Co musi mieć strona firmowa? Obowiązki w 2026

Zwykła strona firmowa w Polsce potrzebuje pięciu rzeczy: danych firmy, polityki prywatności, prawidłowej zgody na cookie, klauzuli przy formularzu i certyfikatu SSL. Szósta - regulamin - dotyczy tylko części stron.

Brzmi prosto, a mimo to większość stron małych firm ma braki w co najmniej dwóch punktach. Najczęściej w tym, który wygląda na załatwiony: w banerze cookie.

Sześć elementów - sprawdź swoją stronę

Dane firmynazwa, adres, NIP, kontakt - najlepiej w stopce

Polityka prywatnościzawsze, gdy przetwarzasz dane - także przez analitykę

Zgoda na cookiePRZED załadowaniem narzędzi, nie po

Klauzula przy formularzukto przetwarza dane i gdzie znaleźć szczegóły

Certyfikat SSLadres na https, bez ostrzeżenia przeglądarki

Regulamintylko gdy sprzedajesz, prowadzisz konta lub newsletter

Pierwsze pięć dotyczy niemal każdej strony firmowej. Szóste - tylko części.

Dane firmy - kto to właściwie jest

Osoba, która trafia na Twoją stronę, ma prawo wiedzieć, z kim ma do czynienia. W praktyce oznacza to pełną nazwę działalności, adres, NIP i co najmniej jeden kanał kontaktu.

Przy jednoosobowej działalności nazwą jest imię i nazwisko z dopiskiem firmowym. Najprościej umieścić komplet w stopce - wtedy widać go na każdej podstronie, bez zastanawiania się, gdzie go szukać.

Polityka prywatności - kiedy jest obowiązkowa

Zawsze wtedy, gdy strona przetwarza dane osobowe. A to zdarza się znacznie częściej, niż się wydaje: wystarczy Google Analytics, osadzona mapa, film z serwisu zewnętrznego albo formularz kontaktowy.

Strona bez żadnego z tych elementów to dziś rzadkość, więc w praktyce polityka jest potrzebna niemal zawsze. Powinna odpowiadać na proste pytania: kto jest administratorem danych, jakie dane zbiera, po co, jak długo je trzyma, komu przekazuje i jakie prawa ma osoba, której dane dotyczą.

Odnośnik do polityki ma być w stopce - tam ludzie go szukają i tam jest dostępny z każdej strony.

Zgoda na cookie - tu wykłada się najwięcej stron

Sam baner nie wystarcza. Baner to interfejs. Liczy się to, kiedy narzędzia zaczynają zbierać dane.

Ta sama strona, dwa różne zachowania

Tak robi większość stron 1. strona się ładuje 2. analityka startuje i zbiera dane 3. pojawia się baner ze zgodą Zgoda dotyczy danych, które już zebrano. Obowiązek nie jest spełniony.

Tak powinno być 1. strona się ładuje 2. baner ze zgodą, analityka czeka 3. zgoda → dopiero teraz pomiar Odmowa też jest respektowana: bez zgody pomiar się nie uruchamia.

Sprawdzisz to sam: narzędzia deweloperskie, zakładka Sieć, odśwież bez klikania zgody.

Jeśli Google Analytics ładuje się razem ze stroną, a baner pojawia się obok, to zgoda dotyczy danych, które już zostały zebrane. Obowiązek nie jest spełniony - niezależnie od tego, jak baner wygląda i ile ma przycisków.

Sprawdzisz to sam w minutę. Otwórz stronę w trybie prywatnym, włącz narzędzia deweloperskie przeglądarki (F12), przejdź na zakładkę Sieć i odśwież stronę bez klikania zgody. Jeśli widzisz zapytania do serwisów analitycznych, masz odpowiedź.

Poprawne rozwiązanie polega na tym, że narzędzia startują dopiero po zgodzie, a odmowa jest respektowana - czyli przycisk „tylko niezbędne" faktycznie wyłącza pomiar, zamiast tylko chować baner.

Klauzula przy formularzu

W miejscu, w którym zbierasz dane, trzeba powiedzieć czyje one będą i gdzie znaleźć szczegóły. Jedno zdanie z odnośnikiem do polityki prywatności wystarcza.

Częste nieporozumienie: przy formularzu kontaktowym nie zawsze potrzebujesz zgody w postaci pola do zaznaczenia. Odpowiedź na zapytanie zwykle opiera się na innej podstawie niż zgoda. Czego natomiast potrzebujesz zawsze, to poinformowania - i to jest ta klauzula.

