RODO co to znaczy — poradnik praktyczny 2026 | KluczeSoft

RODO co to znaczy — poradnik praktyczny 2026

RODO to skrót od Rozporządzenia o Ochronie Danych Osobowych — unijnego aktu prawnego, który od 25 maja 2018 roku reguluje sposób przetwarzania danych osobowych na terenie całej Unii Europejskiej. Dla przedsiębiorcy pytanie "RODO co to znaczy" nie jest akademicką ciekawostką — to codzienna rzeczywistość, która bezpośrednio wpływa na sposób prowadzenia biznesu, budżet firmy i relacje z klientami. W tym poradniku wyjaśniamy, czym RODO jest w praktyce, jakie obowiązki nakłada na firmy w 2026 roku i jak uniknąć najczęstszych błędów, które wciąż kosztują przedsiębiorców setki tysięcy złotych.

Czym właściwie jest RODO — definicja dla przedsiębiorcy

RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, zastąpiło przestarzałą dyrektywę 95/46/WE i ujednoliciło zasady ochrony danych we wszystkich 27 państwach członkowskich. Mówiąc najprościej: RODO to zbiór przepisów, które określają, co wolno robić z danymi osobowymi innych ludzi — klientów, pracowników, kontrahentów czy użytkowników strony internetowej.

Kluczowa zmiana, jaką wprowadziło RODO, to odwrócenie logiki odpowiedzialności. Wcześniej to organ nadzorczy musiał udowodnić firmie naruszenie. Dziś to firma musi wykazać, że przestrzega przepisów — to tak zwana zasada rozliczalności. W praktyce oznacza to, że każdy przedsiębiorca przetwarzający dane osobowe powinien być w stanie udokumentować, że robi to zgodnie z prawem.

RODO chroni dane osobowe, czyli wszelkie informacje umożliwiające identyfikację konkretnej osoby fizycznej. To nie tylko imię, nazwisko czy numer PESEL, ale również adres e-mail, numer IP, identyfikator pliku cookie, dane o lokalizacji czy charakterystyka behawioralna. W 2026 roku do tego katalogu z pełną mocą dołączyły również metadane generowane przez systemy sztucznej inteligencji, biometryczne wzorce zachowań oraz dane pochodzące z urządzeń Internetu Rzeczy — co dodatkowo rozszerza zakres odpowiedzialności firm.

Rozporządzenie wyróżnia trzy główne role: administratora danych, czyli podmiot decydujący o celach i środkach przetwarzania; podmiot przetwarzający, czyli firmę techniczną realizującą operacje na danych w imieniu administratora; oraz inspektora ochrony danych, którego obowiązkowe powołanie w 2026 roku rozszerzono również na firmy regularnie monitorujące osoby na dużą skalę, a nie tylko organy publiczne i podmioty przetwarzające dane wrażliwe.

Dlaczego RODO ma znaczenie dla Twojej firmy w 2026 roku

Wielu przedsiębiorców wciąż traktuje RODO jako biurokratyczne utrudnienie. To kosztowny błąd. Zgodność z RODO to dziś nie tylko wymóg prawny, ale przede wszystkim przewaga konkurencyjna. Klienci — zarówno konsumenci indywidualni, jak i partnerzy biznesowi — oczekują transparentności w zakresie przetwarzania ich danych. Firma, która potrafi udowodnić zgodność z RODO, buduje zaufanie i lojalność, podczas gdy jej konkurenci tracą czas i pieniądze na załatwianie postępowań wyjaśniających.

Konsekwencje finansowe w 2026 roku są realne i dotkliwe. Od ostatniej nowelizacji z marca 2025 roku maksymalna kara administracyjna wynosi 20 000 000 euro lub 4% rocznego światowego obrotu przedsiębiorstwa — w zależności od tego, która kwota jest wyższa. Prezes Urzędu Ochrony Danych Osobowych aktywnie egzekwuje te uprawnienia: w 2025 roku łączna suma kar w Polsce przekroczyła 40 milionów złotych, przy czym najczęstszymi przyczynami były nieprawidłowości w realizacji praw osób, których dane dotyczą, oraz brak odpowiednich środków technicznych i organizacyjnych.

