RODO i lokalne SEO: zarządzanie opiniami i tracking zgodne z ochroną danych osobowych

Zgodność z RODO nie jest w lokalnym SEO prawniczym dodatkiem, lecz warunkiem technicznym i procesowym. Kto zbiera opinie, buduje cytowania i mierzy zachowania użytkowników, przetwarza dane osobowe. W Austrii obowiązują w tym zakresie RODO, ustawa o telekomunikacji (TKG 2021) oraz ramy prawa unijnego. Ten artykuł pokazuje, jak lokalne firmy mogą zgodnie z prawem skonfigurować zarządzanie opiniami, zgody na cookies i tracking, nie narażając swojej widoczności.

Dlaczego zgodność z RODO jest kluczowa dla lokalnego SEO

Lokalne SEO żyje z danych. Opinie są sygnałem rankingowym, tracking dostarcza podstaw do decyzji optymalizacyjnych, a cytowania rozpowszechniają dane firmy w sieci. Każdy z tych elementów dotyka RODO, gdy tylko można zidentyfikować osoby fizyczne.

Skala jest duża i wymierna. Na początku 2025 r. w Austrii z internetu korzystało 8,69 mln osób, co odpowiada penetracji na poziomie 95,3% (dane dla Austrii). Przy takim zasięgu widoczność cyfrowa jest dla lokalnych firm kluczowym kanałem sprzedaży, a każde przetwarzanie danych w tym kanale podlega przepisom o ochronie danych.

Opinie są przy tym szczególnie wrażliwe, bo dotyczą jednocześnie zaufania i prawa. Według międzynarodowego badania 97% konsumentów czyta opinie online o lokalnych firmach (dane głównie z USA i Wielkiej Brytanii, niespecyficzne dla regionu DACH). Jednocześnie wielu użytkowników oczekuje reakcji: według tego samego międzynarodowego badania 89% konsumentów oczekuje, że firmy będą odpowiadać na opinie. Właśnie w tych odpowiedziach czai się ryzyko naruszenia ochrony danych, gdy upublicznione zostają dane osobowe.

To napięcie jest realne: ochrona danych i widoczność pozornie ciągną w różne strony. W rzeczywistości wzajemnie się wzmacniają, jeśli właściwie je połączysz. Obowiązek zamieszczenia noty prawnej wymusza na przykład poprawne dane firmy, a tym samym wzmacnia spójność NAP i E-E-A-T.

Podstawy prawne w skrócie

Trzy akty prawne wyznaczają ramy dla lokalnych firm w Austrii.

• RODO: Unijne ogólne rozporządzenie o ochronie danych reguluje każde przetwarzanie danych osobowych. Wymaga podstawy prawnej (art. 6), przejrzystości, ograniczenia celu oraz przestrzegania praw osób, których dane dotyczą, takich jak prawo dostępu i prawo do usunięcia danych.
• TKG 2021 (§ 165 i § 174): Austriackie wdrożenie przepisów ePrivacy reguluje dostęp do urządzeń końcowych. Pliki cookie i podobne technologie, które nie są technicznie niezbędne, wymagają uprzedniej zgody. Funkcjonalnie odpowiada to § 25 niemieckiej ustawy TDDDG (dawniej TTDSG). § 174 TKG 2021 uzależnia ponadto wysyłkę e-maili reklamowych od uprzedniej zgody. W razie wątpliwości obejmuje to także prośby o opinię wysyłane e-mailem.
• Unijna dyrektywa Omnibus: Dyrektywa (UE) 2019/2161 wzmacnia ochronę konsumentów. Zakazuje zamieszczania fałszywych opinii lub zlecania ich zamieszczania, a także twierdzenia, że opinie pochodzą od prawdziwych klientów, bez odpowiedniej weryfikacji. W Austrii została wdrożona przez ustawę UWG, a oba zakazy znajdują się w pkt 23b i 23c załącznika do UWG. Kto udostępnia opinie, na przykład na własnej stronie, musi ponadto podać, czy i w jaki sposób weryfikuje ich autentyczność (§ 2 ust. 6b UWG).

Dla lokalnych firm wynika z tego jasna kolejność: najpierw wyjaśnij podstawę prawną i kwestie przejrzystości, potem wdrażaj technologię. Tracking bez zgody to najczęstsze i zarazem najłatwiejsze do uniknięcia naruszenie.

Zarządzanie opiniami zgodne z RODO

Zbieranie opinii jest dozwolone, ale podlega regułom. Kluczowe są podstawa prawna, postępowanie z danymi autorów opinii oraz wyraźne oddzielenie zachęty od opinii.

