Jakie dokumenty na stronie firmy? Regulamin, RODO i cookies

Stan prawny: 1 września 2026 r. | Materiał informacyjny Fortis Legal

Coraz więcej przedsiębiorców zwraca się do Fortis Legal o analizę swoich stron internetowych. Najczęściej dopiero przy uruchamianiu sprzedaży online, zmianie zakresu działalności, wdrażaniu formularza, systemu rezerwacyjnego albo kampanii reklamowej pojawia się pytanie: jakie informacje i dokumenty właściwie powinny znaleźć się na stronie?

Przez lata popularne było przekonanie, że najbezpieczniej skopiować regulamin lub politykę prywatności z serwisu dużego przedsiębiorcy. Skoro większa firma dysponuje odpowiednim zapleczem prawnym, jej dokumenty powinny być przecież prawidłowe. W praktyce kopiowano więc całe fragmenty, zmieniając jedynie nazwę przedsiębiorcy i dane kontaktowe. Inne dokumenty, przygotowane kilka lat wcześniej, pozostawały na stronach bez sprawdzenia, czy nadal odpowiadają przepisom, wykorzystywanym narzędziom i rzeczywistemu sposobowi prowadzenia działalności.

Takie podejście może stwarzać poważne ryzyko. Dokumentacja przygotowana dla dużego sklepu internetowego, platformy rezerwacyjnej albo międzynarodowej spółki nie musi pasować do mniejszego przedsiębiorcy. Może opisywać procesy, których w danej firmie nie ma, pomijać te, które rzeczywiście występują, wskazywać niewłaściwe podstawy przetwarzania danych albo przewidywać zasady płatności, reklamacji i odstąpienia od umowy nieodpowiadające oferowanym usługom.

Samo posiadanie regulaminu i polityki prywatności nie oznacza, że strona jest zgodna z prawem. Problemem może być zarówno brak wymaganych informacji, jak i dokumentacja pozorna: skopiowana, nieaktualna, sprzeczna z działaniem strony albo niedostosowana do rzeczywistego modelu działalności.

Nie istnieje jeden obowiązkowy zestaw dokumentów dla każdej strony

Zakres obowiązków przedsiębiorcy zależy od tego, do czego służy jego strona. Innej analizy wymaga prosta witryna prezentująca firmę i dane kontaktowe, innej formularz umożliwiający przesłanie zapytania, a jeszcze innej sklep internetowy, serwis z kontami użytkowników, system rezerwacyjny, newsletter albo platforma pozwalająca zawierać i wykonywać umowy online.

Znaczenie ma również rodzaj klientów. Inaczej kształtują się obowiązki wobec konsumentów, inaczej w relacjach wyłącznie między przedsiębiorcami. Dodatkowe wymagania mogą wynikać ze specyfiki branży, rodzaju sprzedawanych produktów i usług, sposobu dokonywania płatności oraz zakresu danych zbieranych od użytkowników.

Obszar	Co należy sprawdzić?	Przykładowe ryzyko
Usługi elektroniczne	Funkcje strony, zasady korzystania, konta użytkowników, formularze i rezerwacje	Regulamin nie odpowiada usługom rzeczywiście dostępnym w serwisie
Sprzedaż konsumencka	Informacje przedumowne, cena, płatność, reklamacje, odstąpienie i proces zamówienia	Wydłużenie terminu odstąpienia, roszczenia klientów albo interwencja organów
RODO	Cele, podstawy, zakres, odbiorcy i okresy przetwarzania danych	Niewykonanie obowiązku informacyjnego lub przetwarzanie bez właściwej podstawy
Cookies	Rodzaje używanych narzędzi, moment ich uruchomienia oraz możliwość odmowy	Uruchamianie analityki lub reklamy przed uzyskaniem wymaganej zgody
Marketing	Kanały komunikacji, treść zgód oraz możliwość ich wycofania	Wysyłanie informacji handlowych lub marketingu bez wymaganej zgody
Prawo branżowe	Dodatkowe informacje i dokumenty właściwe dla konkretnej działalności	Zastosowanie uniwersalnego wzoru, który pomija obowiązki sektorowe

Dopiero po przeprowadzeniu takiej analizy można odpowiedzialnie ustalić, czy potrzebny jest regulamin, jaka powinna być treść obowiązku informacyjnego, jak skonfigurować mechanizm cookies oraz jakie informacje należy przekazywać przed zawarciem umowy.

