RODO w marketingu internetowym: jak legalnie pozyskiwać i przetwarzać dane potencjalnych klientów

RODO w marketingu internetowym – krótkie uporządkowanie pojęć

Co to są dane osobowe w środowisku online

W marketingu internetowym dane osobowe to nie tylko imię i nazwisko. Bardzo często marketerzy operują danymi, które „na pierwszy rzut oka” wyglądają jak czysto techniczne, a w praktyce podpadają pod RODO. Definicja jest prosta: dane osobowe to każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W sieci takich informacji jest zaskakująco dużo.

Typowe przykłady danych osobowych w marketingu online:

• adres e-mail, zwłaszcza w formatach typu imię.nazwisko@firma.pl lub użytkownik+id@domena.pl,
• adres IP użytkownika, jeśli w połączeniu z innymi danymi pozwala na identyfikację,
• identyfikatory cookies i identyfikatory pikseli reklamowych (np. identyfikator użytkownika Google Analytics, Meta Pixel),
• dane o zachowaniach użytkownika, jeśli są powiązane z powyższymi identyfikatorami,
• dane kontaktowe z formularzy: imię, telefon, stanowisko, nazwa firmy – jeśli pozwalają na wskazanie konkretnej osoby.

Jeśli narzędzie analityczne czy system reklamowy pozwala „dojść” do konkretnego użytkownika, choćby pośrednio, to dla bezpieczeństwa warto przyjąć, że przetwarza dane osobowe. W praktyce oznacza to konieczność ustalenia podstawy prawnej, dodania odpowiedniej klauzuli informacyjnej oraz skonfigurowania ustawień prywatności. Dotyczy to zarówno prostych formularzy kontaktowych, jak i rozbudowanych systemów marketing automation.

Granica między danymi osobowymi a danymi zupełnie anonimowymi jest kluczowa przy korzystaniu z narzędzi statystycznych. Jeśli dane są zanonimizowane tak, że nie ma technicznej możliwości identyfikacji osoby (nawet po połączeniu z innymi zbiorami), wtedy RODO nie ma zastosowania. Jeśli jednak istnieje realna możliwość „odwrócenia” procesu, to jest to jedynie pseudonimizacja, a dane nadal podlegają przepisom.

Zanonimizowane a pseudonimizowane dane w analityce

W praktyce marketingowej często pada zdanie: „Nie, my tu nie mamy danych osobowych, tylko analitykę”. To bywa życzeniowe myślenie. Różnica między anonimizacją a pseudonimizacją ma ogromne konsekwencje:

• anonimizacja – dane są przetworzone tak, że nie da się już wskazać konkretnej osoby; proces jest nieodwracalny,
• pseudonimizacja – dane są nadal przypisane do osoby, ale pod zmienioną etykietą (np. identyfikator użytkownika zamiast imienia); teoretycznie można powiązać je z konkretną osobą.

W większości typowych wdrożeń narzędzi analitycznych (Google Analytics, narzędzia heatmap, A/B testy) mamy do czynienia z pseudonimizacją, nie pełną anonimizacją. Systemy przechowują identyfikator użytkownika, czas sesji, urządzenie, lokalizację przybliżoną, historię wejść. Nawet jeśli nie widzimy imienia i nazwiska, dostawca narzędzia lub administrator strony potencjalnie może identyfikować użytkownika w połączeniu z innymi danymi.

To oznacza, że:

• należy określić podstawę prawną przetwarzania tych danych (najczęściej zgoda poprzez baner cookies lub uzasadniony interes przy odpowiedniej konfiguracji),
• trzeba poinformować użytkownika o wykorzystywanych narzędziach analitycznych, okresach przechowywania i odbiorcach danych,
• konieczne jest odpowiednie skonfigurowanie narzędzi (np. skracanie adresu IP, ograniczenie czasu retencji danych, wyłączenie funkcji reklamowych, jeśli nie ma zgody).

Zanonimizowane dane w praktyce marketingowej występują rzadziej – np. w formie zagregowanych raportów statystycznych, gdzie pojedynczy rekord użytkownika nie istnieje, a mamy wyłącznie dane zbiorcze (typu: „30% użytkowników to nowi odwiedzający”). Taki poziom przetworzenia zazwyczaj jest już poza zakresem RODO, o ile nie ma możliwości odtworzenia pierwotnych danych użytkownika.

Administrator, procesor, współadministracja – kto jest kim

Administrator danych (ADO) to podmiot, który decyduje o celach i sposobach przetwarzania danych. W marketingu internetowym zazwyczaj jest nim właściciel biznesu: firma, organizacja, czasem osoba prowadząca działalność gospodarczą. Administrator decyduje m.in. o tym:

• czy dane będą wykorzystywane do newslettera, kampanii reklamowych, profilowania,
• jak długo będą przechowywane dane kontaktowe pozyskane z formularzy,
• komu dane zostaną udostępnione lub powierzone (np. dostawcy e-mail marketingu).

Podmiot przetwarzający (procesor) to podmiot, który przetwarza dane w imieniu administratora i zgodnie z jego instrukcjami. Typowe przykłady w marketingu:

• dostawcy systemów mailingowych i marketing automation,
• agencje marketingowe, które mają dostęp do baz mailingowych klienta,
• dostawcy systemów CRM, chatbotów i narzędzi do obsługi klienta.

Z procesorem trzeba mieć zawartą umowę powierzenia przetwarzania danych, która określa m.in. zakres, cel, czas przetwarzania oraz środki bezpieczeństwa. Bez tego w razie incydentu obie strony mają poważny problem, nie tylko wizerunkowy.

