RODO w marketingu – Jak prowadzić marketing zgodnie z RODO

Prowadzenie działań marketingowych RODO to jak jazda po autostradzie z zawiązanymi oczami. Możesz mieć szczęście i dojechać do celu, ale prawdopodobnie skończysz z mandatem… lub gorzej. W świecie, gdzie Urząd Ochrony Danych Osobowych nakłada kary liczone w milionach złotych, ignorowanie przepisów o ochronie danych osobowych to luksus, na który nie może sobie pozwolić żadna firma – niezależnie od wielkości.

Najczęstsze naruszenia? Brak odpowiednich zgód, niewłaściwe podstawy prawne przetwarzania danych, chaos w dokumentacji. A przecież działania marketingowe prowadzone zgodnie z prawem to nie rocket science – wystarczy znać kilka kluczowych zasad.

Potrzebujesz audytu swoich działań marketingowych pod kątem RODO? Skontaktuj się z nami, aby umówić się na bezpłatną konsultację. Sprawdzimy Twoje największe ryzyka i podpowiemy, od czego zacząć porządkowanie. Czasem wystarczy kilka zmian, by znacząco zwiększyć bezpieczeństwo prawne.

Jakie kary grożą za naruszenie RODO w marketingu?

💡 Kary za naruszenie RODO w marketingu mogą wynieść do 20 mln EUR lub 4% rocznego obrotu firmy – w zależności od tego, która kwota jest wyższa. Dodatkowo grozi utrata reputacji, odpowiedzialność cywilna wobec poszkodowanych oraz blokada narzędzi marketingowych jak Google Ads czy Facebook.

Wyobraź sobie taką sytuację: prowadzisz skuteczną kampanię marketingową, która generuje setki leadów miesięcznie. Newsletter ma świetne otwarcia, remarketing działa jak szwajcarski zegarek. Nagle dostajesz pismo z Urzędu Ochrony Danych Osobowych. Kontrola.

Okazuje się, że Twoje zgody marketingowe są nieprawidłowe, brakuje umów powierzenia z agencją, a dane klientów przechowujesz bez określonego celu. Kara? Nawet kilkaset tysięcy. To nie fikcja – to rzeczywiste kwoty kar nakładanych na polskie firmy.

Kary finansowe nakładane przez Prezesa Urzędu Ochrony Danych Osobowych mieszczą się w bardzo szerokim przedziale — od kilkudziesięciu tysięcy do nawet kilku milionów złotych. Ich wysokość zależy od wielu elementów, takich jak: rozmiar czy charakter przetwarzanych informacji, a także stopień współpracy organizacji z organem nadzorczym. Co istotne, należy zapamiętać, że jeżeli są nakładane to są to kary o raczej znaczącej wysokości niż symboliczne.

Dlaczego właściciele firm i marketerzy często bagatelizują kwestie związane z ochroną danych osobowych? Bo wydaje im się, że:

• „nas to nie dotyczy, jesteśmy za mali”,
• „zawsze tak robiliśmy i było ok”,
• „konkurencja też tak robi”,
• „RODO to hamulec marketingu”.

Prawda jest jednak zupełnie inna. Przestrzeganie podstaw prawnych przetwarzania danych osobowych w działaniach marketingowych to inwestycja, która się zwraca poprzez większe zaufanie klientów, lepszą jakość bazy danych i eliminację ryzyka kosztownych kar.

Praktyczna wskazówka: Wdrażaj zasadę privacy by design od samego początku planowania kampanii. Zamiast pytać „czy musimy stosować RODO?”, zapytaj „jak zrobić to zgodnie z zasadami przetwarzania danych osobowych?”. Ta zmiana perspektywy pozwoli Ci uniknąć sporej ilości problemów prawnych w marketingu.

Które działania marketingowe wymagają zgodności z RODO?

💡 RODO dotyczy KAŻDEGO działania marketingowego, w którym przetwarzasz dane osobowe – czyli informacje pozwalające zidentyfikować konkretną osobę. Obejmuje to newslettery, remarketing, konkursy, webinary, ale także zwykły formularz kontaktowy czy piksel Facebooka.

Moment przetwarzania zaczyna się wcześniej niż myślisz:

• piksel remarketingowy = już przetwarzasz dane,
• formularz kontaktowy = przetwarzanie,
• upload bazy do Facebook Custom Audiences = przetwarzanie.

