Robisz zakupy w internecie prawie codziennie — w 2024 roku kupowało online 67,4% dorosłych Polaków, a w 2025 roku już 69,7% osób w wieku 16–74 lata (dane GUS). Przy każdym zamówieniu zostawiasz sklepowi swoje imię, adres, e-mail i numer telefonu. RODO daje ci nad tymi danymi konkretną, egzekwowalną kontrolę: prawo wglądu, usunięcia, sprzeciwu wobec reklam i przeniesienia danych — a do tego prawo do świadomej zgody na pliki cookies. Większość kupujących nie wie, że z tych narzędzi można skorzystać w kilka minut i całkowicie za darmo. (Artykuł zaktualizowano 16 czerwca 2026 — o najnowsze statystyki UODO za 2025 r. oraz nadchodzący obowiązek „przycisku odstąpienia od umowy".)
Jakie masz prawa RODO przy zakupach online?
Przy zakupach online RODO daje konsumentowi pięć głównych praw: dostęp do swoich danych i ich kopii (art. 15), usunięcie danych (art. 17), sprzeciw wobec marketingu (art. 21), przeniesienie danych w formacie do odczytu maszynowego (art. 20) oraz prawo do świadomej zgody na pliki cookies (art. 398 Prawa komunikacji elektronicznej). Naruszenie zgłaszasz bezpłatnie do UODO.
RODO — czyli ogólne rozporządzenie o ochronie danych (rozporządzenie UE 2016/679) — to nie abstrakcyjny dokument dla prawników. To zestaw uprawnień, których możesz użyć wobec każdego sklepu, w którym kiedykolwiek coś zamówiłeś. Najważniejsze jest to, że administrator danych (czyli sklep) musi działać na twoje żądanie bez zbędnej zwłoki, a pierwsza odpowiedź jest darmowa.
Prawo dostępu (art. 15 RODO) pozwala zażądać potwierdzenia, jakie dane sklep o tobie przetwarza, oraz ich kopii. Sklep ma na to maksymalnie miesiąc; przy żądaniach szczególnie skomplikowanych termin może wydłużyć o kolejne 2 miesiące, ale musi cię o tym poinformować. Pierwsza kopia danych jest bezpłatna — dopiero za kolejne sklep może pobrać rozsądną opłatę.
| Prawo (podstawa) | Czego dotyczy | Termin / warunek |
|---|---|---|
| Dostęp do danych (art. 15 RODO) | Potwierdzenie i kopia przetwarzanych danych | Do 1 miesiąca, +2 miesiące przy żądaniach złożonych; pierwsza kopia bezpłatna |
| Usunięcie / bycie zapomnianym (art. 17 RODO) | Wymazanie danych, gdy zbędne lub po cofnięciu zgody | Niezwłocznie, o ile brak obowiązku retencji (podatki, reklamacje) |
| Sprzeciw wobec marketingu (art. 21 ust. 3 RODO) | Zatrzymanie marketingu bezpośredniego i profilowania | Bezwzględny, skuteczny od chwili wniesienia |
| Przenoszenie danych (art. 20 RODO) | Wydanie danych w formacie do odczytu maszynowego | Gdy przetwarzanie na zgodzie/umowie i zautomatyzowane |
| Zgoda na cookies (art. 398 PKE) | Pliki cookies inne niż technicznie niezbędne | Wymagana zgoda; niezbędne (sesja, koszyk) — bez zgody |
| Skarga do UODO | Naruszenie przepisów o ochronie danych | Bezpłatna, bez terminu; pisemnie / ePUAP / ustnie |
Jakie dane może zbierać sklep internetowy?
Bez twojej zgody sklep może zebrać tylko dane niezbędne do realizacji zamówienia: imię i nazwisko, adres dostawy, e-mail i numer telefonu (art. 6 ust. 1 lit. b RODO). Obowiązuje zasada minimalizacji — danych nadmiarowych zbierać nie wolno, a każdy inny cel, na przykład marketing, wymaga osobnej, dobrowolnej zgody.