Nie można też zapomnieć o odpowiedzialności odszkodowawczej. Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo dochodzić odszkodowania na drodze cywilnej. Orzecznictwo sądów polskich w 2025 i 2026 roku konsekwentnie przyznaje rekompensaty za sam stres i dyskomfort związany z naruszeniem prywatności, nawet bez udowodnienia konkretnej straty finansowej.

Z punktu widzenia B2B zgodność z RODO stała się standardowym wymogiem kontraktowym. Coraz więcej przetargów i zapytań ofertowych zawiera obowiązkowe klauzule dotyczące ochrony danych, a brak odpowiednich procedur czy certyfikacji skutkuje odrzuceniem oferty na wstępie. RODO to nie tylko regulacja — to dziś warunek uczestnictwa w rynku.

Kluczowe zasady RODO, które musisz znać

Zrozumienie podstawowych zasad RODO jest fundamentem każdego wdrożenia. Oto siedem filarów, na których opiera się cały system ochrony danych osobowych.

Zasada zgodności z prawem, rzetelności i przejrzystości oznacza, że dane muszą być przetwarzane na podstawie konkretnej przesłanki prawnej — najczęściej jest to zgoda, wykonanie umowy lub prawnie uzasadniony interes administratora. Osoba, której dane dotyczą, musi być poinformowana o tym w sposób jasny i zrozumiały.

Zasada ograniczenia celu nakazuje, by dane zbierać wyłącznie w konkretnie określonych, wyraźnych i prawnie uzasadnionych celach. Nie można ich później przetwarzać w sposób niezgodny z tymi celami. Zebranie adresu e-mail do wysyłki zamówienia nie uprawnia automatycznie do dodania klienta do newslettera marketingowego.

Zasada minimalizacji danych to praktyczna wskazówka: zbieraj tylko te dane, które są rzeczywiście niezbędne. Jeśli formularz kontaktowy działa bez numeru telefonu, nie wymagaj go. Każde nadmiarowe pole to dodatkowe ryzyko i koszt.

Zasada prawidłowości zobowiązuje do podejmowania uzasadnionych działań, by dane były poprawne i aktualne. W 2026 roku wiele firm automatyzuje ten proces przez cykliczne kampanie weryfikacyjne, co jest szczególnie istotne przy bazach klientów liczących setki tysięcy rekordów.

Zasada ograniczenia przechowywania wymaga, by dane trzymać w formie umożliwiającej identyfikację osoby tylko przez okres niezbędny do realizacji celu. Po tym czasie należy je usunąć lub zanonimizować. Brak polityki retencji danych to jeden z najczęściej wytykanych błędów podczas kontroli UODO.

Zasada integralności i poufności to wymóg techniczny: musisz wdrożyć odpowiednie środki bezpieczeństwa — od szyfrowania, przez kontrolę dostępu, po regularne testy penetracyjne — adekwatne do ryzyka związanego z przetwarzaniem.

Zasada rozliczalności spina wszystko w całość: nie wystarczy przestrzegać zasad, trzeba być w stanie to udowodnić. Dokumentacja, rejestry, polityki i procedury to dowody, które przedstawisz podczas kontroli.

Prawa osób, których dane dotyczą — lista kontrolna

RODO przyznaje obywatelom szereg konkretnych uprawnień, a firma musi być przygotowana na ich realizację w ściśle określonych terminach. Nieprzestrzeganie tych praw to najczęstszy powód skarg do UODO.

Pierwsze i najważniejsze to prawo dostępu do danych. Każda osoba może zapytać, czy przetwarzasz jej dane i uzyskać ich kopię oraz szczegółowe informacje o celach, kategoriach i okresie przetwarzania. Odpowiedź należy udzielić bez zbędnej zwłoki, maksymalnie w ciągu miesiąca.

Prawo do sprostowania umożliwia żądanie poprawienia nieprawidłowych lub niekompletnych danych. To szczególnie istotne w branżach opierających się na scoringu czy ocenie zdolności kredytowej, gdzie jedna błędna informacja może wyrządzić realną szkodę.

Prawo do usunięcia danych, potocznie nazywane prawem do bycia zapomnianym, nie jest absolutne. RODO wymienia konkretne przesłanki — na przykład wycofanie zgody lub brak podstawy prawnej do dalszego przetwarzania — które pozwalają je zrealizować. Firma musi przeanalizować każdy wniosek indywidualnie.

