PrestaShop a prawo UE – GPSR, RODO, cookies i „Odstąp od umowy tutaj”

Sklep na europejskim kursie kolizyjnym?

13 grudnia 2024 weszło GPSR, 28 czerwca 2025 zaczyna obowiązywać EAA, a 19 czerwca 2026 każdy sklep musi mieć widoczny przycisk „Odstąp od umowy tutaj”. Kary za naruszenie RODO? Do 20 mln euro lub 4% globalnego obrotu, w zależności która kwota jest wyższa. Brzmi groźnie, bo jest groźnie.

Dane GPSR są wymagane także poza sklepem: TikTok Shop odrzuca oferty bez producenta i osoby odpowiedzialnej w UE. Moduł PrestaShop TikTok Shop pobiera te dane z Seller Center i dołącza do każdego eksportowanego produktu.

Dlaczego to akurat PrestaShop czuje presję

PrestaShop to europejski CMS, urodzony gdzieś między 2005 a 2007 rokiem (w zależności od tego, od którego momentu liczymy), popularny głównie w UE. Gdy przepisy zaciskają się wokół e-commerce, sklepy na tej platformie są w centrum uwagi. W 2026 roku PrestaShop przeszedł pod skrzydła cyberFolks.pl, co otwiera nowy rozdział, ale jedna rzecz się nie zmienia: zgodność z prawem to nie jest jednorazowa instalacja modułu i „git”. To proces ciągły. Regulacje ewoluują, interpretacje się zmieniają, a moduły to tylko narzędzia, nie rozwiązanie samo w sobie.

Co to oznacza dla właściciela sklepu? Że trzeba wiedzieć, co się dzieje, jakie obowiązki czekają i jak je odhaczać bez paniki. Ten artykuł łączy suche przepisy z praktyką PrestaShop. Pokażę konkretne wymagania, wskażę narzędzia i podpowiem, co warto mieć na radarze, żeby sklep nie wpadł w tarapaty regulacyjne.

Mapa regulacji UE dla e‑commerce na PrestaShop

Właściciele sklepów PrestaShop w UE muszą dziś żonglować sporym zestawem przepisów. Część z nich obowiązuje już lata, inne pojawiły się niedawno, a kolejne czekają tuż za rogiem. No i wszędzie te same skróty: RODO, GPSR, DSA… Dobra wiadomość? PrestaShop jako popularna platforma w UE (szczególnie w Polsce, Francji, Hiszpanii) ma rozbudowany ekosystem modułów compliance na addons.prestashop.com, więc nie jesteś sam.

Oś czasu kluczowych regulacji

Ważny kontekst: RODO i GPSR działają eksterytorialnie. Jeśli sprzedajesz do UE, musisz mieć odpowiedzialnego operatora/importera w Unii, nawet gdy Twój biznes jest np. w Wielkiej Brytanii czy USA.

Co każdy akt zmienia w sklepie

RODO to prawa klientów (dostęp do danych, usunięcie, sprzeciw) plus podstawy przetwarzania, czyli musisz wiedzieć, dlaczego coś logujesz. Cookies i ePrivacy wymagają zgód przed jakimkolwiek śledzeniem (Google Analytics, Facebook Pixel). Consumer Rights/Omnibus dają klientowi 14 dni na odstąpienie od umowy i nakazują pokazywać najniższą cenę z ostatnich 30 dni przy promocjach. GPSR wymaga danych producenta/importera na kartach produktów plus szybką reakcję na niebezpieczne towary. EAA oznacza WCAG 2.1 AA, czyli dostępność dla osób z niepełnosprawnościami (kontrast, nawigacja klawiaturą). VAT OSS upraszcza VAT przy sprzedaży transgranicznej, ale trzeba raportować. DSA nakłada obowiązki informacyjne na platformy (dotyczy raczej marketplace’ów).

Kolejne sekcje pokażą konkretne narzędzia i wdrożenia dla każdego obszaru.

RODO i cookies w praktyce PrestaShop

PrestaShop wymaga od właściciela sklepu całkiem konkretnych działań, żeby nie wejść w konflikt z RODO. Chodzi o narzędzia, mechanizmy i tę całą dokumentację zgód, którą trzeba logować. Dobra wiadomość? Jest do tego oficjalny moduł.