Tu działa prosta, ale często łamana reguła: sklep zbiera dokładnie tyle danych, ile potrzebuje, żeby wysłać ci paczkę i rozliczyć transakcję. To podstawa „wykonania umowy" — nie musisz na nią wyrażać zgody, bo bez adresu kurier nie dojedzie. Zasada minimalizacji (art. 5 ust. 1 lit. c RODO) zakazuje gromadzenia danych „na zapas". Dane wrażliwe — o zdrowiu, poglądach, orientacji — wymagają odrębnej, szczególnej podstawy i przy zwykłych zakupach po prostu nie powinny być zbierane.
Granica zaczyna się tam, gdzie sklep chce robić z danymi coś więcej niż wysyłkę. Newsletter, oferty SMS, profilowanie pod reklamy — to już osobne cele, na które potrzebna jest twoja zgoda. I to zgoda spełniająca standard RODO: dobrowolna, konkretna, świadoma i jednoznaczna. Sam fakt zakupu nie jest zgodą na marketing, a okienko zgody nie może być domyślnie zaznaczone ani stanowić warunku złożenia zamówienia.
Jak długo sklep może przechowywać Twoje dane?
Sklep nie trzyma danych bezterminowo, ale i nie usuwa ich od ręki. Dane do realizacji zamówienia i odpowiedzialności za towar przechowuje 2 lata od wydania towaru (przy 6-letnim terminie przedawnienia roszczeń), faktury — 5 lat do celów podatkowych, a dane na zgodę marketingową — do momentu, aż tę zgodę cofniesz.
To najczęstsze źródło nieporozumień. Klient żąda „natychmiastowego wymazania konta", a sklep odmawia usunięcia części danych — i formalnie ma rację. Prawo do bycia zapomnianym nie jest absolutne: jeśli przepis nakłada obowiązek dalszego przechowywania, sklep musi go wypełnić. Dlatego dane z wystawionych faktur zostaną w systemie księgowym jeszcze przez lata, nawet po skasowaniu twojego konta.
| Rodzaj danych / cel | Okres przechowywania | Podstawa |
|---|---|---|
| Dane do realizacji zamówienia i niezgodności towaru z umową | 2 lata od wydania towaru (przedawnienie roszczeń 6 lat) | Ustawa o prawach konsumenta |
| Faktury i dokumenty księgowe (cele podatkowe) | 5 lat od końca roku obowiązku podatkowego | Ustawa o rachunkowości art. 74; Ordynacja podatkowa |
| Dane przetwarzane na zgodę marketingową | Do cofnięcia zgody | Art. 6 ust. 1 lit. a / art. 7 RODO |
W praktyce oznacza to, że żądanie usunięcia danych warto formułować precyzyjnie: „proszę o usunięcie moich danych w zakresie, w jakim nie obejmuje ich obowiązek przechowywania". Sklep wymaże wtedy konto, historię przeglądania i zgody marketingowe, a zatrzyma tylko to, co musi — dokumenty rozliczeniowe.
Zgoda na cookies i marketing — co zmieniło Prawo komunikacji elektronicznej
Od 10 listopada 2024 roku zgodę na pliki cookies inne niż niezbędne reguluje art. 398 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej (PKE), który zastąpił dawny art. 173 Prawa telekomunikacyjnego. Zgoda musi spełniać standard RODO: być dobrowolna, konkretna, świadoma i jednoznaczna — bez domyślnie zaznaczonych okienek.
Cookies niezbędne — utrzymujące sesję logowania czy zawartość koszyka — działają bez pytania o zgodę, bo bez nich sklep po prostu nie zadziała. Ale wszystko ponad to: cookies analityczne, marketingowe, śledzące cię między stronami, wymaga twojego aktywnego „tak". Wymóg ten ma korzenie w prawie UE: w wyroku Planet49 (sprawa C-673/17) z października 2019 roku Trybunał Sprawiedliwości UE orzekł, że domyślnie zaznaczone okienko nie jest ważną zgodą — potrzebne jest świadome działanie użytkownika.
