Poradnik · 19 lipca 2026 · Zespół Sklepy.ai
Polityka prywatności sklepu internetowego: co musi zawierać w 2026 roku
Polityka prywatności sklepu internetowego jest w praktyce obowiązkowa, bo RODO w art. 13 nakazuje poinformować klienta, kto i po co przetwarza jego dane osobowe, na jakiej podstawie, jak długo i jakie prawa mu przysługują. Sklep zbiera te dane przy każdym zamówieniu, więc musi spełnić ten obowiązek informacyjny, a polityka prywatności zbiera wszystkie te informacje w jednym dokumencie. Poniżej znajdziesz konkretnie, co powinna zawierać, jak ująć w niej cookies i zgody marketingowe po wejściu Prawa komunikacji elektronicznej oraz czym różni się od regulaminu.
Ostatnia aktualizacja: lipiec 2026
To ogólne omówienie na potrzeby prowadzenia sklepu, a nie porada prawna. Konkretny zakres i treść polityki prywatności zależą od tego, jakie dane zbierasz i komu je powierzasz, dlatego dokument warto dopasować do swojego sklepu i skonsultować z osobą wyspecjalizowaną w ochronie danych.
Najpierw sklep, potem papiery
Zanim napiszesz politykę prywatności, warto wiedzieć, jaki sklep budujesz i jakie dane w nim zbierasz. Sklepy.ai jest na etapie wczesnego dostępu: demo generuje próbkę sklepu z kategoriami i opisami, a płatności oraz integracje są na mapie drogowej.
Czy polityka prywatności sklepu internetowego jest obowiązkowa
W przepisach nie znajdziesz zdania, które każe mieć dokument o nazwie polityka prywatności. Obowiązek jest jednak realny i wynika z RODO. Artykuł 13 nakłada na administratora danych obowiązek informacyjny: gdy zbierasz dane od osoby, której dotyczą, musisz jej podać między innymi kto jest administratorem, w jakich celach i na jakiej podstawie przetwarzasz dane, jak długo je przechowujesz oraz jakie prawa jej przysługują. Sklep internetowy zbiera imię, adres, e-mail i dane do wysyłki przy każdym zamówieniu, więc ten obowiązek go obejmuje.
Polityka prywatności to po prostu wygodny sposób spełnienia tego obowiązku w jednym miejscu. Zamiast wyświetlać klientowi całą klauzulę informacyjną przy każdym polu formularza, opisujesz raz, jasnym językiem, co dzieje się z jego danymi, a przy formularzach dajesz krótką informację z linkiem do polityki. Ważne, żeby dokument był łatwo dostępny, na przykład w stopce sklepu na każdej podstronie, i napisany zrozumiale, a nie skopiowany z żargonem, którego sam nie rozumiesz.
Jesteś administratorem danych swoich klientów niezależnie od tego, czy prowadzisz sklep jako spółka, czy jako jednoosobowa działalność. Jeśli dopiero zaczynasz i rozważasz sprzedaż bez rejestracji firmy, zajrzyj też do tekstu o tym, kiedy działa sklep internetowy bez działalności gospodarczej, bo obowiązki wobec danych osobowych masz w każdym z tych modeli.
Co musi zawierać polityka prywatności sklepu internetowego
Dobra polityka prywatności odwzorowuje obowiązek informacyjny z art. 13 RODO i dokłada do niego cookies. Poniżej minimalny zestaw elementów, które powinny się w niej znaleźć, oraz to, co każdy z nich obejmuje w typowym sklepie.
| Element | Co obejmuje w sklepie |
|---|---|
| Administrator | Kto przetwarza dane: nazwa firmy, adres, NIP, kontaktowy e-mail do spraw danych. |
| Cele przetwarzania | Realizacja zamówienia, wystawienie faktury, obsługa reklamacji, newsletter, marketing, analityka. |
| Podstawy prawne | Odpowiednie punkty art. 6 RODO przypisane do każdego celu (umowa, obowiązek prawny, zgoda, uzasadniony interes). |
| Odbiorcy danych | Kategorie podmiotów, którym powierzasz dane: kurier, operator płatności, hosting, biuro rachunkowe, system newslettera. |
| Okres przechowywania | Jak długo trzymasz dane, na przykład dane z faktur przez okres wymagany przepisami podatkowymi. |
| Prawa osoby | Dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw oraz skarga do Prezesa UODO. |
| Cookies i transfery | Zasady plików cookies, narzędzi analitycznych i ewentualne przekazywanie danych poza Europejski Obszar Gospodarczy. |
Jeśli zbierasz dane nie od samego klienta, lecz z innego źródła (na przykład przy imporcie bazy albo danych z platformy), dochodzi obowiązek informacyjny z art. 14 RODO, który wymaga podania także źródła danych. Większość zwykłych sklepów zbiera dane wprost od kupującego, więc pracuje głównie na art. 13.