Przetwarzanie danych osobowych w marketingu zaczyna się znacznie wcześniej niż myślisz. Moment, gdy odwiedzający Twoją stronę zostaje oznaczony pikselem remarketingowym? To już przetwarzanie. Zebranie adresu e-mail do newslettera? Oczywiście. Ale także przechowywanie danych z formularza kontaktowego, nawet jeśli nie wysyłasz żadnych materiałów marketingowych.

Przyjrzyjmy się konkretnym przykładom działań marketingowych, które wymagają zgodności z RODO:

• newslettery i e-mail marketing – klasyka gatunku,
• remarketing i retargeting – śledzenie użytkowników w sieci,
• Facebook Custom Audiences – upload bazy mailingowej do Facebooka,
• Google Ads Customer Match – podobnie jak wyżej, tylko w Google,
• kampanie influencerskie – gdy zbierasz dane influencerów, aby zawrzeć z nimi umowę,
• konkursy i loterie promocyjne – przetwarzanie danych uczestników,
• webinary i wydarzenia online – rejestracja uczestników,
• lead magnety – e-booki, checklisty w zamian za dane.

Takie pomysły jak wykorzystywanie narzędzi do śledzenia zachowań użytkowników na stronie, które automatycznie zbierała adresy IP i przypisuje je do konkretnych firm, jakkolwiek może zostać uznane za genialne tak niestety jest ryzykowne.

IP samodzielnie może być uznane za danę osobową, a tym bardziej w połączeniu z innymi danymi osobowymi w ogóle. W połączeniu z innymi danymi oznacza spełnienie wymogów dotyczących przetwarzania danych osobowych, gdzie konieczne jest posiadanie odpowiedniej podstawy do ich przetwarzania. 

Ważne: Nawet jeśli korzystasz z narzędzi marketingowych „w chmurze”, to Ty jako administrator danych odpowiadasz za zgodność z RODO. Google Analytics, Facebook Pixel, Mailchimp – to tylko narzędzia. Odpowiedzialność spoczywa na Tobie.

Dane osobowe w marketingu – czym są?

💡 Dane osobowe to wszystkie informacje, które pozwalają zidentyfikować konkretną osobę – bezpośrednio (imię, nazwisko) lub pośrednio (IP, ID reklamowe). W marketingu w kontekście RODO najczęściej przetwarzane są: adresy e-mail, numery telefonów, dane behawioralne, historię zakupów i interakcji.

RODO definiuje dane osobowe bardzo szeroko. To nie tylko oczywiste informacje jak imię i nazwisko, ale wszystko, co pozwala wyodrębnić konkretną osobę z tłumu.

Adres e-mail jan.kowalski@firma.pl? Oczywiście. Ale także dynamiczny adres IP, cookie ID, czy pixel Facebooka przypisany do użytkownika. Nawet adres ksiegowosc@firma.pl może być daną osobową, jeżeli administrator danych osobowych wie o tym, że w danej firmie jest jedna księgowa i to tylko ona zawiaduje tą skrzynką mailową. 

W kontekście marketingu szczególnie istotne jest zrozumienie, że danymi osobowymi są również:

• identyfikatory online (cookies, ID urządzeń mobilnych),
• dane lokalizacyjne (nawet przybliżone),
• dane behawioralne (historia przeglądania, zakupów),
• dane profilowe (zainteresowania, preferencje).

Kiedy dane przestają być osobowe?

Tu pojawia się rozróżnienie między anonimizacją a pseudonimizacją.

Anonimizacja to nieodwracalne pozbawienie danych cech umożliwiających identyfikację. Jeśli w Google Analytics widzisz tylko zagregowane statystyki (np. „30% użytkowników z Warszawy”), to nie są to dane osobowe.

Ale jeśli możesz prześledzić ścieżkę konkretnego użytkownika (nawet oznaczonego jako „User123”), to mamy do czynienia z pseudonimizacją – a to nadal dane osobowe które mieszczą się w zakresie ochrony danych osobowych w rozumieniu RODO.

Praktyczny test: Zadaj sobie pytanie – czy łącząc te informacje z innymi danymi (nawet potencjalnie dostępnymi), możesz zidentyfikować konkretną osobę? Jeśli tak, to przetwarzasz dane osobowe i musisz stosować rozporządzenie.

Administrator, współadministrator czy podmiot przetwarzający – kim jesteś w świecie przepisów RODO?