Oficjalny moduł RODO: co potrafi

Moduł psgdpr (Official GDPR Compliance by PrestaShop) działa od 2018 roku i obsługuje prawa podmiotów danych:

• żądania dostępu do danych osobowych,
• eksport danych w formacie CSV lub PDF (przenoszalność),
• usunięcie konta i powiązanych informacji,
• logi wszystkich operacji przetwarzania z timestampami,
• hooki dla modułów zewnętrznych, które przechowują dane.

Moduł pozwala też dokumentować podstawy prawne przetwarzania. W praktyce to znaczy: rejestry zgód, adresy IP, daty i godziny, zgodnie z zasadą minimalizacji danych.

Cookie consent i Consent Mode v2

Baner cookie to nie tylko popup „kliknij OK”. Zgoda musi być świadoma, granularna i równie łatwa do wycofania jak do udzielenia. Skrypty śledzące (Google Analytics, Facebook Pixel) nie mogą się uruchomić do momentu, aż użytkownik wyrazi zgodę.

PrestaShop współpracuje z Google Consent Mode v2, który mapuje wybory użytkownika na konkretne tagi reklamowe i analityczne. Ważne, żeby w panelu była opcja zmiany zgody w każdej chwili.

Najczęstsze błędy i ryzyko kar

Częste potknięcia to:

• domyślnie zaznaczone checkboxy (zgoda musi być aktywna),
• brak przycisku „Odrzuć wszystko” albo ukrywanie go głęboko w ustawieniach,
• brak łatwego dostępu do ponownej konfiguracji zgód.

Kary za naruszenie RODO?

do 20 mln € lub 4% globalnego obrotu

Wystarczy jedna skarga do UODO i audyt, który wykaże brak logów lub nieprawidłowy baner. Ryzyko realne, więc lepiej to ogarnąć porządnie od razu.

Przycisk „Odstąp od umowy tutaj” – wdrożenie krok po kroku

Od 19 czerwca 2026 roku każdy sklep online w UE musi zapewnić funkcję „Odstąp od umowy tutaj” bezpośrednio w interfejsie sklepu. Dyrektywa 2023/2673 wymaga, żeby przycisk był widoczny i stale dostępny, a etykieta brzmiała dokładnie:

„Odstąp od umowy tutaj”

Możesz też użyć równoważnego sformułowania, ale to działa najlepiej. Nie komplikuj.

Proces odstąpienia: dwa kroki + e‑mail

Minimalna ścieżka to dwuetapowy proces. Krok pierwszy: klient klika przycisk i inicjuje odstąpienie (np. wybiera zamówienie, zaznacza produkty). Krok drugi: potwierdzenie zamiaru, żeby uniknąć przypadkowych kliknięć. Po zatwierdzeniu musisz wysłać potwierdzenie na trwałym nośniku, czyli po prostu e‑mail z datą zgłoszenia i numerem sprawy.

Ważne: nie wystarczy komunikat na ekranie. E‑mail to wymóg.

Co z wyjątkami i gdzie to umieścić

Niektóre produkty nie podlegają zwrotom:

• Personalizowane (nadruki, grawerowanie)
• Higieniczne po rozpakowaniu (bielizna, kosmetyki)
• Szybko psujące się (jedzenie, kwiaty)

O wyjątkach musisz informować ex ante, najlepiej na karcie produktu i w regulaminie.

Co do miejsca: umieść przycisk w koncie klienta (sekcja „Moje zamówienia”), opcjonalnie w stopce lub podsumowaniu zamówienia. Moduł „EU Right of Withdrawal Button” dla PrestaShop automatyzuje logowanie zgłoszeń, śledzi terminy 14‑dniowe i wysyła powiadomienia. Sprawdź też, żeby język był jasny i bez dark patterns (np. nie ukrywaj przycisku w trzecim poziomie menu).

Pamiętaj, że przycisk to nie zamiennik regulaminu zwrotów, tylko dodatkowa funkcja ułatwiająca proces.

GPSR na kartach produktów – bezpieczeństwo i odpowiedzialni

Od 13 grudnia 2024 roku każdy produkt konsumencki w sklepie PrestaShop musi spełniać wymogi rozporządzenia GPSR (General Product Safety Regulation). I chodzi tu nie tylko o rzeczywiste bezpieczeństwo, ale też o transparentność – klient ma wiedzieć, kto odpowiada za to, co kupuje. Szczególnie istotne stają się informacje o tzw. „economic operators” oraz wskazanie podmiotu odpowiedzialnego w UE dla towarów spoza Wspólnoty.