- Październik 2019 — wyrok TSUE Planet49: domyślne okienko to nie zgoda.
- 10 listopada 2024 — wchodzi w życie PKE; zgodę na cookies reguluje art. 398.
To samo dotyczy marketingu. Zgoda na newsletter czy oferty SMS musi być oddzielnym, dobrowolnym oświadczeniem — nie może być domyślnie zaznaczona ani być warunkiem zakupu. Każda wiadomość marketingowa musi zawierać link do rezygnacji. A jeśli złożysz sprzeciw wobec marketingu bezpośredniego (art. 21 ust. 3 RODO), sklep nie może już przetwarzać twoich danych w tym celu — to prawo jest bezwzględne i skuteczne od chwili wniesienia.
Nowość: „przycisk odstąpienia od umowy" od 19 czerwca 2026
Od 19 czerwca 2026 zacznie obowiązywać nowy obowiązek udostępnienia stale widocznej „funkcji odstąpienia od umowy" (tzw. przycisku odstąpienia) dla umów zawieranych przez interfejs internetowy. Wynika to z dyrektywy (UE) 2023/2673, która dodaje art. 11a do dyrektywy 2011/83/UE o prawach konsumentów — termin stosowania przepisów to właśnie 19 czerwca 2026.
Warto od razu rozróżnić dwie rzeczy, które łatwo pomylić. Opisane wyżej uprawnienia — dostęp, usunięcie, sprzeciw — to prawa wynikające z RODO i dotyczą ochrony twoich danych osobowych. Nowy „przycisk odstąpienia" to coś zupełnie innego: to prawo konsumenckie, czyli prawo do odstąpienia od zawartej umowy, a nie prawo RODO. Dyrektywa (UE) 2023/2673 formalnie dotyczy usług finansowych zawieranych na odległość, ale przy okazji dodaje art. 11a do unijnej dyrektywy 2011/83/UE o prawach konsumentów i rozszerza obowiązek udostępnienia „funkcji odstąpienia" na umowy zawierane przez interfejs internetowy.
Co to oznacza w praktyce dla ciebie jako kupującego? Tam, gdzie dziś rezygnację z umowy trzeba zgłaszać mailem czy formularzem ukrytym w regulaminie, od 19 czerwca 2026 przedsiębiorca będzie musiał udostępnić wyraźną, stale widoczną funkcję, dzięki której odstąpienie od umowy stanie się równie proste jak jej zawarcie jednym kliknięciem. To uzupełnienie — nie zamiennik — twoich praw do danych: o usunięcie konta wciąż wnioskujesz na podstawie art. 17 RODO, a z umowy odstępujesz nowym przyciskiem.
Jak złożyć skargę do UODO na sklep internetowy?
Skargę na nieprawidłowe przetwarzanie danych przez sklep złożysz bezpłatnie do Prezesa UODO — pisemnie, ustnie do protokołu w siedzibie urzędu albo elektronicznie przez ePUAP (pismo z podpisem zaufanym lub kwalifikowanym). Skarga musi wskazywać podmiot, którego dotyczy, oraz konkretne żądanie. Nie ma terminu na jej wniesienie.
Zanim sięgniesz po skargę, najlepiej najpierw zwrócić się wprost do sklepu — często to wystarcza. Jeśli jednak sklep ignoruje żądanie albo odmawia bez podstawy, droga do UODO jest otwarta i nic nie kosztuje. Niezależnie od skargi przysługuje ci też droga sądowa o odszkodowanie.
- Zgłoś żądanie wprost do sklepu i zachowaj korespondencję.
- Przy braku reakcji przygotuj skargę wskazującą sklep i naruszenie.
