Po co godzić UŚUDE i RODO: perspektywa właściciela strony
Właściciel strony lub aplikacji chce zazwyczaj trzech rzeczy: spokojnie sprzedawać, zbierać leady i nie ryzykować kary ani sporów z klientami. Ustawa o świadczeniu usług drogą elektroniczną (UŚUDE) i RODO dotykają dokładnie tych obszarów – ale robią to z różnych stron.
Klucz leży w dobrym podziale ról między regulaminem, polityką prywatności, banerem cookies i krótkimi klauzulami przy formularzach. Dopiero wtedy obowiązki informacyjne z UŚUDE i RODO zaczynają ze sobą współgrać, zamiast się dublować i wzajemnie wykluczać.
Kontekst prawny: kiedy stosuje się UŚUDE, a kiedy RODO
Co to jest „świadczenie usług drogą elektroniczną”
UŚUDE dotyczy usług świadczonych bez jednoczesnej fizycznej obecności stron, za pomocą urządzeń elektronicznych, na indywidualne żądanie usługobiorcy, przesyłanych i odbieranych za pomocą sieci telekomunikacyjnej.
W praktyce w reżim UŚUDE wchodzisz, gdy:
masz sklep internetowy z koszykiem i kontem użytkownika,
prowadzisz portal z kontami użytkowników (np. forum, serwis ogłoszeniowy),
oferujesz SaaS (aplikację w chmurze) w modelu abonamentowym lub free,
udostępniasz newsletter lub inny serwis oparty na rejestracji.
Jeżeli posiadasz wyłącznie prostą „wizytówkę” bez kont, formularzy i realnej funkcjonalności (tylko informacja statyczna), zakres UŚUDE jest znacznie mniejszy, choć nadal mogą wchodzić w grę przepisy o zakazie przesyłania niezamówionych informacji handlowych.
Kiedy na stronie wchodzi w grę RODO
RODO stosuje się, gdy przetwarzasz dane osobowe, czyli informacje pozwalające zidentyfikować osobę fizyczną. Na stronie www i w aplikacjach będzie to m.in.:
formularz kontaktowy z imieniem i e‑mailem,
formularz zamówienia / rejestracji,
newsletter, webinary, program lojalnościowy,
adres IP i identyfikatory plików cookies, jeśli możesz je powiązać z użytkownikiem.
RODO dotyczy relacji B2C i B2B, jeśli przetwarzasz dane osób fizycznych po stronie kontrahenta (np. imiona i maile osób kontaktowych z firmy). Reżim RODO uruchamiasz praktycznie za każdym razem, kiedy użytkownik wykonuje na stronie coś więcej niż pasywne czytanie treści.
Jak nachodzą na siebie obowiązki informacyjne z UŚUDE i RODO
UŚUDE wymaga, abyś poinformował o sobie jako usługodawcy i przekazał użytkownikowi warunki świadczenia usług drogą elektroniczną. RODO wymaga, abyś poinformował osoby, których dane przetwarzasz, kto jest administratorem i co dzieje się z ich danymi.
Punkty styku to przede wszystkim:
formularze rejestracji i zamówienia – jednocześnie zawierasz umowę (UŚUDE + ustawa o prawach konsumenta) i zbierasz dane (RODO),
konto użytkownika – regulamin określa zasady korzystania z konta, polityka prywatności opisuje przetwarzanie danych w koncie,
newsletter – na gruncie UŚUDE, Prawa telekomunikacyjnego i RODO pojawiają się osobne, ale powiązane obowiązki informacyjne i zgody.
Nie ma jednego przepisu, który „łączy” UŚUDE i RODO. Łączy je użytkownik, który z jednej strony staje się usługobiorcą, a z drugiej – osobą, której dane są przetwarzane.
Typy serwisów, gdzie UŚUDE i RODO idą w parze
Najczęściej oba reżimy prawne występują wspólnie w przypadku:
portali i serwisów społecznościowych – regulamin serwisu, moderacja treści, przetwarzanie danych w profilach i wiadomościach,
SaaS / platform B2B – regulamin usługi, umowy powierzenia danych, złożone cele przetwarzania i analityka,
stron lead‑generation – formularze kontaktowe, zapisy na newsletter, profilowanie pod reklamy.
We wszystkich tych przypadkach dobrze zaprojektowana architektura informacji legalnej (regulamin + polityka + klauzule) oszczędza czas, nerwy i pieniądze – zarówno na etapie wdrożenia, jak i aktualizacji.
Kluczowe obowiązki informacyjne z UŚUDE – esencja dla praktyka
Jakie informacje o usługodawcy i usłudze trzeba ujawnić
UŚUDE wymaga, aby użytkownik wiedział, z kim zawiera umowę i na jakich warunkach. Podstawowe elementy to:
dane identyfikujące usługodawcę – pełna nazwa, forma prawna, adres, NIP, REGON, KRS/CEIDG,
dane kontaktowe – e‑mail, telefon lub formularz kontaktowy, umożliwiające szybki kontakt,
rejestr – informacja o organie, który zarejestrował działalność (np. sąd rejestrowy, wójt/burmistrz),
istotne cechy usługi – co dokładnie oferujesz, jakie są ograniczenia, dostępność, wersje,
zakazy po stronie usługobiorcy – np. zakaz dostarczania treści bezprawnych, spamowania, naruszeń praw autorskich.
Te informacje umieszczasz zazwyczaj w regulaminie świadczenia usług drogą elektroniczną oraz w stopce (nazwa firmy, dane rejestrowe). Nie ma potrzeby rozciągania ich na politykę prywatności – wystarczy sensowne odesłanie.
