Dokumenty prawne sklepu internetowego to nie biurokratyczny dodatek do sklepu, lecz warunek legalnej sprzedaży, który musi być gotowy zanim pierwszy klient kliknie „dodaj do koszyka”. Audytuję polskie sklepy i widzę ten sam schemat: właściciel skupia się na produktach, grafice i reklamie, a stronę prawną odkłada na potem albo wkleja cudzy szablon w pięć minut. Poniżej rozkładam komplet, który powinieneś mieć przed startem, i tłumaczę, po co istnieje każdy dokument oraz jaki przepis za nim stoi.
Nie chodzi o to, żeby mieć „jakieś” pliki w stopce. Chodzi o to, żeby każdy z nich realizował konkretny obowiązek, pasował do Twojego modelu sprzedaży i nie zawierał zapisów, które obracają się przeciwko Tobie. Dlatego najpierw pokażę całą listę, a potem przejdę przez każdą pozycję osobno.
Komplet dokumentów prawnych sklepu: co naprawdę musisz mieć
Zanim wejdę w szczegóły, ustalmy zakres. Mówię o sklepie, który sprzedaje towary lub usługi konsumentom (osobom fizycznym) z terenu Polski. Taki sklep potrzebuje spójnego zestawu, w którym każdy element pełni inną funkcję.
Minimalny komplet, który sprawdzam podczas audytu prawnego, wygląda tak:
- regulamin sklepu (świadczenie usług drogą elektroniczną oraz warunki sprzedaży),
- polityka prywatności (obowiązek informacyjny wobec osób, których dane przetwarzasz),
- polityka cookies wraz z mechanizmem zgody na pliki cookies,
- informacja o prawie odstąpienia od umowy oraz wzór formularza odstąpienia,
- obowiązki informacyjne prezentowane przed zawarciem umowy (na karcie produktu i w koszyku),
- poprawnie oznaczony przycisk finalizujący zamówienie („zamówienie z obowiązkiem zapłaty”),
- umowy powierzenia przetwarzania danych z podmiotami, które obsługują Twój sklep.
Każda z tych pozycji odpowiada na inny przepis i na inne pytanie klienta lub organu. Regulamin mówi, na jakich zasadach działa sklep. Polityka prywatności mówi, co robisz z danymi. Polityka cookies i zgoda dotyczą śledzenia. Informacja o odstąpieniu chroni prawo do zwrotu. Obowiązki informacyjne i przycisk zapłaty pilnują uczciwości samej transakcji. Umowy powierzenia porządkują relacje z dostawcami. Pominięcie którejkolwiek z nich zostawia lukę, którą prędzej czy później ktoś wykorzysta: niezadowolony klient, konkurent albo organ kontrolny.
Ważna uwaga na start: te dokumenty się uzupełniają, ale nie zastępują. Nie wepchniesz polityki cookies do regulaminu „dla porządku”, bo to dwa różne reżimy prawne. Do tego wrócę przy cookies, bo to jeden z najczęstszych błędów, które wyłapuję.
Regulamin sklepu: fundament, który reguluje usługę elektroniczną
Regulamin to wzorzec umowny, który określa zasady korzystania ze sklepu. Obowiązek jego udostępnienia wynika z art. 8 ustawy o świadczeniu usług drogą elektroniczną (USUDE). Usługodawca musi nieodpłatnie udostępnić regulamin przed zawarciem umowy, w sposób umożliwiający pozyskanie, odtworzenie i utrwalenie treści. W praktyce oznacza to link dostępny z każdej podstrony oraz możliwość pobrania pliku, a nie regulamin schowany za logowaniem albo widoczny dopiero po złożeniu zamówienia (szczegóły sprawdź w art. 8 USUDE w ISAP).
Warto wiedzieć, co regulamin reguluje, a czego nie. Zgodnie z art. 8 ust. 3 USUDE regulamin określa w szczególności rodzaje i zakres usług świadczonych drogą elektroniczną, warunki ich świadczenia, warunki zawierania i rozwiązywania umów oraz tryb postępowania reklamacyjnego. To jest materia regulaminu. Sprawy zgody na cookies czy zgody marketingowej to osobny obszar i nie powinny być „załatwiane” samym zaakceptowaniem regulaminu. Klient akceptujący regulamin nie wyraża przez to zgody na śledzenie ani na newsletter, bo zgoda musi być odrębna i dobrowolna.
W praktyce dobry regulamin sklepu opisuje co najmniej: dane sprzedawcy, sposób składania zamówień, ceny i metody płatności, dostawę i jej koszty, procedurę reklamacji w reżimie niezgodności towaru z umową, zasady odstąpienia oraz tryb pozasądowego rozwiązywania sporów. Jeśli chcesz szczegółowej listy elementów, opisuję ją w osobnym tekście o tym, co musi zawierać regulamin sklepu internetowego.