• Prośba o opinię e-mailem: Prośba o opinię ma wspierać sprzedaż, dlatego w razie wątpliwości należy traktować ją jako marketing bezpośredni. Wysłana e-mailem jest w Austrii zgodnie z § 174 ust. 3 TKG 2021 co do zasady dozwolona tylko za uprzednią zgodą. Sama istniejąca relacja biznesowa nie wystarcza. Wyjątek z ust. 4 ma zastosowanie tylko wtedy, gdy spełnione są wszystkie cztery warunki: adres pochodzi z zakupu lub usługi, e-mail promuje własne podobne produkty lub usługi, klient już przy zbieraniu danych mógł bezpłatnie i łatwo wyrazić sprzeciw i otrzymuje tę możliwość ponownie w każdym e-mailu, a sprzeciwu nie wyraził, również poprzez listę ECG zgodnie z § 7 ust. 2 E-Commerce-Gesetz. Nie jest przesądzone, czy sama prośba o opinię mieści się w tym wyjątku jako reklama własnych podobnych produktów. Bezpieczną drogą jest zgoda, którą uzyskasz od razu przy zakupie.
• Żadnych niedozwolonych zachęt: Opinie opłacone lub kupione za rabaty naruszają regulaminy platform i przepisy o zwalczaniu nieuczciwej konkurencji. Według międzynarodowego badania 97% konsumentów uważa karanie firm za fałszywe opinie za właściwe (dane z USA), a odsetek ofert rabatów za opinie spadł z 36% w 2025 r. do 27% (dane z USA).
• Przetwarzanie danych autorów opinii: Imię i nazwisko, profil i treść opinii to dane osobowe. Kto eksportuje opinie, zapisuje je w systemach CRM lub analizuje narzędziami do monitorowania, potrzebuje do tego podstawy prawnej i w razie potrzeby umowy powierzenia przetwarzania danych z dostawcą narzędzia.
• Prawo do usunięcia danych i skargi: Osoby, których dane dotyczą, mogą żądać usunięcia swoich danych. W przypadku opinii na platformach zewnętrznych odbywa się to zwykle przez operatora platformy, natomiast przy przetwarzaniu wewnętrznym firma musi zareagować sama.

Odpowiedzi na opinie bez naruszania ochrony danych

Odpowiedź na opinię jest publiczna, a więc drażliwa z punktu widzenia ochrony danych. Najczęstszym błędem jest ujawnienie w odpowiedzi więcej, niż autor sam upublicznił.

Bezpiecznie jest potwierdzać tylko to, co już jest publiczne, a poza tym trzymać się ogólników. Niedopuszczalne jest publiczne podawanie dalszych szczegółów, takich jak numer zamówienia, zabieg, diagnoza, miejsce zamieszkania czy sam fakt istnienia konkretnego stosunku umownego, chyba że klient sam je podał. Szczególnie wrażliwe są szczególne kategorie danych osobowych w rozumieniu art. 9 RODO, na przykład dane o zdrowiu u lekarzy, terapeutów czy w aptekach.

Praktyczna zasada brzmi: publicznie odpowiadaj rzeczowo i ogólnie, a szczegóły przenoś do kanału prywatnego. Krótka, profesjonalna odpowiedź z propozycją bezpośredniego wyjaśnienia sprawy spełnia oczekiwania czytelników i jednocześnie pozwala uniknąć jakiegokolwiek naruszenia ochrony danych. Ma to też sens biznesowy, bo według międzynarodowego badania 80% konsumentów chętniej wybiera firmę, która odpowiada na wszystkie swoje opinie (dane z USA).

Zgody na cookies i platformy do zarządzania zgodami

Cookies śledzące i skrypty analityczne mogą się załadować dopiero po wyrażeniu aktywnej zgody. Baner zgody musi więc być zaprojektowany zgodnie z prawem, a austriacki organ ochrony danych (DSB) oraz Federalny Sąd Administracyjny (BVwG) zaostrzyły kryteria.

• Równorzędne przyciski: Przyciski akceptacji i odrzucenia muszą być równie łatwo dostępne na pierwszym poziomie i wizualnie równorzędne, czyli porównywalne pod względem rozmiaru, koloru, kontrastu i czcionki. Kolorowy przycisk akceptacji obok szarego linku odrzucenia uznaje się za niedozwolony nudging.
• Granularność: Użytkownicy muszą móc osobno zarządzać kategoriami, takimi jak statystyka i marketing. Ogólna logika typu wszystko albo nic nie wystarcza.
• Brak domyślnych zaznaczeń: Pliki cookie inne niż niezbędne nie mogą być aktywowane z góry. Milczenie ani dalsze przewijanie strony nie są zgodą.
• Wycofanie zgody i dokumentacja: Wycofanie zgody musi być tak samo proste jak jej udzielenie. Zgodę trzeba rejestrować tak, by można było ją udowodnić.