Brak dokumentu, skopiowany wzór i nieaktualna treść to trzy różne problemy

Brak dokumentu

Na stronie nie ma regulaminu lub informacji wymaganej dla konkretnego procesu, mimo że charakter usługi albo sposób zbierania danych powoduje taki obowiązek.

Skopiowany wzór

Dokument opisuje działalność innego przedsiębiorcy, nieużywane narzędzia, obce modele sprzedaży albo niewłaściwe podstawy prawne.

Nieaktualna treść

Dokument był prawidłowy w chwili przygotowania, ale nie uwzględnia późniejszych zmian prawa, oferty, formularzy, dostawców lub sposobu zawierania umów.

Każda z tych sytuacji wymaga innego działania. Dodanie kolejnego gotowego wzoru nie naprawi problemu, jeżeli przedsiębiorca nie wie, jakie procesy rzeczywiście zachodzą na jego stronie.

Czy każda strona internetowa musi mieć regulamin?

Nie każda strona musi mieć regulamin tylko dlatego, że jest dostępna w internecie. Obowiązek jego przygotowania może jednak wynikać z rodzaju usług świadczonych za jej pośrednictwem.

Zgodnie z art. 8 ustawy o świadczeniu usług drogą elektroniczną usługodawca określa regulamin świadczenia takich usług i nieodpłatnie udostępnia go usługobiorcy przed zawarciem umowy. Regulamin powinien określać między innymi rodzaje i zakres usług, wymagania techniczne, warunki zawierania i rozwiązywania umów oraz tryb postępowania reklamacyjnego.

Nie oznacza to jednak, że każdy dokument nazwany „regulaminem strony” automatycznie wykonuje ten obowiązek. Treść musi odpowiadać usługom rzeczywiście świadczonym drogą elektroniczną. Jeżeli serwis umożliwia utworzenie konta, korzystanie z określonych funkcjonalności, rezerwację, dostęp do treści cyfrowych, zapis do newslettera albo składanie zamówień, należy ustalić, które z tych funkcji są usługami elektronicznymi i jak powinny zostać uregulowane.

Regulamin skopiowany z innej strony może opisywać funkcje, których przedsiębiorca nie oferuje, odwoływać się do nieużywanych systemów płatności albo pomijać usługi faktycznie dostępne w serwisie. Może również wskazywać nieaktualne przepisy lub nieprawidłowo ograniczać odpowiedzialność przedsiębiorcy.

Regulamin sklepu nie zastępuje informacji wymaganych przy umowie na odległość

Jeżeli za pośrednictwem strony dochodzi do zawarcia umowy z konsumentem, przedsiębiorca musi wykonać obowiązki wynikające z ustawy o prawach konsumenta. Przed związaniem konsumenta umową zawieraną na odległość należy przekazać mu w jasny i zrozumiały sposób informacje określone przede wszystkim w art. 12 tej ustawy.

Dotyczą one między innymi głównych cech świadczenia, danych przedsiębiorcy, ceny i dodatkowych kosztów, sposobu i terminu zapłaty, procedury reklamacyjnej, prawa odstąpienia od umowy, kosztów zwrotu rzeczy, czasu trwania umowy oraz warunków jej wypowiedzenia.

W praktyce znaczna część tych informacji jest zamieszczana w regulaminie sklepu. Nie należy jednak utożsamiać samego posiadania regulaminu z prawidłowym wykonaniem obowiązków informacyjnych. Informacje muszą być kompletne, zrozumiałe, przekazane we właściwym momencie i zgodne z rzeczywistym przebiegiem sprzedaży.

Znaczenie ma także konstrukcja procesu składania zamówienia. Konsument powinien wiedzieć, kiedy dochodzi do zawarcia umowy, jaka jest łączna cena oraz że złożenie zamówienia powoduje obowiązek zapłaty. Błędu w samym procesie zakupowym nie zawsze da się naprawić poprzez rozbudowanie regulaminu.

Niektóre skutki powstają bez wydawania decyzji przez urząd. Jeżeli konsument nie został prawidłowo poinformowany o prawie odstąpienia od umowy, termin na jego wykonanie może wydłużyć się nawet o 12 miesięcy.

