Polityka prywatności sklepu internetowego: co musi zawierać według RODO i jak ją przygotować

28 października 2026 · 12 min czytania · Prawo i podatki

Krótka odpowiedź: Sklep internetowy zbiera dane klientów: imię, adres, e-mail, telefon, historię zamówień. Jako administrator danych musisz w chwili ich zbierania przekazać klientowi informacje wymagane przez art. 13 RODO: kim jesteś, w jakim celu i na jakiej podstawie przetwarzasz dane, komu je przekazujesz, jak długo je przechowujesz i jakie prawa przysługują klientowi. W praktyce robi się to właśnie w polityce prywatności, podlinkowanej w stopce i przy każdym formularzu. Jeśli używasz plików cookies do analityki lub reklamy, polityka musi je też opisać, a sklep musi zapytać o zgodę, zanim je zapisze. Gotowy wzór to dobry punkt wyjścia, ale musi opisywać Twój sklep, a nie cudzy. Mniej technicznych spraw do pilnowania masz na platformie, na której hosting, SSL i kopie zapasowe są w cenie.

Czy polityka prywatności sklepu internetowego jest obowiązkowa?

Samo określenie "polityka prywatności" nie pojawia się w RODO. Obowiązkowe jest coś innego: obowiązek informacyjny. Jeśli zbierasz dane od osoby, której dotyczą, musisz jej podać określone informacje podczas pozyskiwania danych (art. 13 RODO). Informacje mają być przekazane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, i są bezpłatne (art. 12).

Sklep internetowy zbiera dane przy każdym zamówieniu, rejestracji konta, zapisie do newslettera czy formularzu kontaktowym. Dlatego w e-commerce polityka prywatności to po prostu najwygodniejszy sposób, żeby spełnić obowiązek informacyjny w jednym miejscu, dostępnym z każdej strony sklepu.

Polityka prywatności to też nie to samo co regulamin. Regulamin opisuje zasady umowy: zamówienia, płatności, dostawy, odstąpienie i reklamacje. Jak go przygotować, opisujemy w artykule regulamin sklepu internetowego. W regulaminie wystarczy odesłanie do polityki prywatności.

Co musi zawierać polityka prywatności sklepu (art. 13 RODO)

Przy zbieraniu danych podajesz klientowi:

Swoją tożsamość i dane kontaktowe: firmę, adres, e-mail.
Dane kontaktowe inspektora ochrony danych, jeśli go wyznaczyłeś.
Cele przetwarzania i podstawę prawną każdego z nich.
Prawnie uzasadnione interesy, jeśli na nich opierasz przetwarzanie.
Odbiorców danych lub ich kategorie: firmę kurierską, operatora płatności, dostawcę platformy i hostingu, biuro rachunkowe, narzędzie do mailingu.
Przekazywanie danych poza Europejski Obszar Gospodarczy, jeśli ma miejsce, i podstawę takiego transferu.
Okres przechowywania danych albo kryteria jego ustalania.
Prawa klienta: dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, sprzeciw i przenoszenie danych.
Prawo do cofnięcia zgody w dowolnym momencie, jeśli przetwarzanie opiera się na zgodzie.
Prawo do wniesienia skargi do organu nadzorczego, czyli Prezesa UODO.
Czy podanie danych jest obowiązkowe i co się stanie, jeśli klient ich nie poda (np. bez adresu nie wyślesz paczki).
Zautomatyzowane podejmowanie decyzji i profilowanie, jeśli je stosujesz.

Cele i podstawy prawne: przykład dla sklepu

RODO wymienia sześć podstaw przetwarzania (art. 6 ust. 1). W typowym sklepie wykorzystasz cztery z nich.

Przykład (ogólny, dostosuj do swojego sklepu):

Realizacja zamówienia i dostawa — Podstawa (art. 6 ust. 1 RODO): lit. b, wykonanie umowy; Jak długo: do zakończenia umowy i okresu reklamacji
Faktury i księgowość — Podstawa (art. 6 ust. 1 RODO): lit. c, obowiązek prawny; Jak długo: przez okres wymagany przepisami podatkowymi
Newsletter i przypomnienia marketingowe — Podstawa (art. 6 ust. 1 RODO): lit. a, zgoda; Jak długo: do cofnięcia zgody
Obsługa reklamacji i dochodzenie roszczeń — Podstawa (art. 6 ust. 1 RODO): lit. f, prawnie uzasadniony interes; Jak długo: do przedawnienia roszczeń
Statystyki i reklama z użyciem cookies — Podstawa (art. 6 ust. 1 RODO): lit. a, zgoda; Jak długo: zgodnie z ustawieniami zgody

Nie wpisuj podstaw "na zapas". Jeśli przetwarzasz coś na podstawie zgody, musisz ją rzeczywiście zbierać i umieć wykazać. O tym, jak zgoda marketingowa wygląda w praktyce przy mailach przypominających, piszemy w artykule o tym, czym są porzucone koszyki.

Pliki cookies: osobna zgoda, nie tylko informacja

Polityka prywatności sklepu zwykle opisuje też pliki cookies. Tu obowiązuje Prawo komunikacji elektronicznej z 12 lipca 2024 r. Zgodnie z art. 399 zapisywanie informacji w urządzeniu użytkownika albo dostęp do niej jest dozwolone, jeśli:

użytkownik zostanie wcześniej poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu i o tym, jak może określić warunki w ustawieniach;
użytkownik wyrazi na to zgodę po otrzymaniu tej informacji.

Wyjątek dotyczy plików, które są konieczne do przesłania komunikatu albo do świadczenia usługi, której użytkownik sam zażądał, na przykład do działania koszyka czy logowania. Do zgody stosuje się przepisy o ochronie danych osobowych (art. 400), więc musi być dobrowolna i świadoma.

