Zgoda na przetwarzanie danych osobowych – jak wdrożyć procedurę krok po kroku

Ustalenie, czy zgoda jest potrzebna

Zgoda na przetwarzanie danych osobowych to dobrowolna, konkretna, świadoma i jednoznaczna decyzja osoby, której dane dotyczą; RODO wskazuje tu 4 cechy zgody, a administrator danych musi umieć je później wykazać wobec osoby, kontrahenta lub Prezesa UODO (źródło: EUR-Lex, RODO art. 4 pkt 11 i art. 7, 2016). Procedura zgód RODO nie zaczyna się od napisania checkboxa, lecz od decyzji, czy zgoda w ogóle jest właściwą podstawą prawną przetwarzania.

Czy zawsze trzeba zbierać zgodę?

Nie. Zgoda jest tylko jedną z 6 podstaw prawnych z art. 6 ust. 1 RODO. W praktyce obsługi firm często najwięcej błędów powstaje wtedy, gdy przedsiębiorca zbiera zgodę „na wszelki wypadek”, mimo że dane są potrzebne do wykonania umowy, wystawienia faktury albo obrony przed roszczeniami.

• Newsletter marketingowy – zwykle wymaga odrębnej zgody na kanał komunikacji, a przy e-mailu, SMS i telefonie trzeba uwzględnić także Prawo komunikacji elektronicznej obowiązujące od 10 listopada 2024 r.
• Realizacja zamówienia w sklepie internetowym – imię, nazwisko, adres dostawy i numer telefonu kuriera zwykle przetwarza się na podstawie umowy, a nie zgody.
• Księgowość i faktury – NIP, dane kontrahenta i kwoty z faktury wynikają z obowiązków podatkowych, więc podstawą jest obowiązek prawny administratora danych.
• Dochódzenie roszczeń – historia korespondencji, potwierdzenie wysyłki i reklamacja mogą opierać się na uzasadnionym interesie, jeżeli wykonano test równowagi.
• Profilowanie marketingowe – wymaga osobnej analizy, bo może łączyć RODO, pliki cookies, narzędzia reklamowe i obowiązki informacyjne.

Jak ustalić właściwą podstawę prawną?

Dla każdego procesu trzeba opisać cel, kategorię danych, grupę osób i oczekiwany skutek biznesowy. Dopiero potem wybiera się podstawę: zgodę, umowę, obowiązek prawny, żywotny interes, zadanie publiczne albo uzasadniony interes. Dobrą praktyką jest krótka matryca podstaw, szczególnie gdy firma zbiera dane przez formularze, wydarzenia, system CRM i kampanie płatne.

Proces	Typowa podstawa	Przykład danych	Ryzyko błędu
Newsletter B2C	Zgoda i przepisy komunikacji elektronicznej	Adres e-mail, data zgody, wersja klauzuli	Jeden checkbox dla kilku kanałów marketingu.
Sprzedaż usługi	Umowa	Imię, nazwisko, dane kontaktowe, adres rozliczeniowy	Zbieranie dodatkowej zgody, która sugeruje możliwość odmowy danych niezbędnych do umowy.
Faktury	Obowiązek prawny	NIP, nazwa firmy, kwota, data sprzedaży	Usuwanie danych księgowych po wycofaniu zgody, mimo że zgoda nie była podstawą.
Remarketing i profilowanie	Zgoda lub uzasadniony interes po analizie	Identyfikatory cookies, segmenty odbiorców	Brak rozdzielenia zgody marketingowej i analitycznej.

Kiedy zgoda może być nieważna?

Zgoda jest ryzykowna, gdy osoba nie ma realnej możliwości odmowy albo gdy odmowa powoduje nieproporcjonalną stratę. EDPB w Wytycznych 05/2020 podkreśla, że dobrowolność wymaga rzeczywistego wyboru, a nie formalnego kliknięcia bez alternatywy (źródło: EDPB, 2020).

„Zgoda oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli.” – Parlament Europejski i Rada UE, RODO art. 4 pkt 11, 2016

Jeżeli formularz rejestracyjny pozwala kupić usługę tylko po zgodzie na newsletter, zgoda marketingowa może być pozorna. Jeżeli pracownik musi wyrazić zgodę, bo inaczej nie otrzyma dostępu do narzędzia pracy, trzeba bardzo ostrożnie ocenić relację podporządkowania. Szersze omówienie podstaw znajdziesz pod hasłem legalna zgoda na przetwarzanie danych.

