Polityka prywatności na stronie internetowej a marketing B2B

Kampania w Google Ads chodzi, tag LinkedIn zbiera odwiedzających, zapytania z formularza same wpadają do CRM (programu do obsługi kontaktów z klientami). A polityka prywatności na stronie internetowej? Bywa, że to wzór ze sklepu, w którym są zwroty i dostawy, a nie ma słowa o remarketingu.

Niedawno przygotowywaliśmy politykę prywatności dla firmy, która sprzedaje wyłącznie innym firmom i zbiera przez stronę zapytania ofertowe. Przy okazji sprawdziliśmy samą stronę. Linki pod formularzami prowadziły do nieistniejących podstron, a formularze nie miały żadnej zgody marketingowej, choć firma chciała mailować i dzwonić do osób z zapytań.

Pokażę Ci, co polityka musi powiedzieć o Twoich narzędziach marketingowych i czego bez zgody nie wolno Ci zrobić, nawet gdy po drugiej stronie jest firma.

Google Analytics, remarketing i LinkedIn Insight Tag: w polityce i dopiero po zgodzie

Zacznij od tego, co naprawdę działa na stronie, a nie od tego, co pamiętasz. Najwięcej powie Ci Google Tag Manager, czyli menedżer tagów (narzędzie Google, w którym trzyma się kody wstawiane na stronę, tzw. tagi). Na stronie, którą sprawdzaliśmy, firma deklarowała Google Ads, a w menedżerze tagów tagu Google Ads nie było. Działały za to Google reCAPTCHA (zabezpieczenie formularza przed spamem) i czcionki Google Fonts, o których nikt nie wspomniał.

Każde narzędzie, które dostaje dane odwiedzającego, trafia do polityki prywatności na stronie internetowej: po co działa, na jakiej podstawie prawnej, kto dostaje dane i czy wyjeżdżają poza Europejski Obszar Gospodarczy (art. 13 RODO). Google wymaga tego samego od właściciela strony. Jego polityka zgody użytkownika z UE każe wskazać każdy podmiot, który przez produkty Google może zbierać albo wykorzystywać dane odwiedzających, i przechowywać zapis udzielonych zgód.

Polityka prywatności a Google Analytics i remarketing: podstawą jest zgoda

GA4, remarketing Google Ads (wyświetlanie reklam osobom, które były już na stronie) i Insight Tag zapisują pliki cookie w przeglądarce odwiedzającego. Na to art. 399 Prawa komunikacji elektronicznej (PKE) wymaga najpierw jasnej informacji o celu, a potem zgody. Bez zgody wolno zapisać tylko to, co konieczne do przesłania komunikatu albo do usługi, o którą prosi sam użytkownik. Statystyki i reklamy do tego nie należą.

To, że stronę oglądają tylko firmy, niczego nie zmienia. Przepis chroni abonenta i użytkownika końcowego, a przed ekranem zawsze siedzi konkretny człowiek. W polityce przy tych narzędziach piszesz więc: zgoda wyrażona w banerze (art. 6 ust. 1 lit. a RODO), do wycofania w każdej chwili.

Listę plików z okresem ważności daj w polityce cookies. Przykład: plik _ga z Google Analytics według pomocy Google służy do rozróżniania użytkowników i domyślnie jest ważny 2 lata. Jak w kilka minut sprawdzić w przeglądarce, czy tagi nie startują przed zgodą, pokazałem w tekście Meta Pixel na stronie medycznej - ryzyko, zgoda, test i kiedy go usunąć. Test działa tak samo na każdej stronie.

Consent mode v2: co tagi Google robią, gdy ktoś odmówi

Tryb uzyskiwania zgody (consent mode) to sposób, w jaki baner przekazuje tagom Google decyzję odwiedzającego. Sam baneru nie wyświetla, to robi narzędzie do zgód (pomoc Google Ads). W wersji 2 dochodzą dwa sygnały: ad_user_data, czyli zgoda na wysyłanie danych użytkownika do Google w celach reklamowych, i ad_personalization, czyli zgoda na reklamy spersonalizowane.

Według dokumentacji Google bez zgody na personalizację remarketing w Google Ads nie dostaje danych, a bez zgody na dane użytkownika wyłączone są m.in. ulepszone konwersje (dopasowywanie konwersji, czyli np. wysłanych formularzy, po zakodowanym e-mailu lub telefonie z formularza). Lista remarketingowa rośnie tylko o osoby, które kliknęły „zgadzam się”.

W trybie zaawansowanym tagi po odmowie wysyłają do Google sygnały bez plików cookie, a Google szacuje na ich podstawie brakujące konwersje. Jeśli po wdrożeniu banera konwersji ubyło, sprawdź najpierw sam pomiar. Najczęstsze wpadki opisałem we wpisie Pomiar telefonów z Google Ads: najczęstsze błędy i jak je wyłapać.

