Zakładanie konta przez użytkowników w sklepach internetowych – między wygodą biznesową a ochroną praw konsumenta

Obecnie praktycznie każdy sklep internetowy zachęca kupujących do założenia konta użytkownika. Dzięki rejestracji konta na danej platformie sprzedawcy otrzymują dostęp do podstawowych danych o kupującym, jego historii zamówień, reklamacji, zwrotów towarów, a także oferuje wszelkiego rodzaju benefity jak programy lojalnościowe i promocje. Coraz więcej podmiotów z branży e-commerce uzależnia jednak możliwość dokonania zakupu na platformie od wcześniejszej rejestracji profilu użytkownika. Taka praktyka budzi wątpliwości prawne związane zarówno z ochroną danych osobowych, jak i poszanowaniem praw konsumentów.

Usługa elektroniczna

Prowadzenie konta w sklepie internetowym jest usługą elektroniczną, o której mowa w ustawie z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Kupujący zawiera z właścicielem sklepu/sprzedawcą umowę o prowadzenie i utrzymanie konta w sklepie internetowym, która ta umowa jest umową odrębną od umowy sprzedaży towarów lub usług. 

Założenie konta w sklepie internetowym przez nowego użytkownika wymaga wcześniejszego zapoznania się z regulaminem świadczenia usług drogą elektroniczną. Przedsiębiorca/właściciel sklepu powinien przy tym umożliwić użytkownikowi pobranie regulaminu, zapisanie go na trwałym nośniku oraz odtworzenie w dowolnym czasie.

Sam regulamin powinien w myśl art. 8 ust. 3 ww. ustawy zawierać:

1) rodzaje i zakres usług świadczonych drogą elektroniczną;

2) warunki świadczenia usług drogą elektroniczną, w tym:

a) wymagania techniczne niezbędne do współpracy z systemem teleinformatycznym, którym posługuje się usługodawca;

b) zakaz dostarczania przez usługobiorcę treści o charakterze bezprawnym;

3) warunki zawierania i rozwiązywania umów o świadczenie usług drogą elektroniczną;

4) tryb postępowania reklamacyjnego.

Podkreślić należy, że są to minimalne wymagania wskazane w ustawie. Dodatkowo warto wprowadzić do regulaminu dane identyfikujące właściciela sklepu, informacje o przetwarzaniu danych osobowych (lub odesłanie do dokumentu, który takie informacje posiada) oraz zasady bezpieczeństwa korzystania z konta użytkownika.

Umowa zawierana na odległość

Założenie konta w sklepie internetowym jest nie tylko skorzystaniem z usługi elektronicznej, ale również zawarciem umowy na odległość. W przypadku, gdy konto w sklepie internetowym zakłada konsument, szczególnego znaczenia nabierają przepisy chroniące jego interesy wynikające z ustawy z dnia 30 maja 2014 r. o prawach konsumenta, w tym przepisy o obowiązkach informacyjnych przedsiębiorcy oraz zasadach dotyczących zawierania umów bez jednoczesnej fizycznej obecności stron, z wyłącznym wykorzystaniem jednego lub większej liczby środków porozumiewania się na odległość do chwili zawarcia umowy włącznie.

Zakres obowiązków informacyjnych, jakie właściciel sklepu internetowego powinien spełnić przed zawarciem umowy z konsumentem, został określony w art. 8 ustawy o prawach konsumenta. W skrócie, najpóźniej w chwili wyrażenia przez konsumenta woli związania się umową przedsiębiorca powinien w sposób jasny i zrozumiały poinformować go w szczególności o:

• głównych cechach usługi, w tym funkcjonalnościach konta użytkownika;
• danych identyfikujących przedsiębiorcę;
• cenie usługi oraz innych kosztach związanych z jej świadczeniem, jeżeli prowadzenie konta ma charakter odpłatny;
• sposobie i terminie świadczenia usługi oraz procedurze reklamacyjnej;
• odpowiedzialności przedsiębiorcy za zgodność usługi z umową;
• usługach dodatkowych lub gwarancjach, jeżeli są oferowane;
• czasie trwania umowy oraz zasadach jej wypowiedzenia lub usunięcia konta;
• funkcjonalnościach usługi cyfrowej oraz stosowanych środkach technicznych;
• kompatybilności i interoperacyjności usługi, o ile informacje te mają znaczenie dla korzystania z konta.