„W sposób umożliwiający pozyskanie i utrwalenie” – jak to rozumieć
UŚUDE wymaga, aby informacje były dostępne w sposób, który pozwala na ich pobranie i zapisanie. W praktyce oznacza to, że:
regulamin i polityka powinny mieć stały adres URL (np. link w stopce na każdej podstronie),
treść powinna być możliwa do zapisania – np. wydruk, zapis w PDF, zapis strony,
dobrą praktyką jest załączanie regulaminu i polityki prywatności w e‑mailu potwierdzającym rejestrację lub zamówienie.
Nie wystarczy jednorazowy pop‑up z treścią regulaminu bez łatwego dostępu do niego później. Jeżeli użytkownik nie ma jak wrócić do treści warunków, pojawia się problem z wykazaniem, że poinformowałeś go prawidłowo.
Kiedy regulamin świadczenia usług jest konieczny, a kiedy wystarczy opis
Regulamin świadczenia usług drogą elektroniczną jest w praktyce konieczny, gdy:
użytkownik zakłada konto,
loguje się do panelu klienta lub korzysta z SaaS,
korzysta z serwisu ogłoszeniowego, społecznościowego, forum,
sprzedajesz online (umowa na odległość).
Jeśli strona ma wyłącznie charakter informacyjny, a jedyny formularz służy np. jednorazowemu kontaktowi, formalny „regulamin świadczenia usług drogą elektroniczną” jako osobny dokument nie zawsze jest niezbędny. Często wystarczy krótki opis funkcjonalności i zasad korzystania z formularza.
W praktyce biznesowej osobny regulamin wprowadza się jednak niemal zawsze, gdy:
jest możliwość rejestracji,
masz powtarzalną relację z użytkownikiem (konto, subskrypcja, dostęp do treści premium).
Relacja UŚUDE z ustawą o prawach konsumenta
UŚUDE reguluje świadczenie usług drogą elektroniczną, a ustawa o prawach konsumenta – głównie umowy zawierane na odległość z konsumentami. W przypadku e‑commerce i wielu serwisów online oba akty mają zastosowanie równolegle.
Przykłady zazębień:
informacje o przedsiębiorcy – wymagane w obu aktach, można je opisać raz w regulaminie,
informacje o prawie odstąpienia od umowy – wynikają z ustawy o prawach konsumenta, ale logicznie trafiają do regulaminu sklepu/serwisu,
koszty, sposób i termin świadczenia usług – opisujesz je w regulaminie; spełniasz w ten sposób obowiązki informacyjne z obu ustaw.
Projektując regulamin, najlepiej przyjąć założenie, że ma on pokrywać wymogi UŚUDE i ustawy o prawach konsumenta jednocześnie. Rozbicie tych treści na dwa dokumenty tylko zaciemnia obraz i utrudnia aktualizacje.
Źródło: Pexels | Autor: Markus Winkler
Obowiązek informacyjny z art. 13 i 14 RODO na stronie
Jakie informacje trzeba podać według art. 13 RODO
Art. 13 RODO dotyczy sytuacji, gdy dane osobowe pozyskujesz bezpośrednio od osoby, której dane dotyczą. Na stronie mówimy o:
formularzach kontaktowych,
formularzach rejestracji i zamówienia,
formularzach zapisów na newsletter, wydarzenia, webinary,
logach serwera i cookies, które przetwarzane są w sposób pozwalający zidentyfikować użytkownika.
Minimalny zakres informacji, które trzeba przekazać osobie, obejmuje:
tożsamość i dane kontaktowe administratora (oraz ewentualnie inspektora ochrony danych),
cele przetwarzania i podstawy prawne,
informacje o odbiorcach danych lub kategoriach odbiorców,
informację o zamiarze przekazywania danych do państwa trzeciego / organizacji międzynarodowej (jeśli ma miejsce),
okres przechowywania danych lub kryteria jego ustalania,
informację o prawach osoby (dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie),
informację o prawie do cofnięcia zgody (jeśli podstawą jest zgoda),
informację o prawie wniesienia skargi do organu nadzorczego,
informację, czy podanie danych jest wymogiem umownym/prawnym, oraz czy osoba jest zobowiązana do ich podania i jakie są konsekwencje niepodania,
informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu – jeśli jest stosowane.
Szkielet klauzuli informacyjnej – jak to poukładać
Dobrze przygotowana klauzula informacyjna powinna być możliwie krótka i czytelna, przy jednoczesnym spełnieniu wymogów RODO. Prosty szkielet:
Administrator – nazwa, adres, dane kontaktowe, e‑mail do spraw RODO,
Cele i podstawy – cele w punktach, z przypisaniem podstaw prawnych (np. art. 6 ust. 1 lit. b RODO),
Odbiorcy – w kategoriach („dostawcy hostingowi”, „dostawcy systemów mailingowych”),
Transfer poza EOG – jeśli występuje, z mechanizmem zabezpieczenia (np. standardowe klauzule umowne),
Okres przechowywania – konkretne okresy lub kryteria (np. „do czasu przedawnienia roszczeń”),
Prawa użytkownika – wypisane jednoznacznie, z krótkim wyjaśnieniem, jak z nich skorzystać,
Wymóg podania danych – czy dane są obowiązkowe i dlaczego,
Zautomatyzowane podejmowanie decyzji – jeśli jest, trzeba opisać zasady i konsekwencje.