Współadministracja pojawia się, gdy dwa lub więcej podmiotów wspólnie decyduje o celach i sposobach przetwarzania danych. Przykładowo:

• wspólna kampania leadowa dwóch marek, gdzie obie korzystają z tych samych danych,
• kampanie z wykorzystaniem narzędzi typu „Custom Audiences”, gdzie platforma reklamowa i reklamodawca współdecydują o sposobie emisji reklamy wobec konkretnej grupy odbiorców,
• kompleksowe wdrożenia z partnerami, którzy aktywnie kształtują cele kampanii na własną rzecz.

W takich przypadkach potrzebne jest porozumienie współadministratorów, a użytkownik powinien wiedzieć, kto ma jaki zakres odpowiedzialności. Dla marketera oznacza to konieczność koordynacji komunikatów w klauzulach informacyjnych oraz spójne procedury obsługi praw osób, których dane dotyczą (dostęp, sprzeciw, usunięcie).

Podstawy prawne przetwarzania danych w marketingu

Zgoda, prawnie uzasadniony interes i inne fundamenty

RODO nie zabrania marketingu, ale wymaga, aby każde przetwarzanie danych osobowych opierało się na konkretnej podstawie prawnej. W marketingu internetowym najczęściej spotyka się:

• zgodę – art. 6 ust. 1 lit. a RODO,
• prawnie uzasadniony interes administratora – art. 6 ust. 1 lit. f RODO.

Zgoda jest wygodna psychologicznie („mamy potwierdzenie”), ale prawnie bywa wymagająca – musi być dobrowolna, konkretna, świadoma i jednoznaczna. Użytkownik musi mieć realny wybór, a odmowa nie może blokować usługi, która nie jest ściśle związana z działaniami marketingowymi.

Prawnie uzasadniony interes bywa dobrym rozwiązaniem, gdy przetwarzanie jest stosunkowo mało inwazyjne, oczekiwane przez osobę i łatwo można zrealizować prawo sprzeciwu. Klasyczne przykłady: marketing do obecnych klientów, analityka podstawowa strony czy niektóre formy retargetingu przy odpowiednich zabezpieczeniach.

Wybór podstawy prawnej nie może być dowolny ani „na wyczucie”. Dobrą praktyką jest spisanie, dla każdego procesu marketingowego, odpowiedzi na trzy pytania:

• jaki jest cel przetwarzania danych,
• jakie dane są faktycznie potrzebne,
• na jakiej podstawie prawnej ten cel można oprzeć, biorąc pod uwagę obowiązujące przepisy, w tym prawo telekomunikacyjne.

Kiedy zgoda, a kiedy uzasadniony interes – przykłady z praktyki

Teoretycznie można by oprzeć większość działań na zgodzie. W praktyce byłoby to nieefektywne i często nielogiczne. Kilka typowych scenariuszy:

Przy wyborze podstawy W praktyce oznacza to, że samo RODO to nie wszystko. W Polsce funkcjonują również:

• ustawa – Prawo telekomunikacyjne,
• ustawa o świadczeniu usług drogą elektroniczną.

One z kolei odnoszą się m.in. do tzw. „niezamówionych informacji handlowych” (spamu) oraz do wykorzystywania urządzeń końcowych użytkownika. W efekcie może się okazać, że pod RODO marketing e-mail można by oprzeć na uzasadnionym interesie, ale przepisy telekomunikacyjne wymagają zgody. To dlatego w praktyce przy kampaniach mailingowych zbiera się zgodę na otrzymywanie informacji handlowych drogą elektroniczną, a nie tylko „zgodę na przetwarzanie danych osobowych”.

Prawa użytkownika a procesy marketingowe

Osoba, której dane dotyczą, ma kilka kluczowych praw: prawo dostępu do danych, sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz prawo do wycofania zgody w dowolnym momencie. W teorii brzmi to prawniczo, w praktyce przekłada się na bardzo konkretne procesy.

Typowe sytuacje w marketingu internetowym:

• użytkownik wypisuje się z newslettera – realizowane jest prawo do wycofania zgody; system mailingowy powinien automatycznie oznaczyć brak zgody marketingowej i zablokować kolejne wysyłki,
• klient składa sprzeciw wobec profilowania pod kątem reklam – dane nadal mogą być przetwarzane np. w celu realizacji umowy, ale nie powinny być używane do działań marketingu behawioralnego,
• lead prosi o usunięcie danych – administrator musi zidentyfikować wszystkie miejsca, gdzie dane są przechowywane (system mailingowy, CRM, arkusze, backupy) i w granicach przepisów usunąć je lub ograniczyć przetwarzanie.

Dobrą praktyką jest „przełożenie” praw RODO na prosty workflow, np. w formie krótkiej checklisty dla działu marketingu i sprzedaży:

• jak obsługujemy rezygnację z newslettera,
• gdzie odnotowujemy sprzeciw wobec marketingu telefonicznego,
• jak szukamy danych użytkownika w systemach, gdy prosi o usunięcie.

Taki schemat pozwala uniknąć sytuacji, w której osoba wypisana z newslettera nadal widzi reklamy oparte na tej samej bazie danych, bo „narzędzie reklamowe nie zostało odłączone”.

Legalne pozyskiwanie danych w kanałach online

Formularze kontaktowe, zapisy na newsletter i lead magnety

Formularze to główne źródło danych w marketingu internetowym. To, jak są zaprojektowane, decyduje o legalności całego procesu. Pierwsza zasada: minimalizacja danych. Zbieraj tylko to, co jest faktycznie potrzebne do osiągnięcia celu. Jeśli wysyłasz newsletter z poradami marketingowymi, zazwyczaj wystarczy adres e-mail i ewentualnie imię (dla personalizacji). Numer telefonu czy stanowisko to już dane dodatkowe – wymagają dobrej argumentacji, po co są potrzebne.

W praktyce, gdy chcesz budować zarówno newsletter, jak i bazę do kontaktu telefonicznego, warto rozdzielić pola obowiązkowe i dobrowolne. Na przykład:

• pole „E-mail” – obowiązkowe,
• pole „Imię” – nieobowiązkowe, ale przydatne dla personalizacji,
• pole „Telefon” – nieobowiązkowe z jasnym komunikatem, że służy np. do rozmowy o konkretnej ofercie lub konsultacji.

