RODO obowiazuje od 2018 roku, ale wciąż 60% polskich firm narusza je niesopowiednio. UOKiK i UODO w 2025 wystawiły kary na 47 mln zł (dane UODO). Mała firma też może być skontrolowana. Co naprawdę musisz mieć.
Kogo dotyczy RODO
Każdej firmy, która przetwarza dane osobowe – czyli praktycznie każdej. Dane osobowe to: imię, nazwisko, email, telefon, adres, NIP, numer karty, lokalizacja GPS, IP, cookies.
Obowiązki – minimum dla małej firmy
- Polityka prywatności na stronie WWW – widoczna, kompletna
- Regulamin sklepu (jeżeli e-commerce)
- Polityka cookies + baner zgody (cookie consent)
- Klauzule informacyjne w formularzach kontaktowych
- Rejestr czynności przetwarzania (RCP) – dla firm 250+ pracowników, ale małe też powinny
- Umowy powierzenia z dostawcami (chmura, IT, księgowy)
- Procedura reagowania na naruszenie (incident responsę)
- Szkolenia pracowników z RODO (raz w roku)
Polityka prywatności – co musi zawierać
- Dane administratora (Twoja firma, adres, kontakt)
- Cel przetwarzania (np. realizacja zamówienia, marketing)
- Podstawa prawna (zgoda, umowa, obowiązek prawny)
- Okres przechowywania (np. 5 lat po zakończeniu współpracy)
- Kategorie odbiorców (komu przekazujesz dane)
- Prawa użytkownika (dostęp, sprostowanie, usuniecie, sprzeciw)
- Kontakt do IOD (jeżeli wymagany)
- Transfer poza EOG (np. Mailchimp w USA)
Cookies – aktualne zasady 2026
Po 2022 UODO i unijny TJ orzekły, ze cookie banery musza mieć:
- Wyrazna zgodę na cookie nie-niezbedne (analytics, marketing)
- Możliwość odrzucenia (równorzędny przycisk „odrzuć”)
- Lista konkretnych cookies (nie ogólny opis)
- Czas życia każdego cookie
- Dostawcy (Google Analytics, Facebook Pixel)
Polecane narzędzia: CookieBot, Termly, CookieYes – od 0 do 60 USD/mies.
Newsletter i marketing
Najczęstsze naruszenie RODO w MSP: wysyłanie newslettera bez zgody. Reguły:
- Double opt-in (potwierdzenie emailem)
- Łatwy unsubscribe (jeden klik)
- Nie kupuj baz danych „kontaktowych” – kary 100-200 tys. zł
- SMS marketing wymaga osobnej zgody
Naruszenie danych – co robić
- Zidentyfikuj naruszenie (utrata laptopa, atak hakerski, wycieк)
- W ciągu 72h zglos do UODO (formularz online)
- Jeżeli wysokie ryzyko – poinformuj poszkodowanych
- Udokumentuj incident i działania naprawcze
- Zachowaj wszystkie dowody dla UODO
Kary za naruszenie RODO 2026
- Brak polityki prywatności: 5-50 tys. zł
- Brak zgody marketingowej: 30-200 tys. zł
- Brak zabezpieczeń technicznych: 50-500 tys. zł
- Naruszenie z wyciekiem: 100 tys. – 5 mln zł
- Powtarzające się naruszenia: do 4% rocznego obrotu
Praktyczna checklist startowa
- [x] Stwórz politykę prywatności na stronę
- [x] Dodaj cookie banner
- [x] Klauzule informacyjne we wszystkich formularzach
- [x] Podpisz umowy z dostawcami (hosting, mailing, księgowy)
- [x] Włącz double opt-in w newsletterze
- [x] Wprowadź hasła i 2FA dla pracowników
- [x] Szyfruj dane (HTTPS na stronie, BitLocker na laptopach)
- [x] Raz w roku szkol zespół z RODO
Pomoc prawna
Jeżeli masz wątpliwości, skontaktuj się z kancelaria specjalizujaca się w RODO. Konsultacja: 200-500 zł/h. Audyt RODO dla małej firmy: 1500-5000 zł. Wzory dokumentów online: 99-499 zł jednorazowo.
Dodaj swoją firmę do katalogu Łączymy Biznes
Łączymy Biznes to bezpłatny katalog ponad 20 000 polskich firm w 50+ branżach. Dodanie wizytówki zajmuje 5 minut i daje Ci widoczność w Google. Dodaj firmę za darmo i docieraj do nowych klientów.
Dodaj komentarz