Platforma do zarządzania zgodami (CMP) automatyzuje blokowanie skryptów do momentu wyrażenia zgody i dokumentuje udzielone zgody. Ważne jest, aby CMP faktycznie uruchamiała tagi inne niż niezbędne dopiero po wyrażeniu zgody, a nie tylko wyświetlała baner.

Konfiguracja trackingu zgodna z ochroną danych

W trackingu o ryzyku decyduje wybór narzędzia. Korzystanie z narzędzi z USA od lat budzi kontrowersje. Austriacki organ ochrony danych DSB stwierdził w decyzji opublikowanej w styczniu 2022 r., że ówczesne korzystanie z Google Analytics na austriackiej stronie internetowej naruszało RODO, ponieważ dane osobowe, takie jak adres IP i identyfikatory użytkowników, były przekazywane do USA. Decyzja zapadła po skardze noyb z sierpnia 2020 r., a jej tłem był wyrok TSUE w sprawie Schrems II. Dotyczyła więc okresu sprzed EU-US Data Privacy Framework. Obecnie Google LLC ma certyfikację w ramach DPF, więc przekazywanie danych znów ma podstawę prawną. Ryzyko resztkowe pozostaje, więcej na ten temat w sekcji o międzynarodowym przekazywaniu danych.

Wynika z tego kilka opcji.

• Alternatywy z siedzibą w UE: Narzędzia takie jak Matomo (self-hosted lub w chmurze w UE) czy etracker przechowują dane w UE i wyraźnie zmniejszają ryzyko związane z przekazywaniem danych. Często oferują też konfiguracje bez cookies lub ograniczające potrzebę uzyskiwania zgody.
• Google Analytics 4 z Consent Mode: GA4 można stosować wyłącznie po uzyskaniu zgody i z ustawieniami minimalizującymi zakres danych. Consent Mode steruje tym, czy tagi uruchamiają się w pełni, czy tylko w formie zagregowanej. Ryzyko związane z przekazywaniem danych za Atlantyk pozostaje jednak kwestią otwartą.
• Tracking po stronie serwera: Server-side tagging może łączyć i filtrować przepływy danych, ale nie zastępuje zgody. Nie zmienia podstawy prawnej, a jedynie architekturę techniczną.

Międzynarodowe przekazywanie danych: Schrems II i ryzyko resztkowe

Każde narzędzie z USA rodzi pytanie o przekazywanie danych do państwa trzeciego w rozumieniu rozdziału V RODO. Po wyroku w sprawie Schrems II obowiązujący od 2023 r. EU-US Data Privacy Framework (DPF) zapewnia podstawę prawną, o ile odbiorca w USA ma certyfikację. To zmniejsza ryzyko, ale go nie eliminuje.

Sąd UE oddalił 3 września 2025 r. skargę o stwierdzenie nieważności DPF (sprawa T-553/23, Latombe). Skarżący wniósł od tego wyroku odwołanie do TSUE (sprawa C-703/25 P). Postępowanie jest tam w toku (stan na październik 2026 r.). Dopóki TSUE nie rozstrzygnie sprawy, możliwy pozostaje Schrems III, czyli unieważnienie DPF. W warunkach tej niepewności lokalne firmy powinny kierować się pragmatyczną zasadą: tam, gdzie rozwiązanie unijne spełnia ten sam cel, jest ono wyborem mniej ryzykownym. Kto korzysta z narzędzi z USA, powinien sprawdzić certyfikację DPF, uzgodnić standardowe klauzule umowne jako zabezpieczenie i udokumentować przepływy danych.

Jak prowadzić Profil Firmy w Google zgodnie z przepisami o ochronie danych

Profil Firmy w Google (GBP) to najważniejszy kanał lokalnej widoczności, a zarazem przetwarzanie danych. Istotne są trzy kwestie.

• Wyjaśnienie ról: Przy samym prowadzeniu profilu firma działa w dużej mierze samodzielnie. Gdy jednak korzysta z parametrów śledzenia albo funkcji rezerwacji lub wiadomości, trzeba sprawdzić odpowiednie umowy i w razie potrzeby powierzenie przetwarzania danych.
• Sprawdzenie udostępniania danych: Funkcje takie jak rezerwacje czy wiadomości przekazują dane klientów Google i dostawcom zewnętrznym. Te przepływy muszą znaleźć się w polityce prywatności.
• Śledzenie interakcji z GBP: Jeśli dodasz parametry UTM do linku do strony w profilu, mierzysz kliknięcia z GBP. Ten pomiar odbywa się na Twojej stronie i dlatego podlega obowiązkowi uzyskania zgody.

