 ust. 3 RODO.
Zgoda nie może być warunkiem zawarcia umowy
Sklep nie może odmawiać sprzedaży klientowi, który nie chce zapisać się na newsletter. Rejestracja konta nie może być uzależniona od akceptacji marketingu. Jeśli Twój formularz rejestracji łączy oba kroki — warto to rozdzielić przed Black Friday, bo to jeden z najczęściej kwestionowanych wzorców.
Obowiązki informacyjne: co musi być w polityce prywatności i checkoucie
Artykuł 13 RODO nakłada obowiązek przekazania konkretnych informacji w momencie zbierania danych — nie “gdzieś na stronie”, lecz “przy okazji pozyskiwania”. Dla sklepu internetowego praktycznie oznacza to, że polityka prywatności i jej treść muszą być dostępne przed złożeniem zamówienia, a kluczowe informacje nie mogą być zakopane w długim tekście prawniczym.
Co musi znaleźć się w klauzuli informacyjnej (art. 13 ust. 1 i 2):
- Tożsamość administratora — pełna nazwa firmy, adres, dane kontaktowe; jeśli wyznaczyłeś inspektora ochrony danych — jego dane
- Cele i podstawy prawne przetwarzania — osobno dla realizacji zamówienia (umowa), osobno dla marketingu (zgoda), osobno dla analityki (uzasadniony interes lub zgoda)
- Odbiorcy danych — kurierzy, bramki płatności, systemy e-mail, narzędzia analityczne, platformy reklamowe
- Okres przechowywania — jak długo przechowujesz dane zamówień (wymogi podatkowe), dane konta, dane marketingowe po wycofaniu zgody
- Prawa osoby, której dane dotyczą — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw
- Prawo do cofnięcia zgody w dowolnym momencie — z zaznaczeniem, że wycofanie nie wpływa na legalność przetwarzania przed wycofaniem
- Prawo do wniesienia skargi do Prezesa UODO
Artykuł 12 ust. 1 RODO dodaje wymóg formy: informacje muszą być przekazane “w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem”. Polityka prywatności napisana jako ciągły blok tekstu prawniczego, bez nagłówków i bez wyjaśnień dla laika, może być zakwestionowana jako niezgodna z tym wymogiem.
Termin odpowiedzi na żądania: art. 12 ust. 3 RODO daje administratorowi jeden miesiąc na odpowiedź na żądanie osoby, której dane dotyczą (dostęp, usunięcie, przenoszenie itp.). Zadbaj o to, żeby w szczycie sezonu sprzedażowego ktoś w firmie monitorował skrzynkę, na którą mogą wpływać takie żądania — adres podany w polityce prywatności.
Cookies — które wymagają zgody, które nie
Cookies dzielą się na dwie grupy z perspektywy RODO, i to rozróżnienie ma bezpośrednie przełożenie na Twój banner cookie.
Cookies sesyjne i technicznie niezbędne — koszyk zakupowy, identyfikator sesji zalogowanego użytkownika, pamięć formularza checkout. Bez nich sklep po prostu nie działa. Te nie wymagają zgody — są niezbędne do realizacji usługi, o którą prosi użytkownik. Możesz je ustawić bez pytania.
Cookies analityczne i marketingowe — Google Analytics, piksel Mety, piksel TikToka, narzędzia heat-map, systemy remarketingowe. Zbierają dane o zachowaniu użytkownika w celach, które wykraczają poza realizację zamówienia. Wymagają zgody przed ustawieniem, nie po. Banner, który po kliknięciu “Odrzuć” i tak ustawia pliki śledzące — to naruszenie. Banner, który domyślnie ma zaznaczone checkboxki “zgadzam się na marketing” — też jest wadliwy.
Jeśli Twój sklep korzysta z server-side trackingu, by odzyskiwać konwersje tracone przez ad-blokery i ITP, ten artykuł wyjaśnia, jak to działa technicznie i jakie są jego granice prawne.
Warto też wiedzieć, że “uzasadniony interes” jako podstawa dla cookies analitycznych bywa kwestionowany przez organy nadzorcze. Bezpieczniejsze podejście — szczególnie dla sklepów korzystających z narzędzi do śledzenia zachowań użytkowników — to zbudowanie bannera opartego na zgodzie i unikanie dyskusji o tym, czy uzasadniony interes jest tu wystarczający.
Przed Black Friday sprawdź, co faktycznie robi Twój banner cookie: otwórz panel deweloperski przeglądarki, przejdź na stronę główną w trybie prywatnym i sprawdź zakładkę “Cookies” — jakie pliki są ustawiane jeszcze przed kliknięciem zgody.
Umowy powierzenia przetwarzania — kto przetwarza dane Twoich klientów
Każdy zewnętrzny podmiot, któremu udostępniasz dane osobowe klientów w ramach swoich procesów biznesowych, musi mieć z Tobą podpisaną umowę powierzenia przetwarzania danych. To wymóg wynikający bezpośrednio z RODO — jako administrator danych Twojego sklepu odpowiadasz za to, co Twoi dostawcy robią z tymi danymi.
