Zgodność stron internetowych z RODO: co naprawdę trzeba zbudować

Większość porad o RODO w sieci pisana jest dla prawników albo dla osób kupujących generator polityk. Bardzo niewiele powstaje dla osoby, która musi otworzyć edytor i coś zmienić.

Ten przewodnik jest tego drugiego rodzaju. Przechodzi przez to, czego ogólne rozporządzenie o ochronie danych wymaga od strony i systemów za nią, wyrażone jako rzeczy, które się buduje, konfiguruje albo kasuje. Robimy tę pracę dla firm działających w UE od czasu, gdy rozporządzenie zaczęło obowiązywać w 2018, i wzorzec tego, co idzie źle, prawie się nie zmienił.

Jedno na wstępie: RODO nie stało się łatwiejsze przez to, że pojawiły się nowsze przepisy. Stało się ważniejsze, bo prawie wszystko w obecnej fali unijnych regulacji cyfrowych zakłada, że dane osobowe masz już poukładane.

Zacznij od uczciwej inwentaryzacji danych

Niemal każdy nieudany projekt RODO, który przejmowaliśmy, poległ w tym samym miejscu. Zespół najpierw napisał politykę, a dane odkrył później.

Zanim zrobisz cokolwiek innego, zmapuj, jakie dane osobowe twoja strona faktycznie zbiera. Nie to, co mówi specyfikacja produktu. To, co jest w bazie, logach, platformie analitycznej, CRM, narzędziu wsparcia, stosie automatyzacji marketingu, trackerze błędów, logach CDN i skryptach zewnętrznych na stronie.

W praktyce oznacza to:

Przeczesać schemat. Każdą kolumnę, która mogłaby zidentyfikować osobę, samodzielnie lub w połączeniu z inną.
Przeczytać zakładkę sieci przy realnym wczytaniu strony. Każde żądanie wychodzące do domeny, której nie kontrolujesz, jest potencjalnym przekazaniem danych osobowych, bo adres IP plus user agent to dane osobowe.
Sprawdzić, co zbiera tracker błędów. Ślady stosu rutynowo zawierają adresy e-mail, tokeny i treści żądań.
Sprawdzić retencję logów. Logi dostępu z adresami IP trzymane w nieskończoność to jedno z najczęstszych ustaleń i jedno z najłatwiejszych do naprawy.

Zapisz to jako rejestr czynności przetwarzania. Artykuł 30 i tak tego wymaga od większości organizacji, a wersja użyteczna dla programistów to tabela z systemem, danymi, celem, podstawą prawną, okresem przechowywania i odbiorcami.

Wybierz podstawę prawną na cel, nie na system

Artykuł 6 daje sześć podstaw prawnych. Najczęstszy błąd to wybranie jednej dla całego produktu.

Prawie na pewno masz kilka celów działających jednocześnie. Realizacja zamówienia to umowa. Kontrole antyfraudowe to zwykle prawnie uzasadniony interes albo obowiązek prawny. Przechowywanie faktur przez okres ustawowy to obowiązek prawny. E-mail marketingowy to zgoda w większości państw członkowskich. Analityka nieistotna to zgoda, z powodu przepisów ePrivacy o dostępie do urządzenia końcowego, a nie samego RODO.

Praktyczna konsekwencja jest taka, że twój model danych musi wiedzieć, jakiemu celowi służy każdy rekord. Jeśli nie umiesz oddzielić profilu marketingowego od rekordu zamówienia, nie uszanujesz sprzeciwu marketingowego bez zniszczenia historii zamówień. Ten rozdział to decyzja schematu i boli przy doposażaniu.

Zgoda musi być prawdziwa i musi być zapisana

Jeśli opierasz się na zgodzie, musi być dobrowolna, konkretna, świadoma i jednoznaczna, a ty musisz umieć ją później wykazać.

Konkretnie:

Nic nieistotnego nie uruchamia się przed działaniem użytkownika. Dotyczy to skryptu analitycznego, piksela reklamowego, widżetu czatu, fontu z zewnętrznego CDN i skryptu testów A/B.
Odmowa musi być tak łatwa jak akceptacja. Ta sama warstwa, ta sama widoczność, ta sama liczba kliknięć. Organy traktują wszystko inne jako ciemny wzorzec i są w tym konsekwentne.
Zgoda jest na cel. Jeden przełącznik obejmujący „analitykę, marketing i personalizację" nie jest konkretny.
Wycofanie jest tak łatwe jak udzielenie. Trwały link albo pływający przycisk, nie e-mail do wsparcia.
Zapisz dowód: znacznik czasu, ciąg zgody albo stan każdej kategorii, wersję banera i tekst pokazany użytkownikowi. Bez wersji nie obronisz dwuletniego zapisu zgody.

