Czat na stronie a RODO: lista kontrolna 10 punktów dla sklepów internetowych (2026)

Krótko: Czat na żywo możesz prowadzić zgodnie z RODO, ale żadne narzędzie nie jest "zgodne z RODO" samo z siebie, liczy się konfiguracja. Potrzebujesz umowy powierzenia przetwarzania danych z dostawcą czatu, akapitu o czacie w polityce prywatności, decyzji, kiedy ładuje się skrypt czatu (od razu, po zgodzie na cookies czy po kliknięciu), okresu przechowywania starych rozmów i, od 2 sierpnia 2026, chatbota, którego klienci rozpoznają jako AI. Dziesięć punktów poniżej zajmie Ci jedno popołudnie.

Większość tekstów o "czacie i RODO" powstała w 2018 roku. Od tego czasu zmieniły się trzy rzeczy: przepisy o cookies przeszły z Prawa telekomunikacyjnego do Prawa komunikacji elektronicznej, niemieckie organy ochrony danych napisały w 2024 roku, że czat to usługa dodatkowa, a nie część strony, którą otworzył odwiedzający, a od sierpnia 2026 obowiązuje wymóg przejrzystości z unijnego aktu o AI dla chatbotów. Ta lista uwzględnia wszystkie trzy.

To praktyczne podsumowanie, a nie porada prawna. Jeśli przetwarzasz dane o zdrowiu, sprzedajesz dzieciom albo prowadzisz duży sklep, skonsultuj się z prawnikiem lub swoim IOD.

Czego prawo wymaga od czatu na stronie

Lista kontrolna: 10 punktów

1. Podpisz umowę powierzenia z dostawcą czatu

Dostawca przechowuje wiadomości Twoich klientów w Twoim imieniu, więc jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Umowa zobowiązuje go do działania na Twoje polecenie, poufności, środków bezpieczeństwa, zasad dalszego powierzania, pomocy przy żądaniach osób i usunięcia danych po zakończeniu współpracy. Większość dostawców ma standardową umowę do zaakceptowania online. Zapisz kopię z datą. Jeśli dostawca nie oferuje żadnej, wybierz innego.

2. Wiedz, dokąd trafiają dane

Trzy pytania: w jakim kraju przechowywane są rozmowy, którzy podwykonawcy mają do nich dostęp (hosting, e-mail, model AI) i na jakiej podstawie dane wychodzą poza UE.

Dla dostawców z USA od lipca 2023 obowiązują Ramy ochrony danych UE-USA (decyzja wykonawcza (UE) 2023/1795). Sąd UE utrzymał je w mocy 3 września 2025 w sprawie Latombe przeciwko Komisji (T-553/23), a odwołanie czeka w Trybunale Sprawiedliwości jako sprawa C-703/25 P (Dziennik Urzędowy, grudzień 2025). Certyfikowany dostawca z USA jest dziś dopuszczalny, ale pamiętaj, że dwa poprzednie porozumienia zostały unieważnione.

3. Zdecyduj, kiedy ładuje się skrypt czatu

Tu utyka większość sklepów. Widżet czatu ładuje skrypt z serwera dostawcy, przez co adres IP odwiedzającego trafia na ten serwer, i zwykle zapisuje coś w przeglądarce, żeby rozmowa nie zniknęła po zmianie podstrony.

Art. 399 PKE zwalnia ze zgody to, co potrzebne do usługi, której użytkownik zażądał. Pytanie brzmi: kiedy użytkownik "zażądał" czatu? Najostrzejszą opublikowaną odpowiedź w UE dały niemieckie organy ochrony danych w wytycznych o usługach cyfrowych (wersja 1.2, listopad 2024): czat to usługa dodatkowa. Kto otwiera stronę, jeszcze o czat nie prosił; zapis potrzebny czatowi może być niezbędny dopiero wtedy, gdy odwiedzający z niego korzysta, np. klika (DSK, Orientierungshilfe Digitale Dienste, pkt 74–80).