Podstawy przetwarzania danych w sklepie internetowym
Najczęstszy błąd początkujących sklepów to opieranie wszystkiego na zgodzie klienta. Tak nie jest, bo zgoda to tylko jedna z kilku podstaw z art. 6 RODO, i akurat najbardziej krucha, bo klient może ją wycofać. W typowym sklepie przetwarzanie rozkłada się na cztery podstawy.
- Wykonanie umowy. Dane potrzebne, żeby zrealizować zamówienie i dostawę, przetwarzasz na podstawie umowy z klientem, bez osobnej zgody. Bez tych danych po prostu nie wyślesz paczki.
- Obowiązek prawny. Dane z faktur i dokumentów księgowych trzymasz, bo wymagają tego przepisy podatkowe i rachunkowe, niezależnie od woli klienta.
- Zgoda. Newsletter i marketing na wskazany kanał wymagają odrębnej, dobrowolnej zgody, którą klient może w każdej chwili wycofać. Zgody nie łączysz z akceptacją regulaminu.
- Prawnie uzasadniony interes. Dochodzenie roszczeń, zabezpieczenie przed oszustwami czy podstawowa analityka mogą opierać się na uzasadnionym interesie, o ile nie przeważają nad prawami klienta.
Dobra polityka prywatności pokazuje tę mapę wprost: przy każdym celu wskazuje podstawę. Dzięki temu klient widzi, że dane do wysyłki przetwarzasz, bo musisz, a newsletter tylko wtedy, gdy sam się zapisał.
Prawa klienta i skarga do UODO
RODO daje osobie, której dane przetwarzasz, zestaw praw, a polityka prywatności musi o nich informować i wskazywać, jak z nich skorzystać. To prawo dostępu do danych, ich sprostowania, usunięcia (tak zwane prawo do bycia zapomnianym), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Do tego dochodzi prawo cofnięcia zgody tam, gdzie przetwarzanie opiera się na zgodzie.
Klient ma też prawo wnieść skargę do organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. W praktyce oznacza to, że jeśli zignorujesz na przykład żądanie usunięcia danych, klient może zgłosić sprawę do UODO, a ty musisz umieć wykazać, że przetwarzasz dane zgodnie z prawem. Dlatego warto z góry ustalić prosty proces obsługi takich żądań i wskazać w polityce adres, pod który klient je kieruje.
Cookies i zgody marketingowe po wejściu PKE
Od 10 listopada 2024 roku obowiązuje Prawo komunikacji elektronicznej (PKE), które zastąpiło dawne Prawo telekomunikacyjne. Dla sklepu oznacza to dwie rzeczy. Po pierwsze na pliki cookies inne niż niezbędne do działania sklepu potrzebujesz zgody użytkownika, zebranej przed ich zapisaniem, a nie samego poinformowania. Po drugie zgoda na cookies i na marketing musi spełniać standard RODO: być dobrowolna, konkretna, świadoma i jednoznaczna, czyli wyrażona świadomym działaniem, na przykład kliknięciem, a nie domyślnie zaznaczonym okienkiem.
W praktyce potrzebujesz banera cookies z realnym wyborem (zgoda, odmowa, ustawienia), a zgody marketingowe zbierasz osobno dla każdego kanału: inną na newsletter e-mail, inną na SMS. Zgody nie możesz łączyć z akceptacją regulaminu ani wymuszać jej jako warunku zakupu. Warto pamiętać, że część narzędzi analitycznych i reklamowych przesyła dane poza Europejski Obszar Gospodarczy, co również trzeba opisać w polityce prywatności.
Osobno warto rozważyć, gdzie w ogóle przechowywane są dane twoich klientów. Trzymanie sklepu i bazy danych na serwerach zlokalizowanych w Polsce upraszcza kwestię transferów danych poza Europejski Obszar Gospodarczy, bo dane nie opuszczają wtedy unijnego reżimu ochrony. To nie jest wymóg, ale realne ułatwienie przy prowadzeniu dokumentacji RODO.
Powierzenie danych: kurier, płatności, hosting
Prowadząc sklep, nie przetwarzasz danych sam. Przekazujesz je firmie kurierskiej, żeby dostarczyła paczkę, operatorowi płatności, żeby rozliczył transakcję, dostawcy hostingu, na którym stoi sklep, oraz biuru rachunkowemu i systemowi do newslettera. Każdy taki podmiot to procesor, a RODO w art. 28 wymaga, żeby powierzenie danych opierało się na umowie powierzenia przetwarzania. Bez niej przekazujesz dane bez podstawy prawnej.
W polityce prywatności nie musisz wymieniać konkretnych firm z nazwy, ale powinieneś podać kategorie odbiorców: podmioty realizujące dostawę, operatorzy płatności, dostawcy usług IT i hostingu, biuro rachunkowe. Dzięki temu klient wie, komu jego dane mogą zostać przekazane i w jakim celu. Sam zadbaj o to, żeby z każdym z tych dostawców mieć podpisaną umowę powierzenia, bo to ciebie, jako administratora, obciąża odpowiedzialność za zgodność.