Polityka prywatności nie jest uniwersalnym dokumentem wymaganym pod taką nazwą

RODO nie nakazuje każdemu przedsiębiorcy opublikowania dokumentu zatytułowanego „Polityka prywatności”. Nakazuje natomiast przekazanie osobie, której dane są zbierane, informacji określonych w art. 13 RODO, a w przypadku danych pozyskanych z innego źródła także informacji wynikających z art. 14 RODO.

Informacja powinna być zwięzła, przejrzysta, zrozumiała i łatwo dostępna. Powinna wyjaśniać między innymi, kto jest administratorem, w jakich celach i na jakiej podstawie przetwarza dane, jak długo będzie je przechowywał, komu może je przekazywać oraz jakie prawa przysługują osobie, której dane dotyczą.

Polityka prywatności jest najczęściej wygodnym sposobem uporządkowania tych informacji, ale jej obecność w stopce strony nie wystarcza. Treść musi odpowiadać rzeczywistym operacjom przetwarzania, a informacja powinna być udostępniona użytkownikowi we właściwym miejscu i czasie.

Polityka musi opisywać to, co rzeczywiście dzieje się z danymi

Jeżeli przedsiębiorca korzysta z formularza kontaktowego, systemu rezerwacyjnego, newslettera, narzędzi analitycznych, reklamy behawioralnej albo płatności internetowych, każdy z tych procesów może wymagać odrębnej analizy celu, podstawy prawnej, zakresu danych, okresu przechowywania oraz odbiorców danych.

Częstym błędem jest wpisanie do polityki, że wszystkie dane są przetwarzane na podstawie zgody. W rzeczywistości podstawą może być wykonanie umowy, podjęcie działań przed jej zawarciem, obowiązek prawny albo prawnie uzasadniony interes administratora. Zgoda jest tylko jedną z możliwych podstaw i nie powinna być odbierana „na wszelki wypadek”.

Zapoznanie się z polityką

Użytkownik powinien otrzymać informacje o przetwarzaniu danych. Polityka prywatności nie staje się jednak umową tylko dlatego, że przy formularzu umieszczono pole „akceptuję politykę prywatności”.

Wyrażenie zgody

Jeżeli przetwarzanie rzeczywiście opiera się na zgodzie, musi być ona dobrowolna, konkretna, świadoma i jednoznaczna. Nie należy automatycznie łączyć jej z akceptacją regulaminu.

Nieprawidłowe jest również opisywanie w polityce usług i narzędzi, których firma nie używa. Taki dokument nie zwiększa bezpieczeństwa. Przeciwnie, może utrudnić wykazanie zgodności, ponieważ treść opublikowana na stronie rozmija się z rzeczywistym sposobem działania administratora.

Za co naprawdę może ukarać Prezes UODO?

Prezes Urzędu Ochrony Danych Osobowych nie nakłada kary za sam brak pliku nazwanego „polityką prywatności” lub „regulaminem sklepu”. Może natomiast zastosować środki naprawcze albo karę między innymi za naruszenie zasad przetwarzania, brak odpowiedniej podstawy prawnej, niewykonanie obowiązku informacyjnego, nieprawidłowe pozyskiwanie zgód, brak odpowiednich zabezpieczeń, wadliwe powierzenie danych albo brak współpracy z organem.

To rozróżnienie ma zasadnicze znaczenie. Naruszeniem nie jest wyłącznie brak dokumentu. Może nim być również dokument istniejący, lecz niepełny, nieprawdziwy, niedostępny dla użytkownika albo niezgodny z faktycznym przetwarzaniem.

Praktyka Prezesa UODO pokazuje, że obowiązki informacyjne nie są traktowane jako zagadnienie czysto formalne. Przykładowo w decyzji o sygn. DKN.5131.4.2024 organ stwierdził między innymi naruszenie art. 13 ust. 1 i 2 RODO. Kara w wysokości 687 534,75 zł dotyczyła łącznie szeregu poważnych naruszeń związanych z niezgodnym z prawem monitoringiem, przetwarzaniem danych szczególnych kategorii, brakiem informacji i niewłaściwymi zabezpieczeniami.

