Dane własne firmy: jak je zbierać i wykorzystywać w reklamie bez łamania RODO

Przeglądarki ograniczają pliki cookie stron trzecich, systemy mobilne pytają o zgodę na śledzenie, a regulatorzy coraz uważniej patrzą na przepływ danych między firmami. W tej sytuacji rośnie wartość informacji, które firma zbiera sama, od własnych klientów i we własnych kanałach. W branży mówi się o nich first-party data, czyli dane własne. Warto wiedzieć, czym są, jak je porządnie zbierać i gdzie kończy się to, co wolno z nimi zrobić.

Czym są dane własne

To informacje, które organizacja pozyskuje bezpośrednio od osób, z którymi ma relację, przez kanały, którymi sama zarządza. Przykłady:

• historia zakupów w sklepie internetowym,
• adresy e-mail z formularza zapisu do newslettera,
• logowania do konta klienta i jego aktywność w serwisie,
• zdarzenia z aplikacji mobilnej,
• dane z programu lojalnościowego, biura obsługi klienta czy sklepu stacjonarnego.

Kluczowe jest słowo „bezpośrednio”. Dane kupione od pośrednika albo przekazane przez inną firmę nie są danymi własnymi. Ta różnica ma znaczenie praktyczne: skoro to Ty zbierasz dane, to Ty możesz w momencie zbierania zadbać o właściwą podstawę prawną, a przy celach marketingowych zwykle oznacza to zgodę.

Od formularza do kampanii: cztery etapy

Praca z danymi własnymi zwykle przebiega w czterech krokach.

1. Zbieranie. Tag na stronie albo SDK w aplikacji rejestruje odsłony, wyszukiwania, dodania do koszyka i zakupy. Formularze dostarczają e-maile i numery telefonów. Coraz więcej firm przesyła zdarzenia do platform reklamowych z własnego serwera, a nie z przeglądarki.
2. Zarządzanie zgodą. Wybór użytkownika z banera musi trafić do narzędzi jako sygnał. W ekosystemie Google służy do tego Consent Mode v2, który od grudnia 2023 r. obejmuje parametry ad_user_data i ad_personalization. Od 21 lipca 2025 r. Google wyłącza personalizację, remarketing i pomiar konwersji reklamodawcom z EOG, którzy nie mają działającej konfiguracji.
3. Łączenie. Rekordy z różnych systemów są scalane w CRM lub platformie CDP w jeden profil klienta, najlepiej po pewnym kluczu, na przykład zweryfikowanym adresie e-mail.
4. Wykorzystanie. Listy klientów trafiają do narzędzi reklamowych, takich jak Customer Match w Google Ads czy niestandardowe grupy odbiorców w Meta, a zdarzenia zakupowe służą do mierzenia konwersji.

Przed wysłaniem do platformy identyfikatory są normalizowane i haszowane algorytmem SHA-256. Drobny błąd formatu nie zostanie zgłoszony, rekord po prostu nie zostanie dopasowany. Google zaleca listy liczące co najmniej 5000 osób, a członkostwo w liście wygasa najpóźniej po 540 dniach.

Haszowanie to nie anonimizacja

Częsty mit brzmi: skoro wysyłamy skrót, a nie adres e-mail, to nie przekazujemy danych osobowych. To nieprawda. Amerykańska Federalna Komisja Handlu napisała w lipcu 2024 r., że zahaszowane dane nie są anonimowe, bo skrót działa jak trwały identyfikator. Z perspektywy RODO to nadal dane osobowe, więc przesłanie listy klientów do Google czy Meta wymaga podstawy prawnej i informacji w polityce prywatności.

Lekcja z Norwegii: program lojalnościowy pod lupą

Dobrym przykładem ryzyka jest sprawa sieci Elkjøp. 1 czerwca 2026 r. norweski organ ochrony danych, Datatilsynet, nałożył na dwie spółki tej grupy karę 20 mln koron norweskich, czyli około 1,85 mln euro. Klub lojalnościowy wymagał od członków zaakceptowania całego przetwarzania naraz, a dane z klubu wykorzystano w Customer Match bez oceny, czy nowy cel da się pogodzić z pierwotnym.

Wnioski dla polskich sklepów są proste. Nie łącz w jednym kliknięciu zapisu do programu i zgody na reklamę. Nie przenoś danych do nowego celu tylko dlatego, że już je masz. Zanim wykorzystasz bazę klientów w nowy sposób, sprawdź, czy ludzie, którzy ją tworzą, mogli się tego spodziewać, i czy masz na to ich zgodę.

Jak zbierać dane własne zgodnie z RODO

• Rozdziel zgody. Osobno newsletter, osobno profilowanie, osobno przekazywanie list do platform reklamowych. Żadne pole nie może być zaznaczone domyślnie.
• Mów wprost, co zrobisz z danymi. Jeśli planujesz wgrywać e-maile do Google Ads lub Meta, napisz to w klauzuli i polityce prywatności.
• Szanuj wybór w banerze. Tagi analityczne i reklamowe uruchamiaj dopiero po zgodzie i przekazuj jej stan przez Consent Mode v2. Źle skonfigurowany baner może zablokować przekazywanie sygnałów i pomiar konwersji.
• Zbieraj tylko to, czego potrzebujesz. Mniejsza baza jest łatwiejsza do ochrony i do uzasadnienia.
• Dbaj o jakość. Nieaktualne i niepełne rekordy obniżają skuteczność dopasowania, a do tego naruszają zasadę prawidłowości danych.
• Obsługuj wycofanie zgody. Gdy klient się wypisze, usuń go także z list wgranych do platform reklamowych.

Od czego zacząć

Najpierw sprawdź, czy Twoja strona nie uruchamia narzędzi reklamowych przed zgodą i czy sygnały zgody trafiają do Google. Możesz to zrobić w Skanerze zgody. Dobrze ustawiony baner w CookieBanerPro to pierwszy krok do danych własnych, z których możesz korzystać bez obaw.

Źródło: PPC Land

dane własnefirst-party dataRODOCustomer MatchConsent Mode v2