Kary i najczęstsze błędy
Za naruszenie RODO Prezes Urzędu Ochrony Danych Osobowych może nałożyć karę pieniężną sięgającą 20 milionów euro albo 4% rocznego światowego obrotu firmy, zależnie od tego, która kwota jest wyższa. Dla zwykłego sklepu realnym ryzykiem nie jest jednak górna granica kary, lecz skarga klienta, kontrola i nakaz usunięcia nieprawidłowości oraz utrata zaufania kupujących. Ochrona danych to dziś także element wiarygodności sklepu, a nie tylko formalność.
Najczęstsze błędy są powtarzalne: skopiowana polityka, która nie opisuje realnych procesów w sklepie; opieranie wszystkiego na zgodzie zamiast na właściwej podstawie z art. 6; baner cookies bez realnego wyboru; łączenie zgody marketingowej z akceptacją regulaminu; brak umów powierzenia z dostawcami; oraz polityka schowana tak, że klient jej nie znajdzie. Polityka prywatności to dokument, który piszesz pod swój sklep i aktualizujesz, gdy zmieniasz narzędzia, dostawców albo zakres zbieranych danych. Jak ją odróżnić od zasad zakupów, opisuje tekst o tym, co zawiera regulamin sklepu internetowego.
Najczęstsze pytania o politykę prywatności sklepu
Czy polityka prywatności w sklepie internetowym jest obowiązkowa?
Tak, w praktyce jest obowiązkowa. RODO nie używa nazwy polityka prywatności, ale art. 13 nakłada na administratora obowiązek poinformowania osoby, której dane zbiera, o tym kto i po co przetwarza jej dane, na jakiej podstawie, jak długo i jakie prawa jej przysługują. Sklep internetowy zbiera dane klienta przy każdym zamówieniu, więc musi spełnić ten obowiązek informacyjny. Polityka prywatności to standardowy dokument, w którym sklep te informacje podaje w jednym miejscu.
Co powinna zawierać polityka prywatności sklepu internetowego?
Powinna zawierać: tożsamość i dane kontaktowe administratora, cele przetwarzania, podstawy prawne z art. 6 RODO, kategorie odbiorców danych (kurier, operator płatności, hosting, biuro rachunkowe), okresy przechowywania, informację o prawach osoby oraz o prawie skargi do Prezesa UODO, a także zasady stosowania plików cookies i ewentualnego przekazywania danych poza Europejski Obszar Gospodarczy. To odwzorowanie obowiązku informacyjnego z art. 13 RODO.
Czym różni się polityka prywatności od regulaminu sklepu internetowego?
Regulamin opisuje zasady zakupów: jak złożyć zamówienie, zapłacić, odebrać towar, zwrócić go i reklamować. Polityka prywatności odpowiada na inne pytanie: kto i po co przetwarza dane osobowe klienta, na jakiej podstawie, jak długo i jakie prawa mu przysługują. Regulamin wynika głównie z ustawy o świadczeniu usług drogą elektroniczną i ustawy o prawach konsumenta, a polityka prywatności z RODO. To dwa osobne dokumenty i nie zastępują się nawzajem.
Czy trzeba mieć zgodę na cookies w sklepie internetowym?
Tak, na pliki cookies inne niż niezbędne do działania sklepu potrzebujesz zgody użytkownika przed ich zapisaniem. Od 10 listopada 2024 roku obowiązuje Prawo komunikacji elektronicznej, które zastąpiło Prawo telekomunikacyjne, a zgoda na cookies i na marketing musi spełniać standard RODO: być dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce oznacza to baner cookies z realnym wyborem, a nie samo poinformowanie, oraz osobne zgody na newsletter czy SMS dla każdego kanału.
Czy sklep internetowy musi wyznaczyć inspektora ochrony danych (IOD)?
Zwykle nie. Obowiązek wyznaczenia inspektora ochrony danych powstaje głównie wtedy, gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych albo na regularnym monitorowaniu osób na dużą skalę. Typowy mały sklep, który przetwarza dane klientów po to, żeby zrealizować zamówienia, nie spełnia tych przesłanek i nie musi wyznaczać IOD. Nadal jednak jest administratorem i odpowiada za zgodne z RODO przetwarzanie oraz za obowiązek informacyjny.
Co grozi za brak polityki prywatności lub naruszenie RODO w sklepie?
Za naruszenie RODO Prezes Urzędu Ochrony Danych Osobowych może nałożyć karę pieniężną sięgającą 20 milionów euro albo 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Dla większości sklepów realnym ryzykiem jest nie maksymalna kara, lecz skarga klienta, kontrola i nakaz usunięcia nieprawidłowości, a także utrata zaufania. Brak jasnej informacji o przetwarzaniu danych i o cookies to jeden z najczęstszych powodów skarg do UODO.
Zbuduj sklep, do którego napiszesz politykę prywatności
Sklepy.ai jest na etapie wczesnego dostępu: demo generuje próbkę sklepu z kategoriami i opisami, a płatności oraz integracje są na mapie drogowej. Zobacz, jak wygląda twój sklep, zanim przygotujesz dokumenty pod jego model sprzedaży.