Ten szkielet może być opisany ogólnie w polityce prywatności, a następnie uzupełniany skróconymi klauzulami przy poszczególnych formularzach.
Jedna ogólna klauzula czy osobne klauzule przy formularzach
Ogólna klauzula informacyjna w polityce prywatności jest potrzebna zawsze, natomiast rzadko wystarcza sama. Główne kryterium: czy dany formularz ma inne cele i podstawy niż reszta przetwarzania.
zapis na newsletter – cel: marketing bezpośredni, podstawa: zgoda (art. 6 ust. 1 lit. a) lub uzasadniony interes w przypadku klientów,
formularz rekrutacyjny – cel: rekrutacja, podstawa: przepisy prawa pracy + zgoda (dla dodatkowych danych).
Dla takich formularzy lepiej przygotować skróconą klauzulę przy polach, np. link „Informacja o przetwarzaniu danych” pod przyciskiem „Wyślij”. W klauzuli skróconej podajesz kluczowe informacje i odsyłasz do pełnej polityki.
Kiedy typowy e‑biznes dotyka art. 14 RODO
Art. 14 RODO dotyczy przetwarzania danych pozyskanych nie bezpośrednio od osoby, której dane dotyczą. W e‑biznesie najczęstsze sytuacje to:
Typowe przypadki z art. 14 RODO w serwisach internetowych
W praktyce serwisów online art. 14 pojawia się głównie wtedy, gdy:
pozyskujesz leady z zewnętrznych baz (np. od partnerów czy brokerów danych),
korzystasz z danych osób poleconych (np. program poleceń, „zaproś znajomego”),
masz dane osób kontaktowych po stronie kontrahentów (B2B), przekazane przez ich pracodawcę,
monitorujesz aktywność użytkowników w narzędziach analitycznych, a identyfikacja następuje w drugiej kolejności (np. po połączeniu z kontem klienta).
W takich przypadkach trzeba przekazać osobie analogiczny zestaw informacji, jak z art. 13, rozszerzony o źródło danych i kategorie danych. Termin na realizację obowiązku jest krótki (co do zasady 1 miesiąc), a w niektórych scenariuszach – najpóźniej przy pierwszej komunikacji.
Na stronie internetowej rzadko realizuje się art. 14 „banerem”. Zwykle stosuje się e‑mail z klauzulą informacyjną albo klauzulę w pierwszej przesyłanej wiadomości marketingowej czy handlowej. Polityka prywatności powinna jednak zawierać dedykowaną sekcję opisującą przetwarzanie danych pośrednio pozyskanych.
Warstwowe informowanie – jak połączyć wymogi RODO i UŚUDE
RODO zachęca do stosowania tzw. warstwowego obowiązku informacyjnego. Da się to dobrze połączyć z wymogiem „łatwego dostępu” z UŚUDE.
Prosty model:
pierwsza warstwa: krótki tekst przy formularzu („Kto?”, „Po co?”, link do szczegółów),
druga warstwa: pełna klauzula informacyjna w polityce prywatności,
trzecia warstwa: dodatkowe informacje w regulaminie (np. terminy świadczenia usługi, odpowiedzialność).
Dzięki temu użytkownik widzi najważniejsze informacje tam, gdzie faktycznie coś robi (np. podaje dane), a cięższe, bardziej szczegółowe treści ma pod stałym linkiem w stopce.
Rozdział ról dokumentów: regulamin, polityka prywatności, baner cookies
Regulamin – „umowa” z użytkownikiem
Regulamin to miejsce na opis relacji usługodawca–użytkownik. Nie jest to dokument o ochronie danych, choć częściowo zawiera informacje, które i tak są wymagane przez RODO (np. dane administratora).
W regulaminie powinny znaleźć się przede wszystkim:
zasady świadczenia usług (co, komu, na jakich warunkach),
kwestie techniczne (wymagania, przerwy techniczne, odpowiedzialność za awarie),
prawa i obowiązki użytkownika (zakazy, zasady korzystania z treści, zgłaszanie nadużyć),
prawa konsumenta (odstąpienie od umowy, reklamacje, tryb ich składania),
postanowienia dotyczące treści użytkowników (licencje, moderacja),
postanowienia końcowe (zmiany regulaminu, prawo właściwe, rozstrzyganie sporów).
Informacje o przetwarzaniu danych mogą się pojawić, ale w wersji skrótowej, z odesłaniem do polityki prywatności. Unika się przepisywania całych klauzul z RODO do regulaminu, bo to utrudnia aktualizacje i powoduje chaos.
Polityka prywatności – centralne miejsce dla RODO i cookies
Polityka prywatności to główny dokument do realizacji obowiązków informacyjnych z RODO na stronie. Dobrze, jeśli pokrywa:
wszystkie główne cele przetwarzania na stronie (formularze, konto, zamówienia, newsletter, analityka, reklama),
pełną klauzulę informacyjną (art. 13/14) – albo w jednym miejscu, albo z podziałem na sekcje tematyczne,
informacje o plikach cookies i podobnych technologiach, w tym o narzędziach zewnętrznych (np. narzędzia analityczne, piksele reklamowe),
opis praw osób, procedury realizacji wniosków (kontakt, terminy, wymagane dane identyfikacyjne),
kwestie bezpieczeństwa (ogólny opis stosowanych środków, bez zdradzania szczegółów technicznych).
Polityka powinna być pisana językiem prostszym niż regulamin. Celem jest zrozumienie przez przeciętnego użytkownika, a nie tylko formalne „odhaczenie” przepisów. Struktura w postaci krótkich sekcji i podpunktów pomaga, szczególnie na urządzeniach mobilnych.