Zgoda z osobnym polem jest natomiast konieczna przy wysyłce marketingowej: newsletter, oferty, informacje handlowe. Ta zgoda musi być odrębna i dobrowolna, czyli nie może być warunkiem wysłania zapytania.

Certyfikat SSL

Adres ma zaczynać się od https, bez ostrzeżenia przeglądarki. Dziś to standard wliczony w większość hostingów i nie ma powodu, żeby go nie mieć.

Poza wymogiem formalnym jest to kwestia zaufania: przeglądarki oznaczają strony bez certyfikatu jako niebezpieczne, a przy formularzu kontaktowym potrafią wyświetlić ostrzeżenie w środku wypełniania.

Regulamin - kiedy jest potrzebny

Na stronie, która tylko informuje o usługach - nie. Staje się konieczny, gdy świadczysz usługę drogą elektroniczną: sprzedajesz, prowadzisz konta użytkowników, udostępniasz pliki do pobrania po rejestracji albo wysyłasz newsletter.

Sklep internetowy to osobna kategoria z dodatkowymi obowiązkami wobec konsumentów - prawo odstąpienia, informacja o cenie, reklamacje. To temat na osobny tekst i na rozmowę z prawnikiem, a nie na wzór skopiowany z internetu.

Co realnie grozi za braki

Przepisy przewidują górny pułap kar do 20 mln euro lub 4% rocznego obrotu, ale to wartości przewidziane dla najpoważniejszych naruszeń przy dużych podmiotach. W praktyce polski organ nadzorczy nakłada kary od kilku tysięcy do kilkuset tysięcy złotych, zależnie od skali i wielkości firmy.

Dla małej firmy realnym ryzykiem nie jest jednak kontrola z urzędu, tylko skarga konkretnej osoby - niezadowolonego klienta albo konkurenta. Postępowanie zaczyna się wtedy od wezwania do wyjaśnień, a nie od kary, więc uporządkowana strona zwykle kończy sprawę na tym etapie.

Warto też pamiętać o rzeczy prostszej: te elementy są widoczne. Strona bez danych firmy i bez polityki prywatności wygląda na prowizoryczną, niezależnie od tego, co mówi prawo.

FAQ - obowiązki strony firmowej

Czy strona wizytówkowa bez formularza też potrzebuje polityki prywatności?

Zwykle tak. Wystarczy, że strona korzysta z Google Analytics, osadza mapę albo film, żeby przetwarzać dane osobowe w rozumieniu przepisów. Polityka jest wymagana zawsze wtedy, gdy dane użytkowników są przetwarzane - a bez narzędzi zewnętrznych zdarza się to dziś rzadko.

Czy sam baner cookie wystarczy?

Nie. Baner to tylko interfejs. Liczy się to, kiedy narzędzia zaczynają zbierać dane. Jeśli Google Analytics ładuje się przed kliknięciem zgody, obowiązek nie jest spełniony - niezależnie od tego, jak ładnie baner wygląda.

Jakie dane firmy muszą być na stronie?

Pełna nazwa działalności, adres, NIP oraz co najmniej jeden kanał kontaktu. Przy jednoosobowej działalności to imię i nazwisko z dopiskiem firmy. Najprościej umieścić je w stopce, żeby były na każdej podstronie.

Czy potrzebuję regulaminu na zwykłej stronie firmowej?

Na stronie, która tylko informuje - nie. Regulamin staje się konieczny, gdy świadczysz usługę drogą elektroniczną: sprzedajesz, prowadzisz konta użytkowników albo wysyłasz newsletter. Wtedy potrzebujesz też odrębnej zgody na wysyłkę.

Jakie są realne kary za brak tych elementów?

Przepisy przewidują górny pułap do 20 mln euro lub 4% rocznego obrotu, ale w praktyce polski organ nadzorczy nakłada kary od kilku tysięcy do kilkuset tysięcy złotych, zależnie od skali naruszenia i wielkości firmy. Dla małej firmy realnym ryzykiem jest raczej skarga klienta niż kontrola z urzędu.

Podsumowanie

Pięć rzeczy dotyczy niemal każdej strony firmowej: dane firmy, polityka prywatności, prawidłowa zgoda na cookie, klauzula przy formularzu i certyfikat SSL. Regulamin dochodzi wtedy, gdy sprzedajesz albo prowadzisz konta użytkowników.

Najczęstszy błąd nie polega na braku banera cookie, tylko na tym, że baner jest, a analityka i tak startuje przed zgodą. Sprawdzenie tego zajmuje minutę i warto zacząć właśnie od tego.

Jeśli planujesz nową stronę, te elementy powinny być w zakresie od początku - opisałem, o co jeszcze pytać wykonawcę, w tekście jak wybrać wykonawcę strony internetowej.