Błędy prawne w sklepie internetowym: regulamin, Omnibus i RODO pod lupą

Błędy prawne w sklepie internetowym rzadko biorą się ze złej woli. Sprawdzam to na żywych sklepach i niemal zawsze widzę ten sam mechanizm: właściciel kopiuje cudzy regulamin, dokleja politykę prywatności z generatora, włącza baner cookies w domyślnej konfiguracji i uznaje temat za zamknięty. Problem w tym, że każdy z tych elementów ma własną podstawę prawną i własną listę typowych potknięć. Poniżej rozkładam trzy obszary, w których podczas audytu wyłapuję najwięcej naruszeń: regulamin, dyrektywę Omnibus oraz RODO z cookies. Pokażę, gdzie dokładnie leży błąd, jaki przepis go opisuje i jak to naprawić, zanim zrobi to za Ciebie klient albo Prezes UOKiK.

Regulamin: trzy błędy, które wyłapuję najczęściej

Regulamin to wzorzec umowny, a nie formalność do odhaczenia. Klient go nie negocjuje, tylko klika „akceptuję”, więc każde postanowienie podlega kontroli pod kątem zgodności z prawem. Trzy typy błędów wracają w audytach jak bumerang.

Klauzule abuzywne, czyli zapisy, które nie wiążą klienta

Podstawą oceny jest art. 385(1) § 1 KC. Postanowienie umowy zawieranej z konsumentem jest niedozwolone, gdy spełnia łącznie trzy warunki: nie zostało uzgodnione indywidualnie, kształtuje prawa i obowiązki sprzecznie z dobrymi obyczajami oraz rażąco narusza interesy konsumenta. Wszystkie trzy przesłanki muszą wystąpić naraz. Pełną treść sprawdzisz w art. 385(1) KC w ISAP.

Skutek bywa zaskakujący dla sprzedawcy. Klauzula abuzywna nie unieważnia całej umowy i nie wymaga wyroku, żeby przestać działać. Zgodnie z art. 385(1) § 2 KC zapis nie wiąże konsumenta z mocy samego prawa, a reszta umowy obowiązuje normalnie. Innymi słowy: wpisujesz do regulaminu zabezpieczenie „na wszelki wypadek”, klient się na nie powołuje, a Ty masz zapis martwy i dowód niedbałości.

Najczęstsze ofiary to cztery zapisy. Pierwszy: „Sklep zastrzega sobie prawo zmiany regulaminu w dowolnym czasie”, bez wskazania ważnych przyczyn. Drugi: wyłączanie albo ograniczanie odpowiedzialności sklepu wobec konsumenta. Trzeci: narzucanie sądu właściwego dla siedziby sprzedawcy. Czwarty: utrudnianie reklamacji i zwrotów, na przykład warunek oryginalnego opakowania albo opłata manipulacyjna za zwrot. Wszystkie mieszczą się w tak zwanej szarej liście z art. 385(3) KC, czyli katalogu postanowień, które „w razie wątpliwości” uznaje się za niedozwolone. Rozkładam je szczegółowo w osobnym tekście o klauzulach niedozwolonych w regulaminie sklepu.

Warto pamiętać o jednej rzeczy, którą wielu sprzedawców pomija. Ochrona przed klauzulami abuzywnymi obejmuje też część firm. Art. 385(5) KC rozciąga te przepisy na osobę fizyczną prowadzącą działalność gospodarczą, gdy kupuje coś, co nie ma dla niej charakteru zawodowego. To tak zwany quasi-konsument z art. 7aa ustawy o prawach konsumenta. Regulamin, który każdą sprzedaż na NIP traktuje jak czysty obrót B2B i odbiera takim klientom ochronę, jest w tym zakresie wadliwy.

Stara rękojmia tam, gdzie powinna być niezgodność towaru

To błąd, który wyłapuję najczęściej w regulaminach pisanych albo kopiowanych przed 2023 rokiem. Wobec konsumenta od 01.01.2023 nie obowiązuje już rękojmia z Kodeksu cywilnego. Zastąpił ją reżim niezgodności towaru z umową, opisany w art. 43a-43g ustawy o prawach konsumenta. Regulamin, który odsyła konsumenta do „rękojmi za wady” jako jego podstawowego uprawnienia, kieruje go do przepisów, które wobec niego nie działają.