Jakie informacje wymaga GPSR

Na karcie produktu musisz pokazać:

• pełną nazwę i dane kontaktowe producenta (lub importera, jeśli produkt pochodzi spoza UE),
• wskazanie „EU responsible person”, czyli podmiotu odpowiedzialnego w Unii dla towarów z zewnątrz,
• ostrzeżenia bezpieczeństwa (np. ograniczenia wiekowe, ryzyka użytkowania),
• link lub plik z dokumentacją: instrukcje obsługi, certyfikaty zgodności, deklaracje CE (jeśli dotyczą).

W praktyce nie wszystkie produkty wymagają pełnego zestawu – ubrania mają inne potrzeby niż zabawki czy elektronika. Ale jeśli sprzedajesz cokolwiek ryzykowniejszego albo dla dzieci, lepiej mieć to dopięte na ostatni guzik.

Gdzie i jak je pokazać w PrestaShop

Najprostsze podejście to dodatkowa zakładka na karcie produktu (np. „Bezpieczeństwo i producent”). Moduły typu GPSR Compliance Pro automatyzują ten proces, dodając dedykowane pola. Możesz też wykorzystać atrybuty produktu albo pola niestandardowe w opisie – byleby informacje były widoczne przed zakupem, nie gdzieś w stopce sklepu.

Szczególne przypadki i wyjątki

Towary wyprodukowane i wprowadzone na rynek przed 13.12.2024 mogą korzystać z krótkich okresów przejściowych, zwłaszcza jeśli są to stare zapasy. Różnice sektorowe (np. żywność kontra elektronika) mogą wymagać dodatkowych oznaczeń. Jeśli nie jesteś pewien, czy twój produkt spełnia wymogi, warto sprawdzić w unijnej bazie RAPEX albo zapytać prawnika. To nie jest miejsce na zgadywanki.

Dostępność według EAA – WCAG 2.1 AA w sklepie

Od 28 czerwca 2025 sklepy internetowe muszą spełniać wymagania dostępności cyfrowej według Europejskiego Aktu o Dostępności (dyrektywa 2019/882). Mikroprzedsiębiorstwa mają wyjątek, ale reszta? Trzeba działać. W praktyce chodzi o zgodność z WCAG 2.1 poziom AA i normą EN 301 549.

WCAG 2.1 AA: co to znaczy dla Twojego sklepu

Najważniejsze kryteria, które dotykają każdy PrestaShop:

• Nawigacja klawiaturą – cały sklep musi działać bez myszki, widoczny fokus na linkach i przyciskach
• Kontrast 4,5:1 – tekst vs tło, szczególnie ceny, komunikaty błędów i CTA
• Aria-labels – opisy dla ikon koszyka, wyszukiwarki, menu mobilnego
• Alternatywy tekstowe – opisy alt dla zdjęć produktów (nie „IMG_2847.jpg”)
• Formularze – jasne etykiety, komunikaty błędów powiązane z polami, instrukcje przed wypełnieniem

Brzmi prosto? W teorii tak. W praktyce większość szablonów PrestaShop ma problemy z fokusem klawiatury w menu, kontrast bywa losowy (zwłaszcza w customowych kolorach marki), a aria-labels po prostu nie istnieją.

Dlaczego moduł WCAG to za mało

Na rynku jest kilka „modułów dostępności” – widget z paletą kolorów, powiększeniem tekstu, trybem wysokiego kontrastu. Wyglądają imponująco w demo. Problem? Nie naprawiają struktury HTML, nie dodają aria-labels tam gdzie brakuje, nie naprawią złego kontrastu w CSS-ie. To kosmetyka.

Prawdziwa dostępność wymaga ręcznych poprawek w szablonach

.tpl, testów z czytnikami ekranu (NVDA, JAWS) i audytu z EN 301 549 w tle. Moduł może być dodatkiem, ale nigdy podstawą.

