Krótka odpowiedź: w UK każda firma, która przetwarza dane osobowe elektronicznie, jest z mocy prawa administratorem danych i musi płacić roczną opłatę ICO (data protection fee), chyba że korzysta ze zwolnienia. Dla większości polskich jednoosobowych firm ze stroną i formularzem kontaktowym zwolnienie ma zastosowanie, bo dane z formularza służą wyłącznie marketingowi własnej firmy i księgowości. Wystarczy jednak jeden dodatkowy cel przetwarzania, na przykład kamera CCTV w warsztacie, system rezerwacji z danymi o zdrowiu czy obsługa danych klientów Twoich klientów, i opłata staje się obowiązkowa: £52 rocznie dla mikrofirmy. Poniżej rozkładam to na przypadki, z którymi spotykam się przy budowie stron, i pokazuję, jak sprawdzić swoją sytuację w kwadrans.
Zastrzeżenie na początek: buduję strony, nie jestem prawnikiem. Wszystkie liczby i zasady pochodzą ze strony ICO i z rozporządzenia, do których linkuję w sekcji „Źródła”. Jeśli masz nietypową sytuację, zapytaj księgowego albo ICO bezpośrednio.
Czym jest ICO i skąd ta opłata
ICO (Information Commissioner’s Office) to brytyjski urząd ochrony danych, odpowiednik polskiego UODO. Opłata, o której mowa, wynika z rozporządzenia The Data Protection (Charges and Information) Regulations 2018. Nie jest karą ani licencją. Finansuje działanie urzędu, a w zamian firma trafia do publicznego rejestru płatników, który każdy może przeszukać.
Ważne rozróżnienie, które myli wielu przedsiębiorców: rejestracja w ICO to nie to samo, co zgodność z UK GDPR. Możesz być zwolniony z opłaty i nadal mieć obowiązek prowadzenia polityki prywatności, pytania o zgodę na cookies i bezpiecznego przechowywania danych z formularzy. O tym na końcu.
Ile to kosztuje
Stawki obowiązują od lutego 2025 i są ustalone w trzech progach:
| Próg | Kto | Opłata roczna |
|---|---|---|
| Tier 1, mikro | obrót do £632 000 albo do 10 pracowników | £52 |
| Tier 2, małe i średnie | obrót do £36 mln albo do 250 pracowników | £78 |
| Tier 3, duże | pozostałe | £3 763 |
Płatność przez direct debit obniża opłatę o £5. Organizacje charytatywne i małe pracownicze programy emerytalne płacą stawkę tier 1 niezależnie od wielkości. Uwaga na sformułowanie „albo”: wystarczy spełnić jeden z dwóch warunków, żeby trafić do niższego progu. Polska jednoosobowa firma w UK prawie zawsze mieści się w tier 1.
Kto jest zwolniony: lista z rozporządzenia
Zwolnienia są w załączniku do rozporządzenia (Schedule, „Exempt processing”). Nie płacisz, jeśli przetwarzasz dane osobowe wyłącznie w jednym lub kilku z tych celów:
- Reklama, marketing i PR własnej firmy, jej towarów lub usług.
- Księgowość i ewidencja: rachunki, rejestry zakupów i sprzedaży, decyzje o przyjęciu klienta lub dostawcy, prognozy finansowe.
- Administracja pracowników, wolontariuszy i osób na umowach o świadczenie usług.
- Przetwarzanie bez środków automatycznych, czyli wyłącznie papierowe.
- Cele osobiste, rodzinne i domowe.
- Organizacje non-profit w zakresie członkostwa i działalności dla członków.
- Prowadzenie rejestru publicznego, funkcje sędziowskie, funkcje wybieralnych przedstawicieli.
Słowo „wyłącznie” jest tu kluczowe. Zwolnienie działa tylko wtedy, gdy wszystko, co robisz z danymi, mieści się na tej liście. Jeden cel spoza listy i płacisz za całość.
Jak to wygląda w praktyce: przypadki z mojej pracy
Przechodzę przez sytuacje, które widzę u klientów, gdy buduję im strony. Każdą warto potwierdzić w samoocenie ICO, bo to urząd, nie ja, wydaje ostateczny werdykt.
Hydraulik, elektryk, firma remontowa: strona z formularzem wyceny. Klient wpisuje imię, telefon, opis problemu. Dane służą do odpowiedzi na zapytanie i wystawienia faktury. To marketing własnej firmy i księgowość, czyli punkty 1 i 2 listy. Zwykle zwolniony. Ale: jeśli masz w vanie dashcam albo w warsztacie CCTV używane do ochrony mienia, ICO mówi wprost, że kamera w celach zapobiegania przestępczości oznacza obowiązek opłaty niezależnie od reszty działalności.
Salon beauty, gabinet masażu: rezerwacje online. Sam system rezerwacji z imieniem i telefonem to nadal marketing i obsługa klienta. Jeśli jednak zbierasz w formularzu informacje o zdrowiu (alergie, ciąża, przyjmowane leki, przeciwwskazania do zabiegu), przetwarzasz dane szczególnej kategorii w celu świadczenia usługi, a nie reklamy. To wykracza poza zwolnienie. W praktyce większość gabinetów, które przechowują karty klientek, powinna płacić.
Dentysta, fizjoterapeuta, klinika estetyczna. Dokumentacja pacjentów to przetwarzanie danych o zdrowiu na potrzeby leczenia. Opłata obowiązkowa, tu nie ma wątpliwości. Do tego dochodzą wymogi CQC i GDC, o których pisałem przy stronie dla dentysty.