Projekt procedury i treści zgód

Procedura zgód RODO to zestaw zasad, wzorów i zapisów systemowych, charakteryzujący się rozdzieleniem celów, kontrolą wersji i możliwością wykazania dowodu zgody. Jej celem nie jest stworzenie ładnego formularza, lecz zapewnienie, że administrator danych wie, kto, kiedy, na co i w jakiej wersji treści wyraził zgodę.

Jak napisać prawidłową zgodę?

Klauzula zgody powinna być krótka, konkretna i oddzielona od regulaminu. Nie należy ukrywać jej w akapicie z polityką prywatności ani łączyć kilku decyzji w jednym zdaniu. Przykład poprawniejszego sformułowania: „Wyrażam zgodę na otrzymywanie newslettera od ABC sp. z o.o. na podany adres e-mail”. Przykład ryzykowny: „Akceptuję regulamin i zgadzam się na kontakt marketingowy partnerów”.

• Cel – zgoda musi wskazywać konkretny cel, na przykład newsletter, telefon marketingowy, SMS promocyjny albo profilowanie ofert.
• Administrator – osoba powinna wiedzieć, kto przetwarza dane, na przykład ABC sp. z o.o. z siedzibą w Warszawie.
• Kanał – e-mail, telefon, SMS i komunikator powinny być opisane osobno, bo każdy kanał tworzy inne ryzyko i inną ścieżkę wycofania.
• Dobrowolność – zgoda nie powinna być warunkiem wykonania umowy, jeżeli dane marketingowe nie są potrzebne do tej umowy.
• Wycofanie – treść formularza powinna wskazywać, że zgodę można wycofać, a późniejszy mechanizm musi działać realnie.

Czy można łączyć kilka zgód w jednym checkboxie?

Łączenie kilku zgód w jednym checkboxie jest jednym z najczęstszych błędów. Osoba, która chce newsletter, nie musi chcieć telefonu od handlowca, SMS z kodem promocyjnym ani przekazania danych partnerowi. Jeżeli firma prowadzi osobne kanały, powinna przygotować osobne pola zgody.

W praktyce dobrze działa matryca zgód z kolumnami: cel, treść zgody, kanał, system, dowód, retencja i osoba odpowiedzialna. W systemie CRM można wtedy oznaczyć, że klient zgodził się na e-mail 14 maja 2026 r. o 10:32, ale nie zgodził się na telefon i SMS. To ogranicza ryzyko wysłania kampanii do osoby, która nie wybrała danego kanału.

Jak połączyć zgodę z klauzulą informacyjną?

Zgoda i klauzula informacyjna z art. 13 albo 14 RODO nie są tym samym. Zgoda jest podstawą albo mechanizmem decyzji osoby. Klauzula informacyjna wyjaśnia, kto przetwarza dane, po co, jak długo, komu je przekazuje i jakie prawa ma osoba, której dane dotyczą (źródło: EUR-Lex, RODO art. 13 i 14, 2016).

1. Najpierw opisz proces – określ, czy chodzi o newsletter, kontakt telefoniczny, webinar, pobranie e-booka, konkurs czy przekazanie danych partnerom.
2. Następnie napisz treść zgody – nie dodawaj do jednego checkboxa akceptacji regulaminu, zgody marketingowej i zgody na profilowanie.
3. Potem dopasuj klauzulę informacyjną – sprawdź, czy cel, odbiorcy, retencja i prawa osoby są takie same jak w treści zgody.
4. Na końcu nadaj wersję – oznacz formularz jako wersję 1.0, 1.1 albo 2.0, aby później odtworzyć historyczną treść.

Przy kampaniach mailingowych pomocny będzie osobny materiał zgoda marketingowa i newsletter, bo tam ryzyko dotyczy jednocześnie RODO, Prawa komunikacji elektronicznej i praktyki narzędzi mailingowych.

Wdrożenie techniczne i operacyjne

Wdrożenie techniczne zgody to utrwalenie decyzji osoby w formularzu, CRM, narzędziu mailingowym albo dokumentacji papierowej, charakteryzujące się zapisem czasu, treści, kanału i identyfikatora osoby. Bez takiego dowodu zgody administrator może mieć problem z wykazaniem zgodności, nawet jeżeli sama treść checkboxa była poprawna.

Jak zaprojektować checkbox i formularz online?

Checkbox zgody nie może być domyślnie zaznaczony. Osoba musi wykonać aktywne działanie, na przykład kliknąć puste pole albo wybrać konkretną preferencję. Akceptacja regulaminu i zgoda marketingowa powinny być oddzielone, bo pierwsza może być potrzebna do usługi, a druga służy innemu celowi.