Baner cookies – gdzie kończy się prawo telekomunikacyjne, a zaczyna RODO
Baner cookies to nie jest ani regulamin, ani polityka prywatności. To narzędzie do realizacji zgód wymaganych przez prawo telekomunikacyjne oraz – w części – przez RODO.
Prawo telekomunikacyjne wymaga uprzedniego uzyskania zgody na przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu (cookies i podobne technologie), chyba że są to cookies „niezbędne”. Równolegle RODO wchodzi w grę tam, gdzie cookies prowadzą do przetwarzania danych osobowych (np. identyfikatorów online) w konkretnych celach marketingowych czy analitycznych.
Baner powinien więc:
informować o celach korzystania z cookies i podobnych technologii,
pozwalać na wybór – co najmniej „zaakceptuj” i „odrzuć”, a docelowo także bardziej granularne kategorie,
odsyłać do polityki prywatności / polityki cookies z szerszym opisem.
Sam baner nie zastępuje obowiązku informacyjnego z RODO. Może go częściowo realizować „w pierwszej warstwie”, ale zawsze potrzebuje zaplecza w postaci pełnej polityki.
Polityka cookies – osobny dokument czy część polityki prywatności
W praktyce działają dwa podejścia:
polityka cookies jako osobny dokument (link w banerze i w stopce),
sekcja „Cookies” wewnątrz polityki prywatności.
Oba są akceptowalne, o ile treści są spójne i aktualne. W sklepach i serwisach z bardziej rozbudowanym marketingiem (remarketing, wiele narzędzi zewnętrznych) często lepiej wydzielić politykę cookies, żeby łatwiej było ją aktualizować bez ruszania całej polityki prywatności.
Niezależnie od formy, ta część powinna wyjaśniać główne grupy cookies (niezbędne, analityczne, marketingowe), czas ich działania, dostawców oraz sposób zmiany ustawień (przeglądarka, panel zgód).
Jak nie dublować i nie mieszać informacji: spójna architektura treści
Podział funkcji między dokumentami – prosty schemat
Żeby uniknąć powtórek, dobrze jest przyjąć prosty podział ról:
Regulamin – prawa i obowiązki stron, warunki świadczenia usług, postanowienia konsumenckie, technikalia,
Polityka prywatności – wszystkie kwestie związane z danymi osobowymi i cookies,
Baner / panel cookies – zbieranie zgód na cookies i powiązane przetwarzanie marketingowe/analityczne.
Dane administratora można powtórzyć w regulaminie i polityce, bo są fundamentem obu dokumentów. Resztę lepiej rozdzielić: szczegółowe klauzule informacyjne tylko w polityce, a w regulaminie jedynie zwięzłe odesłanie.
Przykładowy układ linków i odwołań
Układ odnośników warto zaplanować z góry. Dobrze działający scenariusz:
stopka każdej podstrony: linki „Regulamin”, „Polityka prywatności”, „Polityka cookies” (lub jeden link, jeśli cookies są częścią polityki),
przy każdym formularzu: krótkie zdanie typu „Administratorem danych jest… Szczegóły: Polityka prywatności”,
w regulaminie: sekcja „Ochrona danych osobowych” z 2–3 akapitami i wyraźnym linkiem do polityki prywatności.
Taki układ pozwala użytkownikowi łatwo dotrzeć do pełnych informacji, a jednocześnie ogranicza powielanie treści między dokumentami. Przy aktualizacjach zmieniasz głównie politykę prywatności, bez ingerencji w regulamin, który zwykle wymaga bardziej formalnej procedury zmiany.
Unikanie sprzeczności między regulaminem a polityką prywatności
Największy problem pojawia się, gdy różne dokumenty mówią co innego o tych samych kwestiach. Przykładowo: regulamin deklaruje, że dane przetwarzane są wyłącznie w celu realizacji umowy, a polityka prywatności opisuje szeroki marketing.
Żeby tego uniknąć, przy projektowaniu dokumentów trzeba spiąć je jednym „modelem przetwarzania”. W praktyce:
najpierw spisujesz rzeczywiste cele i podstawy przetwarzania (rejestr czynności przetwarzania / mapa danych),
na tej podstawie tworzysz politykę prywatności i klauzule informacyjne,
dopiero później w regulaminie umieszczasz skrótowe odniesienia, bez wchodzenia w szczegóły prawne.
Każda zmiana w praktyce przetwarzania (nowy system mailingowy, nowe integracje marketingowe) powinna skutkować weryfikacją przynajmniej polityki prywatności, a czasem również treści banera cookies. Regulamin rzadziej wymaga zmian w takich sytuacjach.
Warstwowe klauzule przy formularzach – konkretne wzorce
Stosowane w praktyce wzorce są powtarzalne. Dwa typowe przykłady:
formularz kontaktowy – pod przyciskiem „Wyślij”: krótka informacja „Administratorem danych jest X. Dane będą przetwarzane w celu obsługi zapytania. Masz prawo dostępu do danych i ich poprawiania. Więcej informacji: Polityka prywatności”. Bez długiego bloku tekstu z przepisami,
formularz zamówienia – obok checkboxa akceptacji regulaminu: „Twoje dane przetwarzamy w celu zawarcia i wykonania umowy oraz obsługi reklamacji – szczegóły w Polityce prywatności”. Obowiązek informacyjny jest realizowany przede wszystkim w polityce, a przy formularzu pojawia się krótkie streszczenie.