Double opt‑in, mikrocopy i transparentność w formularzu

Przy zapisach na newsletter czy pobieraniu lead magnetu dobrym standardem jest double opt‑in. Użytkownik podaje e‑mail, a następnie potwierdza zapis, klikając link w wiadomości. Z perspektywy RODO zyskujesz mocny dowód, że:

• adres faktycznie należy do tej osoby,
• ktoś nie wpisał go „na złość” sąsiadowi,
• zgoda była wynikiem świadomej akcji (kliknięcie linku).

Warto jednocześnie zadbać o mikrocopy przy formularzu – krótkie komunikaty, które w prostym języku tłumaczą, co się stanie po kliknięciu. Zamiast zdania „Wyrażam zgodę na przetwarzanie danych w celu marketingowym” napisanego drobnym drukiem pod formularzem lepiej sprawdzą się:

• nagłówek: „Na co się zapisujesz?”,
• 2–3 punkty: „otrzymasz 1–2 maile w tygodniu”, „tylko tematy związane z X”, „wypiszesz się jednym kliknięciem”.

Administrator i tak musi zrealizować obowiązki informacyjne z RODO, ale takie „ludzkie” dopowiedzenie zwiększa zaufanie i ogranicza reklamacje. Z praktyki: mniej osób pisze później z pretensją „skąd macie mój adres?”, bo dokładnie widziały, co zaznaczają.

RODO w marketingu internetowym to nie tylko formularze i zgody, ale też poprawne rozpisanie ról. Trzy podstawowe pojęcia to: administrator danych, podmiot przetwarzający (procesor) oraz współadministrator. W odpowiednim określeniu ról często pomaga lektura serwisów specjalistycznych, takich jak Przewodnik po RODO, gdzie temat jest rozpisany także pod kątem biznesu i marketingu.

Lead magnety a „przymus” marketingowy

Popularny model: „zostaw maila – pobierz e‑booka”. Legalny, o ile zachowa się pewien balans. Zasadnicze pytanie brzmi: czy zgoda na marketing jest warunkiem otrzymania materiału, czy osobną decyzją?

Bezpieczniejsze są warianty, w których:

• zgoda marketingowa jest rozdzielona od zgody niezbędnej do realizacji świadczenia (wysłanie e‑booka),
• odmowa zgody marketingowej nie blokuje dostępu do samego materiału lub jest to wyraźnie i uczciwie zakomunikowane (np. w programach stricte lojalnościowych).

Ryzykowny scenariusz wygląda tak: użytkownik musi zaznaczyć trzy zgody, z czego jedna to „zgoda na wszystkie możliwe działania marketingowe obecne i przyszłe”, żeby w ogóle pobrać plik. W przypadku kontroli trudno wtedy mówić o dobrowolności. Jeżeli darmowy materiał jest w praktyce „przynętą” na szeroki marketing, trzeba zadbać o to, żeby zakres zgody był jasno opisany, a użytkownik wiedział, w co wchodzi.

Social login, chatboty i inne sprytne wejścia do lejka

Logowanie przez Facebooka, Google czy LinkedIn bywa kuszące: mniej wpisywania, wyższa konwersja. Z perspektywy RODO trzeba jednak dokładnie określić:

• jakie dane pobierasz z danej platformy (czasem wystarczy e‑mail, a nie pełen profil),
• czy użytkownik ma jasną informację, że oprócz logowania może otrzymywać komunikację marketingową,
• kto jest administratorem których danych – Ty, platforma, czy jesteście współadministratorami.

Podobnie z chatbotami na stronie lub w komunikatorach. Jeżeli bot zbiera dane kontaktowe, wypada potraktować go jak „formularz w innej formie”:

• krótka informacja, kto jest administratorem,
• czemu służy zebrany e‑mail/telefon,
• jak łatwo później się wypisać.

Jeżeli bot prowadzi kampanię leadową w Messengerze czy WhatsAppie, dochodzą regulaminy samej platformy oraz ewentualna współadministracja z dostawcą narzędzia do automatyzacji. Tu z kolei kluczowa jest umowa powierzenia i konfiguracja narzędzia, aby nie robiło nic ponad to, co deklarujesz użytkownikowi.

Import baz, listy z konkursów i dane „odziedziczone”

Dużym problemem w firmach jest „spadek po przeszłości”: stare pliki Excel z kontaktami, listy z konkursów sprzed kilku lat, bazy przekazywane przy fuzjach. Z prawnego punktu widzenia takie dane można wykorzystywać tylko wtedy, gdy:

• pierwotny cel i podstawa przetwarzania obejmują aktualne działania,
• osoby zostały poinformowane o zmianie administratora (jeśli nastąpiła),
• jesteś w stanie udokumentować, skąd pochodzą dane i jakie zgody zebrano.

Jeśli ktoś zapisał się kiedyś do konkursu „wygraj tablet”, a regulamin nie przewidywał stałego newslettera, wykorzystywanie tych adresów do cyklicznych kampanii będzie co najmniej dyskusyjne. W takich sytuacjach często rozsądniej jest przygotować ponowną kampanię zgód (re‑permission), jasno wyjaśnić sytuację i dać ludziom wybór, zamiast udawać, że nic się nie zmieniło.

Dobrym uzupełnieniem będzie też materiał: Jak audytować podstawę prawną przetwarzania danych w sprzedaży i obsłudze klienta — warto go przejrzeć w kontekście powyższych wskazówek.