Minimalny proces który ma sens

Zacznij od audytu – narzędzia automatyczne (WAVE, Axe DevTools) wyłapią ~30% problemów. Resztę znajdziesz testując klawiaturą i czytnikiem. Zrób backlog napraw według priorytetu (krytyczne: checkout i nawigacja, niższe: blog i stopka). Najlepiej jeśli przetestujesz z prawdziwymi użytkownikami z niepełnosprawnościami. Po wdrożeniu – monitoring, bo każdy nowy moduł czy zmiana w szablonie może zepsuć dostępność.

Nie czekaj do czerwca. Audyt + naprawa to 2-3 miesiące pracy, jeśli sklep jest średniej wielkości.

Checkout bez dark patterns – zgodny i konwertujący

Czego unikać: ciemne wzorce

Ciemne wzorce, czyli dark patterns, to wszystko, co podstępnie popycha użytkownika do zakupu albo ukrywa prawdziwe koszty. Najpopularniejsze tricki do wyeliminowania? Ukryte opłaty za dostawę pojawiające się dopiero w ostatnim kroku, zaznaczone domyślnie zgody na newsletter czy płatne dodatki, fałszywe odliczanie czasu („tylko 3 minuty na dokończenie zamówienia!”), wprowadzające w błąd rabaty („90% taniej!” tam gdzie cena nigdy nie była wyższa). Prawo konsumenckie UE jasno mówi: żadnych tricków, pełna przejrzystość od początku. A klienci? Oni to wyczuwają i po prostu odchodzą.

Transparentność cen i Omnibus

Dyrektywa Omnibus wymaga czegoś prostego: jeśli coś przeceniasz, pokaż najniższą cenę z ostatnich 30 dni. Brzmi prosto, ale w praktyce wielu sprzedawców nadal kombinuje. W PrestaShop można to ogarnąć modułem albo dostosowaniem szablonu karty produktu. Co ważne, na checkout pokazuj kompletny koszt: towar, dostawa, VAT (albo VAT OSS dla klientów spoza Polski), ewentualne opłaty dodatkowe. Wszystko widoczne przed kliknięciem „Kupuję i płacę”. To nie tylko wymóg prawny, to po prostu uczciwe granie.

Podsumowanie zamówienia bez pułapek

Ostatni ekran przed płatnością to moment prawdy. Klient powinien zobaczyć:

• Pełny koszt z rozbiciem (produkty, dostawa, podatki)
• Jasny CTA typu „Zamawiam z obowiązkiem zapłaty”
• Informację o prawie odstąpienia (14 dni)
• Bez ukrytych checkboxów i niespodzianek

Technicznie? Wykorzystaj hooki PrestaShop (displayPaymentTop, displayBeforeCarrier) do wstawienia komunikatów prawnych tam gdzie trzeba, bez zaśmiecania layoutu. Checkout może być zgodny z prawem i jednocześnie konwertować, wystarczy nie komplikować. Zaufanie rośnie, zwroty maleją.

Regulaminy, polityki i trwały nośnik

Zacznijmy od tego, czym właściwie jest „trwały nośnik” w kontekście sklepu internetowego. Brzmi górnolotnie, ale w praktyce chodzi o e‑mail z załącznikiem PDF albo z pełną treścią regulaminu w treści wiadomości. Wysyłasz go klientowi zaraz po złożeniu zamówienia i ponownie, gdy zgłosi odstąpienie od umowy. Dyrektywa wymaga, żeby konsument mógł zachować te informacje i wrócić do nich później.

Co musi zawierać regulamin

Twoja polityka prywatności, regulamin sprzedaży i informacja o odstąpieniu to nie ozdoba. Muszą tam być konkretne rzeczy:

• Pełna tożsamość sprzedawcy (NIP, adres, kontakt)
• Warunki dostawy, koszty wysyłki, czasy realizacji
• Prawo do odstąpienia (14 dni) i wyjątki od niego
• Procedura reklamacji, odpowiedzialność za wady
• Dane kontaktowe do obsługi klienta

Jeśli prowadzisz multistore albo masz wersje językowe, każda musi mieć spójne treści. Nie może być tak, że w polskiej wersji piszesz „7 dni na zwrot”, a w angielskiej „14 dni”. To prosta droga do problemów.