Taki model jest zgodny z RODO i jednocześnie nie „zalewa” użytkownika ścianą tekstu. Pozwala też raz napisać dobrą, kompletną politykę i wykorzystywać ją jako punkt odniesienia w całym serwisie.
Jak poradzić sobie z wieloma rolami administratorów i podmiotów przetwarzających
Przy prostych stronach administrator jest jeden i nie ma problemu. W większych projektach (marketplace, platformy B2B, integracje z zewnętrznymi dostawcami) role są bardziej złożone.
W dokumentach online można to ująć tak:
w polityce prywatności – dokładny opis, kto jest administratorem w jakich procesach (np. „jesteśmy współadministratorem wraz z… w zakresie kampanii reklamowych”),
w regulaminie – zwięzłe zasady odpowiedzialności i relacji umownych (np. regulamin platformy określa, że sprzedawca jest administratorem danych swoich klientów),
w interfejsie (formularze, panel użytkownika) – krótkie wskazanie, kto odpowiada za dane w danym module.
Taki rozkład informacji zmniejsza ryzyko nieporozumień i ułatwia wykazanie zgodności zarówno z RODO, jak i z UŚUDE, która wymaga jasnego oznaczenia usługodawcy i sposobu kontaktu.
Zgody marketingowe, newsletter i relacja RODO – UŚUDE – Prawo telekomunikacyjne
Trzy reżimy prawne przy jednym checkboxie
Przy wysyłce newslettera czy komunikacji marketingowej przez e‑mail lub SMS równocześnie stosują się:
RODO – reguluje przetwarzanie danych osobowych,
UŚUDE – reguluje przesyłanie niezamówionej informacji handlowej,
Prawo telekomunikacyjne – reguluje używanie urządzeń końcowych i automatycznych systemów wywołujących do celów marketingu.
Efekt jest taki, że jeden checkbox pod formularzem newslettera „obsługuje” w praktyce kilka obowiązków. Projektując tekst zgody, trzeba mieć z tyłu głowy wszystkie trzy reżimy.
RODO a zgoda na newsletter
Z perspektywy RODO newsletter to jeden z celów przetwarzania danych osobowych. Podstawą może być:
zgoda (art. 6 ust. 1 lit. a) – standard przy osobach, które nie są jeszcze klientami,
uzasadniony interes (art. 6 ust. 1 lit. f) – częściej stosowany wobec obecnych klientów, o ile komunikacja dotyczy podobnych produktów/usług i zapewniasz prawo sprzeciwu.
W obu wariantach trzeba zrealizować obowiązek informacyjny. Najprościej: krótkie wyjaśnienie celu przy formularzu i pełna klauzula w polityce prywatności.
UŚUDE i „informacja handlowa”
UŚUDE zakazuje przesyłania niezamówionej informacji handlowej na adres e‑mail użytkownika końcowego. W praktyce oznacza to potrzebę uzyskania uprzedniej zgody na otrzymywanie takiej korespondencji.
Żeby uniknąć zarzutu, że zgoda jest „ukryta”, dobrze jest używać jasnych sformułowań. Przykładowo checkbox przy newsletterze:
„Chcę otrzymywać na podany adres e‑mail informacje handlowe dotyczące produktów i usług X…”
Treść zgody nie musi przywoływać nazwy ustawy, ale powinna jednoznacznie wskazywać, że chodzi o komunikację o charakterze handlowym/marketingowym. Zgoda powinna być dobrowolna i odwoływalna w każdym momencie (link „wypisz się” w stopce wiadomości).
Prawo telekomunikacyjne – zgoda na używanie urządzeń końcowych
Prawo telekomunikacyjne wymaga zgody abonenta lub użytkownika końcowego na używanie telefonu, komputera czy e‑maila do celów marketingu bezpośredniego. To dotyczy zarówno automatów (dialery, systemy SMS), jak i zwykłych wysyłek.
Tekst przy checkboxie powinien wyraźnie odnosić się do formy kontaktu, np. „na podany numer telefonu” albo „na podany adres e‑mail”. Ogólniki typu „zgadzam się na kontakt marketingowy” są zbyt nieczytelne.
Łączenie zgód z trzech ustaw w jednym checkboxie
W praktyce nie trzeba mieć trzech osobnych zgód. Można połączyć obowiązki UŚUDE i Prawa telekomunikacyjnego w jednym checkboxie, o ile opisuje on zarówno charakter komunikacji (informacje handlowe/marketing) jak i kanał (e‑mail, SMS, telefon).
Bezpieczny szablon:
„Wyrażam zgodę na otrzymywanie na podany adres e‑mail informacji handlowych od X oraz na wykorzystanie tego adresu do marketingu bezpośredniego.”
RODO „podczepia się” tu pod cel – przetwarzanie danych odbywa się na podstawie tej samej zgody, ale szczegóły (administrator, prawa) wyjaśnia polityka prywatności.
Oddzielne zgody na różne kanały komunikacji
Jeżeli używasz kilku kanałów (e‑mail, SMS, telefon), lepiej rozbić zgody. Pozwala to zachować przejrzystość i respektować zasadę minimalizacji.
Przykładowy zestaw:
checkbox 1: „Zgadzam się na otrzymywanie informacji handlowych drogą e‑mail od X…”,
checkbox 2: „Zgadzam się na kontakt telefoniczny w celu przekazywania informacji handlowych…”,
checkbox 3 (opcjonalny): „Zgadzam się na otrzymywanie informacji handlowych SMS.”