„Wycofanie zgody musi być równie łatwe jak jej wyrażenie.” – Parlament Europejski i Rada UE, RODO art. 7 ust. 3, 2016

• Puste pole startowe – formularz online powinien zaczynać od niezaznaczonego checkboxa, bez ukrytych zgód w CSS albo w ustawieniach skryptu.
• Osobny tekst przy polu – treść zgody powinna być widoczna obok checkboxa, a nie wyłącznie pod linkiem do regulaminu.
• Link do klauzuli – obok zgody można dodać link do polityki prywatności, ale sam link nie zastępuje jasnej treści zgody.
• Walidacja formularza – system nie powinien wymuszać zgody marketingowej, jeżeli jest ona dobrowolna i niekonieczna do usługi.
• Test wycofania – przed kampanią trzeba sprawdzić, czy kliknięcie „wypisz się” albo zmiana preferencji blokuje dalszą wysyłkę.

Jak zapisać dowód zgody w systemie?

Dowód zgody powinien pozwolić odtworzyć zdarzenie po kilku miesiącach albo latach. RODO w art. 7 ust. 1 wymaga, aby administrator był w stanie wykazać, że osoba wyraziła zgodę (źródło: EUR-Lex, 2016). Sam wpis „zgoda: tak” jest zwykle zbyt ubogi.

1. Zapisz datę i godzinę – system powinien utrwalać dokładny timestamp, na przykład 2026-05-14 10:32:18 w strefie Europe/Warsaw.
2. Zapisz źródło – wskaż formularz, landing page, wydarzenie, rozmowę telefoniczną albo formularz papierowy.
3. Zapisz wersję treści – oznacz zgodę jako klauzula 1.2, aby po zmianie tekstu zachować historię.
4. Zapisz kanał komunikacji – oddziel e-mail, SMS, telefon i profilowanie, bo cofnięcie może dotyczyć tylko części preferencji.
5. Zapisz identyfikator techniczny – IP albo identyfikator sesji można przechowywać tylko wtedy, gdy jest potrzebny, opisany w klauzuli i objęty polityką retencji.
6. Zapisz osobę odpowiedzialną – przy zgodach offline wskaż pracownika, punkt sprzedaży albo wydarzenie, z którego pochodzi formularz.

Jak wdrożyć zgody papierowe i telefoniczne?

Zgody offline wymagają tej samej staranności co formularze online. Formularz papierowy powinien mieć datę, podpis, wersję dokumentu i czytelną treść zgody. Skan trzeba przechowywać w bezpiecznym repozytorium, a nie w prywatnym folderze handlowca.

W rozmowie telefonicznej należy używać zatwierdzonego skryptu. Jeżeli firma nagrywa rozmowy, musi mieć podstawę prawną i poinformować o nagrywaniu. Jeżeli nie nagrywa, powinna utrwalić minimalny log: konsultant, data, numer sprawy, treść odczytanej zgody i wynik rozmowy. W razie sporu taki log będzie słabszy niż nagranie, ale lepszy niż brak śladu.

Jak obsłużyć wycofanie zgody w CRM?

Wycofanie zgody nie działa wstecz, ale od chwili cofnięcia firma powinna zatrzymać działania oparte na tej zgodzie. Jeżeli osoba wypisuje się z newslettera, system mailingowy powinien przekazać status do CRM i listy wykluczeń. Jeżeli handlowiec ma oddzielną listę w Excelu, procedura powinna zabraniać korzystania z niej bez synchronizacji.

• Lista wykluczeń – powinna blokować wysyłkę nawet wtedy, gdy kontakt wróci do bazy z importu targowego.
• Preferencje kanałów – klient może wycofać SMS, ale zostawić e-mail, dlatego system powinien obsługiwać częściowe cofnięcie.
• Potwierdzenie dla osoby – po cofnięciu zgody można wysłać neutralny komunikat administracyjny, bez treści marketingowych.
• Termin operacyjny – w kampaniach automatycznych reakcja powinna być możliwie natychmiastowa, a nie przy ręcznym eksporcie raz w miesiącu.

Temat skutków cofnięcia omawia szerzej cofnięcie zgody RODO.

Kontrola procedury po wdrożeniu

Kontrola procedury zgód to okresowe sprawdzenie zgodności dokumentów, systemów i praktyki pracowników, charakteryzujące się próbą rekordów, testem wycofania i udokumentowaną decyzją administratora danych. Sam fakt wdrożenia formularza nie wystarcza, jeżeli marketing i sprzedaż obchodzą procedurę w codziennej pracy.

Jak często kontrolować procedurę?

Pierwszą kontrolę dobrze wykonać po 30 dniach od wdrożenia, bo wtedy widać realne błędy w formularzach i CRM. Następnie kontrola może odbywać się co 6-12 miesięcy, a szybciej po zmianie narzędzia mailingowego, formularza zapisu, regulaminu promocji albo dostawcy CRM.