💡 W kontekście danych w marketingu zazwyczaj działasz jako administrator danych (decydujesz o celach i sposobach przetwarzania) lub współadministratorem (dzielisz tę odpowiedzialność np. z Facebookiem). Agencja marketingowa w przypadku danych zbieranych na rzecz swoich klientów zazwyczaj jest podmiotem przetwarzającym, chyba że sama decyduje o celach przetwarzania.

Określenie swojej roli to fundament zgodności z RODO. Brzmi jak prawniczy żargon, ale w praktyce jest to proste. Administrator to ten, kto decyduje PO CO i JAK przetwarza dane. Prowadzisz własny sklep i wysyłasz newsletter? Jesteś administratorem. Zlecasz to agencji? Nadal jesteś administratorem, a agencja jest podmiotem przetwarzającym.

Współadministrowanie to bardziej skomplikowana sytuacja. Zgodnie z art. 26 RODO ze współadministrowaniem mamy do czynienia wtedy, gdy co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania danych osobowych. Są równorzędnymi partnerami w przetwarzaniu danych osobowych a żaden nie działa na zlecenie drugiego. 

Klasyczny przykład: Facebook Fanpage. Ty i Facebook wspólnie decydujecie o celach przetwarzania danych osobowych odwiedzających Twoją stronę. Podobnie z LinkedIn czy Google Ads – w pewnych aspektach jesteście współadministratorami.

Dlaczego to takie ważne? Bo od roli zależą Twoje obowiązki:

• administrator – pełna odpowiedzialność, wszystkie obowiązki z RODO,
• współadministrator – dzielona odpowiedzialność, konieczność zawarcia umowy,
• podmiot przetwarzający – działa wyłącznie na polecenie administratora, na podstawie umowy powierzenia danych.

Przykład z życia: Agencja marketingowa XYZ prowadzi kampanię dla klienta. Klient przekazuje bazę mailingową i mówi „wyślijcie tym osobom ofertę”. Agencja jest podmiotem przetwarzającym. A  jeśli agencja sama zbiera leady na swojej stronie i przekazuje je klientowi? Też jest podmiotem przetwarzającym. Jeżeli jednak zbiera te leady dla siebie, budując swoją własną bazę marketingową, z której pozwala korzystać swoim klientom? Wtedy może być administratorem tych danych. Diabeł tkwi w szczegółach.

Na jakiej podstawie możesz przetwarzać dane osobowe w celach marketingowych? 

💡 Marketing możesz prowadzić na podstawie zgody (art. 6 ust. 1 lit. a RODO) lub w oparciu o prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO). Wybór zależy od rodzaju działań, relacji z klientem i przeprowadzonego testu równowagi.

Aby działać zgodnie z rozporządzeniem trzeba mieć podstawę przetwarzania danych osobowych. Czy zawsze będzie to ta sama podstawa? Niekoniecznie – do wyboru jest m.in. zgody użytkownika, uzasadniony interes a także zawarcie umowy lub obowiązki prawne. W przypadku przetwarzania danych osobowych w celach marketingowych będziemy mieć jednak do czynienia głównie z tymi dwoma pierwszymi.  

Zgoda na przetwarzanie danych osobowych

Zgoda na przetwarzanie danych osobowych to najprostsza, ale i najbardziej wymagająca podstawa. Musi być dobrowolna, konkretna, świadoma i jednoznaczna. Oznacza to, że checkboxy w formularzach nie mogą być domyślnie zaznaczone, treść zgody musi być zrozumiała, a osoba musi mieć realny wybór.

Gdy nie trzeba zgody – uzasadniony interes

Prawnie uzasadniony interes to święty Gral marketingu. Pozwala na przetwarzanie bez zgody, ale wymaga spełnienia trzech warunków:

• masz realny i konkretny interes (np. marketing własnych produktów),
• przetwarzanie jest niezbędne do realizacji tego interesu,
• Twój interes przeważa nad prawami osoby (test równowagi).

Test równowagi to kluczowy element. Musisz rozważyć:

• czego może oczekiwać osoba, której dane przetwarzasz,
• jak inwazyjne jest przetwarzanie,
• jakie mogą być konsekwencje dla tej osoby,
• czy zapewniasz odpowiednie gwarancje (np. łatwą rezygnację).

Jak zgodnie z prawem prowadzić newsletter i marketing bezpośredni?