Dobre praktyki: checklista zgodności dla lokalnych firm

Prosta, udokumentowana rutyna obejmuje najważniejsze obowiązki.

• Aktualna polityka prywatności: Wymień wszystkie używane narzędzia do analityki, opinii, map i rezerwacji wraz z celem, podstawą prawną i powiązaniem z państwami trzecimi.
• Zawieranie umów powierzenia: Z każdym usługodawcą, który przetwarza dane osobowe w Twoim imieniu, na przykład z dostawcą CMP, narzędzia analitycznego lub monitorowania opinii.
• Sprawdzenie banera zgody: Równorzędne przyciski, granularność, brak domyślnych zaznaczeń, działające blokowanie skryptów przed wyrażeniem zgody.
• Zdefiniowanie procesu obsługi opinii: Kto i kiedy prosi o opinie, na jakiej podstawie prawnej i kto na nie odpowiada według jakich zasad.
• Kompletna nota prawna: Poprawne dane NAP spełniają obowiązek ustawowy i jednocześnie wzmacniają sygnały lokalne oraz E-E-A-T.
• Prowadzenie dokumentacji: Zgody, umowy i rejestr czynności przetwarzania trzymaj pod ręką jako dowód.

Częste błędy

Powtarzających się słabych punktów można celowo unikać.

• Tracking przed zgodą: Skrypty analityczne, które ładują się od razu po otwarciu strony, to najczęstsze naruszenie. Sam baner nie wystarczy, skrypty muszą być faktycznie zablokowane.
• Dane osobowe w odpowiedziach na opinie: Publiczne podawanie szczegółów umowy, danych o zdrowiu lub miejsca zamieszkania. Szczegóły należą do kanału prywatnego.
• Narzędzia z USA bez weryfikacji: Domyślne wdrażanie bez certyfikacji DPF, bez standardowych klauzul umownych i bez dokumentacji.
• Brak umów powierzenia: Korzystanie z usług monitorowania i analityki bez podstawy umownej.
• Kupione opinie: Zachęty lub fałszywe opinie grożą karami i utratą reputacji.

Metryki i pomiar mimo strat wynikających z braku zgód

Tracking zgodny z ochroną danych oznacza mniej danych. Przy zgodnym z prawem banerze według badania benchmarkowego traci się średnio około 60% danych o wizytach, gdy wymagana jest zgoda (dane dla Niemiec/UE). Ta luka jest systematyczna, a nie przypadkowa, i zniekształca statystyki. Kto to ignoruje, podejmuje decyzje na wypaczonej podstawie.

Rzetelne analizy są mimo to możliwe.

• Trendy zamiast wartości bezwzględnych: Względne zmiany w czasie pozostają miarodajne, dopóki warunki pomiaru są stałe.
• Odsetek zgód jako osobna metryka: Mierz sam odsetek zgód, aby właściwie interpretować dostępne dane i ocenić skuteczność banera.
• Sygnały po stronie serwera i bez cookies: Zagregowany pomiar bez danych osobowych daje dodatkową perspektywę, która nie wymaga zgody.
• Statystyki GBP i dane z SERP: Połączenia, prośby o wskazówki dojazdu i pozycje w rankingu to niezależne dowody, na które brak zgód nie ma wpływu.

Ryzyko sankcji i wezwań do zaniechania naruszeń

Konsekwencje naruszeń są realne. RODO przewiduje kary pieniężne do 20 mln euro lub 4% całkowitego rocznego światowego obrotu. Tracking bez zgody i wadliwe banery zgody są regularnie przedmiotem kontroli i skarg.

Do tego dochodzi prawo nieuczciwej konkurencji. Fałszywe opinie i niedozwolone zachęty naruszają ustawę UWG, która w Austrii wdraża dyrektywę Omnibus. Takie naruszenia mogą skutkować wezwaniami do zaniechania naruszeń i karami pieniężnymi. Dla lokalnych firm sumują się w ten sposób trzy poziomy ryzyka: kary RODO nakładane przez organ nadzorczy, wezwania na gruncie prawa konkurencji i utrata zaufania klientów.

Dalsze informacje

Lokalne SEO zgodne z RODO to nie jednorazowy projekt, lecz rutyna. Kto stawia zgodę przed trackingiem, prawidłowo zbiera opinie i na nie odpowiada, wybiera narzędzia bliskie UE i wszystko dokumentuje, łączy bezpieczeństwo prawne z widocznością. Polityka prywatności, sprawdzony baner zgody i jasny proces obsługi opinii tworzą fundament, na którym można rozwijać lokalny zasięg bez ryzyka prawnego.