Compliance RODO dla małej firmy
Praktyczna checklista RODO dla właściciela małej firmy w Polsce. Inwentaryzacja danych, podstawy prawne, zgody, umowy powierzenia, prawa osób, incydenty i narzędzia AI. Do przejścia z AI albo ręcznie, bez korpo żargonu.
Jak i kiedy użyć
Skopiuj checklistę do ChatGPT, Claude albo Gemini. Dopisz: branżę, co sprzedajesz, skąd bierzesz leady, jakie narzędzia (CRM, mail, ads, AI), czy masz pracowników albo freelancerów. Poproś AI, żeby przeszło sekcje punkt po punkcie, oznaczyło stan zrobione / brak / nie dotyczy i ułożyło plan na 14 dni. Potem sam domknij braki w firmie. Nie proś AI o „pełną zgodność z prawem” bez Twoich faktów. Nie wklejaj do czatu list klientów, PESEL, dowodów ani haseł.
Checklista
Bramka startowa, zanim cokolwiek „wdrażasz”
- Zapisz jedną osobę odpowiedzialną za temat danych w firmie (nawet jeśli to Ty).
- Wypisz w trzech liniach: skąd bierzesz kontakty, do czego ich używasz, gdzie leżą (skrzynka, CRM, arkusz, narzędzie AI).
- Oddziel dane klientów i leadów od danych pracowników i kandydatów.
- Zaznacz, czy wysyłasz marketing (newsletter, ads, sekwencje) osobno od obsługi zamówienia i faktury.
- Ustal, że nic nie ląduje w publicznym czacie AI z pełnymi danymi osób (imię plus mail plus treść sprawy razem to już za dużo).
- Bramka: wiesz kto pilnuje tematu, jakie są trzy główne źródła danych i które procesy są marketingiem.
Inwentaryzacja danych (co realnie macie)
- Zrób listę zbiorów: leady, klienci, faktury, support, CV, newsletter, remarketing, nagrania, notatki ze spotkań.
- Dla każdego zbioru zapisz: skąd pochodzi, w jakim celu, kto ma dostęp, w jakim systemie leży.
- Dla każdego zbioru zapisz okres przechowywania (np. lead bez odpowiedzi 12 miesięcy, faktury zgodnie z wymogami księgowymi, CV po rekrutacji X miesięcy).
- Oznacz dane „wrażliwe” albo wysokiego ryzyka, jeśli w ogóle je zbieracie (zdrowie, biometria, dane dzieci). Domyślnie mała firma B2B ich nie potrzebuje.
- Sprawdź arkusze i folder „stare eksporty”. To najczęstsza dziura: kopie CSV na Dysku i mailach.
- Sprawdź integracje: formularz, CRM, mail, ads. Każdy skok to osobne miejsce, w którym dane mogą zostać.
- Bramka: masz jedną listę zbiorów, nie trzy sprzeczne historie w głowie.
Podstawa prawna i cel (po ludzku)
- Dla każdego zbioru dopisz cel jednym zdaniem, np. „wysłanie oferty po formularzu”, „realizacja umowy”, „newsletter raz w tygodniu”.
- Przypisz podstawę: umowa / działania przed umową, prawny obowiązek (np. księgowość), prawnie uzasadniony interes (ostrożnie), zgoda (marketing tam, gdzie jej potrzebujesz).
- Nie mieszaj „wysłaliśmy ofertę” z „dopisaliśmy do newslettera na zawsze” bez jasnej reguły.
- Jeśli opierasz marketing na zgodzie, zapisz jak i kiedy została zebrana oraz jak ją wycofać w jednym kliknięciu albo jednej prostej prośbie.
- Jeśli opierasz się na uzasadnionym interesie (np. soft follow up po rozmowie B2B), zapisz dlaczego i jak osoba może się wypisać.
- Bramka: dla top 5 procesów masz cel i podstawę, bez „bo wszyscy tak robią”.
Informacja dla człowieka (polityka i formularze)
- Na stronie masz politykę prywatności z aktualną datą, danymi firmy i prostym opisem celów.
- Przy każdym formularzu widać, po co bierzesz mail i co się stanie po wysłaniu.
- Link do polityki jest tam, gdzie zbierasz dane, nie tylko w stopce schowanej na stronie O nas.