Ważne: wskazana decyzja nie dotyczyła kary za sam brak polityki prywatności na stronie internetowej. Pokazuje jednak, że niewykonanie obowiązku informacyjnego może zostać uznane za odrębne naruszenie RODO i współtworzyć podstawę odpowiedzialności administratora.

Na 2026 rok Europejska Rada Ochrony Danych wybrała zgodność z obowiązkami przejrzystości i informowania wynikającymi z art. 12, 13 i 14 RODO jako temat skoordynowanych działań organów nadzorczych. Oznacza to, że sposób informowania o przetwarzaniu danych pozostaje jednym z aktualnych obszarów zainteresowania organów ochrony danych w Unii Europejskiej.

Cookies: sam baner nie rozwiązuje problemu

Wiele stron wyświetla baner informujący, że dalsze korzystanie z serwisu oznacza zgodę na wszystkie pliki cookies. Inne dają możliwość kliknięcia przycisku „Akceptuję”, ale nie pozwalają równie łatwo odrzucić zgody albo uruchamiają narzędzia analityczne i reklamowe jeszcze przed dokonaniem wyboru.

Zgodnie z art. 399 Prawa komunikacji elektronicznej przechowywanie informacji w urządzeniu użytkownika lub uzyskiwanie do niej dostępu co do zasady wymaga uprzedniego poinformowania i zgody. Wyjątki obejmują między innymi działania konieczne do wykonania transmisji komunikatu oraz dostarczenia usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, której użytkownik wyraźnie zażądał.

W wyroku w sprawie C-673/17, Planet49, Trybunał Sprawiedliwości Unii Europejskiej potwierdził, że zgoda na cookies musi wynikać z aktywnego działania użytkownika. Z góry zaznaczone pole nie spełnia tego wymagania.

Informacja

Użytkownik powinien wiedzieć, jakie technologie są używane i w jakich celach.

Rzeczywisty wybór

Mechanizm powinien umożliwiać wyrażenie lub odmowę zgody bez stosowania wprowadzającego w błąd interfejsu.

Zgodność techniczna

Narzędzia wymagające zgody nie powinny uruchamiać się przed dokonaniem wyboru przez użytkownika.

W praktyce należy więc sprawdzić nie tylko treść banera, lecz także techniczne działanie strony. Poprawnie brzmiący komunikat nie zapewnia zgodności, jeżeli skrypty analityczne lub reklamowe uruchamiają się wcześniej.

Marketing wymaga odrębnej analizy

Dodanie adresu e-mail lub numeru telefonu do bazy klientów nie oznacza automatycznie, że dane mogą być wykorzystywane do każdej formy marketingu. Trzeba odróżnić podstawę przetwarzania danych osobowych na gruncie RODO od wymogów dotyczących przesyłania informacji handlowych i używania środków komunikacji elektronicznej do marketingu bezpośredniego.

Art. 398 Prawa komunikacji elektronicznej co do zasady wymaga uprzedniej zgody abonenta lub użytkownika końcowego na używanie automatycznych systemów wywołujących albo telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego.

Zapis w polityce prywatności, że dane „mogą być wykorzystywane marketingowo”, nie zastępuje właściwie zaprojektowanego mechanizmu pozyskania zgody, jeżeli jest ona w danym przypadku wymagana. Również zgoda wymuszona jako warunek przesłania zwykłego zapytania może nie spełniać wymogu dobrowolności.

Nie wszystkie nieprawidłowości podlegają Prezesowi UODO

Brak lub wadliwość regulaminu, nieprzekazanie wymaganych informacji konsumenckich, stosowanie niedozwolonych postanowień albo nieprawidłowe zaprojektowanie procesu zakupowego mogą prowadzić do skutków cywilnych, kontroli Inspekcji Handlowej lub postępowania przed Prezesem Urzędu Ochrony Konkurencji i Konsumentów.

Prezes UODO

Bada zgodność przetwarzania danych osobowych, w tym podstawy prawne, obowiązki informacyjne, zgody, bezpieczeństwo i rozliczalność.

Prezes UOKiK

Może interweniować w przypadku praktyk naruszających zbiorowe interesy konsumentów lub stosowania niedozwolonych postanowień.