💡 Newsletter wymaga spełnienia wymogów wynikających z RODO (podstawa przetwarzania danych) oraz Prawa komunikacji elektronicznej (PKE) w postaci zgody na kontakt na otrzymywanie informacji handlowej. W praktyce oznacza to konieczność uzyskania wyraźnej zgody subskrybenta i zapewnienia mu łatwej możliwości rezygnacji.

Newsletter to nie tylko kwestia RODO. Wchodzi tu również Prawo komunikacji elektronicznej (PKE), które zastąpiło w tym zakresie postanowienia UŚUDE oraz Prawa telekomunikacyjnego. Nie wpłynęło to jednak na wymóg zgody na przesyłanie informacji handlowej.  

PKE mówi wyraźnie, że Zakazane jest używanie telekomunikacyjnych urządzeń końcowych lub automatycznych systemów wywołujących dla celów marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę.

Wystarczy jedna zgoda, ta wynikająca z PKE, jeżeli na podstawie RODO uznajesz, że przetwarzasz dane na podstawie uzasadnionego interesu. 

Prawidłowy proces subskrypcji newslettera powinien wyglądać tak:

• jasna informacja, na co się zapisujesz,
• checkbox niezaznaczony domyślnie,
• potwierdzenie subskrypcji (double opt-in) – zalecane, chociaż nie  zawsze obowiązkowe,
• link do polityki prywatności,
• informacja o możliwości rezygnacji.

Double opt-in to dobra praktyka, choć RODO jej nie wymaga. PKE też nie. Ale znacząco zwiększa jakość bazy (eliminujesz błędne adresy) i dajesz sobie dowód zgody. W razie kontroli będziesz mógł pokazać, że osoba nie tylko zaznaczyła checkbox, ale też potwierdziła chęć otrzymywania newslettera.

Częsty błąd: Firma zbiera adresy e-mail „do faktury” i automatycznie dodaje do newslettera. To naruszenie! Zgoda musi być na konkretny cel. Jeśli ktoś podał maila do realizacji zamówienia, nie możesz go wykorzystać do marketingu bez dodatkowej zgody.

Pamiętaj jednak, że obowiązuje zasada – jeden kanał komunikacji = jedna zgoda. Zgoda na wysyłanie maili, nie oznacza, że można mu wysyłać smsy i do niego dzwonić. 

📌 Dowiedz się więcej! Przeczytaj artykuł: Legalny newsletter i lead magnet 2025 – krok po kroku

Kiedy mogę prowadzić marketing bez zgody na przesyłanie informacji handlowej?

💡 Jeżeli Twój marketing obejmuje wysyłanie informacji handlowych – zawsze wymagana jest wyraźna zgoda użytkownika końcowego na jej przesłanie. Jeżeli myślisz o innych formach reklamy, jak np. adsy czy bilboardy – tutaj już wystarczy zasadniczo zgoda podmiotu, który je będzie umieszczał. Pamiętaj, że obowiązek uzyskania zgody obejmuje wszystkie rodzaje klientów – zarówno B2B jak i B2C.   

Największy mit RODO w marketingu: „na wszystko trzeba mieć zgodę”. To nieprawda. Prawnie uzasadniony interes administratora danych osobowych to równoprawna podstawa, która w wielu sytuacjach jest bardziej praktyczna niż zgoda. Natomiast inne przepisy mogą takiej zgody wymagać! Jest nim Prawo Komunikacji Elektronicznej, które zastąpiło wcześniejszą ustawę o świadczeniu usług drogą elektroniczną. 

Zgodnie z tą regulacją, aby przesyłać jakiejkolwiek osobie fizycznej (tak, w przypadku B2B również po drugiej stronie ekranu siedzą ludzie!) informację handlową musisz uzyskać jej zgodę. 

Oznacza to, że nawet jeżeli na podstawie RODO możesz zasłonić się Twoim uzasadnionym interesem i wskazać, że przetwarzanie danych osobowych jest niezbędne do prowadzenie marketingu bezpośredniego tak zgodnie z PKE – i tak musisz uzyskać zgodę. 

Co w takim razie daje przyjęcie jako podstawy przetwarzania uzasadnionego interesu zamiast zgody na wykorzystanie? Jest wygodniejsze oraz pozwala na minimalizację ilości checkboxów! 

📌 Dowiedz się więcej! Przeczytaj artykuł: Czy pozyskiwanie leadów sprzedażowych z LinkedIn jest zgodne z prawem?

Jak prowadzić konkursy i kampanie influencerskie zgodnie z rozporządzeniem o ochronie danych osobowych?