Spójność treści i linkowanie

Upewnij się, że linki do regulaminów są widoczne w stopce i na stronie checkout. Faktycznie widoczne, nie w kolorze #f4f4f4 na białym tle. Treść regulaminu powinna odpowiadać temu, co pokazujesz w module przycisku odstąpienia czy w komunikatach o czasach dostawy. Klient czyta „dostawa 2‑3 dni”, a w regulaminie ma „do 10 dni roboczych”? Niezgodność komunikacji działa na niekorzyść sprzedawcy, zwłaszcza gdy dojdzie do sporu.

Niektóre sklepy generują PDF dynamicznie przy każdym zamówieniu, inne trzymają statyczny plik i aktualizują go raz na kwartał. Oba podejścia są OK, o ile klient faktycznie dostaje aktualną wersję na swój e‑mail.

Moduły i architektura PrestaShop – strategia zgodności

Skoro rozmawiamy o zgodności z prawem UE w PrestaShop, to warto zrozumieć, że sama platforma to w zasadzie Symfony z warstwą modułów wpinanych przez hooki. I właśnie te hooki decydują o tym, czy Twój sklep będzie zgodny, czy będzie dziurawa jak sito. Moduły mogą się podpiąć pod checkout, konto klienta, karty produktów, nawet pod generowanie PDF-ów zamówień. Multistore i wielojęzyczność dodatkowo komplikują sprawę, bo każda domena może mieć inne wymagania prawne.

Hooki i punkty integracji

Najważniejsze miejsca do integracji compliance to

displayHeader (tu lądują skrypty cookie), actionCustomerAccountAdd (zgody przy rejestracji), displayProductAdditionalInfo (informacje GPSR na kartach) i displayOrderConfirmation (odstąpienie od umowy). Jeśli moduł nie używa odpowiednich hooków, albo motyw ich nie wspiera, masz problem. Dlatego zawsze testuję na staging przed wrzuceniem czegokolwiek na produkcję.

Zestaw modułów compliance

Z praktyki polecam kilka typów modułów, które rzeczywiście działają:

• Official GDPR Compliance – podstawa do obsługi żądań RODO, eksportu danych
• EU Cookie Law GDPR Blocker – blokuje skrypty do czasu zgody, obsługuje Consent Mode v2
• GPSR Compliance Pro – dodaje pola producentów, importerów, odpowiedzialnych osób
• EU Right of Withdrawal Button – przycisk odstąpienia w koncie klienta i na potwierdzeniu
• Moduły do logowania działań (kto, kiedy, co wyeksportował lub usunął)

Staging, wersjonowanie, aktualizacje

Żadnych aktualizacji na żywo. Kontrola wersji (Git lub podobne), środowisko testowe, przegląd czy nowy moduł nie rozjeżdża motywu. Potem dopiero produkcja. I jeszcze jedno – moduły compliance powinny generować logi (kto wyeksportował dane, kiedy) oraz integrować się z e-mailem jako trwałym nośnikiem. Potwierdzenia RODO wysłane mailem to Twój dowód, że wszystko zrobiłeś jak trzeba.

Audyty, logi i ciągłe doskonalenie zgodności

Zgodność prawna to nie jednorazowa operacja, tylko proces. Wdrożyłeś moduły, skonfigurowałeś politykę prywatności i, no właśnie, co dalej? Prawo się zmienia, PrestaShop dostaje aktualizacje, pojawiają się nowe motywy lub dodatki. Bez systematycznych przeglądów ryzykujesz, że za pół roku coś przestanie działać albo nowy przepis Cię zaskoczy.

Ocena ryzyka i rejestry

Jeśli przetwarzasz dane wrażliwe (np. konta firmowe B2B z danymi zdrowotnymi w sklepie z suplementami) lub działasz na dużą skalę, DPIA (Data Protection Impact Assessment) przestaje być czystą teorią. To ocena, gdzie może wystąpić wyciek lub nadużycie i jakie środki planujesz. Równolegle prowadź rejestr czynności przetwarzania: kto przetwarza dane, w jakim celu, jak długo przechowywane. Brzmi biurokratycznie? Owszem, ale UODO (Urząd Ochrony Danych Osobowych) może poprosić o ten rejestr podczas kontroli.

