RODO na blogu firmowym w 2026 — czego PUODO naprawdę wymaga
W 2025 roku Prezes Urzędu Ochrony Danych Osobowych nałożył kary administracyjne na łączną kwotę 2,3 miliona PLN za naruszenia RODO w serwisach internetowych polskich firm. Jedna trzecia dotyczyła blogów i landing page'y, które nie miały polityki prywatności lub zgód na cookies. To nie jest abstrakcyjne ryzyko — to realne postępowania, które dotykają głównie MŚP.
Twój blog firmowy podlega RODO, jeśli zbiera jakiekolwiek dane: adresy IP, pliki cookies, adresy e-mail w newsletterze, formularze kontaktowe. Nie ma znaczenia, czy firma ma 1 czy 100 pracowników. Ustawa o świadczeniu usług drogą elektroniczną (Dz.U. 2002 nr 144 poz. 1204) dodatkowo wymaga podania danych identyfikacyjnych właściciela serwisu — tzw. imprintu.
Obowiązkowe elementy na blogu: 1) polityka prywatności z informacją o administratorze, celach, podstawach prawnych i okresie przechowywania danych; 2) zgoda na cookies przed ładowaniem skryptów śledzących; 3) informacja o prawach osoby, której dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania); 4) dane kontaktowe do administratora i inspektora ochrony danych, jeśli wyznaczony.
Najczęstszy błąd polskich blogerów i MŚP: zgoda na newsletter oparta na domyślnym zaznaczeniu checkboxa. RODO wymaga zgody wyraźnej i jednoznacznej — w praktyce oznacza to niezaznaczony checkbox, który użytkownik musi kliknąć samodzielnie. Pre-check (wstępne zaznaczenie) jest nielegalny od 2018 roku, ale w 2026 wciąż widzę go na 30–40% blogów firmowych w Polsce.
Drugi błąd: brak zgody na cookies dla skryptów zewnętrznych. Google Analytics, Meta Pixel, Hotjar — każdy z nich wymaga zgody użytkownika przed aktywacją. W praktyce oznacza to wdrożenie mechanizmu cookie consent, który blokuje skrypty do momentu kliknięcia „akceptuję”. Koszt wdrożenia: 800–2000 PLN jednorazowo, jeśli korzystasz z zewnętrznego prawnika.
Polityka prywatności musi być dostępna bez logowania, z poziomu każdej podstrony. Link w stopce to minimum. W treści polityki należy wymienić wszystkie podmioty przetwarzające dane w imieniu administratora (hosting, CRM, narzędzia marketingowe). Brak szczegółowości to ryzyko interpretacji na niekorzyść firmy.
Jakie są kary? PUODO może nałożyć grzywnę do 20 000 000 EUR lub do 4% rocznego obrotu — w zależności od tego, która wartość jest wyższa. W praktyce dla MŚP kary wynoszą 10 000–50 000 PLN, ale są precedensy wyższych. Do tego dochodzi reputacja: postępowanie PUODO jest jawne, a każdy klient może sprawdzić w rejestrze, czy firma miała naruszenia.
Eventy również podlegają RODO. Formularze rejestracyjne, listy uczestników, zdjęcia z wydarzenia — każdy z tych elementów wymaga zgody. Uczestnik musi wiedzieć, do czego zgody udziela: czy zdjęcie trafi na bloga, do newslettera, czy na LinkedIn. Wzór zgody na materiały eventowe powinien być osobnym checkboxem, nie częścią regulaminu.
Rozwiązanie dla MŚP: audyt RODO do 3000 PLN netto jednorazowo, potem utrzymanie dokumentacji w retainerze 500–1000 PLN miesięcznie. Alternatywa: gotowe szablony polityk dostosowane do profilu działalności. Feroventia oferuje audyt RODO jako element startowy strategii — zanim zaczniemy produkować treści, sprawdzamy, czy blog nie stwarza ryzyka prawnego.
Takeaway: blog bez polityki prywatności i zgód cookies to nie kwestia „może się uda”. To kwestia czasu, aż PUODO sprawdzi. Kara średnia dla MŚP w 2025 roku wyniosła 23 000 PLN. Koszt wdrożenia zgodności to ułamek tej kwoty. Nie ryzykuj.