Egzekwowanie nie jest tu teoretyczne. We wrześniu 2025 francuski organ ukarał tego samego dnia Google kwotą 325 milionów euro, a Shein 150 milionów za praktyki dotyczące cookies. Obie sprawy dotyczyły mechaniki, nie treści polityki: cookies umieszczane przed jakąkolwiek interakcją i przyciski odmowy, które nie odmawiały.

Przepisy też są w ruchu. Propozycja Digital Omnibus przeniosłaby zgodę na urządzenia końcowe do samego RODO i uczyniła sygnały przeglądarki wiążącymi. Opisaliśmy, co by to zmieniło, w zgoda na cookies po Digital Omnibus.

Zbuduj maszynerię praw osób wcześnie

Artykuły od 15 do 22 dają ludziom prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu. Masz miesiąc na odpowiedź, z możliwością przedłużenia do trzech w złożonych sprawach.

Zespoły zwykle obsługują pierwsze żądania ręcznie, co działa dokładnie do momentu, gdy przestaje. Co warto mieć na długo przed nadejściem wolumenu:

Resolver, który znajdzie osobę we wszystkich systemach. Podając adres e-mail, zwrócić wszystko: konto, zamówienia, zgłoszenia do wsparcia, profil marketingowy, identyfikator analityczny, logi. Jeśli człowiek musi pamiętać, że istnieje jeszcze zewnętrzna platforma z opiniami, ktoś kiedyś zapomni.

Ścieżkę usuwania szanującą obowiązki retencyjne. Usunięcie nie jest absolutne. Faktury zwykle muszą przetrwać z powodów podatkowych. Potrzebujesz usuwania miękkiego z twardym usuwaniem powiązanym z celem, żeby usunąć profil marketingowy, zachowując zapis księgowy, i żeby ten zapis sam wygasał w terminie.

Przenośny eksport. Ustrukturyzowany, powszechnie używany, czytelny maszynowo. JSON jest w porządku. PDF wyrenderowanej strony HTML nie.

Flagę sprzeciwu, którą czyta cały system. Sprzeciw wobec profilowania musi faktycznie zatrzymać profilowanie, także w zadaniu wsadowym o trzeciej w nocy, które flagi nie sprawdza.

Retencja to praca, nie linijka polityki

Ograniczenie przechowywania to zasada najczęściej naruszana przez skądinąd dobrze zbudowane systemy, bo usuwanie wymaga, by ktoś napisał i zaplanował zadanie, o które nikt nie prosi.

Nadaj każdej kategorii danych określony czas życia, a potem to wdroż. Logi dostępu, sesje, porzucone koszyki, niezweryfikowane rejestracje, zamknięte zgłoszenia, stare kopie zapasowe i surowe dane analityczne potrzebują terminu wygaśnięcia. Kopie zapasowe zasługują na szczególną uwagę: jeśli proces odtwarzania wskrzesza usunięte dane osobowe, twoje usunięcie jest niepełne, a zwykłą odpowiedzią jest udokumentowana rotacja kopii z maksymalnym wiekiem plus ponowne zastosowanie usunięć po każdym odtworzeniu.

Przekazywanie, podprzetwarzający i gdzie naprawdę działa twój stos

Przekazywanie poza EOG wymaga mechanizmu prawnego, zwykle ram ochrony danych UE-USA dla certyfikowanych odbiorców amerykańskich albo standardowych klauzul umownych plus oceny skutków przekazania w pozostałych przypadkach.

Kąt inżynierski jest prostszy niż prawny: wiedzieć, gdzie fizycznie są twoje dane. To znaczy region chmurowy każdej usługi, lokalizacja kopii, region bazy zarządzanej, konfiguracja punktów brzegowych CDN i, co ważne, model wsparcia każdego narzędzia SaaS, którego używasz. Dostawca hostowany we Frankfurcie, którego zespół wsparcia sięga do produkcji spoza EOG, to wciąż przekazanie.

Zwykle zalecamy trzymanie danych osobowych w regionach UE, gdy nie ma mocnego powodu, by robić inaczej. Usuwa to całą kategorię sporów, a różnica kosztu jest zwykle szumem.

Prowadź listę podprzetwarzających i utrzymuj ją aktualną. Artykuł 28 wymaga pisemnej umowy z każdym z nich, a ta lista to również to, o co zapytają klienci w due diligence.