W typowym sklepie internetowym przed Black Friday lista podmiotów przetwarzających zazwyczaj obejmuje:
- Kurier lub firma logistyczna — przekazujesz imię, nazwisko, adres, numer telefonu klienta
- Bramka płatności — przesyłasz dane zamówienia, często wraz z e-mailem
- System e-mail marketingowy — przechowuje i przetwarza bazę subskrybentów z ich historią aktywności
- Platforma analityczna — Google Analytics, Hotjar i inne narzędzia zbierające dane o zachowaniu użytkowników
- Platforma reklamowa — Meta Ads, Google Ads, TikTok Ads korzystają z pikseli śledzących lub list klientów uploadowanych przez Ciebie
Większość dużych dostawców (Google, Meta, duże platformy SaaS) ma standardowe warunki przetwarzania danych wbudowane w regulaminy i warunki świadczenia usług — akceptujesz je przy rejestracji lub konfiguracji. Sprawdź jednak, czy faktycznie je zaakceptowałeś i czy warunki obejmują wszystkie operacje, które przeprowadzasz.
Dla mniejszych dostawców — lokalnych kurierów, agencji e-mail marketingowej, zewnętrznego programisty, który ma dostęp do Twojej bazy klientów — umowy powierzenia często trzeba zawrzeć osobno. Brak takiej umowy, gdy podmiot przetwarza dane klientów, to naruszenie RODO.
Umowa powierzenia musi zawierać m.in.: przedmiot i czas przetwarzania, charakter i cel przetwarzania, rodzaj danych i kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Podmiot przetwarzający musi też zobowiązać się, że przetwarza dane wyłącznie na Twoje udokumentowane polecenie i że wdroży odpowiednie środki techniczne i organizacyjne bezpieczeństwa.
Przed Black Friday warto przejrzeć: kto nowy pojawił się w Twoim ekosystemie w ostatnich 12 miesiącach (nowe narzędzie, nowa integracja, nowy podwykonawca), czy polityka prywatności uwzględnia tego nowego odbiorcę danych i czy umowa powierzenia jest zawarta.
Checklist przed Black Friday
Poniżej zestaw pytań do samodzielnego przeglądu — bez wiedzy prawniczej, na podstawie omówionych powyżej wymogów RODO.
Podstawa prawna i zgody:
- Czy masz zidentyfikowane cele przetwarzania i przypisane do każdego konkretne podstawy z art. 6 RODO?
- Czy checkboxka do newslettera jest oddzielona od akceptacji regulaminu?
- Czy pre-ticki (domyślnie zaznaczone zgody na marketing) zostały usunięte?
- Czy możliwość wycofania zgody na newsletter jest widoczna i prosta (link w stopce maila)?
- Czy rejestracja konta nie jest uzależniona od zapisu na newsletter?
Dokumentacja zgód:
- Czy system do e-mail marketingu loguje datę, źródło i treść zgody przy każdym zapisie?
- Czy kontakty importowane z zewnątrz mają udokumentowaną podstawę prawną?
Obowiązki informacyjne:
- Czy polityka prywatności jest aktualna i dostępna przy każdym formularzu zbierającym dane?
- Czy klauzula informacyjna zawiera wszystkie elementy z art. 13 RODO (w tym okres przechowywania i prawa)?
- Czy polityka jest napisana prostym językiem — zrozumiałym bez prawniczego wykształcenia?
- Czy adres do żądań (dostęp, usunięcie, przenoszenie) jest aktywnie monitorowany?
Cookies:
- Czy cookies marketingowe i analityczne nie są ustawiane przed kliknięciem zgody?
- Czy checkboxki w bannerze cookie nie są domyślnie zaznaczone?
- Czy możliwość odrzucenia jest tak samo widoczna jak zgoda?
Podmioty zewnętrzne:
- Czy masz aktualne umowy powierzenia przetwarzania ze wszystkimi dostawcami, którzy przetwarzają dane Twoich klientów (kurier, e-mail marketing, bramka płatności, analityka)?
- Czy lista odbiorców danych w polityce prywatności jest aktualna — uwzględnia narzędzia dodane w tym roku?
Kampanie e-mailowe Black Friday:
- Czy lista, do której wysyłasz mailing, składa się z osób, które wyraziły udokumentowaną zgodę na e-mail marketing?
- Czy osoby, które wypisały się z newslettera, zostały usunięte lub zablokowane przed wysyłką?
Jeśli planujesz kampanię e-mail marketingową na Black Friday, ten artykuł omawia sekwencje i automatyzacje — z perspektywy efektywności kampanii, a nie compliance. Oba aspekty warto połączyć.
Podsumowanie
RODO w e-commerce nie jest zestawem formalności do odhaczenia raz na kilka lat. To wymogi, które wpływają na konkretne elementy sklepu: formularz rejestracji, banner cookie, stopkę maila, politykę prywatności, umowy z dostawcami. Black Friday jest dobrym momentem na przegląd, bo większość właścicieli i tak przygotowuje wtedy kampanie, formularze i mailingi — warto przy okazji sprawdzić, czy podstawa prawna pod te działania jest porządku.
Checklist z poprzedniej sekcji możesz przeprowadzić samodzielnie w ciągu godziny-dwóch. Jeśli po tym przeglądzie okaże się, że potrzebna jest głębsza analiza — przykładowo przegląd aktualnych umów powierzenia albo ocena, czy Twoja podstawa przetwarzania danych marketingowych jest właściwa — warto skonsultować się ze specjalistą od ochrony danych. W Monaltro na co dzień pracujemy przy wdrożeniach technicznych, które dotykają tych kwestii, i chętnie podpowiemy, jak to wygląda od strony konfiguracji narzędzi — napisz do nas.