💡 Każda aktywacja marketingowa czy kampania influencerska wymaga jej zaplanowania zgodnie z RODO i zasadą privacy by desing oraz wyraźnego określenia ról każdej z osób w niej uczestniczących. W przypadku konkursów, agencja działająca na zlecenie swojego klienta musi ustalić, czy jest organizatorem w rozumieniu przepisów a zatem czy będzie administratorem danych lub współadministratorem wraz z swoim klientem, czy wykonuje tylko czynności techniczne i nie działa w swoim imieniu (a zatem będzie podmiotem przetwarzającym.

W przypadku kampanii influencerskich również jest istotne ustalenie roli agencji – czy to ona będzie zawierać umowy z Influencerami (i będzie administratorem) czy zaś tylko poszukuje Influencera (a wtedy może zostać uznana za podmiot przetwarzający. Należy pamiętać o konieczności minimalizacji danych (zbieraj tylko niezbędne), oraz pełnej informacji dla osób, których dane dotyczą. 

Pamiętaj, że podstawową zasadą wynikającą z RODO jest privacy by design. Planując jakiekolwiek działanie – weź pod uwagę ochronę danych osobowych. 

Zacznij od tego, aby ustalić, kto jest kim i czy w danym wypadku jesteś administratorem danych czy podmiotem przetwarzającym. 

W przypadku konkursów? Jeżeli jesteś organizatorem konkursu to zwykle będziesz administratorem, ponieważ masz pełną decyzyjność co do tego, co dzieje się z danymi osobowymi. Jeżeli jednak działasz tylko na zlecenie klienta i wykonujesz typowo czynności techniczne, a organizacją zajmuje się klient – wtedy będziesz najprawdopodobniej podmiotem przetwarzającym. 

Konkursy marketingowe to pole minowe RODO. Podstawowy błąd? Zbieranie nadmiarowych danych. Do prostego konkursu „wygraj książkę” nie potrzebujesz daty urodzenia, numeru buta i znaku gwiezdnego. Wystarcza imię i nazwisko oraz kontakt do powiadomienia o wygranej i wysłania nagrody.

Zasada minimalizacji danych oznacza:

• zbieraj tylko to, co naprawdę potrzebne,
• uzasadnij każde pole w formularzu,
• nie wykorzystuj danych do celów, o których wcześniej nie poinformowałeś. 

Zebraną bazę uczestników konkursu chcesz wykorzystać do marketingu? Potrzebujesz osobnej zgody, nie możesz „przy okazji” dodać uczestników do newslettera, musisz też pamiętać o możliwości cofnięcia zgody i zapewnić prawo dostępu do danych.

Pamiętaj, aby wyraźnie poinformować uczestników jak będziesz przetwarzać ich dane, przekazując im klauzulę informacyjną. 

📌 Dowiedz się więcej! Przeczytaj artykuł: Jak zorganizować konkurs lub rozdanie w social mediach?

Kampanie influencerskie są podobnie skomplikowane. Czy to agencja, która reprezentuje Influencera jest administratorem jego danych? Z pewnością. A co z agencją, która reprezentuje klienta, który chce zaangażować Influencera do swojej kampanii? Też, jeżeli zawiera z Influencerem bezpośrednią umowę. 

Jeżeli jednak rolą agencji jest tylko pozyskanie danych Influencera i przekazanie ich klientowi – mogą działać jako podmiot przetwarzający. Ewentualnie, może być tak, że klient i agencja są współadministratorami jeżeli wspólnie decydują o wyborze poszczególnych Influencerów do kampanii. 

A to nie są jeszcze najtrudniejsze przypadki! Najgorzej jest w sytuacji konkursów, organizowanych wraz z Influencerami. Kto jest administratorem, gdy influencer organizuje konkurs dla swoich obserwujących, ale nagrody funduje Twoja firma? To zależy od tego, kto decyduje o zasadach i celach. Możecie być współadministratorami, co wymaga zawarcia odpowiedniej umowy, skoro robicie to wspólnie. A co, jeżeli do tego całego galimatiasu dodamy jeszcze agencję marketingową – może być ciekawie! Warto więc na wstępie ustalić – kto jest kim, kto się czym zajmuje, aby na podstawie tego przygotować odpowiednie dokumenty. 

📌 Dowiedz się więcej! Przeczytaj artykuł: Umowa z influencerem – Kompletny przewodnik po umowie współpracy z influencerem

Najczęstsze błędy RODO przy prowadzeniu działań marketingowych – jak ich uniknąć?