- W stopce maili marketingowych jest jasna rezygnacja (unsubscribe albo prosta instrukcja „odpisz STOP”).
- Szablon odpowiedzi na pytanie „jakie moje dane macie” jest gotowy: kto odpowiada, w jakim terminie, z jakich systemów sprawdza.
- Bramka: nowy lead po 2 minutach wie, po co oddał mail i jak się wypisać.
Zgody marketingowe i listy mailingowe
- Oddziel listę transakcyjną (faktury, dostęp, support) od listy marketingowej.
- Sprawdź, czy stara lista z lat wstecz ma źródło zgody albo inną jasną podstawę. Brak źródła = nie mailujesz „bo baza duża”.
- Każda nowa kampania używa segmentu ze znanym źródłem, nie pełnego eksportu „wszyscy z CRM”.
- Test wypisu: wypisz siebie z maila i potwierdź, że system realnie przestaje wysyłać w ciągu jednego cyklu wysyłki.
- Nie kupuj baz. Nie dorzucaj maili z wizytówek do newslettera bez reguły.
- Bramka: potrafisz wskazać źródło dla losowych 10 adresów z listy marketingowej.
Umowy i podwykonawcy (kto jeszcze widzi dane)
- Wypisz dostawców, którzy widzą dane: hosting, CRM, mail, płatności, biuro rachunkowe, freelancersupport, narzędzia AI z wklejanymi treściami klientów.
- Dla każdego dostawcy zapisz: czy jest umowa powierzenia / DPA, region danych jeśli podany, kto w firmie ma konto admina.
- Freelancer z dostępem do skrzynki albo CRM ma start i koniec dostępu w kalendarzu, nie „zostawimy na wszelki wypadek”.
- Gdy zmieniasz CRM albo skrzynkę, stary system nie zostaje z pełną bazą „na backup wieczny” bez decyzji o retencji.
- Bramka: lista dostawców jest krótsza niż myślisz albo właśnie odkryłeś trzech zapomnianych.
Dostępy, hasła, urządzenia
- Konta z danymi klientów mają unikalne hasła i menedżer haseł, nie jeden wspólny login na Slacku.
- Włącz 2FA wszędzie, gdzie system na to pozwala (mail, CRM, hosting, ads).
- Osoba odchodząca z firmy traci dostęp tego samego dnia: skrzynka, CRM, dysk, social, AI.
- Laptopy i telefony z pocztą firmową mają blokadę ekranu i nie lądują w „trybie rodzinnego tabletu”.
- Eksporty CSV nie wiszą w pobranych plikach i na biurku w nieskończoność.
- Bramka: potrafisz w 15 minut odebrać dostęp byłemu współpracownikowi we wszystkich systemach z listy.
Prawa osób (wgląd, poprawa, usunięcie, sprzeciw)
- Masz skrzynkę albo adres do próśb o dane (może być ten sam co kontakt, ale ktoś musi czytać).
- Szablon: potwierdzenie przyjęcia prośby, lista systemów do sprawdzenia, termin odpowiedzi.
- Procedura usunięcia obejmuje CRM, listę mail, arkusze, backupy operacyjne jeśli realnie da się tam skasować albo ograniczyć.
- Prośba „usuń mnie” nie kończy się samym unsubscribe, jeśli osoba prosi o kasację konta klienta. Rozdziel marketing i umowę.
- Gdy trwa spór, faktura albo roszczenie, zapisz dlaczego część danych musi zostać i na jak długo.
- Bramka: umiesz obsłużyć prośbę bez paniki i bez 10 dni szukania „gdzie to w ogóle jest”.
Incydent (wyciek, zła wysyłka, zgubiony laptop)
- Masz definicję incydentu po ludzku: ktoś obcy zobaczył dane, wysłałeś mail do złej osoby z listą, skradziono odblokowany telefon z pocztą.
- Pierwsze 60 minut: odetnij dostęp, zmień hasła, nie kasuj logów zanim nie zapiszesz co się stało.
- Zapisz: co wyciekło, ile osób, czy to mail plus treść sprawy, czy tylko adres, kiedy się zaczęło.
- Masz zapisane, kogo wołasz (IT / prawnik / hosting) i że decyzję o zgłoszeniu do UODO oceniacie szybko, nie „kiedyś w piątek”.