Zgody marketingowe – jak je zbierać, opisywać i udowadniać

Jak powinna wyglądać poprawna zgoda marketingowa

Dobra zgoda marketingowa ma kilka cech:

• konkretna – odnosi się do określonych działań (np. „otrzymywanie newslettera o produktach X mailowo”),
• transparentna – informuje, kto będzie wysyłał komunikację (nazwa firmy, a nie tylko „my”),
• rozłączna – osobno dla e‑maila, telefonu, SMS‑a, remarketingu itp., jeśli to różne kanały i różne przepisy,
• dobrowolna – brak zgody nie ogranicza korzystania z usługi, jeżeli marketing nie jest jej istotą,
• odwoływalna – jasno wskazujesz, jak można ją wycofać.

W praktyce oznacza to, że zamiast jednego ogólnego checkboxa „Zgadzam się na przetwarzanie danych w celach marketingowych i przekazywanie ich partnerom” lepsze są np. dwie, trzy osobne zgody, opisane zrozumiałym językiem. Tak, konwersja formularza może się lekko obniżyć, ale poziom ryzyka prawnego spada dramatycznie.

Rozdzielenie zgód: RODO, telekomunikacja, usługi elektroniczne

W polskiej praktyce dobrze sprawdza się podział zgód według przepisów, choć w samym tekście zgody nie trzeba cytować ustaw. Typowy zestaw:

• zgoda na przetwarzanie danych osobowych w celach marketingowych (gdy to faktycznie potrzebne jako podstawa z art. 6 ust. 1 lit. a RODO),
• zgoda na otrzymywanie informacji handlowych drogą elektroniczną (ustawa o świadczeniu usług drogą elektroniczną),
• zgoda na używanie telekomunikacyjnych urządzeń końcowych (telefon, e‑mail) w celach marketingu bezpośredniego (Prawo telekomunikacyjne).

W praktyce często scala się dwie ostatnie w jedno zrozumiałe zdanie, np.: „Wyrażam zgodę na otrzymywanie od [Nazwa Firmy] informacji handlowych drogą e‑mail oraz na wykorzystanie mojego telefonu do kontaktu w celach marketingowych”. Kluczem jest jednak rozróżnienie, czy zgoda dotyczy e‑maila, czy telefonu – z punktu widzenia przepisów to czasem dwa różne światy.

Jak udokumentować zgody – nie tylko „checkbox zaznaczony”

RODO wymaga, aby administrator był w stanie wykazać, że zgoda została udzielona. Sam fakt, że w systemie przy kontakcie „świeci się” pole „zgoda: TAK”, nie wystarczy. Dobrą praktyką jest zapisywanie co najmniej:

• daty i godziny udzielenia zgody,
• źródła (konkretny formularz / landing page / event),
• treści zgody obowiązującej w tym momencie,
• adresu IP lub innego identyfikatora technicznego (o ile to uzasadnione),
• daty wycofania zgody (jeśli nastąpiło) wraz z kanałem (link w mailu, telefon, wiadomość).

Najprościej robi się to przez integrację narzędzia mailingowego lub CRM z formularzami. Przy każdym kontakcie możesz mieć np. historię działań: „12.02.2025 – zapis z landing page X, double opt‑in potwierdzony”, „30.03.2025 – rezygnacja z newslettera przez link w stopce”. W razie zapytania organu nadzorczego nie trzeba w panice kopać w backupach.

Wycofanie zgody – mechanika i komunikacja

Prawo do wycofania zgody ma być tak proste, jak jej udzielenie. Jeżeli użytkownik zapisał się jednym kliknięciem i podaniem e‑maila, to nie powinien składać pisemnego wniosku z podpisem kwalifikowanym tylko po to, by przestać otrzymywać newsletter.

W praktyce minimum to:

• link „wypisz się” w każdym mailu marketingowym,
• prostą ścieżkę rezygnacji przez kontakt z obsługą (bez zmuszania do logowania się do konta, którego nikt nie używa),
• aktualizację zgód we wszystkich powiązanych systemach (mailing, CRM, narzędzia reklamowe, jeśli korzystają z tej samej bazy).

Po wycofaniu zgody można – w granicach rozsądku – przechować informację o samym fakcie sprzeciwu/wypisania (np. w tzw. czarnej liście mailingowej), żeby przypadkiem nie dodać tej osoby ponownie przez import starego pliku. To przetwarzanie zwykle opiera się już nie na zgodzie, lecz na uzasadnionym interesie – ochronie przed naruszeniem przepisów o spamie.

Klauzula informacyjna w praktyce marketera

Co musi zawierać klauzula informacyjna

Klauzula informacyjna to obowiązkowy „dodatek” do każdego procesu zbierania danych. Z perspektywy działu marketingu nie ma sensu tworzyć dziesięciu zupełnie różnych klauzul, ale też jedna uniwersalna ściana tekstu na wszystko to zbędna męka dla czytelnika.

Minimalny zestaw informacji to:

• dane administratora (pełna nazwa, dane kontaktowe, ewentualnie inspektor ochrony danych),
• cele przetwarzania (oddzielnie: obsługa zapytania, wysyłka newslettera, profilowanie pod reklamy),
• podstawy prawne (np. zgoda, uzasadniony interes, wykonanie umowy),
• informacja o odbiorcach danych (firmy hostingowe, narzędzia mailingowe, platformy reklamowe, księgowość),
• okres przechowywania danych lub kryteria jego ustalania,
• prawa osoby (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, wycofanie zgody),
• informacja o zautomatyzowanym podejmowaniu decyzji i profilowaniu, jeżeli ma miejsce,
• informacja o zamiarze przekazywania danych poza EOG (np. do USA), jeśli do tego dochodzi.

Brzmi sucho, ale da się to ułożyć w czytelną formę. Zamiast jednego, długiego akapitu lepiej podzielić tekst na krótkie sekcje z pogrubionymi nagłówkami („Kto jest administratorem?”, „Po co nam Twoje dane?”, „Jak długo je przechowujemy?”). Nawet prawnik czyta to chętniej, a co dopiero zwykły użytkownik.