Bezpieczeństwo domyślne, wyrażone jako konfiguracja

Artykuł 32 wymaga odpowiednich środków technicznych i organizacyjnych. To celowo nieostre, ale podstawa dla strony w 2026 nie podlega negocjacji:

TLS wszędzie, HSTS włączone, brak mieszanej treści.
Hasła haszowane nowoczesną funkcją pamięciochłonną i uwierzytelnianie wieloskładnikowe dostępne dla kont z danymi osobowymi.
Szyfrowanie w spoczynku dla baz i kopii.
Dostęp do produkcyjnych danych osobowych ograniczony rolą i logowany, z przeglądami, które faktycznie się odbywają.
Pseudonimizacja tam, gdzie się da: haszowanie identyfikatora w analityce, tabela mapująca osobno i z ograniczonym dostępem.
Przetestowane odtworzenie, nie tylko kopia zapasowa.

Ochrona danych w fazie projektowania i domyślna z artykułu 25 znaczy, że opcja chroniąca prywatność to ta, którą dostajesz nic nie robiąc. Pole newslettera niezaznaczone. Widoczność profilu prywatna. Pola opcjonalne opcjonalne.

Zgłaszanie naruszeń potrzebuje instrukcji

Siedemdziesiąt dwie godziny od powzięcia wiedzy do zgłoszenia organowi to niedużo, zwłaszcza jeśli naruszenie wykryto w piątek wieczorem. Propozycja Digital Omnibus przesunęłaby to na dziewięćdziesiąt sześć godzin, ale to jeszcze nie prawo.

Przygotuj z wyprzedzeniem: kto ogłasza incydent, kto ocenia, czy dotknięte są dane osobowe, kto kontaktuje się z organem, co zawiera zgłoszenie i jak informujesz osoby, jeśli ryzyko jest wysokie. Zapisz to jako instrukcję z nazwanymi rolami i przećwicz raz. Pierwsze użycie nie powinno być pierwszym czytaniem.

Powierzchnia samej strony

Część RODO jest widoczna na stronie i warto dopilnować tych szczegółów, bo to je ludzie zgłaszają.

Twoja informacja o prywatności musi podać tożsamość i kontakt administratora, cele i podstawy prawne, odbiorców i kategorie odbiorców, mechanizmy przekazywania, okresy przechowywania, pełną listę praw wraz z prawem do skargi do organu nadzorczego oraz to, czy występuje zautomatyzowane podejmowanie decyzji. Pisz językiem, za którym nadąży zwykły człowiek. Informacje warstwowe, z krótką wersją linkującą do szczegółów, działają lepiej niż ściana tekstu.

Formularze powinny zbierać tylko to, czego potrzebujesz. Każde pole to uzasadnienie, którego możesz musieć udzielić. Jeśli pole zgody marketingowej jest w tym samym wysłaniu co zamówienie, musi być osobno niezaznaczone i osobno sformułowane.

Osadzenia zewnętrzne to cicha porażka. YouTube w trybie ograniczonej prywatności, mapy za elementem ładowanym po kliknięciu, fonty hostowane u siebie zamiast pobierane z zewnętrznego CDN. Każda z tych zmian jest mała i usuwa jedno ustalenie.

Co najczęściej widzimy jako błąd

Po odpowiedniej liczbie audytów wraca ta sama krótka lista:

Analityka ładująca się przed zgodą, zwykle dlatego, że tag manager skonfigurował marketing i nigdy nie przejrzała tego inżynieria.
Przyciski odmowy, które i tak wyzwalają zgodę przez domyślne zachowanie zewnętrznego skryptu.
Brak jakichkolwiek zadań retencyjnych, na żadnej tabeli.
Usuwanie pomijające kopie zapasowe, logi i CRM.
Informacja o prywatności opisująca przepływ danych, który zmienił się osiemnaście miesięcy temu.
Listy podprzetwarzających kończące się na trzech oczywistych dostawcach.
Zapisy zgód bez wersji pokazanego tekstu.

Żadne z tego nie jest trudnym problemem. To po prostu praca, której nikt nie przydzielił.

Pomoc

Jeśli chcesz drugiej pary oczu na istniejącą stronę, robimy techniczne audyty RODO, które dają priorytetowy backlog zamiast raportu: co naprawić, w jakiej kolejności, z szacunkiem przy każdej pozycji. Jeśli budujesz coś nowego, znacznie taniej jest od razu dobrze ustawić model danych i architekturę zgód.

Obsługujemy też szerszą powierzchnię zgodności unijnej, w tym dostępność i wejście na rynek europejski. Znajdziesz nas pod office@c9group.dev.

Budujemy oprogramowanie. Nie udzielamy porad prawnych, a interpretacja konkretnego wymogu należy do twoich prawników. Możemy natomiast zadbać, by system robił to, co twoi prawnicy każą.