1. Dzień 30 – sprawdź 20-50 nowych rekordów i ustal, czy każdy ma datę, źródło, wersję klauzuli i kanał zgody.
2. Dzień 60 – wykonaj test wycofania zgody z perspektywy użytkownika i sprawdź, czy CRM blokuje dalszą kampanię.
3. Dzień 90 – porównaj procedurę z praktyką handlowców, marketerów i osób obsługujących wydarzenia.
4. Co 6 miesięcy – skontroluj importy baz, listy wykluczeń, aktywne integracje i stare formularze na stronie.
5. Co 12 miesięcy – oceń, czy matryca podstaw prawnych nadal odpowiada modelowi biznesowemu firmy.

Jak szkolić pracowników z procedury zgód?

Szkolenie powinno być praktyczne. Pracownik nie musi znać całego RODO na pamięć, ale musi rozumieć, kiedy nie wolno dopisać osoby do newslettera, kiedy zgoda telefoniczna wymaga skryptu i gdzie sprawdzić status preferencji w CRM.

• Handlowcy – powinni umieć odróżnić kontakt w sprawie oferty od dopisania osoby do stałej komunikacji marketingowej.
• Marketing – powinien znać segmenty, listy wykluczeń i zasady importu kontaktów z webinarów oraz targów.
• Obsługa klienta – powinna wiedzieć, że cofnięcie zgody marketingowej nie usuwa automatycznie danych z faktury albo reklamacji.
• IT i administrator CRM – powinni znać pola systemowe, retencję logów i sposób wersjonowania klauzul.
• Zarząd – powinien zatwierdzać wyjątki, retencję i większe zmiany w modelu pozyskiwania danych.

Jak dokumentować luki i decyzje administratora danych?

Jeżeli kontrola wykryje lukę, nie należy ograniczać się do poprawienia checkboxa. Trzeba opisać problem, zakres dotkniętych rekordów, ryzyko dla osób i decyzję administratora. W sprawach, które mogą być oceniane przez Prezesa UODO, taka dokumentacja pokazuje rozliczalność z art. 5 ust. 2 RODO.

„Administrator jest odpowiedzialny za przestrzeganie przepisów i musi być w stanie wykazać ich przestrzeganie.” – parafraza zasady rozliczalności, RODO art. 5 ust. 2, 2016

Przykład: firma odkrywa, że przez 3 tygodnie formularz webinarowy miał jeden checkbox dla e-maila, SMS i telefonu. Decyzja powinna wskazać, czy rekordy zostaną wyłączone z SMS i telefonu, czy trzeba ponownie zebrać zgody oraz kto odpowiada za korektę formularza. W większych organizacjach taki przegląd można połączyć z usługą audyt prywatności przed kontrolą.

Kiedy procedurę zgód skonsultować z prawnikiem?

Konsultacja prawna procedury zgód to ocena podstaw prawnych, treści klauzul i ryzyk operacyjnych, charakteryzująca się analizą RODO, Prawa komunikacji elektronicznej i realnego modelu sprzedaży. Artykuł ma charakter informacyjny i nie zastępuje porady prawnika dopasowanej do konkretnej firmy, bazy danych i kampanii.

Kiedy ryzyko wymaga opinii prawnej?

Pomoc prawnika jest szczególnie wskazana, gdy zgoda dotyczy danych szczególnych kategorii, dzieci, profilowania, dużych baz marketingowych albo przekazywania danych partnerom. W takich sprawach błąd w jednym checkboxie może uruchomić konsekwencje w wielu systemach jednocześnie.

• Dane szczególnych kategorii – zdrowie, poglądy polityczne, religia lub dane biometryczne wymagają analizy art. 9 RODO i nie powinny być obsługiwane prostym wzorem z internetu.
• Dzieci i usługi online – przy małoletnich trzeba ocenić wiek, sposób potwierdzenia zgody i język komunikatu.
• Profilowanie – segmentacja klientów, scoring i automatyzacja ofert mogą wymagać szerszej informacji oraz oceny skutków dla ochrony danych.
• Duże bazy marketingowe – import 50 000 kontaktów z kilku źródeł wymaga dowodu pochodzenia danych i zgodności pierwotnych zgód.
• Partnerzy handlowi – przekazanie danych innemu administratorowi powinno być opisane jasno, a nie ukryte pod ogólnym zwrotem „partnerzy”.
• Ryzyko sankcji – naruszenia podstawowych zasad RODO mogą podlegać karze do 20 000 000 EUR albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, zależnie od tego, która kwota jest wyższa (źródło: RODO art. 83, 2016).

