RODO w praktyce — zgoda marketingowa i rejestracja uczestników

RODO — Rozporządzenie PE 2016/679. Polska ustawa o ochronie danych osobowych (Dz.U. 2019 poz. 1781). Każdy blog, który zbiera maile do newslettera, podlega RODO. Każdy event, który zbiera dane uczestników przy rejestracji, podlega RODO. To nie jest opcja. To obowiązek prawny z realnymi sankcjami.

Sankcje: Prezes UODO może nałożyć karę do 20 000 000 EUR lub 4% rocznego obrotu (wyższa kwota). W Polsce: realne kary w 2024–2025 dla firm — od 10 000 PLN do 500 000 PLN za brak zgody marketingowej, brak obowiązku informacyjnego, brak rejestracji czynności przetwarzania. Dla blogerów i organizatorów: ryzyko realne, ale skala kar dostosowana do skali działalności.

Obowiązek informacyjny — art. 13 RODO. Moment: w momencie zbierania danych. Forma: clear, plain language. Treść: kto jest administratorem danych (twoja JDG z danymi), cel przetwarzania (newsletter, rejestracja na event), podstawa prawna (zgoda — art. 6 ust. 1 lit. a RODO), okres przechowywania (standard: do odwołania zgody), prawo do usunięcia danych (art. 17 RODO — "prawo do bycia zapomnianym"), prawo do skargi do UODO. Standardowa klauzula informacyjna: 1 500–2 500 znaków.

Zgoda marketingowa — art. 6 ust. 1 lit. a RODO plus ustawa o świadczeniu usług drogą elektroniczną (art. 10). Wymogi: dobrowolna (checkbox niezaznaczony domyślnie), konkretna (cel: "zgadzam się na otrzymywanie newslettera", nie "zgadzam się na przetwarzanie danych"), jednoznaczna (podwójny opt-in — mail potwierdzający), możliwość wycofania w każdej chwili (link unsubscribe w każdej wiadomości). Bez podwójnego opt-in: ryzyko, że zgoda jest nieważna. Realna praktyka polskich blogerów: 60–70% używa podwójnego opt-in. 30% ryzykuje.

Rejestracja uczestników eventu — jakie dane zbierać? Minimum: imię, nazwisko, mail. Opcjonalnie: firma, stanowisko, preferencje tematyczne. Nigdy: PESEL, dane wrażliwe (art. 9 RODO — zdrowie, religia, polityka). Cel: organizacja eventu plus komunikacja przed/po evencie. Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO) — udział w evencie. Osobna zgoda potrzebna: na marketing (newsletter po evencie), na zdjęcia/filmy (zgoda na wizerunek).

Rejestracja czynności przetwarzania (art. 30 RODO). Obowiązek: każdy administrator danych musi prowadzić rejestr. Elementy: nazwa czynności (np. "newsletter blogowy"), cele przetwarzania, kategorie osób (subskrybenci), kategorie danych (email, imię), okres przechowywania, opis zabezpieczeń. Dla JDG: prosty arkusz kalkulacyjny lub darmowy szablon z UODO. Koszt: 0 PLN. Ryzyko braku: kara UODO.

Polityka prywatności na stronie. Elementy: administrator (JDG, adres, NIP), dane kontaktowe, cele przetwarzania, podstawy prawne, okres przechowywania, prawa osoby, informacja o plikach cookies, oświadczenie o stosowaniu RODO. Bez polityki prywatności: naruszenie art. 13 RODO plus potencjalna skarga do UODO.

Cookies i remarketing. Zgoda na cookies: wymagana od 2022 (wyrok TSUE plus wytyczne UODO). Mechanizm: baner cookies z opcją zaakceptuj/odrzuć. Preferencje: możliwość wyboru kategorii (niezbędne, analityczne, marketingowe). Brak zgody: nie możesz używać cookies marketingowych (Facebook Pixel, Google Ads). Alternatywa: anonimowa agregacja danych bez cookies. Dla blogerów używających Facebook Pixel bez zgody: ryzyko kary UODO plus ograniczenia platformy.

Case: mały organizator warsztatów (20–40 osób). Zbiera: imię, nazwisko, mail. Po evencie wysyła ofertę kolejnych warsztatów. Bez zgody marketingowej: naruszenie art. 6 RODO. Uczestnik skarży do UODO. Kara: 10 000–50 000 PLN. Koszt zgodnego rozwiązania: formularz rejestracji z checkboxem "chcę otrzymywać informacje o przyszłych wydarzeniach" plus polityka prywatności. Koszt implementacji: 0–200 PLN (wtyczka do systemu rezerwacji).

RODO dla działalności nierejestrowanej. Te same obowiązki. Limit 3 499,50 PLN miesięcznie nie zwalnia z RODO. Każdy, kto zbiera dane, jest administratorem. Nie ma wyjątku dla małych firm. Brak świadomości nie jest obroną.

Narzędzia. Generator polityki prywatności: RODO-Pomoc.pl, IAB Polska (darmowe szablony). Systemy mailingowe: MailerLite, FreshMail (polskie serwery), GetResponse (zgodne z RODO). Formularze rejestracji: Evenea, zobacz, Typeform (zgodne z RODO). Rejestr czynności: szablon PDF z UODO (darmowy). Koszt zgodności: 0–500 PLN jednorazowo plus 100–300 PLN/mies. za narzędzia mailingowe.

Wniosek: RODO w małej skali to nie biurokracja. To 3 dokumenty (polityka prywatności, klauzula informacyjna, rejestr czynności) plus 2 mechanizmy (podwójny opt-in, baner cookies). Koszt: niski. Ryzyko braku: realne kary i utrata zaufania odbiorców. Zgodność RODO to nie koszt — to warunek prowadzenia działalności w Polsce.