Tu jednak ostrożnie, bo to pułapka, w którą łatwo wpaść z drugiej strony. Sama obecność słowa „rękojmia” w regulaminie nie jest błędem. Rękojmia z Kodeksu cywilnego nadal obowiązuje w relacjach B2B oraz wobec quasi-konsumenta, co potwierdza art. 556(4) KC. Regulamin, który ma osobny blok o niezgodności towaru dla konsumentów (art. 43a-43g ustawy o prawach konsumenta) i obok niego rękojmię dla firm, jest zredagowany poprawnie. Błędem jest wyłącznie stosowanie samej starej rękojmi wobec konsumenta. Różnicę między tymi reżimami i hierarchię uprawnień rozkładam w tekście o reklamacji a rękojmi po 2023 roku.

Brak obowiązków informacyjnych

Trzeci grzech regulaminu to nie to, co w nim jest, lecz czego brakuje. Art. 12 ustawy o prawach konsumenta nakłada na sprzedawcę obowiązki informacyjne przed zawarciem umowy: dane przedsiębiorcy, cena z wszystkimi opłatami, sposób i termin zapłaty oraz dostawy, procedura reklamacyjna, a także informacja o pozasądowych sposobach rozpatrywania reklamacji i dochodzenia roszczeń. Pełen zakres sprawdzisz w art. 12 ustawy o prawach konsumenta w ISAP.

Z tym ostatnim punktem wiąże się częste nieporozumienie. Wiele regulaminów wciąż odsyła do unijnej platformy ODR i każe podać do niej link. Status tej platformy jest dziś inny niż w starych szablonach [DO POTWIERDZENIA, sprawdź aktualny komunikat na stronach UOKiK]. Niezależnie od losów samej platformy, obowiązek z art. 12 ustawy o prawach konsumenta dotyczy informowania o realnych ścieżkach pozasądowych: powiatowym rzeczniku konsumentów, Wojewódzkim Inspektoracie Inspekcji Handlowej oraz UOKiK. To te organy warto wskazać klientowi, a nie sam link do narzędzia.

Osobny obowiązek dotyczy momentu finalizacji zamówienia. Art. 17 ustawy o prawach konsumenta wymaga, by tuż przed złożeniem zamówienia klient widział jego podsumowanie, a przycisk zamówienia był opisany jednoznacznie, na przykład „zamówienie z obowiązkiem zapłaty”. Przycisk „Zamawiam” albo „Dalej” bez tej informacji to naruszenie, które łatwo udowodnić z poziomu zwykłej przeglądarki. Pamiętaj też o granicy materii: zgodnie z art. 8 ust. 3 USUDE regulamin opisuje świadczenie usług drogą elektroniczną, a kwestie cookies i marketingu reguluje się osobno, nie w regulaminie.

Omnibus: promocje i opinie, które łatwo udowodnić

Dyrektywa Omnibus obowiązuje w polskich sklepach od 01.01.2023, a mimo to wciąż wyłapuję te same dwa braki. Oba są wyjątkowo niewygodne, bo widać je z poziomu karty produktu, bez dostępu do panelu sklepu.

Najniższa cena z 30 dni przed obniżką

Reguła jest prosta w opisie, a trudna we wdrożeniu. Przy każdym ogłoszeniu obniżki ceny sklep ma obowiązek podać obok nowej ceny także najniższą cenę tego towaru z okresu 30 dni przed obniżką. Jeśli towar jest w sprzedaży krócej niż 30 dni, punktem odniesienia jest najniższa cena od dnia jego wprowadzenia do oferty. Cel jest jeden: klient ma widzieć, czy „promocja” jest realna, czy to sztucznie zawyżona cena bazowa.

Błędów w tym miejscu jest kilka. Najczęstszy to pokazywanie jako odniesienia ceny przekreślonej, która nigdy realnie nie obowiązywała, albo ceny sugerowanej producenta zamiast najniższej ceny z 30 dni. Drugi to brak informacji o cenie referencyjnej przy mechanizmach typu kod rabatowy albo „dzień darmowej dostawy z niższą ceną”. Trzeci to plugin promocyjny, który liczy odniesienie od złej daty. Każdy z nich sprawdza się błyskawicznie, bo wystarczy spojrzeć na kartę produktu w trakcie wyprzedaży.

Informacja o weryfikacji opinii

Drugi obowiązek z reżimu Omnibus dotyczy opinii o produktach. Jeśli sklep prezentuje opinie klientów, musi poinformować, czy i w jaki sposób weryfikuje, że pochodzą one od osób, które rzeczywiście kupiły albo używały produktu. Nie chodzi o to, żeby opinie weryfikować obowiązkowo. Chodzi o uczciwą informację, jak jest naprawdę.