- Dołącz konkretne żądanie i dowody.
- Złóż skargę przez ePUAP, pocztą lub ustnie do protokołu w UODO.
- Czekaj na rozstrzygnięcie; możesz też dochodzić odszkodowania w sądzie.
Skala tej drogi jest realna i rośnie. Według statystyk UODO w 2025 roku do urzędu wpłynęło 12 986 skarg (wobec 8056 w 2024 roku), zgłoszono 22 435 naruszeń ochrony danych, a Prezes UODO wydał 2076 decyzji administracyjnych, w tym 32 nakładające kary pieniężne. Plan kontroli sektorowych UODO na 2026 rok obejmuje przy tym platformy dostaw online (pośredniczące w sprzedaży towarów i usług przez aplikacje internetowe) oraz podmioty prowadzące działania marketingowe — czyli dokładnie tę część rynku, z którą stykasz się jako kupujący.
W 2025 r. do UODO wpłynęło 12 986 skarg — o niemal 5 tysięcy więcej niż 8056 skarg rok wcześniej, w 2024 r.
— prawo.pl, statystyki UODO za 2025 r.
Jakie kary grożą sklepom za naruszenie ochrony danych?
W 2025 roku łączna wartość kar RODO nałożonych przez UODO wyniosła ok. 64,4 mln zł — wobec 13,9 mln zł w 2024 roku. Statystykę zawyża rekordowa kara 27 mln zł dla Poczty Polskiej (najwyższa kara RODO w historii Polski). Najwyższa kara dla e-sklepu to wciąż ok. 3,8 mln zł dla Morele.net za wyciek danych około 2,2 mln osób.
Kary pokazują, że ochrona danych to dla firm realne ryzyko finansowe, a nie formalność — a w 2025 roku ta stawka wyraźnie wzrosła. Łączna wartość kar skoczyła z 13,9 mln zł w 2024 roku do około 64,4 mln zł w 2025 roku, głównie za sprawą rekordowej kary 27 mln zł dla Poczty Polskiej za bezpodstawne przetwarzanie danych przy tzw. wyborach kopertowych. To najwyższa kara RODO w historii Polski, zaskarżona przez Pocztę Polską.
Wśród samych sklepów internetowych sztandarowa pozostaje sprawa Morele.net: po wycieku obejmującym imiona, nazwiska, telefony, adresy e-mail i dostawy, a w części przypadków numery PESEL i dokumentów, UODO pierwotnie nałożył 2,8 mln zł (decyzja z 2019 r.), a po ponownym rozpatrzeniu sprawy kara wzrosła do około 3,8 mln zł (2022 r.) — to wciąż najwyższa kara RODO dla e-sklepu. Inny przykład: ponad 1,5 mln zł kary dla Panek SA za ujawnienie danych 21 453 osób.
Co to oznacza dla ciebie
W praktyce masz nad swoimi danymi większą kontrolę, niż myślisz, ale jej granice wyznacza prawo. Możesz pobrać kopię danych, kazać je usunąć (poza tym, co sklep musi zachować na faktury i reklamacje), odciąć marketing jednym sprzeciwem i cofnąć zgodę na cookies — a w razie odmowy złożyć bezpłatną skargę do UODO.
Warto jednak znać drugą stronę. Choć prawo daje mocne narzędzia, realna kontrola bywa ograniczona. Europejska Rada Ochrony Danych (EDPB) w opinii 08/2024 uznała modele „zgoda albo zapłać" oraz cookie walls — czyli dostęp do treści dopiero po akceptacji wszystkich cookies — za naruszające dobrowolność zgody. UOKiK z kolei piętnuje „dark patterns": nierówne banery z wielkim przyciskiem „Akceptuję wszystko" i ukrytą, wieloetapową odmową. Fundacja Panoptykon wskazuje, że przy profilowaniu reklamowym użytkownicy „nie mają ani głosu, ani praw" — nie wiedzą, dokąd trafiają ich dane ani jakie wnioski są z nich wyciągane.