Jak przygotować materiały dla prawnika?

Najlepsza konsultacja zaczyna się od dokumentów, a nie od ogólnego pytania „czy nasza zgoda jest dobra”. Prawnik powinien zobaczyć formularze, zrzuty ekranu, treść klauzul, eksport pól z CRM, listę systemów i przykładową kampanię.

1. Zbierz aktualne formularze – dołącz wersję online, papierową, telefoniczną i zapisy z landing page.
2. Pokaż matrycę procesów – wskaż cel, dane, podstawę prawną, retencję, system i właściciela procesu.
3. Przekaż logi testowe – pokaż, jak zapisuje się data, źródło, IP lub identyfikator sesji oraz wersja klauzuli.
4. Opisz kampanie – rozdziel newsletter, telefon, SMS, profilowanie i przekazanie danych partnerom.
5. Wskaż problemy praktyczne – na przykład importy z targów, stare bazy, wiele systemów mailingowych albo brak synchronizacji wycofań.

Jakie decyzje powinien zatwierdzić administrator danych?

Administrator danych powinien zatwierdzić matrycę podstaw prawnych, wzory zgód, politykę retencji, sposób dowodzenia zgody i procedurę wycofania. Jeżeli decyzje podejmuje wyłącznie marketing albo dostawca CRM, firma traci kontrolę nad ryzykiem prawnym.

Z mojej praktyki redakcyjno-prawnej wynika, że najbezpieczniejsze wdrożenia są krótkie, ale konsekwentne: jedna matryca, jedna biblioteka klauzul, jedno źródło statusu zgód i regularna kontrola. Im więcej wyjątków, arkuszy i ręcznych eksportów, tym większe ryzyko, że osoba po wycofaniu zgody nadal otrzyma kampanię.

Najczęściej zadawane pytania

Czy zgoda może być częścią regulaminu?

Zgoda nie powinna być ukryta w regulaminie ani połączona z innymi oświadczeniami. Osoba musi wiedzieć, na co konkretnie się zgadza i powinna wykonać osobne działanie. Regulamin może opisywać usługę, ale nie powinien zastępować aktywnej zgody marketingowej.

Czy checkbox może być domyślnie zaznaczony?

Nie. Domyślnie zaznaczony checkbox tworzy wysokie ryzyko, bo zgoda wymaga aktywnego działania osoby. EDPB w Wytycznych 05/2020 wskazuje, że konstrukcje opt-out nie spełniają standardu dobrowolnej i jednoznacznej zgody.

Jak długo przechowywać dowód zgody?

Dowód zgody należy przechowywać tak długo, jak jest potrzebny do wykazania legalności przetwarzania i obrony przed roszczeniami. Okres powinien wynikać z polityki retencji, a nie z przyzwyczajenia firmy. Po zakończeniu celu trzeba ocenić, czy wystarczy ograniczony log, czy dane należy usunąć.

Czy wycofanie zgody działa wstecz?

Nie. Wycofanie zgody nie wpływa automatycznie na legalność przetwarzania, które odbywało się wcześniej. Od chwili wycofania firma musi jednak wstrzymać działania oparte na tej zgodzie, na przykład wysyłkę newslettera albo kontakt telefoniczny marketingowy.

Czy procedura zgód musi być osobnym dokumentem?

Nie zawsze. Procedura może być osobnym dokumentem albo częścią szerszej polityki ochrony danych. Kluczowe jest to, aby była zrozumiała dla pracowników, powiązana z CRM i możliwa do sprawdzenia podczas kontroli.

Czy można ponownie poprosić o zgodę po jej wycofaniu?

Można, ale trzeba zachować ostrożność. Jednorazowy komunikat administracyjny może być uzasadniony, jeżeli nie ma charakteru marketingowego. Regularne ponawianie próśb o zgodę po jej cofnięciu może zostać ocenione jako obchodzenie decyzji osoby.

Źródła i literatura

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, art. 4, 5, 6, 7, 13, 14, 83, EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj/pol.
2. Europejska Rada Ochrony Danych, Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679, 4 maja 2020 r.: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_pl.
3. Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, wejście w życie 10 listopada 2024 r.: https://eli.gov.pl/eli/DU/2024/1221/ogl.
4. Prezes Urzędu Ochrony Danych Osobowych, materiały edukacyjne dotyczące RODO i rozliczalności administratora danych: https://uodo.gov.pl.
5. Trybunał Sprawiedliwości Unii Europejskiej, sprawa C-673/17 Planet49, wyrok z 1 października 2019 r., dotyczący aktywnej zgody i plików cookies.