Każda zgoda jest niezależna. Użytkownik może wybrać tylko e‑mail, a odrzucić telefon. Technicznie wymaga to podpięcia zgód do odpowiednich list w systemie mailingowym lub CRM.
Newsletter a obowiązek informacyjny – gdzie umieścić treść
Przy formularzu newslettera wystarczy krótki komunikat i link.
pod polem e‑mail: „Administratorem danych jest X. Dane będą wykorzystane do wysyłki newslettera. Szczegóły w Polityce prywatności”,
pod spodem checkbox z rozbudowaną treścią zgody marketingowej.
Pełna informacja z art. 13 RODO (okres przechowywania, odbiorcy, prawa) powinna być w polityce prywatności w sekcji „Newsletter / komunikacja marketingowa”. Tam opisujesz też podstawę prawną i możliwość wycofania zgody.
Double opt‑in – gdzie kończy się prawo, a zaczyna dobra praktyka
System podwójnego potwierdzenia (link aktywacyjny w e‑mailu) nie jest literalnie wymagany przez RODO ani UŚUDE, ale bardzo pomaga udowodnić dobrowolność zgody.
Rozsądny model:
formularz: użytkownik wpisuje e‑mail i zaznacza zgody,
pierwsza wiadomość: wyłącznie link aktywacyjny i informacja, że dopiero po kliknięciu zgoda jest skuteczna,
pierwszy newsletter: dopiero po aktywacji.
W polityce prywatności można krótko wskazać, że subskrypcja wymaga potwierdzenia poprzez kliknięcie linku, co dodatkowo porządkuje proces od strony dowodowej.
Minimalizacja treści zgód – co w checkboxie, a co w polityce
Checkbox nie powinien być drugą polityką prywatności. Ma zawierać:
kto wysyła komunikację (nazwa podmiotu),
jakiego rodzaju treści (informacje handlowe/marketing dotyczące produktów i usług X),
jakim kanałem (e‑mail, telefon, SMS),
wzmiankę o dobrowolności i odwołaniu zgody (może być skrótowo).
Elementy typu okres przechowywania czy kategorie odbiorców lepiej zostawić w polityce, a w treści zgody dodać odesłanie: „Szczegóły przetwarzania danych w Polityce prywatności”.
Zgoda na newsletter po zakupie – łączenie z realizacją umowy
Przy koszyku w sklepie internetowym pojawia się pokusa: jeden checkbox na regulamin, drugi na newsletter, trzeci na marketing partnerów. Ilość pól szybko rośnie.
Dobre rozwiązanie:
akceptacja regulaminu – obowiązkowa, bez treści marketingowych,
zgoda na newsletter – fakultatywna, wyraźnie oddzielona od akceptacji regulaminu,
informacja w polityce prywatności, że dla obecnych klientów część komunikacji marketingowej może opierać się na uzasadnionym interesie (z prawem sprzeciwu).
Nie łącz zgody na newsletter z akceptacją regulaminu w jednym checkboxie. Taki zabieg podważa dobrowolność zgody i komplikuje wykazanie zgodności.
Zgody na marketing partnerów – osobny poziom ochrony
Jeżeli chcesz przekazywać adresy e‑mail lub numery telefonu partnerom w celach marketingowych, potrzebujesz odrębnej, szczegółowej zgody. Zwykła zgoda na newsletter własny nie obejmuje marketingu podmiotów trzecich.
Taka zgoda powinna wskazywać:
kategorie lub konkretne nazwy partnerów (ogólnik „partnerzy biznesowi” jest zbyt szeroki),
rodzaj komunikacji,
zakres przekazywanych danych.
W polityce prywatności opisz przekazywanie danych partnerom jako osobny cel przetwarzania z własnym okresem przechowywania i podstawą prawną.
Wycofanie zgody – praktyczne rozwiązania na stronie
Przepisy wymagają, by wycofanie zgody było tak łatwe jak jej wyrażenie. W praktyce oznacza to kilka wygodnych kanałów.
link „wypisz się” w stopce każdego newslettera (automatyczne wypisanie z listy),
panel użytkownika po zalogowaniu (przełączniki zgód marketingowych),
adres e‑mail do kontaktu w sprawie danych (podany w polityce prywatności).
W regulaminie można jedynie odesłać do polityki prywatności i krótkiego opisu mechanizmów wypisania, bez duplikowania detali technicznych.
Dowody zgód – co przechowywać po stronie usługodawcy
RODO i UŚUDE nie mówią wprost, w jakiej formie przechowywać dowody zgody, ale w razie kontroli trzeba pokazać więcej niż samą bazę adresów.
W systemie warto rejestrować:
datę i godzinę wyrażenia zgody,
adres IP lub inne dane kontekstowe (np. źródło formularza),
treść zgody (wersja tekstu obowiązująca w dniu zapisu),
datę wycofania zgody, jeśli nastąpiła.
Polityka prywatności może zawierać zwięzłą informację, że administrator przechowuje dowody wyrażenia i cofnięcia zgód w celu obrony przed roszczeniami.
Segmentacja marketingu a podstawy prawne
Zaawansowane kampanie wykorzystują profilowanie: segmentację po aktywności, historii zakupów, otwarciach e‑maili. Pytanie, czy to jeszcze uzasadniony interes, czy już wymaga odrębnej zgody.
Prosty podział:
podstawowa personalizacja (np. dopasowanie tematyki newslettera do kategorii produktów) – zwykle da się obronić na uzasadnionym interesie,
zaawansowane profilowanie z istotnymi skutkami (np. scoring, oferty dynamiczne) – wymaga rozważenia odrębnej zgody i jasnego opisu w polityce.