Kolejna rzecz, którą sprawdzam, to czy regulamin nie zawiera klauzul niedozwolonych. Zapis sprzeczny z dobrymi obyczajami i rażąco naruszający interesy konsumenta, nieuzgodniony indywidualnie, nie wiąże konsumenta na podstawie art. 385(1) § 1 KC. Co istotne, taki zapis jest bezskuteczny, mimo że klient zaakceptował regulamin przy zakupie. Reszta umowy obowiązuje dalej, zgodnie z art. 385(2) KC. Dlatego skopiowany regulamin bywa gorszy niż jego brak: daje fałszywe poczucie bezpieczeństwa, a jednocześnie zawiera zapisy, które prawo i tak unieważnia.
Polityka prywatności: obowiązek informacyjny z RODO
Polityka prywatności realizuje obowiązek informacyjny administratora danych. Podstawą jest art. 13 RODO. Gdy zbierasz dane od osoby, której one dotyczą (a robisz to przy każdym zamówieniu, rejestracji konta i zapisie na newsletter), musisz przekazać jej zestaw informacji: kto jest administratorem, w jakich celach i na jakiej podstawie przetwarzasz dane, komu je przekazujesz, jak długo je przechowujesz oraz jakie prawa przysługują osobie, której dane dotyczą (pełen katalog sprawdź w art. 13 RODO).
Polityka prywatności to nie ozdobnik. To dokument, który tłumaczy klientowi, co dzieje się z jego danymi od momentu wejścia na stronę aż po archiwizację zamówienia. W audytach najczęściej widzę trzy problemy. Pierwszy: polityka opisuje przetwarzanie, którego sklep w ogóle nie prowadzi (bo została skopiowana z innego sklepu). Drugi: brakuje w niej narzędzi, które realnie działają na stronie, na przykład pikseli reklamowych czy narzędzi analitycznych. Trzeci: podstawy prawne przetwarzania są wpisane „na oko”, bez dopasowania do konkretnego celu.
Tu warto rozróżnić podstawy. Realizacja zamówienia opiera się na wykonaniu umowy, wystawienie faktury na obowiązku prawnym, a marketing zwykle na zgodzie z art. 6 ust. 1 lit. a RODO albo na uzasadnionym interesie, zależnie od kanału i sposobu. Polityka prywatności powinna te cele i podstawy rozpisać uczciwie, a nie wrzucać wszystkiego do jednego worka. Jeśli opierasz coś na zgodzie, pamiętaj, że musi ją cechować dobrowolność, konkretność, świadomość i jednoznaczność (art. 4 pkt 11 RODO), a wycofanie zgody ma być równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO).
I jeszcze jedno: art. 83 RODO przewiduje kary do 20 mln EUR albo 4% obrotu, ale to próg maksymalny dla najpoważniejszych naruszeń. Nie chodzi o to, że sama nieidealna polityka prywatności od razu uruchamia takie sankcje. Chodzi o to, że brak rzetelnej informacji o przetwarzaniu to realna luka, którą warto domknąć, zanim stanie się przedmiotem skargi.
Polityka cookies i zgoda: osobny reżim, nie część regulaminu
To miejsce, w którym najczęściej widzę pomieszanie pojęć. Cookies i regulamin to dwa różne światy. Zgodę na pliki cookies inne niż niezbędne reguluje art. 399 ust. 1 Prawa komunikacji elektronicznej (PKE). Zgoda musi być uzyskana przed zapisem lub odczytem informacji na urządzeniu użytkownika. Wyjątkiem są cookies niezbędne do świadczenia usługi żądanej przez użytkownika, które nie wymagają zgody, na podstawie art. 399 ust. 3 PKE. Do tej zgody stosuje się przepisy o ochronie danych osobowych, co wynika z art. 400 PKE (podstawy sprawdź w PKE, Dz.U. 2024 poz. 1221, w ISAP).
Co z tego wynika praktycznie? Zgoda na cookies analityczne i marketingowe musi być aktywna i uprzednia. Trackery nie mogą ładować się, zanim użytkownik kliknie „akceptuję”. Banner powinien dawać równorzędną możliwość odrzucenia, a nie tylko jeden duży zielony przycisk akceptacji i ukryty „więcej opcji”. Niejednolite, zwodnicze wzorce w bannerach (tak zwane dark patterns) opisują wytyczne EROD 03/2022, ale to soft law: autorytatywna wykładnia, którą zawsze podpieram twardym przepisem, czyli art. 399 PKE oraz art. 4 pkt 11 i art. 7 ust. 3 RODO.