Prawo do ograniczenia przetwarzania to mniej znane, ale praktyczne narzędzie — osoba może zażądać wstrzymania operacji na danych na czas weryfikacji ich prawidłowości lub rozstrzygania sprzeciwu. W tym czasie dane można jedynie przechowywać.

Prawo do przenoszenia danych zobowiązuje do wydania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego i — na żądanie — przesłania ich bezpośrednio innemu administratorowi. To kluczowe prawo na rynkach opartych na subskrypcjach i profilach użytkowników.

Prawo do sprzeciwu pozwala zakwestionować przetwarzanie oparte na prawnie uzasadnionym interesie, w tym profilowanie i marketing bezpośredni. W przypadku sprzeciwu wobec marketingu dalsze przetwarzanie w tym celu staje się niedopuszczalne bezwzględnie.

Wreszcie prawo do niepodlegania wyłącznie zautomatyzowanemu podejmowaniu decyzji, które stało się kluczowe w 2026 roku wraz z masowym wdrażaniem systemów AI. Jeśli algorytm samodzielnie odrzuca wniosek kredytowy lub decyduje o wysokości składki ubezpieczeniowej, osoba ma prawo do interwencji ludzkiej, wyrażenia własnego stanowiska i zakwestionowania takiej decyzji.

Obowiązki przedsiębiorcy — co konkretnie musisz wdrożyć

Zgodność z RODO to nie jednorazowy projekt, ale ciągły proces. Poniżej przedstawiamy konkretny katalog obowiązków, które musisz zrealizować.

Rejestr czynności przetwarzania to podstawowy dokument, który musi prowadzić każda firma zatrudniająca powyżej 250 osób lub przetwarzająca dane wrażliwe, dane o wyrokach skazujących albo dane powodujące ryzyko naruszenia praw. W praktyce rejestr prowadzi prawie każdy przedsiębiorca, bo znacznie ułatwia wykazanie zgodności podczas kontroli. Zawiera on opis celów, kategorii danych, odbiorców, planowanych terminów usunięcia i zastosowanych zabezpieczeń.

Ocena skutków dla ochrony danych to obowiązek w przypadku przetwarzania, które może powodować wysokie ryzyko naruszenia praw — na przykład monitoringu wizyjnego na dużą skalę, profilowania konsumentów czy przetwarzania danych biometrycznych. Prawidłowo przeprowadzona ocena identyfikuje ryzyka, opisuje środki zaradcze i uzasadnia proporcjonalność przetwarzania.

Zgłaszanie naruszeń wymaga działania w ciągu 72 godzin. Jeśli dojdzie do wycieku danych — od kradzieży laptopa z niezaszyfrowaną bazą klientów po atak ransomware — musisz powiadomić UODO, a w przypadku wysokiego ryzyka również osoby, których dane dotyczą. Termin 72 godzin liczy się od momentu wykrycia naruszenia, nie od momentu jego wystąpienia.

Polityka prywatności i klauzule informacyjne muszą być napisane zwięzłym, zrozumiałym językiem. Koniec z prawniczym żargonem i wielostronicowymi dokumentami, których nikt nie czyta. Aktualne wytyczne Europejskiej Rady Ochrony Danych z listopada 2025 roku kładą nacisk na warstwową prezentację informacji — od skrótowego najważniejszego komunikatu po rozszerzoną wersję szczegółową.

Umowy powierzenia przetwarzania to must-have w relacjach z każdym dostawcą usług, który ma dostęp do danych — od firmy hostingowej, przez biuro księgowe, po dostawcę systemu CRM. Umowa musi precyzyjnie określać zakres przetwarzania, obowiązki podmiotu przetwarzającego i warunki podpowierzenia.

Szkolenia pracowników to obowiązek ciągły. Każdy nowozatrudniony powinien przejść szkolenie RODO w pierwszym tygodniu pracy, a wszyscy pracownicy cyklicznie — minimum raz w roku. Tematyka musi obejmować nie tylko teorię, ale przede wszystkim praktyczne scenariusze: jak rozpoznać phishing, co zrobić z podejrzanym mailem, komu zgłosić potencjalne naruszenie.