Jedna klauzula czy kilka? Przykład z lejka marketingowo‑sprzedażowego

W typowym lejku internetowym masz kilka punktów styku: formularz leadowy, zapis na newsletter, rejestracja konta, zakup, obsługa posprzedażowa. Można to rozwiązać na dwa sposoby:

• klauzule „punktowe” – każda przypisana do konkretnego formularza, z wyszczególnieniem celów typowych dla tego miejsca,
• klauzula główna (np. w polityce prywatności) + skrócona wersja obok formularza, która linkuje do pełnego tekstu.

Drugi sposób jest wygodniejszy organizacyjnie, ale skrót przy formularzu musi rzeczywiście coś mówić, a nie tylko odsyłać do 15‑stronicowego PDF‑a. Przykładowo przy formularzu „umów konsultację” można dodać:

• 1–2 zdania: „Administratorem Twoich danych jest [Nazwa]. Wykorzystamy je do przygotowania i przeprowadzenia konsultacji oraz jeśli się zgodzisz – do kontaktu marketingowego.”
• link „Szczegóły o przetwarzaniu danych znajdziesz tutaj >”.

W polityce prywatności rozwijasz szczegóły, w tym informacje o narzędziach typu CRM, kalendarz online, system do videokonferencji itp. Kluczowe, by te dwa poziomy były spójne i aktualne – nic tak nie irytuje w kontrolach, jak klauzula, która opisuje narzędzie, którego firma nie używa od trzech lat.

Klauzula przy profilowaniu i automatycznym dopasowaniu treści

Jeżeli stosujesz profilowanie (np. segmentacja bazy pod kątem zainteresowań, scoring leadów, dynamiczne treści w newsletterze), użytkownik powinien o tym jasno wiedzieć. Profilowanie nie jest zakazane, ale wymaga przejrzystości.

W klauzuli informacyjnej warto wtedy doprecyzować:

• jakie dane wpływają na profil (np. historia zakupów, kliknięcia w newsletterach, odwiedzane podstrony),
• jaki jest cel profilowania (np. dopasowanie ofert, unikanie wysyłania reklam produktów już kupionych),
• czy profilowanie wywołuje skutki prawne lub w podobny sposób istotnie na użytkownika wpływa (w typowym e‑commerce – raczej nie).

Dodanie wprost zdania w stylu: „Na podstawie Twojej aktywności możemy dopasowywać treści i oferty do Twoich zainteresowań” zwykle wystarczy, o ile za tym idą realne prawa (np. możliwość wniesienia sprzeciwu wobec profilowania marketingowego).

Jak „podpiąć” klauzulę informacyjną w różnych kanałach marketingowych

Teoretycznie klauzula jest jedna, ale kanałów, w których zbierasz dane, potrafi być kilkanaście. Im bardziej rozproszony marketing, tym łatwiej o bałagan: zapomniany formularz na starym landing page’u albo chatbot, który od roku działa na wersji „beta” polityki prywatności.

Przydatne jest proste ćwiczenie – lista wszystkich miejsc, gdzie użytkownik może zostawić dane:

• formularze kontaktowe i leadowe na WWW (różne kampanie, różne domeny),
• pop‑upy i slide‑iny z zapisem na newsletter, ebooka, demo,
• chatboty i live chaty,
• zapisy na webinary, wydarzenia online/offline,
• formularze w social media (np. lead ads na Facebooku, LinkedInie),
• ankiety, quizy, kalkulatory online,
• rejestracja konta i proces zakupowy.

Do każdego z tych punktów trzeba „dokleić” informację, kto i po co dane przetwarza oraz gdzie znajduje się pełna polityka. Najprościej używać powtarzalnych, krótkich formuł:

• stała, skrócona treść obok pola na e‑mail: 1–2 zdania o administratorze, celu i link do pełnej klauzuli,
• identyczny link do polityki prywatności w stopce strony, pop‑upie i formularzu,
• w lead ads – zwięzła, dedykowana informacja o administratorze i celu (Facebook daje ograniczoną liczbę znaków, więc trzeba się zmieścić „po ludzku”).

Najgorszy scenariusz z punktu widzenia nadzoru: różne formularze opisują inne cele i inne okresy przechowywania danych, a przy imporcie leadów do jednego CRM wszystko miesza się w jedną masę. Dlatego tak ważne jest, by marketing współpracował z kimś, kto ogarnia spójność zapisów (prawnik, IOD, sensownie ogarnięty PM – byle nie „kto ma chwilę, ten dopisze klauzulę”).

Aktualizacja klauzuli przy zmianie narzędzi i procesów

Marketing żyje zmianą: nowy CRM, inna platforma mailingowa, dodatkowe narzędzie do automatyzacji, pixel nowej sieci reklamowej. Klauzula informacyjna nie jest jednak folderem „draft” – jak się ją raz opublikuje, to wypada ją później aktualizować.

Każda większa zmiana w przetwarzaniu danych powinna wywołać prostą sekwencję pytań:

• czy pojawia się nowy podmiot przetwarzający (dostawca narzędzia)?
• czy dane będą przekazywane poza EOG (np. serwery w USA)?
• czy zmienia się cel przetwarzania albo jego zakres (np. dokładniejsze profilowanie)?
• czy zmienia się okres przechowywania (np. wprowadzenie automatycznego „wygaszania” leadów)?

Jeżeli odpowiedź na którekolwiek pytanie brzmi „tak”, polityka prywatności i klauzule przy formularzach wymagają rewizji. Nie trzeba za każdym razem wysyłać dramatycznej kampanii „Zmieniamy politykę prywatności, kliknij szybciej, niż Unia Europejska się zorientuje”, ale przy istotnych zmianach wypada poinformować osoby w bazie – choćby w formie zwykłego maila z linkiem do nowej treści i krótkim wyjaśnieniem, co się zmieniło.