W praktyce widzę dwa scenariusze. Albo sklep nie pisze o weryfikacji ani słowa, choć dumnie pokazuje gwiazdki, albo deklaruje weryfikację, której realnie nie prowadzi. Oba są ryzykowne. Pierwszy to luka informacyjna, drugi to wprowadzanie w błąd, czyli cięższy zarzut. Bezpieczne minimum to jedno zdanie przy sekcji opinii i powtórzenie zasady w regulaminie albo polityce. Szczegółowo rozkładam obie reguły w osobnym tekście o dyrektywie Omnibus i najniższej cenie z 30 dni.

Czym realnie grozi naruszenie

Tu trzeba mówić precyzyjnie, bez straszenia kwotami z sufitu. Naruszenia obowiązków z reżimu Omnibus mieszczą się w kompetencjach Prezesa UOKiK, a sankcje liczy się od obrotu przedsiębiorcy, z pułapem do 10% obrotu, a wobec osoby zarządzającej do 2 mln zł. To są progi maksymalne, nie automatyczna kara za pojedynczy błąd. Realna wysokość zależy od skali, okoliczności i postawy przedsiębiorcy w postępowaniu.

Dobrym przykładem tej różnicy jest głośna sprawa Beliani. Sklep dostał karę 8,5 mln zł od UOKiK w 2026 roku, ale, co kluczowe, za brak współpracy w postępowaniu dotyczącym prezentowania obniżek, a nie za same promocje. To pokazuje regułę praktyczną: sam błąd w cenie referencyjnej zwykle da się naprawić bez większych konsekwencji, jeśli reaguje się szybko i współpracuje z urzędem. Problemy zaczynają się przy ignorowaniu sygnałów.

RODO i cookies: dokumenty i zgoda

Trzeci obszar to ochrona danych. Tu błędy dzielą się na dwie grupy: braki w dokumentach oraz wadliwa mechanika zgody na cookies. Jedno i drugie sprawdza się z zewnątrz.

Polityka prywatności jako realizacja obowiązku informacyjnego

Polityka prywatności to nie ozdoba w stopce, lecz sposób realizacji obowiązku informacyjnego z art. 13 RODO. Klient ma się z niej dowiedzieć, kto jest administratorem jego danych, w jakich celach i na jakiej podstawie sklep je przetwarza, jak długo je przechowuje, komu je przekazuje i jakie prawa przysługują samej osobie. Pełen zakres sprawdzisz w art. 13 RODO.

Najczęstszy błąd to polityka z generatora, która nie odpowiada realnym procesom w sklepie. Wymienia narzędzia, których sklep nie używa, a pomija te, które faktycznie zbierają dane, na przykład piksel reklamowy albo zewnętrzny system opinii. Drugi błąd dotyczy podmiotów przetwarzających. Jeśli korzystasz z firmy kurierskiej, hostingu, systemu mailingowego czy biura księgowego, łączy Cię z nimi przetwarzanie danych klientów, które wymaga umowy powierzenia z art. 28 RODO. Brak takiej umowy to luka, której nie widać na stronie, ale która wychodzi przy każdej kontroli.

Warto przy okazji zdjąć z RODO aurę grozy. Art. 83 RODO przewiduje kary do 20 mln EUR albo 4% obrotu, ale to pułap maksymalny dla najpoważniejszych naruszeń, a nie sankcja za samą nieidealną politykę prywatności. Tu liczy się raczej rzetelność i spójność dokumentów z tym, co sklep robi naprawdę.

Baner cookies: zgoda, której zwykle brakuje

Najwięcej realnych naruszeń RODO w sklepach widzę nie w dokumentach, lecz w banerze cookies. Podstawą jest art. 399 ust. 1 PKE: na zapis albo dostęp do informacji w urządzeniu użytkownika, w zakresie innym niż niezbędny, trzeba uzyskać zgodę przed tym działaniem. Cookies niezbędne do działania sklepu są z tego obowiązku wyłączone na podstawie art. 399 ust. 3 PKE, a do samej zgody stosuje się przepisy o ochronie danych, na co wskazuje art. 400 PKE. Podstawy sprawdzisz w art. 399 PKE w ISAP.

Zgoda musi spełniać warunki z art. 4 pkt 11 RODO: dobrowolna, konkretna, świadoma i jednoznaczna. To właśnie tutaj banery najczęściej zawodzą. Rozkładam każdy baner na pięć punktów i pięć typowych potknięć:

• Zgoda nie jest aktywna. Checkboxy marketingowe zaznaczone domyślnie albo sam fakt wejścia na stronę traktowany jako zgoda. To nie spełnia warunku jednoznaczności z art. 4 pkt 11 RODO.
• Brak równorzędnego „Odrzuć”. Wyraźny przycisk „Akceptuję wszystkie” i ukryte odrzucenie schowane w ustawieniach. Odrzucenie zgody ma być równie łatwe jak jej wyrażenie.
• Brak granularności. Jeden przycisk na wszystko, bez podziału na cookies analityczne, marketingowe i funkcjonalne. Zgoda ma być konkretna, czyli dotyczyć określonych celów.
• Trackery odpalają przed wyborem. Skrypty analityczne i marketingowe ładują się, zanim klient kliknie cokolwiek. To wprost łamie wymóg zgody przed dostępem z art. 399 ust. 1 PKE.
• Brak realnego wycofania zgody. Po kliknięciu „Akceptuję” nie ma jak zgody cofnąć. Art. 7 ust. 3 RODO wymaga, by wycofanie było równie łatwe jak jej wyrażenie.