Zarządzanie zgodami w 2026 roku podlega dodatkowym wymogom. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może być domyślnie zaznaczonym checkboxem ani warunkiem wykonania umowy, jeśli nie jest niezbędna do jej realizacji. Co więcej, użytkownik musi mieć możliwość wycofania zgody równie łatwo, jak jej udzielenia. Mechanizm "odsubskrybuj jednym kliknięciem" to dziś standard, nie opcja.

Częste pytania

Czy RODO dotyczy jednoosobowej działalności gospodarczej?

Tak, RODO dotyczy każdego podmiotu przetwarzającego dane osobowe, niezależnie od wielkości. Nawet jednoosobowa firma prowadząca prostą stronę z formularzem kontaktowym musi spełniać podstawowe obowiązki, w tym posiadać politykę prywatności, realizować prawa osób oraz odpowiednio zabezpieczać dane. Wyjątki dotyczą wyłącznie przetwarzania w ramach działalności czysto osobistej lub domowej.

Jakie dane są objęte ochroną RODO?

Wszystkie dane umożliwiające identyfikację osoby fizycznej: imię, nazwisko, adres, e-mail, telefon, numer PESEL, NIP osoby fizycznej, numer IP, dane o lokalizacji, identyfikatory plików cookie, dane biometryczne, dane medyczne oraz metadane behawioralne. Kluczowe jest to, czy na podstawie danej informacji można zidentyfikować konkretną osobę — jeśli tak, podlega ona ochronie.

Jak długo mogę przechowywać dane klientów?

Dokładnie tak długo, jak jest to niezbędne do realizacji celu, dla którego dane zostały zebrane, plus ewentualny okres wynikający z przepisów o archiwizacji (np. dokumentacja księgowa — 5 lat). Po ustaniu celu musisz dane usunąć lub trwale zanonimizować. Nie ma jednej ogólnej reguły dla wszystkich danych — każda kategoria wymaga osobnej oceny i zapisania w polityce retencji.

Czy muszę powołać Inspektora Ochrony Danych?

Obowiązkowo, jeśli jesteś organem publicznym, Twoja główna działalność polega na systematycznym monitorowaniu osób na dużą skalę lub przetwarzasz na dużą skalę szczególne kategorie danych (wrażliwe, karne). Nawet jeśli nie masz ustawowego obowiązku, wyznaczenie IOD — choćby w formie outsourcingu — znacznie ułatwia zarządzanie zgodnością i jest pozytywnie oceniane przez UODO.

Co grozi za niezgodność z RODO?

Kara administracyjna do 20 000 000 euro lub 4% rocznego światowego obrotu. Dodatkowo odpowiedzialność odszkodowawcza wobec osób, które poniosły szkodę majątkową lub niemajątkową (w tym stres, dyskomfort) oraz odpowiedzialność karna w przypadku przestępstw przeciwko ochronie danych. UODO publikuje również nazwy ukaranych firm, co często ma poważniejsze konsekwencje wizerunkowe niż sama grzywna.

Czym różni się zgoda od prawnie uzasadnionego interesu?

Zgoda to dobrowolne, konkretne, świadome i jednoznaczne przyzwolenie osoby na przetwarzanie jej danych w określonym celu — można ją w każdej chwili wycofać. Prawnie uzasadniony interes to przesłanka pozwalająca przetwarzać dane bez zgody, np. w marketingu bezpośrednim wobec własnych klientów, przy założeniu, że interesy administratora nie są nadrzędne wobec interesów osoby. Każdy przypadek wymaga indywidualnego testu równowagi.

Jak zgłosić naruszenie do UODO?

Należy wypełnić formularz zgłoszenia naruszenia dostępny na stronie internetowej Urzędu Ochrony Danych Osobowych i wysłać go w terminie 72 godzin od wykrycia. Formularz wymaga opisu charakteru naruszenia, kategorii i liczby osób, których dotyczy, opisu możliwych konsekwencji oraz podjętych lub proponowanych środków zaradczych. Jeśli zgłoszenie nastąpi po terminie, trzeba dołączyć wyjaśnienie przyczyn opóźnienia.

Czy mogę wysyłać newsletter do byłych klientów?