Zakres przekazywanych informacji powinien umożliwiać konsumentowi świadome podjęcie decyzji o założeniu konta i zawarciu umowy z przedsiębiorcą. Istotnym obowiązkiem przedsiębiorcy jest również poinformowanie konsumenta o prawie do odstąpienia od umowy o prowadzenie konta w terminie 14 dni od dnia jej zawarcia, bez podawania przyczyny i bez ponoszenia kosztów. Jeżeli przedsiębiorca nie przekaże konsumentowi informacji o przysługującym mu prawie odstąpienia od umowy, termin do wykonania tego prawa wygasa dopiero po upływie 12 miesięcy od dnia, w którym upłynął podstawowy 14-dniowy termin na odstąpienie od umowy.

W tym miejscu warto również wspomnieć o nowych przepisach unijnych, których termin na wdrożenie przez Państwa Członkowskie minął w dniu 19 czerwca 2026 r. [1] W Polsce proces implementacji nie został dotychczas zakończony. W zakresie branży e-commerce nowe obowiązki mają dotyczyć m.in. wprowadzenia funkcji odstąpienia od umowy w interfejsie internetowym, oznaczonej wyrazami „odstąp od umowy tutaj” lub odpowiadającym im jednoznacznym sformułowaniem w czytelnej formie, czy też obowiązku potwierdzenia konsumentowi na trwałym nośniku otrzymania oświadczenia odstąpienia od umowy, które to potwierdzenie zawierać ma np. informacje o treści odstąpienia oraz o dacie i godzinie jego złożenia.

Konto użytkownika jako źródło danych osobowych

Konto użytkownika stanowi dla właściciela sklepu internetowego źródło danych osobowych oraz informacji o zachowaniach klientów podczas zakupu. Oprócz danych podawanych podczas rejestracji, właściciel sklepu może gromadzić również informacje o historii zamówień, preferencjach zakupowych oraz aktywności użytkownika w sklepie internetowym. Z tego względu prowadzenie kont użytkowników powinno odbywać się z poszanowaniem zasad wynikających z RODO [2].

Jakich danych może żądać sklep internetowy?

Kluczową zasadą uregulowaną przez RODO w zakresie zbierania danych klientów przez właścicieli sklepów internetowych jest zasada minimalizacji danych. Oznacza to, że przedsiębiorca może żądać od użytkownika wyłącznie takich danych osobowych, które są adekwatne, stosowne i niezbędne do utworzenia oraz prowadzenia konta (profilu użytkownika).

Podstawowymi danymi niezbędnymi do założenia i prowadzenia konta w sklepie internetowym są
e-mail oraz dane uwierzytelniające użytkownika, takie jak login i hasło. Co do zasady, wymóg podania tych danych będzie uzasadniony niezależnie od rodzaju oferowanych towarów lub świadczonych usług, ponieważ umożliwiają one identyfikację użytkownika oraz korzystanie z funkcjonalności profilu użytkownika. Powyższe dane mogą zostać uzupełnione na późniejszym etapie o dane niezbędne do realizacji konkretnego zamówienia, takie jak imię i nazwisko, adres dostawy, numer telefonu czy dane do wystawienia faktury.

W praktyce jednak często użytkownik zostaje zmuszony do podania przy rejestracji konta danych do realizacji konkretnego zamówienia, a także fakultatywnie innych danych osobowych, które nie są konieczne do utworzenia i prowadzenia konta użytkownika jak np. preferencje zakupowe danej osoby. Taka praktyka jest niezgodna z zasadą minimalizacji danych, ponieważ wykracza poza zakres informacji niezbędnych do świadczenia usługi prowadzenia konta użytkownika. W takim przypadku właściciel sklepu powinien wykazać istnienie odrębnej podstawy prawnej uzasadniającej pozyskiwanie i przetwarzanie tych danych.

