Jak dostosować sklep internetowy do RODO - kompletna checklista na 2026

Przejdź drogę zamówienia od koszyka do wysyłki i księgowości. Wypisz dane zbierane na każdym etapie: adres, kontakt, informacje do faktury, historię zakupów i treści zgłoszeń. Dodaj system mailingowy, analitykę, narzędzia reklamowe oraz dodatki osadzone na stronie. Widget opinii lub czat także może komunikować się z zewnętrznym dostawcą.

Dla każdej pozycji przygotuj tabelę: cel, zakres danych, system, odbiorca, osoba zarządzająca dostępem i zasada przechowywania. To praktyczny materiał do uzgodnienia dokumentacji i zadań technicznych. Jeśli nie potrafisz wskazać właściciela starej integracji, najpierw ustal, do czego służy, zamiast automatycznie ją usuwać z działającego sklepu.

Sprawdź też kopie poza aplikacją: eksporty zamówień w arkuszach, pliki na komputerach i załączniki pocztowe. Proces opisany wyłącznie w panelu sklepu będzie niepełny, jeżeli obsługa codziennie pobiera listę klientów na współdzielony dysk. Efektem przeglądu powinna być lista rzeczywistych miejsc przetwarzania, a nie spis nazw popularnych wtyczek.

Informacja o przetwarzaniu danych ma odpowiadać faktycznemu procesowi. Art. 13 RODO opisuje obowiązek informacyjny; nie ustanawia ogólnej konieczności uzyskania zgody na politykę prywatności. Podstawę przetwarzania danych potrzebnych do zamówienia trzeba odróżnić od podstawy marketingu. Tekst RODO jest punktem odniesienia do ustalenia tych zasad.

W formularzu zamówienia sprawdź każde pole obowiązkowe. Ustal, do czego potrzebny jest telefon, nazwa firmy lub dodatkowe uwagi. Nie zbieraj danych na zapas tylko dlatego, że motyw ma gotowy formularz. Przy każdym komunikacie pokaż zrozumiałe odesłanie do właściwej informacji, dostępne także na telefonie.

Przetestuj zakup bez konta, rejestrację konta i kontakt w sprawie zamówienia jako osobne ścieżki. Zanotuj teksty checkboxów, ich domyślny stan i miejsce zapisywania decyzji. Jeśli zmieniasz formularz, sprawdź również walidację błędów oraz dostępność klawiaturą. Klient powinien móc przeczytać informację bez utraty wpisanych danych lub zamknięcia koszyka.

Zapis do newslettera oddziel od realizacji zakupu. Dla marketingu sprawdź treść decyzji, jej dobrowolność i sposób udokumentowania. Art. 398 Prawa komunikacji elektronicznej odnosi się do uprzedniej zgody na wskazane w nim przesyłanie informacji handlowej, w tym marketingu bezpośredniego. Aktualny tekst PKE określa zakres tej reguły.

Double opt-in może pomagać potwierdzić zapis i ograniczyć błędne adresy, ale nie jest uniwersalnym ustawowym nakazem stosowania konkretnego formularza. W praktycznej kontroli ważne jest, czy system przechowuje dowód decyzji i czy rezygnacja dociera do wszystkich miejsc, z których wysyłasz marketing.

Sprawdź scenariusz klienta, który kupił produkt, ale nie zapisał się na listę. Następnie prześledź osobę zapisującą się i później rezygnującą. Zweryfikuj, czy import z arkusza lub ponowna synchronizacja sklepu nie przywraca jej do aktywnej kampanii. Wynik zapisz jako konkretny test integracji, z nazwą systemu i miejscem przechowywania statusu zgody.

Art. 399 PKE rozróżnia zasadę zgody na przechowywanie lub odczyt informacji z urządzenia oraz wyjątki konieczne do transmisji albo dostarczenia żądanej usługi. Nie należy więc opisywać odmowy wszystkich cookies niezbędnych jako podstawowego wymogu. Zaklasyfikuj faktyczne zastosowania skryptów, a nie tylko etykiety nadane przez instalator wtyczki.

W czystej sesji testowej sprawdź stan przed wyborem, po odmowie, po zgodzie na wybrane cele i po wycofaniu decyzji. Porównaj żądania sieciowe, zapisane identyfikatory oraz ustawienia narzędzi. Raport EDPB o banerach opisuje problemy z domyślnymi zaznaczeniami i utrudnianiem odmowy. Sam widoczny przycisk nie dowodzi poprawnego działania.

Google Consent Mode rozróżnia tryb podstawowy i zaawansowany oraz sygnały `ad_storage`, `analytics_storage`, `ad_user_data`, `ad_personalization`. Wybór konfiguracji nie rozstrzyga sam legalności przetwarzania. Praktyczną kontrolę opisuje audyt Consent Mode; zakres pomocy technicznej znajdziesz przy pomiarze konwersji.