W praktyce oznacza to baner cookies, w którym klient może zaakceptować lub odrzucić cookies analityczne i reklamowe, oraz opis w polityce prywatności: jakie narzędzia stosujesz (np. Google Analytics, piksel reklamowy), w jakim celu i jak zmienić decyzję.

Wzór, generator czy prawnik?

Zapytania "polityka prywatności sklepu internetowego wzór" i "generator" są bardzo popularne i trudno się dziwić: nikt nie chce pisać takiego dokumentu od zera. Wzór ma jednak jedną wadę: opisuje cudzy sklep. Typowe błędy w skopiowanych politykach to:

nieaktualna lista odbiorców, np. inny przewoźnik czy operator płatności niż ten, z którego korzystasz;
brak informacji o transferze poza EOG, choć używasz narzędzi analitycznych lub mailingowych z USA;
podstawy prawne bez pokrycia, np. "zgoda" na coś, o co nigdy nie pytasz;
cookies opisane ogólnikowo, bez listy narzędzi;
brak danych kontaktowych albo dane poprzedniego właściciela wzoru.

Rozsądna droga dla małego sklepu: weź wzór lub generator, a potem przejdź punkt po punkcie listę z art. 13 i porównaj z tym, co naprawdę robisz. Przy nietypowych sytuacjach, takich jak profilowanie klientów czy przetwarzanie danych o zdrowiu, warto zapłacić za przegląd prawnika.

RODO w sklepie internetowym: co jeszcze poza polityką prywatności

Polityka prywatności to tylko część obowiązków. Sprawdź jeszcze:

Umowy powierzenia. Jeśli ktoś przetwarza dane w Twoim imieniu (hosting, platforma sklepu, narzędzie do mailingu), potrzebujesz umowy lub innego instrumentu prawnego, który określa przedmiot, czas, cel i rodzaj danych (art. 28).
Rejestr czynności przetwarzania. Firmy zatrudniające mniej niż 250 osób są z niego zwolnione, ale nie wtedy, gdy przetwarzanie nie ma charakteru sporadycznego, może powodować ryzyko albo dotyczy danych szczególnych kategorii (art. 30 ust. 5). Sklep obsługuje zamówienia codziennie, więc zapytaj prawnika, czy zwolnienie Cię obejmuje.
Naruszenia. Wyciek danych zgłaszasz do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że ryzyko dla klientów jest mało prawdopodobne (art. 33).
Kary. Za naruszenie m.in. zasad przetwarzania i praw osób, których dane dotyczą, RODO przewiduje kary do 20 mln euro lub 4% rocznego światowego obrotu (art. 83 ust. 5). Wysokość kary zależy od okoliczności, ale lepiej nie sprawdzać tego na sobie.

Gdzie umieścić politykę prywatności w sklepie

link w stopce na każdej stronie;
link przy formularzu zamówienia, rejestracji konta, newslettera i kontaktu, bo obowiązek informacyjny dotyczy momentu zbierania danych;
w banerze cookies, obok przycisków akceptacji i odrzucenia;
w mailu potwierdzającym zamówienie, jako link.

Pamiętaj o aktualizacji: zmieniasz przewoźnika, operatora płatności czy narzędzie analityczne, zmieniasz też politykę.

Jak pomoże Ci Favenda

Politykę prywatności piszesz Ty lub Twój prawnik, ale Favenda ułatwia trzymanie się tego, co w niej obiecujesz. Google Analytics 4, Google Ads i Meta Pixel działają dopiero po zgodzie na pliki cookie, więc analityka i reklama nie startują przed decyzją klienta. Przypomnienie o porzuconym koszyku wysyłamy wyłącznie klientom, którzy wyrazili zgodę. Klient płaci kartą na bezpiecznej stronie 3D Secure dostawcy płatności, a opinie wystawiają tylko zweryfikowani kupujący. Hosting, certyfikat SSL, kopie zapasowe i aktualizacje są w cenie, więc podstawowe zabezpieczenia techniczne sklepu nie spadają na Ciebie. Jeśli przenosisz sklep z innej platformy, przeniesiemy produkty, klientów i stare adresy URL z przekierowaniami bezpłatnie. Pakiet Store kosztuje 69 USD miesięcznie netto (bez VAT); przy płatności rocznej dwa miesiące masz gratis.

Poznaj Favendę →

Najczęściej zadawane pytania

Czy polityka prywatności jest obowiązkowa w małym sklepie internetowym?
Obowiązek informacyjny z art. 13 RODO nie zależy od wielkości firmy. Jeśli zbierasz dane klientów, musisz im przekazać wymagane informacje, a polityka prywatności to najprostszy sposób, żeby zrobić to w sklepie internetowym.

Czy mogę użyć darmowego wzoru polityki prywatności?
Możesz, ale traktuj go jak szkic. Sprawdź każdy punkt z art. 13 RODO: odbiorców, transfery poza EOG, okresy przechowywania i cookies muszą odpowiadać temu, jak naprawdę działa Twój sklep.

Czy polityka prywatności może być częścią regulaminu?
Może być osobnym dokumentem albo rozdziałem, ale osobna strona jest czytelniejsza i łatwiej do niej odesłać z formularzy i banera cookies. W regulaminie wystarczy wtedy odesłanie do polityki prywatności.

Źródła: Rozporządzenie (UE) 2016/679 (RODO), art. 6, 12, 13, 28, 30, 33 i 83, tekst w wersji udostępnionej przez UODO; ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), art. 399 i 400. Informacje aktualne na 29 października 2026 r.; w swojej sprawie skonsultuj się z prawnikiem.