Nasza rada: ładuj czat po zgodzie albo po kliknięciu. Kliknięcie zostawia czat dostępny dla wszystkich, zgoda zachowuje wiadomości proaktywne dla tych, którzy się zgodzili. Jeśli instalujesz czat przez Google Tag Managera, zmień regułę "All Pages" na zdarzenie zgody wysyłane przez Twój baner (jak dodać czat przez Tag Managera).

4. Dodaj czat do polityki prywatności

Krótki, prosty akapit z tym, czego wymaga art. 13 RODO:

Czat na żywo. Kiedy korzystasz z czatu na naszej stronie, przetwarzamy Twoje wiadomości, imię i adres e-mail, jeśli je podasz, adres IP oraz odwiedzone podstrony. Robimy to, żeby odpowiedzieć na Twoje pytania (art. 6 ust. 1 lit. b RODO), a jeśli nie masz jeszcze zamówienia, na podstawie naszego prawnie uzasadnionego interesu w odpowiadaniu na zapytania (art. 6 ust. 1 lit. f RODO). Czat dostarcza [dostawca, adres], który przetwarza dane w naszym imieniu. Dane są przechowywane w [kraj]. [Jeśli odpowiada AI: Część odpowiedzi pisze asystent AI; w tym celu Twoja wiadomość trafia do [dostawca AI].] Usuwamy rozmowy [12] miesięcy po ostatniej wiadomości.

Jeśli Twój zespół widzi, co odwiedzający pisze, zanim naciśnie "wyślij" (podgląd pisania), też to tu wpisz.

5. Pytaj tylko o to, czego potrzebujesz

Formularz, który przed pierwszą wiadomością wymaga imienia, e-maila, telefonu i firmy, zbiera więcej, niż potrzeba przy większości pytań (minimalizacja danych, art. 5 ust. 1 lit. c RODO). O e-mail pytaj tylko wtedy, gdy chcesz odpisać mailem poza godzinami pracy. Przy "gdzie jest moja paczka?" wystarczy numer zamówienia.

6. Trzymaj numery kart i hasła z dala od czatu

Klienci wklejają do czatu numery kart i hasła. W powitaniu na stronach płatności poproś, żeby tego nie robili, i włącz maskowanie, jeśli narzędzie je ma. W Shopxare opcja Ustawienia → Ogólne → Ukryj numery kart i hasła maskuje numery kart (oprócz 4 ostatnich cyfr), kody bezpieczeństwa i hasła w wiadomościach klientów (ustawienia przestrzeni roboczej).

7. Ustal okres przechowywania i obsługuj żądania usunięcia

Art. 5 ust. 1 lit. e RODO mówi, że dane przechowujesz nie dłużej, niż to konieczne, a art. 17 daje klientom prawo do usunięcia danych. Wybierz okres pasujący do celu, np. koniec terminu na odstąpienie od umowy i rękojmi, wpisz go do polityki prywatności i usuwaj starsze rozmowy w stałym terminie co kwartał. Gdy klient żąda usunięcia, usuń kontakt razem z rozmowami i potwierdź to na piśmie.

8. Niech AI będzie rozpoznawalna jako AI

Od 2 sierpnia 2026 art. 50 ust. 1 aktu o AI wymaga, żeby ludzie byli informowani o rozmowie z systemem AI, chyba że jest to oczywiste. Obowiązek spoczywa na dostawcy systemu, a unijny "Digital Omnibus" go nie przesunął (rozporządzenie (UE) 2026/1744). Ale nazwę i pierwsze zdanie wybierasz Ty. Nie nazywaj bota "Kasia" ze zdjęciem ze stocku. Nazwij go "Asystent AI" i napisz w pierwszej odpowiedzi, że rozmowę może przejąć człowiek. Różnicę między botem a agentem opisaliśmy w tekście agent AI a chatbot.

9. Sprawdź, co AI wysyła do dostawcy modelu

Agent AI wysyła wiadomość klienta do dostawcy modelu językowego. Sprawdź, kto to jest, czy figuruje na liście podwykonawców i czy dane osobowe można wcześniej usunąć. W Shopxare Are AI ma ustawienie Ukryj dane osobowe przed dostawcą AI, które zastępuje adresy e-mail, numery telefonów i kart przed wysłaniem tekstu. Możesz też wybrać, komu AI odpowiada: wszystkim, tylko odwiedzającym albo tylko zalogowanym użytkownikom.