Monitoring i metryki zgodności

Potrzebujesz namacalnych wskaźników. SLA na żądania RODO (np. eksport danych w max. 5 dni roboczych), logi zgód na cookies z timestampami, rejestry eksportów i usunięć kont użytkowników. Ustaw alerty: błąd walidacji w checkout (np. brakuje zgody marketingowej, ale formularz przepuszcza), problemy z WCAG (audit dostępności co kwartał), drop w liczbie akceptacji zgód (może modal cookies źle się wyświetla?). Metryki pokazują, czy system działa, nie tylko teoretycznie istnieje.

Rola zespołów i przeglądów

Governance brzmi nudno, ale w praktyce to kwestia, kto odpowiada za co. IT pilnuje modułów i logów, dział prawny śledzi zmiany przepisów i aktualizuje teksty, marketing zarządza zgodami na newslettery. Przeglądy kwartalne: sprawdzasz changelog modułów, nowe wersje PrestaShop, czy coś się zmieniło w RODO lub GPSR. Po każdej dużej aktualizacji sklepu, testy: czy formularz rejestracji nadal prawidłowo loguje zgody, czy checkbox „Odstąp tutaj” działa. I procedura incydentowa: wyciek danych? Masz 72 godziny na zgłoszenie do UODO. Lepiej mieć plan wcześniej.

Koszty, ryzyka i harmonogram 2024-2026

Większość właścicieli sklepów myśli o zgodności jak o dodatkowym koszcie. I formalnie mają rację, ale spojrzenie wyłącznie przez pryzmat wydatków to błąd. Trzeba widzieć też drugą stronę: co ryzykujesz, nie wdrażając zmian, i kiedy musisz być gotowy.

Ile kosztuje (i ile może kosztować brak zgodności)

Kary RODO to do 20 mln € lub 4% globalnego obrotu rocznego – w zależności od tego, która kwota jest wyższa. Brzmi abstrakcyjnie? Badania pokazują, że firmy najbardziej narażone na wymogi RODO notują spadek sprzedaży o ~2% i zysków o ~8%. To nie tylko kary, to utrata zaufania klientów.

Same wdrożenia wyglądają tak: moduły cookies czy RODO to koszt od kilkuset do kilku tysięcy złotych, w zależności od zaawansowania. Audyty prawno‑techniczne plus wdrożenie pełnej zgodności? Tutaj mówimy o kilku, czasem kilkunastu tysiącach. Ale (i to istotne) inwestycja w przejrzystość zwiększa konwersję. Klienci kupują chętniej tam, gdzie czują się bezpiecznie.

Daty graniczne 2024-2026

Harmonogram regulacyjny wygląda konkretnie:

Pierwszy termin już za nami, więc jeśli sprzedajesz produkty fizyczne, sprawdź szybko, czy masz dane. Pozostałe dwie daty dają jeszcze trochę czasu, ale wdrożenia wymagają testów.

Ryzyka regulacyjne i reputacyjne

Poza finansami jest jeszcze coś mniej mierzalnego: reputacja. Kontrola UODO czy zarzuty o dark patterns potrafią być medialnym koszmarem. Klienci dzielą się takimi historiami w social mediach błyskawicznie. Zgodność to też przewaga konkurencyjna, bo większość rynku ciągle zwleka.

Zgodność jako przewaga – co zostaje po deadline’ach

Kiedy już upchniesz wszystkie wymagane zgody, etykiety i linki prawne, zostaje ci coś więcej niż tylko odhaczone pola na liście compliance. Tak naprawdę budujesz zaufanie, które przekłada się na realne wyniki. Sklep, który pokazuje od razu, że dba o prywatność i bezpieczeństwo klienta, wygląda po prostu solidniej. Ludzie to wyczuwają, nawet jeśli nie czytają dokładnie wszystkich regulaminów. A w świecie, gdzie każdy drugi sklep internetowy budzi wątpliwości co do tego, czy nie wycieka gdzieś dane albo czy towar w ogóle dotrze, ta różnica naprawdę się liczy.

PrestaShop daje ci konkretne narzędzia, żeby to wszystko ogarnąć bez zatrudniania prawnika na pełen etat. Moduły, formularze, gotowe szablony. Możesz to skonfigurować raz porządnie i mieć spokój. I właśnie o to chodzi: o to, żeby zgodność z prawem nie była ciągłym stresem, tylko elementem normalnego prowadzenia biznesu. Bo deadline’y miną, przepisy pewnie jeszcze się zmienią, a ty już będziesz wiedział, jak się w tym odnaleźć.