Praktyczny trik organizacyjny: wprowadź zwyczaj oznaczania polityki prywatności datą wersji („Polityka prywatności – wersja z dnia 15.03.2026 r.”). W razie sporu można potem powiązać konkretną wersję z konkretną datą udzielenia zgody.

Cookies, piksele, narzędzia analityczne i reklama behawioralna

Cookies a RODO i prawo telekomunikacyjne – kto tu rządzi?

Pliki cookies to klasyczny przykład, gdzie spotykają się różne przepisy: RODO, Prawo telekomunikacyjne (lub jego następca) i regulacje dotyczące usług elektronicznych. Z punktu widzenia marketera najistotniejsze są dwa pytania:

• czy dany cookie/pixel wiąże się z przetwarzaniem danych osobowych (np. identyfikator użytkownika, adres IP, ID urządzenia)?
• czy jego użycie wymaga zgody (czyli czy jest „niezbędny” do działania serwisu, czy raczej „marketingowo‑wygodny”)?

Technicznie większość narzędzi analitycznych i reklamowych prowadzi do przetwarzania danych osobowych, bo umożliwia identyfikację lub profilowanie konkretnej osoby czy urządzenia – choćby po identyfikatorze w ciasteczku. W takich przypadkach RODO wchodzi do gry pełną parą: musisz mieć podstawę prawną (najczęściej zgodę) i dopełnić obowiązku informacyjnego.

Jednocześnie prawo telekomunikacyjne wymaga uzyskania zgody na przechowywanie informacji w urządzeniu użytkownika (cookies) i uzyskiwanie do nich dostępu – z nielicznymi wyjątkami dla plików „niezbędnych”. Stąd słynne banery cookie, które wielu osobom śnią się po nocach.

Rodzaje cookies z perspektywy marketingu

Nie wszystkie ciasteczka wrzuca się do jednego worka. Rozsądny podział, który pomaga później ustawić baner i politykę cookies:

• cookies techniczne (niezbędne) – bez nich serwis się rozpada: sesja użytkownika, koszyk w sklepie, ustawienia języka. Co do zasady nie wymagają zgody, o ile nie są używane do dodatkowych celów marketingowych;
• cookies analityczne/statystyczne – np. Google Analytics, Matomo, Hotjar w trybie analitycznym. Dziś wiele organów nadzorczych wymaga na nie zgody, zwłaszcza jeśli dane mogą trafiać do podmiotów trzecich;
• cookies marketingowe/reklamowe – piksele reklamowe (Meta, Google Ads, LinkedIn, TikTok itp.), sieci remarketingowe, identyfikatory do reklamy behawioralnej. Bez zgody użytkownika ich użycie jest ryzykowne;
• cookies funkcjonalne – np. zapamiętywanie preferencji, personalizacja treści niebędąca czystą reklamą; często zalicza się je do kategorii, na które też wypada zbierać zgodę, jeśli wykraczają poza „czystą technikę”.

Ten podział dobrze później przenieść wprost do banera cookie i polityki – użytkownik ma wtedy realny wybór, a nie dylemat „zaakceptuj wszystko albo idź do konkurencji”.

Baner cookie, który da się obronić przed użytkownikiem i urzędem

Baner cookie to pierwsza linia frontu między działem marketingu a RODO. Z jednej strony chcesz, żeby użytkownik coś kliknął (najlepiej „zaakceptuj wszystko”), z drugiej – zgoda musi być dobrowolna, świadoma, konkretna i udokumentowana. Kilka zasad, które pomagają pogodzić te światy:

• równoważność opcji – przycisk „Akceptuję wszystkie” nie może być jedyną wyróżnioną opcją. Obok powinien znaleźć się co najmniej tak samo widoczny przycisk „Odrzuć” lub „Ustawienia”;
• krótka, zrozumiała treść – jedno zdanie opisujące, po co są cookies, plus link do polityki cookies z detalami;
• podział na kategorie – w szczegółowych ustawieniach użytkownik powinien móc zaznaczyć, na co się zgadza (analityczne, marketingowe itd.);
• pamiętanie wyboru – jeżeli ktoś odmówi cookies marketingowych, to nie wyświetlasz mu banera co 10 sekund, aż zmieni zdanie;
• łatwa zmiana decyzji – np. ikona „ustawienia prywatności” w rogu strony, która pozwala wrócić do panelu zgód.

W praktyce oznacza to zwykle wdrożenie narzędzia klasy Consent Management Platform (CMP), które zapisuje zgody, przechowuje logi i komunikuje się z tag managerem. Bez tego szybko lądujesz w konfiguracyjnym chaosie: baner niby jest, ale piksel Facebooka i tak odpala się zawsze.

Konfiguracja tag managera i pikseli pod kątem zgód

Google Tag Manager i podobne rozwiązania są wygodne, ale w połączeniu z nieprzemyślanym podejściem do zgód robią z serwisu małą dżunglę skryptów. Schemat działania powinien być prosty:

1. przed wyrażeniem zgody ładują się tylko skrypty „niezbędne” (np. podstawowe cookies sesyjne, ewentualnie analityka w trybie mocno zanonimizowanym, jeśli masz na to solidną podstawę),
2. po udzieleniu zgody CMP wysyła „sygnał” do tag managera (np. dataLayer.push),
3. tag manager odpala dopiero wtedy odpowiednie tagi: analityczne, marketingowe itp., w zależności od wyboru użytkownika.

Typowy błąd: wszystkie skrypty są podpięte jako „All pages – DOM ready”, a CMP służy wyłącznie do estetycznego wyświetlenia banera. Formalnie zgoda niby jest, praktycznie – brak kontroli nad tym, co i kiedy się ładuje.

Szczególną uwagę trzeba poświęcić pikselom reklamowym (Meta, LinkedIn, TikTok). To one najczęściej wywołują zainteresowanie organów nadzorczych, bo zwykle wiążą się z przekazywaniem danych do USA i rozbudowanym profilowaniem. Tu bez rzetelnego zarządzania zgodą i poprawnych umów z dostawcą (w tym mechanizmów transferu danych poza EOG) trudno obronić się w razie kontroli.