Cookies kontra regulamin: dwa różne reżimy
Z tego rozdziału płynie prosty wniosek. Polityka cookies opisuje, jakie pliki ustawiasz, w jakim celu i przez jaki czas, oraz jak nimi zarządzać. To dokument informacyjny powiązany z mechanizmem zgody. Nie należy go traktować jako rozdziału regulaminu, bo regulamin reguluje usługę i sprzedaż, a nie śledzenie. Sklep, który „zgodę na cookies” chowa w akceptacji regulaminu, łamie wymóg odrębności i uprzedniości zgody. Rozkład bannera cookie to jeden z punktów, które standardowo prześwietlam w audycie.
Prawo odstąpienia i wzór formularza: zwrot bez wymówek
Konsument kupujący na odległość ma prawo odstąpić od umowy w terminie 14 dni bez podawania przyczyny. Wynika to z art. 27 ustawy o prawach konsumenta (UPK). Twoim obowiązkiem jest poinformowanie go o tym prawie, o terminie i sposobie jego wykonania oraz o wyjątkach, w których odstąpienie nie przysługuje. Obowiązek informacyjny w tym zakresie mieści się w art. 12 UPK, a katalog wyjątków znajdziesz w art. 38 UPK (oba przepisy sprawdź w ISAP).
W praktyce komplet dotyczący odstąpienia składa się z dwóch elementów. Pierwszy to czytelna informacja o prawie odstąpienia, najlepiej w regulaminie oraz w pouczeniu przekazywanym klientowi. Drugi to wzór formularza odstąpienia, który udostępniasz konsumentowi, żeby ułatwić mu skorzystanie z prawa. Brak wzoru formularza to częsty, drobny z pozoru błąd, który jednak świadczy o niedopracowanej ścieżce zwrotu.
Osobna sprawa to wyjątki. Nie każdy produkt podlega zwrotowi. Towary szybko psujące się, produkty wykonane na indywidualne zamówienie, zapieczętowane nagrania czy treści cyfrowe dostarczane po wyraźnej zgodzie konsumenta to przykłady sytuacji z art. 38 UPK, w których prawo odstąpienia bywa wyłączone. Jeśli sprzedajesz takie kategorie, musisz o tym uczciwie informować, zanim klient kupi, a nie dopiero przy próbie zwrotu. Rozkładam te przypadki dokładniej w tekście o tym, kiedy działa prawo odstąpienia od umowy i jakie ma wyjątki.
Przy okazji jedna rzecz, która budzi zamieszanie. Wobec konsumenta od 01.01.2023 nie obowiązuje już rękojmia z Kodeksu cywilnego, lecz reżim niezgodności towaru z umową z art. 43a-43g UPK. Rękojmia z KC pozostaje aktualna dla relacji B2B oraz dla quasi-konsumenta, na podstawie art. 556(4) KC. Dlatego regulamin, który ma zapisy o niezgodności towaru z umową dla konsumenta i jednocześnie rękojmię dla pozostałych przypadków, jest poprawny. Błędem jest stosowanie samej starej rękojmi wobec konsumenta.
Obowiązki informacyjne i przycisk „zamówienie z obowiązkiem zapłaty”
Najlepszy regulamin nie pomoże, jeśli sama ścieżka zakupu jest nieuczciwa. Dlatego osobno sprawdzam dwie rzeczy: obowiązki informacyjne przed zawarciem umowy oraz oznaczenie przycisku finalizującego zamówienie.
Obowiązki informacyjne reguluje art. 12 UPK. Przed zawarciem umowy konsument musi otrzymać w jasny i zrozumiały sposób komplet informacji o głównych cechach świadczenia, łącznej cenie wraz z podatkami i kosztami dostawy, sposobie i terminie zapłaty, dostawie, procedurze reklamacji oraz prawie odstąpienia. To nie ma być drobny druk schowany w regulaminie. To ma być widoczne tam, gdzie klient podejmuje decyzję: na karcie produktu, w koszyku i w podsumowaniu zamówienia (pełen zakres sprawdź w art. 12 UPK).
Drugi element to sam moment kliknięcia. Art. 17 UPK wymaga, żeby konsument przy składaniu zamówienia widział podsumowanie kluczowych informacji, a przycisk finalizujący był oznaczony słowami jednoznacznie wskazującymi, że zamówienie pociąga za sobą obowiązek zapłaty. Przykładowe brzmienie to „zamówienie z obowiązkiem zapłaty”. Jeśli przycisk mówi tylko „zamawiam” albo „dalej”, a konsument nie został związany jednoznacznym komunikatem o zapłacie, umowa może nie być skutecznie zawarta w tym zakresie. To realny, sprawdzalny detal, który widzę w wielu sklepach na gotowych szablonach, gdzie domyślny przycisk nigdy nie został poprawiony.