Klient

Może dochodzić praw związanych z umową, odstąpieniem, reklamacją, zwrotem płatności, szkodą albo bezskutecznością postanowień.

Odrębny problem może powstać, gdy przedsiębiorca kopiuje z innej strony rozbudowany i indywidualnie opracowany regulamin. W zależności od twórczego charakteru tekstu takie działanie może prowadzić także do zarzutu naruszenia praw autorskich. Sam fakt, że dokument został publicznie udostępniony w internecie, nie oznacza, że można go dowolnie przejąć i wykorzystywać we własnej działalności.

Dlaczego dokumenty dużego przedsiębiorcy nie muszą być dobrym wzorem?

Duży podmiot może korzystać z innych systemów, zawierać umowy w odmienny sposób, przetwarzać dane na większą skalę i współpracować z dostawcami, których mniejsza firma w ogóle nie wykorzystuje. Może także prowadzić działalność w wielu państwach, stosować program lojalnościowy, profilowanie, automatyczne podejmowanie decyzji albo przekazywać dane poza Europejski Obszar Gospodarczy.

Przeniesienie takich zapisów do dokumentacji mniejszego przedsiębiorcy nie zwiększa jej profesjonalizmu. Może natomiast spowodować, że firma zacznie deklarować działania, których nie wykonuje, powoływać się na niewłaściwe podstawy prawne albo informować o odbiorcach danych, z którymi nigdy nie współpracuje.

Nie ma również gwarancji, że dokument znaleziony na stronie dużego podmiotu jest aktualny lub prawidłowy. Wielkość przedsiębiorstwa nie wyklucza błędów, a dokument widoczny w internecie może pochodzić sprzed istotnych zmian prawnych lub technologicznych.

Bezpieczny dokument nie powinien opisywać tego, jak działa inna firma. Powinien odpowiadać temu, jak konkretny przedsiębiorca rzeczywiście zawiera umowy, komunikuje się z klientami i przetwarza dane.

Strony przedsiębiorców turystycznych wymagają dodatkowej uwagi

W przypadku przedsiębiorców turystycznych zwykły regulamin sklepu internetowego często nie wystarczy. Znaczenie ma ustalenie, czy sprzedawany produkt jest imprezą turystyczną, pojedynczą usługą turystyczną, powiązaną usługą turystyczną czy innym świadczeniem. Od kwalifikacji produktu zależy zakres informacji, dokumentów i odpowiedzialności przedsiębiorcy.

Organizator turystyki powinien uwzględnić między innymi informacje przedumowne, standardowy formularz informacyjny, warunki udziału, zasady zmiany i rozwiązania umowy, odpowiedzialność za wykonanie usług oraz wymagane zabezpieczenia. Dokumentacja powinna odpowiadać również sposobowi sprzedaży przez agentów, systemowi rezerwacyjnemu, płatnościom i rzeczywistemu przebiegowi obsługi podróżnego.

Skopiowanie regulaminu zwykłego sklepu albo dokumentacji innego organizatora może pomijać obowiązki wynikające z ustawy o imprezach turystycznych i powiązanych usługach turystycznych. Może też nie odpowiadać zakresowi wpisu przedsiębiorcy, stosowanym zabezpieczeniom lub konstrukcji oferowanych produktów.

Kiedy warto ponownie przeanalizować stronę?

Dokumentacja strony nie powinna być traktowana jako jednorazowy plik, który po publikacji może pozostać bez zmian przez wiele lat. Ponowna analiza jest potrzebna zwłaszcza wtedy, gdy przedsiębiorca zmienia ofertę, uruchamia sprzedaż online, wdraża nowe formularze, system rezerwacyjny, newsletter, analitykę, reklamę, płatności internetowe albo rozpoczyna współpracę z nowym dostawcą technologicznym.

Sprawdź dokumentację ponownie, jeżeli:

została przygotowana kilka lat temu i od tego czasu nie była aktualizowana;
powstała na podstawie wzoru znalezionego w internecie;
zawiera nazwy usług, systemów lub podmiotów, z których firma nie korzysta;
nie opisuje aktualnych formularzy, newslettera, analityki albo reklamy;
nie odpowiada rzeczywistemu sposobowi składania zamówień i zawierania umów;
łączy regulamin, politykę prywatności i zgodę marketingową w jednym polu;
nie wskazuje, jak długo dane są przechowywane ani komu są przekazywane;
posługuje się nieaktualnymi podstawami prawnymi.