Dla hostingu, operatora płatności, kuriera i systemu mailingowego ustal rzeczywistą rolę. EDPB wyjaśnia różnicę między administratorem decydującym o celach i sposobach przetwarzania a procesorem działającym w jego imieniu. Umowa powierzenia dotyczy odpowiedniej relacji; sama obecność firmy na liście dostawców nie rozstrzyga tej kwalifikacji.

Operacyjnie przygotuj listę kont administratorów, pracowników, integracji i wykonawców. Dla każdego konta określ właściciela, potrzebny zakres i sposób odebrania dostępu. Sprawdź, czy były pracownik nadal widzi zamówienia oraz czy zewnętrzny wykonawca pozostawił konto po zakończeniu prac. Konta wspólne utrudniają ustalenie, kto wykonał zmianę.

Przy zmianie dostawcy uzgodnij eksport i zakończenie dotychczasowej usługi. Obejmij przeglądem także testowy sklep, panel hostingu i magazyn plików, nie tylko logowanie do CMS. Jeżeli potrzebujesz uporządkować uprawnienia i dodatki, zakres obsługi WordPress można ustalić na podstawie obecnej instalacji i listy systemów.

Przygotuj tabelę retencji osobno dla zamówień, faktur, kont, marketingu i korespondencji. Zapisz podstawę okresu, zdarzenie rozpoczynające jego liczenie oraz sposób wykonania usunięcia lub ograniczenia danych. Nie ustawiaj jednego czasu dla całej bazy tylko dlatego, że panel oferuje wspólny przełącznik.

Art. 12 RODO przewiduje odpowiedź zasadniczo w ciągu miesiąca. Przedłużenie o dwa miesiące jest możliwe pod wskazanymi warunkami, z informacją o przedłużeniu i jego przyczynach w pierwszym miesiącu. Prawo do usunięcia z art. 17 ma wyjątki. To nie automatyczny nakaz skasowania wszystkich dokumentów po otrzymaniu wiadomości.

Ustal kanał przyjmowania żądań, sposób weryfikacji osoby i osobę prowadzącą sprawę. Na kontrolnym przykładzie sprawdź, gdzie trzeba wyszukać dane i jak zanotować decyzję. Uwzględnij integracje i kopie robocze z mapy systemów. Do procedury dodaj sposób postępowania po odtworzeniu backupu, aby wcześniej wykonane decyzje nie zostały niezauważenie cofnięte.

Środki ochrony dobiera się do ryzyka i kontekstu. EDPB wskazuje cel: "to protect the integrity, availability and confidentiality of the data", czyli ochronę integralności, dostępności i poufności. Poradnik bezpieczeństwa EDPB opisuje podejście oparte na ocenie zagrożeń. Jedna długość hasła albo identyczna częstotliwość backupu nie zastępuje tej oceny.

W sklepie sprawdź aktualizacje, uprawnienia, uwierzytelnianie, ochronę transmisji i możliwość odtworzenia danych. Kopia istniejąca wyłącznie jako komunikat sukcesu nie potwierdza odtwarzalności. Test odzyskania przygotuj w kontrolowanym środowisku z ograniczonym dostępem. Praktyczne zagadnienia platformy rozwija poradnik WordPress i RODO.

Naruszenie danych to osobna ścieżka od żądania klienta. Według EDPB zgłoszenie organowi następuje, gdy jest wymagane, bez zbędnej zwłoki i w miarę możliwości do 72 godzin od stwierdzenia naruszenia; wyjątek dotyczy sytuacji, gdy ryzyko dla praw i wolności jest mało prawdopodobne. Przygotuj kontakt do osoby decyzyjnej i sposób zabezpieczenia dowodów.

Zlecenie podziel na ustalenie zasad, dokumentację, zmiany techniczne i sprawdzenie działania. Cena zależy między innymi od liczby formularzy, tagów, kont, integracji oraz stanu obecnej instalacji. Wycena jednego banera nie opisuje przeglądu całego obiegu danych. Ustal również, kto ocenia dokumenty, a kto wdraża uzgodnione rozwiązanie w sklepie.

Przy odbiorze poproś o listę zmian i wynik testów: wybór cookies, zapis newslettera, rezygnacja, konto klienta, eksport danych i odebranie dostępu wykonawcy. Do każdego problemu przypisz właściciela oraz dowód ponownej kontroli. Następna wtyczka marketingowa może zmienić wcześniejszy wynik, dlatego lista systemów powinna być aktualizowana.

W KC Mobile możesz ustalić zakres technicznych zmian w sklepie internetowym. Na początek podaj adres lub platformę i cel, na przykład uporządkowanie zgód albo naprawę działania formularzy. Pełną listę narzędzi i dostępów można przygotować później. Budżet jest pomocną informacją, ale nie warunkiem rozpoczęcia rozmowy.