Te wzorce nie są przypadkowe. Opisała je Europejska Rada Ochrony Danych w wytycznych EROD 03/2022 o zwodniczych wzorcach w banerach cookie. To soft law, czyli autorytatywna wykładnia, więc zawsze podpieram je twardym przepisem: art. 399 PKE oraz art. 4 pkt 11 i art. 7 ust. 3 RODO. Sam baner z fajnym designem nie wystarcza, jeśli mechanika zgody jest wadliwa.

Utrudnianie wycofania zgody to osobne ryzyko

Na koniec tej sekcji jeden przykład, który dobrze pokazuje wagę łatwego wycofania zgody. Firma marketingowa ClickQuickNow dostała karę 201 559 zł za utrudnianie wycofania zgody na przetwarzanie danych. Zwracam uwagę: to była firma marketingowa, a nie sklep, i kara dotyczyła konkretnej mechaniki utrudniania. Przykład działa jako sygnał kierunkowy, nie jako stawka, którą zapłaci każdy sklep z niedoskonałym banerem. Pokazuje za to jasno, że organ traktuje prawo do wycofania zgody poważnie, więc warto mieć je wdrożone realnie, a nie tylko w teorii.

Jak sprawdzić błędy prawne we własnym sklepie

Zbierając trzy obszary w jedną listę, oto filtr, który stosuję na początku każdego audytu prawnego. Przejdź go na spokojnie, najlepiej z otwartym sklepem w przeglądarce.

• Regulamin, klauzule. Czy zmiana regulaminu opiera się na konkretnych ważnych przyczynach, czy na „dowolnym czasie”? Czy nie ograniczasz odpowiedzialności wobec konsumenta i nie narzucasz sądu siedziby?
• Regulamin, reżim odpowiedzialności. Czy konsument dostaje niezgodność towaru z umową (art. 43a-43g ustawy o prawach konsumenta), a rękojmia pojawia się tylko przy B2B i quasi-konsumencie?
• Obowiązki informacyjne. Czy spełniasz art. 12 ustawy o prawach konsumenta, w tym informację o pozasądowych ścieżkach reklamacji? Czy przycisk zamówienia jest opisany zgodnie z art. 17 ustawy o prawach konsumenta? Czy prawo odstąpienia w 14 dni (art. 27) i jego wyjątki (art. 38) są opisane poprawnie?
• Omnibus, ceny. Czy przy każdej obniżce pokazujesz najniższą cenę z 30 dni, a nie cenę sugerowaną albo fikcyjne odniesienie?
• Omnibus, opinie. Czy przy opiniach jest jedno zdanie o tym, czy i jak je weryfikujesz, zgodne z prawdą?
• RODO, dokumenty. Czy polityka prywatności opisuje realne procesy (art. 13 RODO) i czy masz umowy powierzenia z dostawcami (art. 28 RODO)?
• Cookies, baner. Czy zgoda jest aktywna, z równorzędnym „Odrzuć”, granularna, bez trackerów przed wyborem i z realnym wycofaniem (art. 399 PKE, art. 4 pkt 11 i art. 7 ust. 3 RODO)?

Jeśli choć jeden punkt budzi wątpliwość, warto go domknąć, zanim powoła się na niego klient albo urząd. Każdy z tych elementów sprawdza się osobnym narzędziem i osobną podstawą, ale dopiero razem dają obraz, czy sklep jest naprawdę zgodny z prawem.

Błąd prawny w sklepie rzadko chodzi sam, bo regulamin, mechanika promocji i zgoda na cookies to trzy odrębne reżimy, które trzeba sprawdzić równolegle. Jeśli chcesz mieć pewność, że Twój sklep nie ma luk w żadnym z nich, przeprowadzę audyt prawny sklepu internetowego z konkretnymi cytatami z Twojej strony i podstawą prawną dla każdego błędu, a jak wygląda gotowy raport, zobaczysz na przykładzie audytu. W razie wątpliwości po prostu napisz do mnie.