Zwróć uwagę na powiązanie tych dwóch przepisów. Art. 12 UPK pilnuje, żeby klient wiedział, co kupuje i za ile. Art. 17 UPK pilnuje, żeby świadomie potwierdził, że za to płaci. Razem domykają ścieżkę zakupu od strony konsumenckiej. Dokument prawny (regulamin, pouczenie) musi tu współgrać z interfejsem sklepu, bo prawo ocenia całość, a nie sam plik PDF w stopce.
Umowy powierzenia: dane, które przekazujesz dostawcom
Twój sklep nie działa w próżni. Korzystasz z hostingu, firmy kurierskiej, systemu mailingowego, czasem z biura rachunkowego czy narzędzia do obsługi zwrotów. Każdy z tych podmiotów przetwarza dane Twoich klientów w Twoim imieniu. To uruchamia obowiązek zawarcia umowy powierzenia przetwarzania danych na podstawie art. 28 RODO.
Umowa powierzenia to nie formalność do podpisania „kiedyś”. Określa przedmiot i czas przetwarzania, charakter i cel, rodzaj danych oraz obowiązki i prawa stron. Bez niej przekazujesz dane podmiotowi zewnętrznemu bez podstawy, co samo w sobie jest naruszeniem. W praktyce duzi dostawcy (hosting, platformy mailingowe, operatorzy płatności) udostępniają gotowe wzory umów powierzenia albo akceptację takich warunków w panelu. Twoim zadaniem jest je zebrać, zaakceptować i mieć do nich dostęp, a w polityce prywatności ujawnić kategorie odbiorców danych (szczegóły sprawdź w art. 28 RODO).
W audytach często okazuje się, że sklep ma podpięte cztery, pięć narzędzi przetwarzających dane, a żadnej umowy powierzenia nie ma zebranej w jednym miejscu. To luka, która nie boli na co dzień, ale ujawnia się natychmiast przy skardze albo kontroli. Dlatego traktuję mapę podmiotów przetwarzających jako część kompletu dokumentów, a nie osobny, opcjonalny temat.
Pułapka kopiowania cudzych dokumentów
Na koniec najczęstszy grzech, który spina wszystkie powyższe sekcje. Właściciel sklepu wpisuje w wyszukiwarkę „regulamin sklepu wzór”, kopiuje pierwszy lepszy plik, podmienia nazwę firmy i uznaje temat za zamknięty. Rozumiem pokusę, bo dokumenty prawne wyglądają na powtarzalne. Problem w tym, że nie są.
Skopiowany regulamin opisuje cudzy model sprzedaży: cudze metody dostawy, cudze terminy, cudze produkty, czasem cudze dane rejestrowe pozostawione przez nieuwagę. Skopiowana polityka prywatności wymienia narzędzia, których nie używasz, a pomija te, które faktycznie zbierają dane na Twojej stronie. Skopiowany banner cookie ładuje trackery przed zgodą albo nie pozwala ich odrzucić. A skopiowane klauzule potrafią zawierać zapisy niedozwolone, które i tak nie wiążą konsumenta na podstawie art. 385(1) § 1 KC, za to dają Ci fałszywe poczucie, że „masz to ogarnięte”.
Jest też wymiar praktyczny. Dokumenty prawne sklepu muszą być spójne między sobą i z rzeczywistością. Regulamin nie może obiecywać 30 dni na zwrot, jeśli pouczenie mówi o 14. Polityka prywatności nie może milczeć o pikselu reklamowym, który działa na każdej podstronie. Przycisk w koszyku nie może mówić „zamawiam”, jeśli regulamin powołuje się na zamówienie z obowiązkiem zapłaty. Te niespójności wychodzą dopiero przy reklamacji, sporze albo kontroli, czyli w najgorszym możliwym momencie.
Dlatego do dokumentów prawnych podchodzę jak do jednego, sprawdzalnego systemu, a nie zbioru oderwanych plików. Komplet przed startem ma realizować konkretne obowiązki: regulamin (art. 8 USUDE), politykę prywatności (art. 13 RODO), zgodę i politykę cookies (art. 399 PKE), informację o odstąpieniu z formularzem (art. 12 i art. 27 UPK), obowiązki informacyjne i przycisk zapłaty (art. 12 i art. 17 UPK) oraz umowy powierzenia (art. 28 RODO). Jeśli chcesz mieć pewność, że Twój zestaw jest kompletny i wzajemnie spójny, sprawdzę go w ramach audytu prawnego sklepu internetowego, a brakujące dokumenty i sporne zapisy przygotuję oraz wdrożę w Twoim sklepie.