Ryzyka związane z obowiązkowym zakładaniem kont użytkowników

W praktyce często właściciele sklepu internetowego uzależniają możliwość dokonania zakupu od wcześniejszego założenia konta użytkownika. Obowiązkowa rejestracja niesie dla nich bowiem szereg korzyści takich jak możliwość budowania bazy klientów, gromadzenia informacji o zachowaniach zakupowych, personalizacji oferty, prowadzenia szerszych działań marketingowych oraz uproszczenie obsługi posprzedażowej. Klienci również chętniej wracają do danego sklepu internetowego, gdyż nie muszą ponownie podawać swoich danych, co jest dla nich szybszą i wygodniejszą formą.

Obowiązek zakładania kont użytkowników rodzi jednak ryzyka po stronie przedsiębiorcy z perspektywy prawnej jak i biznesowej.

Ryzyka z perspektywy ochrony danych osobowych

O ryzykach związanych z obowiązkowym zakładaniem kont użytkowników z perspektywy ochrony danych osobowych wypowiedziała się Europejska Rada Ochrony Danych (EROD) [3], wskazując, że obowiązek zakładania konta w sklepie internetowym może prowadzić do naruszenia praw i wolności użytkownika, a to w związku z:  

• ryzykiem nadmiernego gromadzenia danych osobowych,
• ryzykiem naruszenia zasady ograniczenia przechowywania danych,
• ryzykiem naruszenia bezpieczeństwa danych,
• ryzykiem przejęcia konta i kradzieży tożsamości,
• ryzykiem profilowania i monitorowania zachowań użytkowników,
• ryzykiem wykorzystywania danych jako trwałych identyfikatorów,
• ryzykiem pozyskiwania nadmiernych danych przy rejestracji. [4]

Ryzyka z perspektywy praw konsumentów

Z perspektywy praw konsumentów w określonych okolicznościach (lecz nie zawsze) nie można wykluczyć, iż obowiązek zakładania konta w sklepie internetowym może zostać uznany za nieuczciwą praktykę rynkową. Taki obowiązek może rodzić problemy natury prawnej, w przypadku, gdy właściciel platformy internetowej:

• wprowadza konsumenta w błąd co do konieczności założenia konta;
• ukrywa możliwość zakupu bez rejestracji;
• wielokrotnie nakłania do założenia konta;
• celowo komplikuje proces zakupowy bez rejestracji;
• uzależnia dostęp do podstawowych funkcjonalności od przekazania nadmiernej ilości danych;
• korzysta z interfejsów wpływających na decyzje użytkowników tzw. deceptive designs (dark patterns);
• celowo zaniecha wykonania obowiązków informacyjnych potrzebnych przeciętnemu konsumentowi do podjęcia świadomej decyzji. [6]

Ryzyko biznesowe

Obowiązek zakładania kont przez użytkowników wiąże się również z określonymi ryzykami biznesowymi. Wprowadzenie obowiązkowej rejestracji może prowadzić do:

• wydłużenia procesu zakupowego,
• zwiększenia liczby porzuconych koszyków oraz
• rezygnacji z finalizacji transakcji i przejście do konkurencyjnej platformy, która nie wymaga zakładania konta użytkownika

Szczególnie dotyczy to klientów dokonujących okazjonalnych zakupów, którzy nie są zainteresowani korzystaniem z danego sklepu internetowego w przyszłości.

Konta użytkowników jako narzędzie działań marketingowych

Konta użytkowników stanowią dla właścicieli sklepów internetowych cenne źródło danych wykorzystywanych w działaniach marketingowych. Dane zgromadzone na koncie pozwalają przedsiębiorcy nie tylko utrzymywać kontakt z klientem, ale również analizować jego zachowania zakupowe, preferencje oraz historię transakcji. W praktyce takie dane mogą być wykorzystywane zarówno do prowadzenia marketingu bezpośredniego, jak i do personalizacji ofert kierowanych do użytkowników.