💡 Najczęstsze błędy to brak umów powierzenia z agencjami, niewłaściwe formularze zgód, przechowywanie danych „na zapas”, brak procedur realizacji praw osób oraz chaos w dokumentacji. Większości można uniknąć przez świadome planowanie i systematyczne podejście.

Top 5 błędów RODO w marketingu, które mogą Cię drogo kosztować

1. Brak umów powierzenia przetwarzania danych.

Ważne jest ustalenie roli Twojej i Twojego podwykonawcy w tym przetwarzaniu a problemem, gdy błędnie tą rolę ustalisz. Ustal, czy jesteś podmiotem przetwarzającym czy administratorem danych. 

Jeżeli powierzenie następuje, bo np. korzystasz z usług podmiotów zewnętrznych przetwarzających dane osobowe w Twoim imieniu (np. agencji marketingowej, hostingodawcy itd. – konieczne jest zawarcie umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Inaczej tej podmiot przetwarzający będzie traktowany jako administrator. 

W przypadku niektórych usług online, takich jak Mailchimp, Google Analytics czy platform reklamowych (np. Facebook Ads), ich regulamin może zastąpić konieczność podpisania standardowej umowy. Kluczowe jest jednak, aby umowa odpowiadała realnemu zakresowi współpracy i zawierała wszystkie informacje na temat przetwarzania danych wynikające z RODO. 

Jednak kluczowe jest, aby dokładnie sprawdzić każdy przypadek, ponieważ to administrator danych ponosi odpowiedzialność za legalność przetwarzania. Nie wystarczy więc przyjąć, że „regulamin zawsze wystarczy” – należy upewnić się, że:

• zakres przetwarzania danych przez podmiot zewnętrzny jest jasno określony,
• prawa i obowiązki stron odpowiadają wymogom RODO,
• istnieje realna możliwość nadzoru nad przetwarzaniem danych.

Brak umowy powierzenia w sytuacjach, gdy przepisy ją wymagają, może skutkować naruszeniem obowiązków RODO i narażać administratora danych na konsekwencje prawne, w tym potencjalne kary.

2. Zgody na zasadzie „może się przyda”.

Częstym błędem w praktyce RODO jest żądanie od użytkowników zgód na przetwarzanie danych wykraczających poza realne potrzeby. Przykład: „Wyrażam zgodę na przetwarzanie moich danych osobowych przez Firmę X w celach marketingowych” – przy czym w formularzu zbierane są informacje, które wcale nie są potrzebne do realizacji celu, np. pełne dane kontaktowe, data urodzenia czy numer buta, tylko „na wszelki wypadek”.

Zgodnie z zasadą minimalizacji danych (art. 5 RODO), administrator może przetwarzać tylko te dane, które są niezbędne do konkretnego celu. Zbieranie danych „na zapas” jest więc naruszeniem RODO. 

W praktyce oznacza to, że każde zbieranie danych powinno być ściśle dopasowana do konkretnego celu przetwarzania, a formularze nie powinny zawierać zbędnych pól, gdzie dane są zbierane „bo może kiedyś z nich skorzystamy”. 

3. Wieczne przechowywanie danych.

„Dane klientów to nasz kapitał” – słyszałem to setki razy. Problem w tym, że RODO wymaga określenia okresów przechowywania. Nie możesz trzymać danych „na wszelki wypadek” przez wieczność. Musisz wyraźnie określić, do kiedy będziesz przechowywać dane osobowe.

Oczywiście nie może to nastąpić w oderwaniu od Twoich podstaw przetwarzania. Nie usuniesz danych swojego stałego kontrahenta, tylko dlatego że współpracujecie już od 10 lat. O ile nie masz innej podstawy związanej z przetwarzaniem danych osobowych – nie trzymaj jednak nieaktywnych od wielu lat baz newsletterowych. 

4. Ignorowanie praw osób.

Klient chce usunąć dane? Zasadniczo musisz to zrobić (chyba że masz podstawę do odmowy). Chce kopię swoich danych? Sprawdź, czy masz obowiązek mu ją wydać. Brak procedur = chaos = niezadowolony klient = kontrola = problemy przy kontroli.

5. Brak dokumentacji.

RODO wymaga wykazania zgodności. Nie wystarczy „działać zgodnie”, musisz to udowodnić. Brak rejestru czynności przetwarzania, udokumentowanych testów równowagi, procedur – to proszenie się o kłopoty.