Analiza strony to więcej niż sprawdzenie dokumentów w stopce

Rzetelna analiza prawna strony internetowej nie powinna ograniczać się do przeczytania regulaminu i polityki prywatności. Trzeba również przejść przez formularze, proces składania zamówienia lub rezerwacji, komunikaty przy przyciskach, pola zgód, baner cookies, wiadomości wysyłane po złożeniu zamówienia oraz sposób prezentowania ceny i najważniejszych cech świadczenia.

Dokumentacja i techniczne działanie serwisu powinny tworzyć jeden spójny system. Prawidłowy regulamin nie naprawi formularza, który wymusza niewłaściwe zgody. Poprawna polityka prywatności nie pomoże, jeżeli narzędzia reklamowe uruchamiają się przed wyborem użytkownika. Z kolei właściwie skonfigurowana strona nie zastąpi informacji, które przedsiębiorca ma obowiązek przekazać klientowi przed zawarciem umowy.

Najczęstsze pytania przedsiębiorców

Czy każda firma musi mieć politykę prywatności?

RODO wymaga wykonania obowiązków informacyjnych, a nie użycia dokumentu o konkretnej nazwie. Polityka prywatności jest najczęściej praktycznym sposobem przekazania wymaganych informacji. Jej treść i sposób udostępnienia powinny jednak odpowiadać procesom rzeczywiście występującym na stronie.

Czy użytkownik musi zaakceptować politykę prywatności?

Co do zasady użytkownik powinien mieć możliwość zapoznania się z informacją o przetwarzaniu danych. Sama polityka prywatności nie jest jednak umową, a jej „akceptacja” nie stanowi automatycznie skutecznej zgody na wszystkie operacje wykonywane na danych.

Czy Prezes UODO może ukarać za brak regulaminu?

Prezes UODO nie nakłada kary za sam brak regulaminu sklepu lub strony. Może natomiast interweniować, jeżeli sposób działania serwisu narusza przepisy o ochronie danych, na przykład z powodu braku właściwej podstawy przetwarzania, niedopełnienia obowiązku informacyjnego albo nieważnych zgód.

Czy można skopiować regulamin z innej strony?

Nie jest to bezpieczne rozwiązanie. Dokument może nie odpowiadać prowadzonej działalności, pomijać właściwe obowiązki albo opisywać nieistniejące procesy. W zależności od indywidualnego i twórczego charakteru tekstu jego kopiowanie może również prowadzić do problemu na gruncie prawa autorskiego.

Czy wystarczy umieścić informację, że strona używa cookies?

Nie zawsze. Jeżeli strona korzysta z technologii wymagających zgody, użytkownik powinien otrzymać odpowiednie informacje i możliwość dokonania rzeczywistego wyboru. Narzędzia wymagające zgody nie powinny uruchamiać się wcześniej.

Jak często należy aktualizować dokumenty?

Nie ma jednego terminu właściwego dla wszystkich przedsiębiorców. Dokumentację należy jednak zweryfikować po zmianie prawa, oferty, sposobu zawierania umów, funkcji strony, dostawców technologicznych, płatności, narzędzi analitycznych, reklamy lub zakresu zbieranych danych.

Analiza strony internetowej

Nie masz pewności, czy dokumenty na Twojej stronie są aktualne?

Fortis Legal analizuje regulaminy, polityki prywatności, formularze, pola zgód, proces zawierania umowy oraz sposób wykorzystywania cookies. Po wstępnej ocenie określamy zakres potrzebnych zmian i proponujemy sposób współpracy dopasowany do rzeczywistej działalności przedsiębiorcy.

Opisz swoją sprawę

Informacja prawna: publikacja ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii dotyczącej konkretnej strony internetowej. Zakres obowiązków przedsiębiorcy zależy między innymi od rodzaju działalności, oferowanych usług, sposobu zawierania umów, wykorzystywanych narzędzi i zakresu przetwarzanych danych.

Podstawy prawne, orzecznictwo i materiały źródłowe

Jakie dokumenty powinna mieć strona internetowa firmy? Dlaczego skopiowany regulamin i polityka prywatności nie wystarczą