W obu przypadkach obowiązek informacyjny z RODO obejmuje poinformowanie o używaniu profilowania i jego konsekwencjach. UŚUDE i Prawo telekomunikacyjne interesuje raczej sam fakt przesyłania informacji handlowej i zgoda na kanał.
Spójna narracja o marketingu w regulaminie i polityce prywatności
Regulamin może zawierać krótki opis usług dodatkowych, w tym newslettera: kiedy jest dostępny, jak zakończyć subskrypcję, w jakiej formie wysyłane są treści. Nie powinien jednak rozstrzygać o podstawach prawnych przetwarzania.
Polityka prywatności opisuje:
cele przetwarzania danych w marketingu,
podstawy prawne (zgoda / uzasadniony interes),
zakres danych i kanały komunikacji,
prawa użytkownika (sprzeciw, cofnięcie zgody).
Baner cookies dopełnia całość, jeżeli stosujesz narzędzia marketingowe wykorzystujące cookies lub podobne technologie śledzące. Tam informujesz o narzędziach (np. piksel reklamowy) i prosisz o techniczną zgodę na ich używanie.
Relacja z UŚUDE przy korzystaniu z zewnętrznych narzędzi mailingowych
Popularne systemy mailingowe (np. dostawcy SaaS) są zwykle podmiotami przetwarzającymi w rozumieniu RODO. Trzeba z nimi zawrzeć umowę powierzenia.
Od strony UŚUDE to wciąż Ty jesteś usługodawcą wysyłającym informację handlową. Użytkownik musi jasno widzieć, że subskrybuje komunikację od Twojej firmy, nawet jeśli w stopce technicznej e‑maila pojawia się nazwa dostawcy systemu.
W polityce prywatności opisz takiego dostawcę jako odbiorcę lub procesora, natomiast w treści zgody i wiadomości marketingowych eksponuj wyłącznie własną markę jako nadawcę informacji handlowej.
Marketing w aplikacjach mobilnych i powiadomienia push
Jeżeli korzystasz z powiadomień push w przeglądarce lub aplikacji mobilnej, pojawia się dodatkowy poziom zgody – techniczny (systemowy) popup oraz zgoda marketingowa.
Praktyczny model:
systemowy popup: zgoda na wyświetlanie powiadomień,
w aplikacji: osobny ekran ustawień, gdzie użytkownik może wyrazić lub odwołać zgodę na treści marketingowe w powiadomieniach.
RODO wymaga, by w polityce prywatności opisać wykorzystanie identyfikatorów urządzeń i kanału push do celów marketingowych, natomiast UŚUDE i Prawo telekomunikacyjne „spotykają się” tu na poziomie charakteru komunikacji (informacja handlowa) i urządzenia końcowego.
Najczęściej zadawane pytania (FAQ)
Czym różni się UŚUDE od RODO na stronie internetowej?
UŚUDE reguluje zasady świadczenia usług drogą elektroniczną, czyli np. prowadzenie sklepu online, kont użytkownika, SaaS, forum czy newslettera. Skupia się na tym, kto i na jakich warunkach świadczy usługę, jakie są wymagania techniczne i zakazy po stronie użytkownika.
RODO dotyczy wyłącznie przetwarzania danych osobowych, niezależnie od tego, czy robisz to w sklepie, na blogu, w aplikacji czy w relacji B2B. Odpowiada na pytania: kto jest administratorem danych, w jakim celu zbiera dane, na jakiej podstawie prawnej i jak długo je przechowuje.
W praktyce oba akty stosujesz równolegle: regulamin i opis usługi „robią” UŚUDE (plus ustawę o prawach konsumenta), a polityka prywatności, klauzule informacyjne i zgody – RODO.
Kiedy muszę mieć regulamin świadczenia usług drogą elektroniczną?
Regulamin jest konieczny, gdy faktycznie świadczysz usługę online w rozumieniu UŚUDE, czyli np. umożliwiasz założenie konta, składanie zamówień, korzystanie z panelu klienta, dostęp do treści premium, publikację ogłoszeń lub prowadzisz SaaS.
Przy prostej stronie-wizytówce z samym numerem telefonu i e‑mailem, bez rejestracji i rozbudowanych funkcji, formalny regulamin jako osobny dokument zazwyczaj nie jest wymagany. Często wystarczy jasny opis, jak działa formularz kontaktowy i w jakim celu jest używany.
Jeżeli prowadzisz sprzedaż online lub jakąkolwiek powtarzalną relację z użytkownikiem (konto, subskrypcja, cykliczna usługa), regulamin świadczenia usług drogą elektroniczną praktycznie staje się standardem i jest najlepszym miejscem na połączenie wymogów UŚUDE i ustawy o prawach konsumenta.
Gdzie umieścić informacje wymagane przez UŚUDE i RODO: w regulaminie czy w polityce prywatności?
Informacje „biznesowe” z UŚUDE (dane firmy, opis usługi, wymagania techniczne, zakazy dla użytkownika) umieszcza się w regulaminie świadczenia usług oraz w stopce strony (skrócone dane przedsiębiorcy). To tam użytkownik ma widzieć, z kim zawiera umowę i na jakich warunkach.
Informacje z art. 13 i 14 RODO (administrator, cele i podstawy przetwarzania, odbiorcy danych, okres przechowywania, prawa użytkownika) zwykle trafiają do polityki prywatności. Dodatkowo przy samych formularzach dodaje się krótkie klauzule informacyjne z odesłaniem do pełnej polityki.
