Każdy polski sklep internetowy przetwarza dane osobowe - to oczywistość. Mniej oczywiste jest to, że większość sklepów robi przy okazji te same powtarzające się błędy. Poniżej siedem, które najczęściej znajdujemy podczas audytu, plus konkretny sposób naprawy każdego.
1. Brak klauzuli informacyjnej przy formularzu zamówienia
Sygnał: w koszyku albo na stronie "podsumowanie" klient widzi tylko checkbox "Akceptuję regulamin". Klauzula z art. 13 RODO (kto jest administratorem, w jakim celu, na jakiej podstawie, jak długo, jakie prawa) jest dopiero w polityce prywatności trzy kliknięcia dalej.
Naprawa: krótka klauzula wprost pod formularzem (3-4 zdania) z linkiem "Pełna informacja" do polityki prywatności. RODO nie wymaga długiego tekstu - wymaga łatwo dostępnego.
2. Pre-zaznaczony checkbox zgody marketingowej
Sygnał: "Chcę otrzymywać newsletter z ofertami" jest domyślnie zaznaczone, klient musi aktywnie odznaczyć.
Naprawa: każdy checkbox zgody marketingowej musi być pusty na starcie. Wyrok TSUE w sprawie Planet49 (C-673/17) jest jednoznaczny i UODO konsekwentnie egzekwuje to w karach administracyjnych.
3. Niezgodny baner cookies
Sygnał: baner pokazuje tylko "Akceptuj" (bez "Odrzuć"), albo non-essential cookies (Google Analytics, Facebook Pixel) ładują się przed decyzją użytkownika.
Naprawa: baner musi mieć trzy poziomy działania - akceptacja wszystkich, akceptacja tylko niezbędnych, oraz szczegółowe ustawienia. Skrypty trackerów ładujemy wyłącznie po opt-in. Kluczowa zasada: zgoda przed ustawieniem cookies, nie po.
4. Brak umów powierzenia z dostawcami systemów
Sygnał: sklep korzysta z Shopify/WooCommerce, Mailchimp, GoPay, kuriera InPost, biura księgowego - ale formalne umowy powierzenia art. 28 RODO podpisał tylko z biurem.
Naprawa: lista wszystkich dostawców, którym przekazujesz dane osobowe (nawet "tylko" maila klienta). Dla każdego: standardowy wzór umowy powierzenia lub akceptacja ich Data Processing Addendum. Większość globalnych SaaS-ów ma gotowy DPA do podpisu z poziomu panelu - wystarczy go zaakceptować i zachować potwierdzenie.
5. Dane klienta w pełnych logach
Sygnał: logi serwera zapisują pełną treść żądań HTTP wraz z numerami zamówień, adresami e-mail i czasem fragmentami danych płatności.
Naprawa: sanityzacja logów po stronie aplikacji przed zapisem. PII (Personally Identifiable Information) - takie jak email, adres, numer karty - nigdy nie powinno trafić do logów aplikacji. Bonus: szybsza analiza incydentów i mniejszy koszt przechowywania.
6. Marketing po cofnięciu zgody
Sygnał: klient kliknął "Wypisz mnie z newslettera", ale 3 tygodnie później dostał maila z promocją. Dlaczego? Bo cofnięcie zgody jest w jednym systemie, a kolejna kampania idzie z innego (drugi mailing-tool, zewnętrzna agencja).
Naprawa: jeden centralny rejestr zgód marketingowych (consent management platform) lub minimum - automatyczna synchronizacja stanu zgody między systemami. Bez tego ryzykujesz skargę i karę nawet od jednego klienta.
7. Brak procedury reagowania na incydent
Sygnał: sklep miał włamanie albo wyciek (np. zostawiony backup w publicznym S3), ale zgłoszenie do UODO poszło z opóźnieniem albo wcale - bo nikt nie wiedział, że obowiązuje 72-godzinny termin z art. 33 RODO.
Naprawa: krótka, jednostronicowa procedura: kto zgłasza, do kogo dzwoni, jakie informacje musi zebrać, jak wygląda formularz do UODO. Test "na sucho" raz na pół roku - sprawdzenie, czy zespół potrafi ją odtworzyć.
Podsumowanie
Te siedem błędów występuje w 8 na 10 audytowanych przez nas sklepów - i wszystkie da się naprawić w 2-4 tygodnie bez zatrzymywania sprzedaży. Najczęściej brakuje nie wiedzy, tylko czasu na uporządkowanie tematu.
Jeśli któryś z tych sygnałów brzmi znajomo, zacznij od bezpłatnej rozmowy - w 30 minut powiemy, czy potrzebujesz pełnego audytu RODO, czy wystarczy załatać konkretny obszar.