Biuro rachunkowe, doradca kredytowy, kancelaria. Prowadzisz dane klientów, żeby świadczyć im usługę, nie żeby reklamować własną firmę. Płacisz. Jeśli obsługujesz dane osobowe w imieniu klientów (na przykład listy płac ich pracowników), jesteś dodatkowo podmiotem przetwarzającym i to wymaga umów powierzenia, ale opłata dotyczy roli administratora.
Sklep internetowy. Dane zamówień, adresy dostawy, historia zakupów. ICO traktuje ewidencję sprzedaży jako księgowość, a wysyłkę newslettera jako marketing własny. Wiele małych sklepów mieści się w zwolnieniu. Ale profilowanie klientów, programy lojalnościowe z analizą zachowań albo przekazywanie danych partnerom w celach innych niż realizacja zamówienia zwykle wypychają poza zwolnienie. Przy sklepie zawsze robię samoocenę razem z właścicielem.
Firma marketingowa, agencja, freelancer prowadzący reklamy dla klientów. To mój przypadek. Reklamuję własne usługi, co jest zwolnione, ale prowadząc kampanie i wizytówki Google klientów, mam dostęp do danych ich klientów. Przetwarzanie na rzecz innych podmiotów nie jest „marketingiem własnej firmy”. Jeśli świadczysz takie usługi, przechodź samoocenę z myślą o danych klientów Twoich klientów, nie tylko o własnej reklamie. Przy £52 rocznie to tania cena za spokój.
Newsletter. Sam fakt wysyłania newslettera o własnej ofercie nie zmienia sytuacji, to marketing własny. Zmienia ją sposób zbierania zgód, ale to już temat zgodności, nie opłaty.
Jak się zarejestrować: 15 minut
- Wejdź na ico.org.uk/fee. Tylko tam. Nikt inny nie pobiera tej opłaty.
- Przejdź samoocenę: kilka pytań o to, co robisz z danymi. Na końcu dostajesz odpowiedź, czy musisz płacić i w jakim progu.
- Wypełnij formularz rejestracji: nazwa firmy (dla sole tradera Twoje imię i nazwisko plus nazwa handlowa), adres, liczba pracowników, obrót, opis działalności, dane kontaktowe.
- Zapłać kartą albo ustaw direct debit, który odlicza £5 i sam odnawia opłatę co rok.
- Zapisz numer rejestracji. Warto wpisać go w polityce prywatności na stronie, bo pokazuje klientom, że jesteś w rejestrze.
Opłatę odnawia się co roku. Jeśli przestajesz podlegać obowiązkowi, trzeba to zgłosić do ICO, a nie po prostu przestać płacić.
Co grozi za brak rejestracji
Jeśli musisz płacić, a nie płacisz, ICO może nałożyć karę do £4 000 oprócz należnej opłaty. Urząd prowadzi kampanie listowne do firm, których nie ma w rejestrze, i publikuje nazwy ukaranych. Rejestr płatników jest publiczny, więc kontrahent może w minutę sprawdzić, czy jesteś na liście. Przy stawce £52 rocznie ryzyko po prostu się nie opłaca.
Przy okazji: w obiegu są pisma od firm, które podszywają się pod ICO albo oferują „pomoc w rejestracji” za kilkaset funtów. ICO ostrzega, żeby płacić wyłącznie na ico.org.uk. Jeśli dostałeś takie pismo, wpisz nazwę nadawcy w Google, zanim cokolwiek zapłacisz. Podobny mechanizm opisałem przy oszustach dzwoniących w sprawie wizytówki Google.
Opłata to nie zgodność: co i tak musisz mieć na stronie
Niezależnie od tego, czy płacisz, każda strona firmowa w UK, która ma formularz, powinna mieć:
- Politykę prywatności napisaną po ludzku: jakie dane zbierasz, po co, jak długo trzymasz, komu przekazujesz (np. dostawcy formularza), jak klient może poprosić o wgląd lub usunięcie. Moją znajdziesz tutaj jako przykład.
- Podstawę prawną dla każdego celu. Odpowiedź na zapytanie z formularza to zwykle prawnie uzasadniony interes albo działania przed zawarciem umowy. Newsletter wymaga zgody.
- Zgodę na cookies dla wszystkiego, co nie jest niezbędne: Google Analytics, piksel Meta, mapy. Banner z prawdziwą opcją odmowy, nie tylko „OK”.
- Bezpieczne przechowywanie danych z formularzy: szyfrowane połączenie, ochrona przed spamem, usuwanie starych zgłoszeń.
- Kontakt do osoby odpowiedzialnej za dane. W jednoosobowej firmie to Ty.
W stronach, które buduję, formularz idzie przez Cloudflare z ochroną Turnstile, polityka prywatności jest częścią pakietu, a analityka domyślnie nie ustawia cookies bez zgody. To nie zastępuje rejestracji w ICO, jeśli jej potrzebujesz, ale załatwia warstwę, którą większość stron ma źle. Co jeszcze wchodzi w cenę strony, opisałem we wpisie co wchodzi w skład usługi „strona www”.
Podsumowanie w trzech zdaniach
Prosta strona z formularzem do wyceny zwykle mieści się w zwolnieniu z opłaty ICO, bo dane służą marketingowi własnej firmy i księgowości. Kamera CCTV, dane o zdrowiu, obsługa danych cudzych klientów albo profilowanie oznaczają obowiązek rejestracji za £52 rocznie, a brak rejestracji grozi karą do £4 000. Sprawdź to w samoocenie na ico.org.uk, zajmuje kwadrans, i niezależnie od wyniku zadbaj o politykę prywatności i zgodę na cookies, bo to obowiązuje wszystkich.
Zdjęcie: RDNE Stock project / Pexels.