LinkedIn Insight Tag w polityce prywatności

Insight Tag to kod LinkedIn, który mierzy konwersje z kampanii (np. wysłane formularze), pozwala wracać reklamą do osób, które były na stronie, i pokazuje, jacy członkowie LinkedIn ją odwiedzają. LinkedIn pisze, że tag tworzy pliki cookie, a za zebranie zgód odpowiada właściciel strony.

W polityce wymieniasz LinkedIn jako odbiorcę, cel (pomiar kampanii i remarketing), zgodę jako podstawę i przekazanie danych do USA. LinkedIn Corporation ma własny certyfikat Data Privacy Framework, czyli unijno-amerykańskich ram ochrony danych (wynika to z zestawienia Microsoftu).

Zgłoszenia z formularza w CRM i scoring leadów: co napisać w polityce

Zapytanie z formularza zwykle ląduje w dwóch miejscach. Wtyczka formularza zapisuje kopię w bazie strony, a handlowiec prowadzi rozmowę dalej w CRM. Oba miejsca opisujesz w polityce, każde z własnym okresem przechowywania (art. 13 ust. 2 lit. a RODO).

Dostawca CRM przechowuje dane w Twoim imieniu, więc jest podmiotem przetwarzającym. Potrzebujesz z nim umowy powierzenia (art. 28 RODO), a w polityce wymieniasz go jako odbiorcę danych (art. 13 ust. 1 lit. e).

Podstawa prawna zależy od tego, kto pisze. Przedsiębiorca we własnym imieniu prosi o ofertę przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Pracownik innej firmy sam stroną umowy nie będzie, więc jego dane przetwarzasz w prawnie uzasadnionym interesie (lit. f).

Przedsiębiorca na JDG, który zamawia przez Twój formularz coś spoza swojej branży, może mieć przy zwrocie takie prawa jak konsument. Wyjaśniamy to we wpisie Przedsiębiorca na prawach konsumenta: kiedy firma zamawiająca przez stronę ma 14 dni na zwrot.

Scoring leadów a profilowanie

Scoring leadów to ocena zapytań od potencjalnych klientów, np. punkty za wielkość firmy, branżę czy budżet, żeby handlowiec wiedział, do kogo zadzwonić najpierw. Gdy punkty liczy system, np. reguły w CRM, i oceniają one także osobę, która pisze (jej stanowisko, zachowanie na stronie), RODO nazywa to profilowaniem: zautomatyzowanym wykorzystaniem danych do oceny czynników dotyczących osoby (art. 4 pkt 4).

W polityce, którą przygotowywaliśmy, scoring stoi na prawnie uzasadnionym interesie. Piszesz, że go robisz, po co, i że o dalszym kontakcie decyduje człowiek, a nie system. Skoro decyzji nie podejmuje automat, nie ma decyzji z art. 22 RODO, opartej wyłącznie na zautomatyzowanym przetwarzaniu. Napisz to w polityce wprost.

Inaczej jest z profilowaniem reklamowym, np. listami remarketingowymi z odwiedzających stronę. Ono opiera się na zgodzie z banera, więc w polityce rozdziel oba rodzaje. Przy obu dopisz prawo sprzeciwu: wobec marketingu bezpośredniego, także profilowania w tym celu, sprzeciw działa zawsze i bez uzasadnienia (art. 21 ust. 2 i 3 RODO).

Zgoda marketingowa w formularzu: bez niej nie zadzwonisz z ofertą

Na samo zapytanie odpowiadasz bez dodatkowej zgody, bo ktoś poprosił o kontakt w tej sprawie. Ale gdy chcesz potem wysłać mu ofertę innej usługi albo zadzwonić z propozycją, to już jest informacja handlowa. Art. 398 PKE zakazuje wysyłania jej przez telefon, e-mail czy automat wywołujący bez uprzedniej zgody odbiorcy.

Przepis nie robi wyjątku dla firm. Chroni abonenta i użytkownika końcowego, więc także przedsiębiorcę i pracownika z firmowym adresem. Za brak zgody Prezes UKE (Urzędu Komunikacji Elektronicznej) nakłada karę do 3% przychodu z poprzedniego roku albo do miliona złotych, przy czym liczy się wyższa z tych kwot (art. 446 ust. 5 PKE). Do tego takie działanie jest czynem nieuczciwej konkurencji (art. 398 ust. 4). Kiedy pisałem ten tekst (październik 2026), art. 398 obowiązywał w brzmieniu z 2024 roku, bez zmian.