Tak, jeśli opierasz to na prawnie uzasadnionym interesie (marketing bezpośredni produktów lub usług podobnych do wcześniej zakupionych) i poinformowałeś o tym klienta, dając mu możliwość sprzeciwu. Alternatywnie możesz działać na podstawie odrębnie zebranej zgody marketingowej. Każdy newsletter musi zawierać łatwą opcję rezygnacji — jeden przycisk, jedno kliknięcie.

Jakie środki techniczne muszę wdrożyć?

Szyfrowanie danych w spoczynku i w tranzycie, uwierzytelnianie dwuskładnikowe dostępu do systemów, regularne kopie bezpieczeństwa, polityka zarządzania dostępami, pseudonimizacja i anonimizacja tam, gdzie to możliwe, szyfrowanie dysków urządzeń mobilnych, systemy wykrywania i zapobiegania włamaniom oraz procedura obsługi incydentów. Środki muszą być adekwatne do poziomu ryzyka — mała firma nie potrzebuje tego samego co bank, ale nie może nie mieć szyfrowania.

Kiedy RODO nie ma zastosowania?

RODO nie dotyczy przetwarzania danych w ramach działalności czysto osobistej lub domowej (np. prywatna książka adresowa), przetwarzania przez właściwe organy w celach zapobiegania i ścigania przestępstw (tu obowiązuje Dyrektywa 2016/680) oraz przetwarzania danych osób zmarłych (choć przepisy krajowe mogą rozszerzać ochronę). Nie dotyczy również danych osobowych w pełni i nieodwracalnie zanonimizowanych.

RODO a nowe technologie — AI, IoT i chmura w 2026

Rok 2026 przyniósł nowe wyzwania regulacyjne związane z dynamicznym rozwojem technologii. Sztuczna inteligencja, Internet Rzeczy i przetwarzanie w chmurze — trzy filary cyfrowej transformacji — każdorazowo dotykają materii RODO, a ich skrzyżowanie z unijnym Aktem o Sztucznej Inteligencji stworzyło złożony ekosystem wymogów.

Systemy generatywnej sztucznej inteligencji, które w 2026 roku stały się standardowym elementem procesów biznesowych — od chatbotów obsługi klienta po generatory treści marketingowych — przetwarzają dane osobowe na niespotykaną dotąd skalę. Każde zapytanie użytkownika może zawierać dane chronione, a mechanizm trenowania modeli rodzi pytania o podstawę prawną, retencję i prawo do usunięcia. Wytyczne Europejskiej Rady Ochrony Danych z lutego 2026 roku wymagają, by każdy system AI operujący na danych osobowych przechodził ocenę skutków dla ochrony danych przed wdrożeniem, a wyniki tej oceny były dokumentowane i aktualizowane przy każdej istotnej zmianie modelu.

Internet Rzeczy — od inteligentnych liczników energii po sensory w halach produkcyjnych — generuje strumień danych telemetrycznych, które w połączeniu z identyfikatorami urządzeń i lokalizacją często stanowią dane osobowe. W 2026 roku UODO wydał szczegółowe wytyczne nakazujące producentom urządzeń IoT domyślne wyłączenie funkcji zbierania danych, które nie są niezbędne do podstawowego działania urządzenia — to realizacja zasady privacy by design w czystej postaci.

Przetwarzanie w chmurze obliczeniowej pozostaje najpopularniejszym modelem infrastruktury IT, ale w 2026 roku dodatkowej uwagi wymaga analiza ryzyka związana z transferami danych poza Europejski Obszar Gospodarczy. Po przyjęciu Ram Ochrony Danych UE-USA 3.0 w styczniu 2026 roku, nowe Data Privacy Framework uprościło transfery danych do USA, ale wymaga od importera amerykańskiego spełnienia rygorystycznych standardów weryfikowanych w cyklicznych audytach. Przed wyborem dostawcy chmurowego należy bezwzględnie zweryfikować lokalizację centrów danych i mechanizm prawny legalizujący transfer.