Nie ma sensu dublować tych samych treści w obu dokumentach. Wystarczy wyraźne odesłanie: regulamin linkuje do polityki prywatności, a polityka – w razie potrzeby – do regulaminu.
Czy RODO ma zastosowanie, jeśli mam tylko formularz kontaktowy lub newsletter?
Tak. Już sam formularz kontaktowy z imieniem i e‑mailem oznacza przetwarzanie danych osobowych, więc wchodzi w grę RODO. To samo dotyczy zapisów na newsletter, rejestracji na webinar czy pobrania e‑booka za podanie danych.
W takich przypadkach potrzebujesz co najmniej: polityki prywatności (lub innego dokumentu z obowiązkiem informacyjnym), krótkiej klauzuli przy formularzu z linkiem do polityki oraz prawidłowo dobranej podstawy prawnej (np. zgoda na newsletter, uzasadniony interes przy zwykłym kontakcie biznesowym).
Nawet przy braku kont użytkownika i koszyka przepisy RODO mają pełne zastosowanie, jeśli śledzisz użytkowników za pomocą cookies połączonych z konkretną osobą lub adresem e‑mail.
Jak pogodzić obowiązki informacyjne z UŚUDE, RODO i ustawy o prawach konsumenta w jednym sklepie internetowym?
Najprościej przyjąć, że regulamin sklepu ma spełniać równocześnie wymogi UŚUDE i ustawy o prawach konsumenta, a polityka prywatności – wymogi RODO. W regulaminie opisujesz dane przedsiębiorcy, cechy usług/towarów, koszty i terminy, sposób zawarcia i rozwiązania umowy, prawo odstąpienia, reklamacje oraz zasady korzystania z konta i serwisu.
Polityka prywatności uzupełnia to o informacje, jak przetwarzasz dane w procesie zamówienia, w koncie klienta, przy newsletterze, remarketingu czy analityce. Przy formularzach zamówienia i rejestracji dodajesz krótkie klauzule informacyjne oraz checkboxy z zgodami marketingowymi tam, gdzie są potrzebne.
Dzięki takiemu podziale treści unikasz powtarzania tych samych informacji w kilku miejscach, a jednocześnie masz pokryte trzy reżimy prawne jednym zestawem dokumentów.
Czy muszę mieć osobny baner cookies, skoro mam politykę prywatności?
Tak, w większości przypadków sam opis cookies w polityce prywatności nie wystarczy. Jeżeli używasz cookies innych niż technicznie niezbędne (np. analityka, reklama, profilowanie), użytkownik musi mieć realny wybór – akceptacja lub odmowa – zanim pliki zostaną zapisane, co zwykle realizuje się właśnie przez baner lub panel zgód.
Polityka prywatności (czasem połączona z polityką cookies) służy do szczegółowego opisu, jakie cookies stosujesz, w jakim celu, przez jaki czas i z jakimi partnerami dzielisz dane. Baner jest interfejsem zgody, a polityka – źródłem informacji w rozumieniu RODO i przepisów o łączności elektronicznej.
Przykładowo: użytkownik wchodzi na stronę, widzi baner z możliwością wyboru kategorii cookies, a w treści banera ma link do pełnej polityki, gdzie znajdzie techniczne i prawne szczegóły.
Co oznacza, że regulamin i polityka muszą być udostępnione „w sposób umożliwiający pozyskanie i utrwalenie”?
Chodzi o to, by użytkownik mógł łatwo wrócić do treści dokumentów i zachować je na przyszłość. W praktyce oznacza to stały link w stopce na każdej podstronie, brak blokad drukowania czy zapisu do PDF oraz czytelną strukturę tekstu.
Dobrą praktyką jest także dołączanie regulaminu i polityki prywatności w wiadomości e‑mail potwierdzającej rejestrację konta lub złożenie zamówienia. W razie sporu możesz pokazać, jakie warunki obowiązywały w dniu zawierania umowy.
Sam jednorazowy pop‑up albo „checkbox: akceptuję regulamin” bez łatwo dostępnego linku do treści nie realizuje poprawnie wymogu utrwalenia informacji.
Bibliografia
Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Sejm Rzeczypospolitej Polskiej (2002) – Podstawowe obowiązki usługodawcy online, definicja usługi elektronicznej
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Parlament Europejski i Rada UE (2016) – Ogólne rozporządzenie o ochronie danych, obowiązki informacyjne administratora
Wytyczne dotyczące przejrzystości na mocy rozporządzenia 2016/679. Europejska Rada Ochrony Danych (2018) – Jak formułować klauzule informacyjne i polityki prywatności
Decyzje i stanowiska w sprawie obowiązków informacyjnych w serwisach internetowych. Prezes Urzędu Ochrony Danych Osobowych – Praktyka organu w zakresie RODO na stronach i w aplikacjach
Rekomendacje dla przedsiębiorców świadczących usługi drogą elektroniczną. Urząd Ochrony Konkurencji i Konsumentów – Wzorcowe podejście do regulaminów, informacji dla konsumentów online
Ochrona danych osobowych w działalności gospodarczej. Urząd Ochrony Danych Osobowych – Poradnik dla firm łączący obowiązki RODO z praktyką biznesową
E‑commerce. Prawo internetowe dla praktyków. Wolters Kluwer Polska – Komentarz do UŚUDE, RODO i ustawy o prawach konsumenta w serwisach online