Jak uniknąć tych błędów?

Zacznij od podstaw. Przeprowadź audyt swoich działań marketingowych. Sprawdź: jakie dane zbierasz, na jakiej podstawie, gdzie je przechowujesz, komu je przekazujesz. To punkt wyjścia do uporządkowania.

Jak wdrożyć RODO w marketingu krok po kroku?

Odpowiedź: Wdrożenie RODO w marketingu zacznij od audytu obecnych działań, następnie przygotuj niezbędną dokumentację (procedury, klauzule, umowy), przeszkol zespół i wprowadź system regularnego monitoringu zgodności. To proces, nie jednorazowa akcja.

Wdrożenie RODO w dziale marketingu to maraton, nie sprint. Ale da się to zrobić systematycznie, bez paraliżu całej działalności. Oto praktyczny plan działania:

Krok 1: Audyt status quo. 

Spisz wszystkie działania marketingowe i używane narzędzia. Newsletter? CRM? Pixel Facebooka? Google Analytics? Dla każdego określ: jakie dane zbiera, na jakiej podstawie, gdzie są przechowywane, kto ma dostęp.

Krok 2: Analiza luk.

Porównaj stan faktyczny z wymogami RODO. Najczęstsze luki: brak zgód, niewłaściwe klauzule informacyjne, brak umów z podwykonawcami, nieokreślone okresy przechowywania.

Krok 3: Przygotowanie dokumentacji i wdrożenie zmian do swoich procesów. 

To najtrudniejszy etap. Zwykle potrzebujesz m.in.:

• zaktualizowanych klauzul informacyjnych,
• formularzy zgód (jeśli to Twoja podstawa),
• umów powierzenia z wszystkimi narzędziami i agencjami,
• niezbędnych procedur i rejestrów.

Pamiętaj, że samo wdrożenie dokumentów to nie wszystko – one muszą być stosowane i odpowiadać temu, jak prowadzisz swoje procesy. Wdrożenie RODO może wymagać też zmiany niektórych procesów, jak np. wprowadzenie zakazu przesyłania newslettera, do osób które się na jego otrzymywanie nie zgodziły! 

Krok 4: Szkolenie zespołu.

RODO to nie tylko papiery. To zmiana myślenia. Twój zespół musi rozumieć: dlaczego to ważne, jakie są zasady, gdzie szukać pomocy. Regularne przypominanie jest kluczowe.

Krok 5: Monitoring i aktualizacja. 

RODO compliance to nie stan, to proces. Nowe narzędzie? Sprawdź czy dostatecznie chroni dane. Uzupełnij dokumentację. Nowa kampania? Przemyśl podstawę prawną. Zmiana w prawie? Zaktualizuj procedury.

Złota rada: Nie czekaj na „idealny moment”. Zacznij od największych ryzyk i systematycznie poprawiaj. 

📌 Dowiedz się więcej! Przeczytaj artykuł: Jak wdrożyć RODO w agencji marketingowej?

Najczęściej zadawane pytania o RODO w marketingu (FAQ)

Czy mogę kupić bazę mailingową i wysyłać na nią oferty?

Nie. Kupowanie baz danych jest niezgodne z RODO. Osoby z takiej bazy nie wyraziły zgody na otrzymywanie od Ciebie komunikacji, a Ty nie masz podstawy prawnej do przetwarzania ich danych. Kara może wynieść nawet 20 mln EUR.

Jak długo mogę przechowywać dane marketingowe?

Nie ma sztywnych terminów przechowywania danych marketingowych, ponieważ przetwarzanie danych wynika z różnych podstaw prawnych. Przepisy prawa, mogą na przykład nakładać obowiązek ich przechowywania przez określony czas np. przez 5 lat w przypadku danych podatkowych i 10 lat w przypadku dokumentacji pracowniczej. Kluczowe jest, aby nie przetrzymywać danych dłużej niż to konieczne do osiągnięcia celu przetwarzania i regularnie weryfikować aktualność oraz przydatność zgromadzonych danych. 

Czy muszę mieć zgodę na remarketing?

Tak, jeśli używasz plików cookies do śledzenia. Wyjątek: remarketing do własnych klientów może opierać się na prawnie uzasadnionym interesie, ale nadal potrzebujesz zgody osoby na cookies marketingowe.

Czy mogę wysyłać newsletter firmom bez zgody?