- Po incydencie: co zmieniacie w procesie, żeby to się nie powtórzyło (jeden konkret, nie 20 haseł).
- Bramka: ćwiczenie stołowe raz na rok. Przejdźcie 15 minut fikcyjny scenariusz „wysłaliśmy CSV do złego maila”.
AI, automatyzacja i RODO (obowiązkowe w 2026)
- Wypisz narzędzia AI używane na danych klientów: chat publiczny, agent w firmie, transkrypcje, CRM z AI.
- Zasada domyślna: do publicznego chatu idzie treść bez imion, maili, numerów faktur i unikalnych szczegółów sprawy.
- Sprawdź ustawienia retencji i treningu modelu u dostawcy, jeśli wklejasz dane firmowe. Jeśli nie wiesz, traktuj jak wysokie ryzyko.
- Agenci i automatyzacje, które czytają skrzynkę albo CRM, mają właściciela, zakres i możliwość wyłączenia.
- Nie buduj „pamięci firmy” z pełną historią klientów w narzędziu, którego nie kontrolujesz umową i dostępami.
- Bramka: reguła w zespole na jednej stronie. Co wolno wkleić do AI, czego nie, kto zatwierdza wyjątki.
Plan 14 dni (domknięcie, nie perfekcja)
- Dzień 1 do 2: lista zbiorów i dostawców (sekcje inwentaryzacja + podwykonawcy).
- Dzień 3 do 5: polityka i teksty przy formularzach + test unsubscribe.
- Dzień 6 do 8: 2FA, odebranie starych dostępów, porządki w eksportach CSV.
- Dzień 9 do 11: reguła AI i szablon odpowiedzi na prośbę o dane.
- Dzień 12 do 14: ćwiczenie incydentu i lista 5 braków, które zostają z datą.
- Bramka ukończenia: masz listę zbiorów, działający wypis z maili, regułę AI i osobę odpowiedzialną. Reszta idzie w kolejkę, nie w zapomnienie.
Najczęstsze pytania
Czy mała firma bez sklepu internetowego w ogóle musi to robić?
Tak, jeśli przetwarzasz dane osób: leady, klienci, mail, CV, nawet sama skrzynka ofertowa. Skala jest mniejsza niż w korporacji, ale obowiązek mapy danych, informacji i sensownych dostępów zostaje. Ta checklista jest pod MŚP, nie pod bank.
Czy mogę wrzucić listę klientów do ChatGPT, żeby zrobić segmentację?
Nie wklejaj pełnej listy z mailami i historią. Zrób wersję roboczą bez identyfikatorów albo pracuj na regułach segmentu. Publiczny chat nie jest Twoim CRM. Do analizy bierz próbki zanonimizowane albo narzędzie z umową i kontrolą retencji.
Czy newsletter wymaga zawsze osobnej zgody?
Zależy od podstawy i kontekstu, ale w praktyce bezpieczny standard małej firmy to jasna zgoda albo bardzo wąski, udokumentowany scenariusz i zawsze łatwy wypis. Nie dokładaj ludzi z wizytówek i starych ofert do newslettera „bo może klikną”.
Ile mam czasu na odpowiedź, gdy ktoś prosi o swoje dane?
Cel operacyjny: potwierdź przyjęcie od razu i domknij merytorycznie bez przeciągania. Masz procedurę i listę systemów do sprawdzenia, żeby nie szukać tydzień. Przy skomplikowanych prośbach skonsultuj termin z prawnikiem, nie zgaduj z pamięci.
Czy ta checklista zastępuje prawnika i IOD?
Nie. Porządkuje robotę właściciela i daje materiał do AI albo do rozmowy z kancelarią. Przy profilu wysokiego ryzyka, danych wrażliwych albo incydencie nie improwizuj. Weź checklistę jako brief, nie jako wyrok sądowy.
Co zrobić najpierw, jeśli baza mailowa jest bałaganem od lat?
Zatrzymaj nowe dorzucanie adresów bez źródła. Potem podziel listę na transakcyjną i marketingową. Dla marketingu zostaw tylko rekordy ze znanym źródłem albo zrób czysty reopt in. Lepiej mniejsza lista, która nie pali marki i skrzynki.