10. Ogranicz, kto co może czytać

W skrzynce obsługi klienta są adresy, zamówienia i reklamacje. Daj każdej osobie w zespole tylko taką rolę, jakiej potrzebuje, i używaj weryfikacji tożsamości, żeby nikt nie mógł podszyć się pod zalogowanego klienta i czytać jego rozmów (role i uprawnienia, weryfikacja tożsamości).

Przykład: mały sklep z Krakowa przechodzi przez listę

Dwuosobowy sklep z Krakowa sprzedaje ceramikę na WooCommerce i na Allegro. Czat ładuje się na każdej podstronie od 2023 roku, polityka prywatności o nim nie wspomina, a w nocy na pytania o wysyłkę odpowiada Are AI.

W jedno popołudnie akceptują umowę powierzenia dostawcy i ją archiwizują, przenoszą skrypt czatu do narzędzia do zgód, żeby ładował się dopiero po "Akceptuję", i dodają w stopce link "Napisz do nas", który ładuje czat po kliknięciu dla pozostałych. Do polityki prywatności dopisują akapit z góry z okresem 12 miesięcy, zmieniają nazwę AI z "Kasia" na "Asystent AI" i włączają maskowanie kart. O 23:10 odwiedzający pyta: "Czy ten kubek można myć w zmywarce?" Asystent odpowiada na podstawie karty produktu i dodaje, że w razie potrzeby rano odpisze ktoś z zespołu.

W czym pomaga Shopxare, a co zostaje po Twojej stronie

"Brak cookies w Twojej domenie" nie rozstrzyga sam z siebie kwestii zgody: art. 399 PKE dotyczy każdego zapisu i odczytu na urządzeniu, a przy ładowaniu skryptu adres IP trafia do dostawcy. Ta decyzja zostaje po Twojej stronie.

Kiedy ta lista nie wystarczy

Jeśli klienci wysyłają Ci dane o zdrowiu (apteka, suplementy z pytaniami medycznymi), dokumenty tożsamości albo dane dzieci, potrzebujesz więcej niż dziesięciu punktów: być może oceny skutków dla ochrony danych i inspektora ochrony danych. To samo dotyczy nagrywania rozmów i używania czatu do decyzji kredytowych. Zapytaj specjalistę.

Najczęściej zadawane pytania

Czy na czat na stronie potrzebna jest zgoda na cookies?

To zależy od tego, co czat zapisuje w przeglądarce. Przy ścisłej wykładni (niemiecka DSK, 2024) czat jest "zażądany" dopiero wtedy, gdy odwiedzający z niego korzysta. Najbezpieczniej ładować go po zgodzie albo po kliknięciu.

Czy potrzebuję umowy powierzenia z dostawcą czatu?

Tak. Dostawca przechowuje wiadomości klientów w Twoim imieniu, więc jest podmiotem przetwarzającym (art. 28 RODO), a to wymaga umowy.

Czy muszę mówić klientom, że rozmawiają z AI?

W UE od 2 sierpnia 2026 tak, chyba że jest to oczywiste (art. 50 ust. 1 aktu o AI). Najprościej: jasna nazwa w rodzaju "Asystent AI" i pierwsze zdanie o tym, że rozmowę może przejąć człowiek.

Czy mogę korzystać z czatu amerykańskiej firmy?

Tak, jeśli dostawca ma certyfikację w Ramach ochrony danych UE-USA albo podpisuje standardowe klauzule umowne. Sąd UE utrzymał ramy we wrześniu 2025, odwołanie jest w toku.

Jak długo mogę przechowywać rozmowy z czatu?

Tak długo, jak potrzebujesz ich do określonego celu, np. przez okres rękojmi, i nie dłużej. Wpisz okres do polityki prywatności i regularnie usuwaj starsze rozmowy.

Jeśli szukasz czatu, który działa w odizolowanej ramce, jest hostowany w Europie i potrafi ukryć dane osobowe przed AI, Shopxare ma darmowy plan.