Zgoda na kontakt telefoniczny i zgoda na e-mail: najlepiej osobno

Do zgody z art. 398 stosujesz zasady RODO (art. 400 PKE). Zgoda ma być dobrowolna, konkretna i świadoma (art. 4 pkt 11 RODO), musisz umieć wykazać, kto i na co się zgodził (art. 7 ust. 1), a wycofanie ma być tak łatwe jak wyrażenie (art. 7 ust. 3). Okienko zaznaczone z góry zgodą nie jest (motyw 32 RODO). Jedno pole, które wyraźnie wymienia oba kanały, też może być ważną zgodą, ale dwa osobne pozwalają odbiorcy przyjąć maile i odmówić telefonów, a Ty masz jasny zapis, na co ktoś się zgodził.

W praktyce najbezpieczniej: dwa puste pola pod formularzem, np.:

• „Chcę otrzymywać od Firmy XYZ oferty i informacje handlowe e-mailem na podany adres.”
• „Zgadzam się na kontakt telefoniczny od Firmy XYZ w sprawie ofert na podany numer.”

Wysłanie zapytania nie może od nich zależeć (art. 7 ust. 4 RODO). Kto nie chce ofert, i tak dostaje odpowiedź.

Uzasadniony interes przy marketingu bezpośrednim (motyw 47 RODO) i zgoda z art. 398 PKE to dwie różne sprawy. Pierwszy dotyczy przetwarzania danych, druga samego kanału, czyli maila i telefonu. Potrzebujesz obu, a o prawie sprzeciwu musisz poinformować najpóźniej przy pierwszym kontakcie, wyraźnie i oddzielnie od innych informacji (art. 21 ust. 4 RODO).

Kalendarz do umawiania rozmów na stronie to kolejny dostawca w polityce

Osadzony kalendarz, np. Calendly, wygląda jak część Twojej strony. Ale imię, e-mail i termin rozmowy trafiają do zewnętrznego dostawcy. Na stronie, którą sprawdzaliśmy, kalendarz siedział na osobnej podstronie pod wydarzenie, z dala od głównego formularza, więc łatwo go było przeoczyć. Menedżer tagów śledził przy tym rezerwacje jako zdarzenia.

Kalendarz ma też własne pliki cookie. Calendly pozwala ukryć swój baner w osadzonym kalendarzu (parametr hide_gdpr_banner=1) i tak było na tej stronie. Pomoc Calendly pisze jednak, że pliki cookie działają dalej, za zgody odpowiada wtedy właściciel strony, a kalendarz najlepiej ładować dopiero po zgodzie. Ukryty baner dostawcy oznacza, że Twój baner musi objąć także jego pliki.

W polityce opisujesz dostawcę kalendarza jako odbiorcę, cel (umówienie rozmowy, ta sama podstawa co przy formularzu), przekazanie danych do USA i synchronizację z kalendarzem firmowym, jeśli ją masz. Na sprawdzanej stronie był to kalendarz Microsoft.

Najpierw polityka prywatności na stronie internetowej, potem formularz

Pod formularzem jest już „Zapoznałem się z polityką prywatności”, a link prowadzi do błędu 404. Tak było na sprawdzanej stronie: podstrony z polityką prywatności i polityką cookies jeszcze nie istniały, a formularze już do nich linkowały.

RODO każe podać informacje w chwili zbierania danych (art. 13 ust. 1), w łatwo dostępnej formie (art. 12 ust. 1). Martwy link tego nie spełnia. Baner, który odsyła do nieistniejącej polityki cookies, nie daje też informacji wymaganej przed zgodą w art. 399 PKE. Dlatego kolejność jest taka:

Politykę możesz napisać sam, ale musi opisywać to, co faktycznie działa na Twojej stronie, a nie to, co było we wzorze. Jeśli wolisz to zlecić, przygotujemy politykę prywatności dla strony, pisaną przez adwokata, na podstawie Twoich odpowiedzi o narzędziach.

Najczęstsze pytania o politykę prywatności i zgody w marketingu B2B

Pamiętaj

Polityka prywatności na stronie internetowej opisuje narzędzia, które naprawdę na niej działają. Zanim ją napiszesz, otwórz menedżer tagów i formularze, a nie stary wzór. Tagi reklamowe ruszają po zgodzie, a maile i telefony z ofertą po zgodzie na dany kanał kontaktu, najlepiej osobnej dla maila i dla telefonu.

Jeśli chcesz, żeby lista plików cookie zgadzała się z tym, co faktycznie zapisuje Twoja strona, zamów politykę cookies od adwokata. Masz pytanie, od czego zacząć? Napisz do mnie lub zadzwoń.