Z perspektywy RODO, dane osobowe zgromadzone na koncie użytkownika mogą być przetwarzane na potrzeby marketingu bezpośredniego własnych produktów i usług przedsiębiorcy na podstawie prawnie uzasadnionego interesu administratora, o którym mowa w art. 6 ust. 1 lit. f RODO. Należy jednak wyraźnie podkreślić, że do kierowania komunikacji marketingowej za pośrednictwem środków komunikacji elektronicznej, takich jak poczta elektroniczna czy wiadomości SMS, przedsiębiorca co do zasady powinien uzyskać odpowiednią zgodę użytkownika w myśl art. 398 PKE [7]. Zgoda taka musi być dobrowolna, konkretna, świadoma i jednoznaczna, gdyż art. 400 PKE odsyła w tym zagadnieniu do przepisów o ochronie danych osobowych.

W praktyce zgody marketingowe są często pozyskiwane za pomocą pól wyboru (tzw. checkboxów) udostępnianych podczas rejestracji konta na platformie sprzedażowej. Niedopuszczalną praktyką jest jednak domyślne zaznaczenie zgody przez właściciela sklepu lub uzależnienie możliwości założenia profilu użytkownika od wyrażenia takiej zgody. W takich przypadkach trudno bowiem uznać, że zgoda została udzielona w sposób dobrowolny i świadomy, czego wymagają przepisy RODO.

Dzięki rejestracji konta użytkownika i zgromadzonych w nim danych przedsiębiorca może prowadzić działania związane z profilowaniem klientów oraz personalizacją ofert. Zgodnie z art. 4 pkt 4 RODO profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych polegającą na wykorzystaniu tych danych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy jej preferencji, zainteresowań czy zachowań. Dzięki informacjom o historii zakupów, przeglądanych produktach, częstotliwości odwiedzania sklepu czy preferowanych kategoriach towarów przedsiębiorca może lepiej poznać potrzeby użytkownika i dostosować do nich swoją ofertę. W praktyce efektem takiej analizy jest często personalizacja ofert polegająca na prezentowaniu klientowi rekomendacji produktów podobnych do wcześniej zakupionych lub przeglądanych, a także propozycji towarów, które mogą odpowiadać jego zainteresowaniom.

Wykorzystywanie danych zgromadzonych na koncie użytkownika do profilowania podlega jednak ograniczeniom wynikającym z RODO. Przedsiębiorca powinien przede wszystkim spełnić obowiązek informacyjny i poinformować użytkownika o celach przetwarzania danych, zakresie prowadzonych analiz oraz ewentualnym profilowaniu. Informacje te powinny być przekazane w sposób jasny, zrozumiały i łatwo dostępny.

Należy pamiętać, że jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, użytkownik ma prawo w dowolnym momencie wnieść sprzeciw wobec takiego przetwarzania zgodnie z art. 21 RODO. W przypadku skorzystania z tego uprawnienia przez użytkownika właściciel sklepu internetowego jest zobowiązany zaprzestać dalszego wykorzystywania danych osobowych w celach marketingowych.

Kiedy obowiązkowy profil użytkownika jest uzasadniony?

W praktyce nie istnieje jednolita i powszechnie akceptowana interpretacja określająca, w jakich przypadkach założenie konta użytkownika w sklepie internetowym może stanowić warunek dokonania zakupu. Decyzja o wprowadzeniu obowiązkowej rejestracji powinna zostać poprzedzona analizą celu, jakiemu ma służyć konto użytkownika oraz oceną zgodności takiego rozwiązania z przepisami dotyczącymi ochrony danych osobowych i praw konsumentów. Pomocne w tym zakresie mogą być rekomendacje Europejskiej Rady Ochrony Danych (EROD) zawarte w dokumencie Recommendations 2/2025 on the legal basis for requiring the creation of user accounts on e-commerce websites. EROD wskazuje, że obowiązkowe konto użytkownika powinno stanowić wyjątek, a nie standard w handlu elektronicznym, i może być uzasadnione wyłącznie w sytuacjach, w których jest rzeczywiście niezbędne do realizacji określonej usługi lub długotrwałej relacji umownej z klientem.