Nie. Wysyłanie informacji handlowych drogą elektroniczną wymaga zgody odbiorcy, niezależnie od tego, czy adresatem jest konsument, firma czy pracownik przedsiębiorcy.

Co grozi za brak klauzuli informacyjnej?

Brak klauzuli informacyjnej to poważne naruszenie obowiązków administratora danych, ponieważ uniemożliwia osobom, których dane dotyczą, korzystanie z przysługujących im praw i pełną kontrolę nad swoimi danymi. Kary przewidziane w RODO za tego rodzaju i podobne naruszenia wynoszą nawet do 20 milionów euro.  

 Czy Google Analytics wymaga zgody marketingowej?

Tak. Google Analytics używa plików cookies i przetwarza dane osobowe (w tym IP), stąd wymagana jest zgoda na zapisanie plików cookies na urządzeniu. Nie wynika ona jednak z RODO a z PKE. 

Kiedy mogę usunąć dane osobowe klienta?

Dane osobowe należy usuwać wtedy, gdy przestają być potrzebne do celu, dla którego zostały zebrane, z zachowaniem zasad RODO, w tym minimalizacji danych i ograniczenia przechowywania. Należy usuwać dane osobowe np:

• w przypadku cofnięcia zgody: jeśli zgoda była jedyną podstawą przetwarzania, dane powinny zostać usunięte lub zanonimizowane, chyba że istnieje inna podstawa prawna przetwarzania (np. obowiązek prawny).
• gdy został osiągnięty cel przetwarzania: dane należy usunąć lub zanonimizować, gdy cel, dla którego je przetwarzano, został zrealizowany.
• gdy został wniesiony skuteczny sprzeciw: jeśli osoba, której dane dotyczą, zgłasza sprzeciw wobec przetwarzania danych w celach marketingowych lub innych opartych na prawnie uzasadnionym interesie, należy zaprzestać przetwarzania i usunąć dane, o ile nie ma innej podstawy prawnej.

Oznacza to, że nie ma uniwersalnych terminów „automatycznego” usuwania danych – kluczowe jest, aby każda decyzja o usunięciu danych była oparta na konkretnym celu przetwarzania i obowiązujących przepisach prawa.

Podsumowanie – najważniejsze zasady prowadzenia działań marketingowych zgodnie z RODO

Temat przetwarzania danych osobowych w Marketingu to nie czarna magia. To kwestia zrozumienia kilku kluczowych zasad i konsekwentnego ich stosowania. Oto najważniejsze rzeczy do zapamiętania:

1. Zawsze określaj podstawę prawną – czy to zgoda, czy prawnie uzasadniony interes, musisz wiedzieć, dlaczego przetwarzasz dane.
2. Minimalizuj dane – zbieraj tylko to, co naprawdę potrzebne do osiągnięcia celu marketingowego.
3. Bądź transparentny – informuj jasno i zrozumiale, co robisz z danymi osobowymi.
4. Zapewnij kontrolę – łatwa rezygnacja, dostęp do danych, możliwość sprostowania to nie fanaberia, to prawo.
5. Dokumentuj działania – w razie kontroli musisz wykazać zgodność, nie tylko o niej opowiadać.
6. Zabezpiecz umownie relacje – każda agencja, każde narzędzie wymaga odpowiedniej umowy.
7. Określ okresy przechowywania – „na zawsze” nie istnieje w świecie RODO.
8. Szkol zespół regularnie – RODO to odpowiedzialność wszystkich, nie tylko prawnika.
9. Monitoruj zmiany – prawo ewoluuje, Twoje procedury też powinny.
10. Traktuj RODO jako przewagę – zgodny z prawem marketing buduje zaufanie i lojalność klientów.

Pamiętaj – przestrzeganie RODO nie jest takim problemem, jak sie wydaje a jego celem nie jest zablokowanie marketingu, ale uczynienie go bardziej przejrzystym i uczciwym. Klienci, którzy ufają, że szanujesz ich prywatność, są bardziej lojalni i wartościowi. To inwestycja, która się zwraca.

Szukasz kompleksowego wsparcia w zakresie RODO dla marketingu? Oferujemy pakiety dostosowane do potrzeb działów marketingu i agencji. Od przygotowania dokumentacji, przez szkolenia zespołu, po bieżące doradztwo. Wypełnij formularz kontaktowy i zapytaj o ofertę dopasowaną do Twojej firmy. Pierwsza konsultacja jest bezpłatna!

Zdjęcie dodane przez Anna Tarazevich