Najprostszy wniosek na co dzień: czytaj, na co klikasz w banerze cookies, korzystaj z opcji „Odrzuć" zamiast machinalnego „Akceptuję wszystko", a raz na jakiś czas przejrzyj, w ilu sklepach masz aktywne konto i zgody marketingowe. To kilka minut, które realnie zmniejszają twój cyfrowy ślad. Po konkretne wzory żądań i formularz skargi sięgnij wprost do oficjalnego źródła — strony UODO (uodo.gov.pl).
Czy zastanawiałeś się kiedyś, ile dokładnie sklepów internetowych wciąż przechowuje twój adres i historię zakupów — i co by się stało, gdybyś jednego dnia wysłał do nich wszystkich żądanie usunięcia danych?
Najczęściej zadawane pytania
Czy sklep internetowy może zbierać mój PESEL?
Co do zasady nie — do realizacji zwykłego zamówienia PESEL nie jest niezbędny, a zasada minimalizacji (art. 5 ust. 1 lit. c RODO) zakazuje zbierania danych nadmiarowych. PESEL bywa wymagany tylko przy szczególnych usługach (np. zakupach na raty czy weryfikacji tożsamości), gdzie istnieje wyraźna podstawa prawna.
Ile czasu ma sklep na odpowiedź na moje żądanie RODO?
Maksymalnie miesiąc od otrzymania żądania (art. 12 ust. 3 RODO). Przy żądaniach szczególnie skomplikowanych sklep może wydłużyć termin o kolejne 2 miesiące, ale musi cię o tym poinformować wraz z przyczyną. Pierwsza kopia danych jest bezpłatna.
Czy sklep musi usunąć moje konto, kiedy o to poproszę?
Tak, na podstawie art. 17 RODO, ale tylko w zakresie, w jakim dane nie są już potrzebne i nie obejmuje ich obowiązek przechowywania. Faktury sklep zachowa 5 lat do celów podatkowych (ustawa o rachunkowości), a dane reklamacyjne — przez okres odpowiedzialności za towar.
Czy zakup w sklepie oznacza zgodę na newsletter?
Nie. Sam fakt zakupu nie jest zgodą na marketing. Zgoda na newsletter czy oferty SMS musi być oddzielnym, dobrowolnym oświadczeniem — nie może być domyślnie zaznaczona ani stanowić warunku złożenia zamówienia, a każda wiadomość marketingowa musi zawierać link do rezygnacji.
Czy mogę zażądać przeniesienia moich danych do innego sklepu?
Tak, gdy przetwarzanie odbywa się na podstawie zgody lub umowy i w sposób zautomatyzowany — co jest typowe dla e-sklepu (art. 20 RODO). Masz prawo otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, na przykład CSV lub XML.
Czym różni się nowy „przycisk odstąpienia od umowy" od praw RODO?
To dwie różne rzeczy. Prawa RODO (dostęp, usunięcie, sprzeciw) chronią twoje dane osobowe. „Przycisk odstąpienia", który zacznie obowiązywać od 19 czerwca 2026, to prawo konsumenckie — prawo do odstąpienia od zawartej umowy. Wynika z dyrektywy (UE) 2023/2673, która dodaje art. 11a do dyrektywy 2011/83/UE o prawach konsumentów i rozszerza obowiązek „funkcji odstąpienia" na umowy zawierane przez interfejs internetowy.
Ile kosztuje złożenie skargi do UODO?
Nic. Skarga do Prezesa UODO jest bezpłatna i nie ma terminu na jej wniesienie. Możesz złożyć ją elektronicznie przez ePUAP (z podpisem zaufanym lub kwalifikowanym), pisemnie pocztą albo ustnie do protokołu w siedzibie urzędu. Niezależnie przysługuje ci droga sądowa o odszkodowanie.
Ten artykuł nie zastępuje porady prawnej.