Do kompletu polecam jeszcze: Jak przygotować materiały na targi i eventy w stolicy, żeby były praktyczne i spójne z wizerunkiem marki? — znajdziesz tam dodatkowe wskazówki.

Analityka internetowa a pseudonimizacja i anonimizacja

Nie każda konfiguracja narzędzia analitycznego wygląda tak samo. To, czy przetwarzasz dane osobowe w pełnym tego słowa znaczeniu, zależy też od ustawień:

• pseudonimizacja – dane są powiązane z identyfikatorem (np. losowy ciąg znaków), ale teoretycznie można powiązać go z konkretną osobą. To nadal dane osobowe, tylko trudniej je „odwrócić”;
• anonimizacja – dane są obrobione tak, że nie da się zidentyfikować osoby nawet przy użyciu dodatkowych informacji. Prawdziwa anonimizacja jest trudna i często bardziej deklarowana niż faktycznie osiągnięta.

Jeżeli w Google Analytics lub innym narzędziu przechowujesz identyfikatory użytkownika powiązane z loginem, e‑mailem lub ID klienta z CRM – mówimy o klasycznym przetwarzaniu danych osobowych. Jeżeli korzystasz z mocno ograniczonych funkcji, z anonimizacją IP, bez łączenia z innymi systemami i bez długiej retencji danych – łatwiej obronić się przed zarzutem nadmiernej inwazyjności.

Dobrym kompromisem jest:

• skrócenie okresu przechowywania danych w narzędziu (np. zamiast „bezterminowo” – 14 lub 26 miesięcy),
• wyłączenie wszystkiego, co jest zbędne: identyfikatorów użytkownika, zbierania szczegółowych parametrów urządzenia, funkcji „sygnałów” integrujących dane z innymi źródłami,
• ograniczenie dostępu – nie każdy w firmie musi widzieć surowe dane, często wystarczą raporty zagregowane.

Reklama behawioralna, remarketing i lookalike audiences

Nowoczesna reklama internetowa rzadko kończy się na „pokaż wszystkim ten sam baner”. Segmenty odbiorców (np. osoby, które odwiedziły stronę produktu, porzuciły koszyk, otworzyły newsletter) generują świetne wyniki, ale jednocześnie wymagają uczciwej komunikacji z użytkownikiem.

Z punktu widzenia RODO kluczowe są trzy obszary:

• profilowanie – użytkownicy są przypisywani do określonych segmentów na podstawie ich zachowania (strony odwiedzone, kliknięcia, historia transakcji);
• remarketing – wykorzystanie tych segmentów do wyświetlania spersonalizowanych reklam w sieciach reklamowych;
• grupy podobnych odbiorców (lookalike) – wykorzystywanie wzorców zachowań aktualnych klientów do znajdowania podobnych osób w zewnętrznej sieci.

W większości przypadków profilowanie marketingowe opiera się na zgodzie – szczególnie wtedy, gdy wykorzystujesz dane do reklamy w mediach społecznościowych i innych serwisach zewnętrznych. Zgoda powinna obejmować zarówno użycie cookies/pikseli, jak i sam fakt profilowania w celu dopasowania reklam. Dobrze, jeżeli w polityce prywatności pojawi się zapis wprost opisujący to działanie.

Przykład: użytkownik wypełnia formularz, zaznacza zgodę marketingową, a w tle piksel Meta dodaje go do grupy „osoby zainteresowane produktem X”. Później na Facebooku widzi reklamę tego produktu oraz podobnych usług. Bez zgody na cookies marketingowe i bez jasnej informacji o takim procesie budujesz profilowanie „po cichu”.

Custom audiences i przesyłanie list mailingowych do platform reklamowych

Popularną praktyką jest ładowanie bazy e‑mail (lub numerów telefonu) do systemu reklamowego jako custom audience, aby kierować reklamy do istniejących klientów lub tworzyć grupy podobnych użytkowników.

Tu pojawia się kilka wrażliwych kwestii:

• jaka jest podstawa prawna przekazania danych do tej platformy – zgoda czy uzasadniony interes? W wielu przypadkach bezpieczniej oprzeć się na zgodzie, przynajmniej przy bardziej agresywnych scenariuszach reklamowych;
• czy użytkownik był o tym poinformowany w klauzuli (np. że dane mogą być wykorzystane do dopasowania reklam w konkretnych serwisach);
• jak wygląda transfer danych – szczególnie jeśli platforma ma siedzibę poza EOG (np. USA), konieczne są dodatkowe zabezpieczenia prawne.

Najczęściej zadawane pytania (FAQ)

Czy adres IP i cookies to dane osobowe w świetle RODO?

Adres IP i identyfikatory cookies mogą być danymi osobowymi, jeśli da się je powiązać z konkretną osobą lub jej urządzeniem. W praktyce w marketingu online tak zwykle jest – system analityczny lub reklamowy „widzi” użytkownika jako powracającego, łączy jego zachowania, urządzenie, lokalizację i historię wizyt.

Dlatego większość wdrożeń Google Analytics, pikseli reklamowych (Meta, LinkedIn, TikTok) czy systemów A/B testów traktuje się jak przetwarzanie danych osobowych. To oznacza konieczność podstawy prawnej (zgoda lub uzasadniony interes), informacji w polityce prywatności oraz prawidłowej konfiguracji narzędzi (np. skracanie IP, czas retencji danych).

Jaka jest różnica między anonimizacją a pseudonimizacją danych w analityce?

Anonimizacja to „punkt bez powrotu” – po przetworzeniu danych nie da się już zidentyfikować konkretnej osoby, nawet mając inne zbiory danych. Typowy przykład: raport zagregowany, w którym widzisz tylko, że 30% ruchu jest z mobile, bez możliwości „dokopania się” do pojedynczej osoby.