EROD dopuszcza obowiązek zakładania konta użytkownika w następujących przypadkach:

• Usługi subskrypcyjne - EROD wskazuje, że jeżeli realizacja umowy wymaga regularnych, uwierzytelnionych interakcji pomiędzy użytkownikiem a przedsiębiorcą przez cały okres obowiązywania umowy, obowiązkowe konto może być uznane za niezbędne do wykonania umowy w rozumieniu art. 6 ust. 1 lit. b RODO.
• Dostęp do zamkniętych społeczności lub ekskluzywnych ofert - EROD dopuszcza również obowiązkową rejestrację w sytuacji, gdy usługa jest skierowana wyłącznie do określonej grupy użytkowników tworzących zamkniętą społeczność. Dotyczy to przykładowo programów dostępnych wyłącznie dla członków organizacji zawodowych, uczestników klubów członkowskich czy klientów spełniających określone kryteria.
• Długoterminowa relacja umowna - Zdaniem EROD konto może być uzasadnione również wtedy, gdy stanowi ono zasadniczy element długotrwałej relacji pomiędzy klientem a przedsiębiorcą, a korzystanie z usługi wymaga stałej identyfikacji użytkownika. W takim przypadku rejestracja nie jest jedynie dodatkiem do procesu zakupowego, lecz stanowi istotny element samej usługi.

Kiedy obowiązkowe konto nie jest uzasadnione?

EROD wyraźnie wskazuje, że co do zasady obowiązkowej rejestracji nie można uzasadniać:

• realizacją jednorazowej sprzedaży towarów lub usług;
• śledzeniem statusu zamówienia;
• możliwością późniejszej modyfikacji zamówienia;
• obsługą reklamacji, zwrotów i innych praw konsumenckich;
• budowaniem lojalności klientów;
• ułatwianiem kolejnych zakupów;
• działaniami marketingowymi i personalizacją ofert;
• zapobieganiem oszustwom.

Wszystkie powyższe cele można spełnić używając innych środków, które nie zagrożą prawom i wolnością jednostki.

Transparentność działań

Na zakończenie warto podkreślić, że właściciel sklepu internetowego powinien zachować transparentność prowadzonych działań. Użytkownik powinien mieć bowiem świadomość, jakie dane są wykorzystywane, w jaki sposób są analizowane oraz jaki wpływ owa analiza może mieć na prezentowane mu treści, rekomendacje produktów czy oferty handlowe.

adwokat Adam Tomaszewski

aplikantka radcowska Katarzyna Koch

Kancelaria OTSP | Orłowski Tomaszewski i Partnerzy Radcowie Prawni i Adwokaci sp. p. | Poznań

Artykuł powstał w ramach realizacji projektu Centrum Rozwoju Małych i Średnich Przedsiębiorstw sfinansowanego ze środków Ministerstwa Rozwoju i Technologii. 

---

[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2023/2673 z dnia 22 listopada 2023 r. zmieniająca dyrektywę 2011/83/UE w odniesieniu do umów o usługi finansowe zawieranych na odległość oraz uchylająca dyrektywę 2002/65/WE

[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)

[3] Recommendations 2/2025 on the legal basis for requiring the creation of user accounts on e-commerce websites

[4] por. General remarks w Recommendations 2/2025 on the legal basis for requiring the creation of user accounts on e-commerce websites,

[6] por. motyw 74 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (akt o usługach cyfrowych)

[7] Ustawa z dnia 12 lipca 2024 r. Prawo Komunikacji Elektronicznej