Praktyczna lista kontrolna RODO dla małej i średniej firmy

Przygotowaliśmy konkretną listę kontrolną do wdrożenia — od zaraz, krok po kroku:

Wyznacz osobę odpowiedzialną za ochronę danych w firmie — nawet jeśli nie ma obowiązku powołania IOD, ktoś musi pilnować tematu.
Przeprowadź audyt danych — zinwentaryzuj wszystkie zbiory danych osobowych, ich źródła, cele przetwarzania i podstawy prawne.
Stwórz rejestr czynności przetwarzania — nawet uproszczony dla mniejszych firm.
Opracuj i opublikuj politykę prywatności — jasnym, prostym językiem, z warstwową strukturą informacji.
Przygotuj klauzule informacyjne dla wszystkich punktów styku: strona www, formularze, umowy, monitoring, rekrutacja.
Zweryfikuj podstawy prawne dla każdego procesu — usuń zgody uzyskane niezgodnie z wymogami i pozyskaj je ponownie prawidłowo.
Podpisz umowy powierzenia ze wszystkimi dostawcami usług, którzy mają dostęp do danych — sprawdź, czy masz je dla hostingodawcy, firmy księgowej, dostawcy CMS i każdego narzędzia SaaS.
Wdróż środki techniczne: szyfrowanie, 2FA, politykę haseł, kopie bezpieczeństwa, kontrolę dostępu do pomieszczeń i systemów.
Opracuj procedurę obsługi naruszeń — pracownicy muszą wiedzieć, co robić i do kogo zgłaszać incydenty.
Przeszkol zespół — szkolenie wstępne i cykliczne, udokumentowane.
Zaplanuj przegląd okresowy — minimum raz w roku przejdź przez listę kontrolną ponownie, bo RODO żyje wraz z firmą.

Wdrożenie tych jedenastu punktów nie gwarantuje stuprocentowej zgodności w każdym scenariuszu — każda firma ma swoją specyfikę — ale stanowi solidny fundament, który w przypadku kontroli pokaże dojrzałość Twojego podejścia do ochrony danych.

Najczęstsze błędy przy wdrażaniu RODO i jak ich uniknąć

Analiza decyzji Prezesa UODO z lat 2024-2025 pozwala wskazać powtarzające się błędy, które przedsiębiorcy popełniają mimo wieloletniego już obowiązywania rozporządzenia.

Brak podstawy prawnej to błąd fundamentalny. Wiele firm wciąż nie potrafi wskazać, na jakiej konkretnie przesłance opiera przetwarzanie danych w każdym procesie. Recepta: dla każdego procesu zapisz jednoznacznie, czy podstawą jest art. 6 ust. 1 lit. a (zgoda), b (umowa), c (obowiązek prawny) czy f (prawnie uzasadniony interes) RODO. Nie zostawiaj tego domysłom.

Kopiowanie polityki prywatności od konkurencji to wciąż powszechna praktyka i prosta droga do kary. Skopiowana polityka opisuje cudze procesy przetwarzania, nie Twoje — i podczas kontroli właśnie to wyjdzie na jaw. Polityka prywatności musi odzwierciedlać rzeczywistość, nie pobożne życzenia.

Niespełnione zgody — checkboxy domyślnie zaznaczone, zgoda ukryta w regulaminie, brak możliwości łatwego wycofania. UODO szczególnie surowo karze manipulacje przy wyrażaniu zgody. W 2026 roku standardem są granularne zgody z jednoznacznym opisem, na co użytkownik się zgadza, oraz mechanizmem wycofania dostępnym w dwóch kliknięciach.

Lekceważenie praw osób, których dane dotyczą — brak procedury obsługi wniosków, przekraczanie miesięcznego terminu odpowiedzi, żądanie opłat w przypadkach nieuzasadnionych. W 2025 roku było to źródłem ponad połowy wszystkich kar nałożonych przez UODO. Procedura musi być opisana, znana pracownikom i testowana.

Sprawnie wdrożone RODO chroni nie tylko przed karami, ale też przed realnymi stratami wizerunkowymi i finansowymi. Jeśli szukasz wsparcia w tym obszarze — od audytu przez wdrożenie dokumentacji po szkolenia zespołu — zapoznaj się z ofertą rozwiązań KluczeSoft, które automatyzują zarządzanie zgodnością i pomagają polskim firmom spać spokojnie w kwestiach RODO.

Sprawdź też

Potrzebujesz licencji? Microsoft Office — sprawdź ofertę KluczeSoft.pl — legalne klucze, faktura VAT, dostawa e-mail.