Pseudonimizacja to zamiana danych na identyfikatory, ale z zachowaniem możliwości powiązania ich z konkretną osobą (np. user_id, client_id, ID ciasteczka). Większość narzędzi marketingowych działa właśnie tak, więc dane nadal podlegają RODO. Marketingowe „to tylko statystyki, bez danych osobowych” często okazuje się zbyt optymistyczne.

Na jakiej podstawie prawnej mogę prowadzić marketing e‑mail (newsletter, kampanie)?

Do wysyłki newslettera typowo potrzebujesz zgody – szczególnie gdy chodzi o treści stricte marketingowe (oferty, rabaty, webinary sprzedażowe). Zgoda musi być dobrowolna, świadoma i konkretna, a checkbox do zapisu nie może być domyślnie zaznaczony. Dodatkowo dochodzą przepisy prawa telekomunikacyjnego i o świadczeniu usług drogą elektroniczną, które też wymagają zgody na komunikację marketingową.

Prawnie uzasadniony interes możesz zastosować częściej przy obecnych klientach, np. do wysyłki informacji o zmianie regulaminu, komunikacji posprzedażowej albo umiarkowanego marketingu zbliżonych produktów. Nadal jednak musisz umożliwić łatwe wniesienie sprzeciwu (link wypisu, ustawienia preferencji).

Kiedy potrzebna jest zgoda na cookies i narzędzia analityczne, a kiedy wystarczy uzasadniony interes?

Jeśli korzystasz z narzędzi służących do celów marketingowych i reklamowych (remarketing, profile odbiorców, zaawansowane śledzenie cross‑device), zazwyczaj potrzebujesz zgody użytkownika. Dotyczy to w szczególności pikseli reklamowych i cookies marketingowych – bez zgody baner „akceptuję” to proszenie się o kłopoty.

Dla podstawowej analityki (mierzenie liczby wejść, czasu na stronie, najbardziej popularnych podstron), przy odpowiedniej konfiguracji i ograniczeniu danych, część administratorów opiera się na uzasadnionym interesie. Warunek: narzędzie jest tak ustawione, by ingerencja w prywatność była minimalna (np. skracanie IP, krótki czas przechowywania danych, brak łączenia z reklamą). W razie wątpliwości lepiej przeprowadzić test równowagi interesów i dobrze go udokumentować.

Kim jest administrator danych, a kim procesor w marketingu internetowym?

Administrator danych (ADO) to podmiot, który decyduje o celach i sposobach przetwarzania danych. W marketingu online zwykle jest to właściciel biznesu: firma, fundacja, jednoosobowa działalność. To on ustala, że dane będą wykorzystane np. do wysyłki newslettera, działań remarketingowych czy profilowania leadów.

Procesor (podmiot przetwarzający) działa „na zlecenie” administratora – realizuje techniczną stronę przetwarzania. Typowe przykłady: dostawca systemu mailingowego, agencja marketingowa mająca dostęp do bazy klientów, dostawca CRM lub systemu do chatbota. Z procesorem trzeba mieć umowę powierzenia przetwarzania danych, która dokładnie opisze zakres, cele, czas i środki bezpieczeństwa.

Czym jest współadministracja danych w kampaniach marketingowych?

Współadministracja występuje wtedy, gdy dwa lub więcej podmiotów wspólnie decyduje o celach i sposobach przetwarzania danych. Przykład z życia: wspólna kampania leadowa dwóch marek, gdzie formularz jest jeden, a obie firmy ustalają, jak będą korzystać z tych samych danych potencjalnych klientów.

W takiej sytuacji konieczne jest porozumienie współadministratorów (najlepiej na piśmie), w którym strony „dzielą się” obowiązkami wobec osób, których dane dotyczą. Użytkownik powinien wiedzieć, kto jest współadministratorem, jakie ma obowiązki oraz do kogo zgłaszać np. żądanie usunięcia danych. Inaczej robi się chaos – a chaos i RODO nie żyją w zgodzie.

Jak w praktyce ustalić, czy moje działania marketingowe są zgodne z RODO?

Najprościej podejść do tego procesowo. Dla każdego działania (newsletter, kampanie leadowe, remarketing, analityka, chatbot) odpowiedz sobie na trzy pytania: jaki jest cel przetwarzania, jakie dane są do tego naprawdę potrzebne oraz na jakiej podstawie prawnej możesz to oprzeć. Dobrze, jeśli te odpowiedzi masz spisane, a nie tylko „w głowie marketingu”.

Następny krok to sprawdzenie narzędzi: czy masz umowy powierzenia z dostawcami, czy ustawienia prywatności są dostosowane (retencja danych, IP, funkcje reklamowe), czy baner cookies jest uczciwy i nie „wymusza” zgody. I wreszcie – czy użytkownik ma jasną, prostą informację o tym, co z jego danymi robisz oraz łatwą możliwość rezygnacji z marketingu. To nie tylko RODO, to również dobry UX i mniej wkurzonych subskrybentów.

Bibliografia i źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Dziennik Urzędowy Unii Europejskiej (2016) – Podstawowe definicje, role ADO/procesora, podstawy prawne przetwarzania
• Wytyczne dotyczące pojęć administratora i podmiotu przetwarzającego w RODO. Europejska Rada Ochrony Danych (2020) – Doprecyzowanie ról administratora, procesora i współadministracji
• Wytyczne dotyczące zautomatyzowanego podejmowania decyzji i profilowania na mocy RODO. Grupa Robocza art. 29 (2018) – Profilowanie marketingowe, ocena ryzyka, obowiązki informacyjne
• Decyzja wykonawcza Komisji (UE) 2021/914 ustanawiająca standardowe klauzule umowne. Komisja Europejska (2021) – Wzorce umów powierzenia i przekazywania danych do podmiotów przetwarzających