Klauzula informacyjna RODO nie jest dodatkiem do regulaminu, tylko krótkim komunikatem, który ma wyjaśnić, kto przetwarza dane, po co to robi i jakie prawa ma osoba, której dane dotyczą. W praktyce to właśnie od tej treści zależy, czy formularz kontaktowy, rekrutacja, monitoring albo umowa są opisane przejrzyście i zgodnie z przepisami. Ja patrzę na nią jak na test uczciwości całego procesu: jeśli jest zbyt ogólna, zwykle coś ważnego zostało pominięte.
Najważniejsze informacje w skrócie
- Klauzula informacyjna to nie zgoda, tylko obowiązek informacyjny wobec osoby, której dane są przetwarzane.
- Art. 13 RODO dotyczy danych zbieranych bezpośrednio od tej osoby, a art. 14 danych pozyskanych z innego źródła.
- Poprawna treść musi wskazywać m.in. administratora, cel, podstawę prawną, odbiorców, okres przechowywania i prawa osoby.
- W wielu przypadkach trzeba też dopisać informację o źródle danych, profilowaniu albo przekazaniu danych poza EOG.
- Najczęstszy błąd to kopiowanie jednego wzoru do wszystkich sytuacji bez dopasowania do konkretnego procesu.
Czym jest ta informacja i dlaczego w praktyce ma znaczenie
W języku prawnym mówimy o obowiązku informacyjnym, a potocznie często o tym, że trzeba przygotować klauzulę RODO. To po prostu zwięzła informacja dla osoby, której dane dotyczą: kto je zbiera, po co, na jakiej podstawie i co dalej się z nimi dzieje. Bez tego użytkownik, kandydat do pracy czy klient zostaje z domysłami, a nie o to chodzi w przepisach o ochronie danych.
Ja rozumiem tę treść jako część szerszej zasady przejrzystości. Jeśli ktoś zostawia dane w formularzu, wysyła CV, podpisuje umowę albo wchodzi do budynku objętego monitoringiem, powinien od razu wiedzieć, czego może się spodziewać. W praktyce klauzula pojawia się więc w bardzo różnych miejscach: na stronie internetowej, w stopce dokumentu, przy formularzu, w procedurze rekrutacyjnej, w polityce prywatności czy przy wejściu do strefy monitorowanej.
To ważne także dlatego, że sama zgoda nie załatwia wszystkiego. Część przetwarzania opiera się na umowie, obowiązku prawnym albo prawnie uzasadnionym interesie administratora. Właśnie dlatego dobra treść informacyjna porządkuje cały proces i pokazuje, co jest podstawą działania, a co tylko skrótem myślowym w dokumentach wewnętrznych. Następny krok jest więc prosty: trzeba ustalić, co taka klauzula musi zawierać, żeby była pełna.
Co musi znaleźć się w poprawnej klauzuli
Na poziomie praktycznym najważniejsze jest to, by klauzula nie była ani zbyt ogólna, ani przeładowana. Wzory publikowane przez gov.pl pokazują, że solidna treść zwykle opiera się na tych samych filarach: administrator, cel, podstawa prawna, odbiorcy, retencja i prawa osoby. Reszta zależy od konkretnego procesu.
| Element | Kiedy trzeba go podać | Po co go podać |
|---|---|---|
| Administrator i dane kontaktowe | Zawsze | Żeby było jasne, kto odpowiada za przetwarzanie |
| Inspektor ochrony danych | Gdy został wyznaczony | Żeby osoba wiedziała, gdzie kierować pytania o dane |
| Cel przetwarzania | Zawsze | Żeby nie zostawiać pola na niejasne interpretacje |
| Podstawa prawna | Zawsze | Żeby wskazać, dlaczego przetwarzanie jest legalne |
| Odbiorcy danych lub ich kategorie | Gdy dane są ujawniane innym podmiotom | Żeby pokazać, kto może mieć dostęp do danych |
| Okres przechowywania | Zawsze | Żeby było wiadomo, jak długo dane będą potrzebne |
| Prawa osoby | Zawsze | Żeby dało się skorzystać z dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu lub przenoszenia danych |
| Prawo wniesienia skargi | Zawsze | Żeby osoba wiedziała, gdzie złożyć skargę, jeśli uważa, że doszło do naruszenia |
| Obowiązek podania danych i konsekwencje braku | Gdy dane są wymagane przez prawo, umowę albo warunek zawarcia umowy | Żeby osoba wiedziała, czy bez danych proces może ruszyć dalej |
| Profilowanie i automatyczne decyzje | Gdy faktycznie występują | Żeby uprzedzić o zasadach i możliwych skutkach takiego przetwarzania |
| Źródło danych | W przypadku danych pozyskanych pośrednio | Żeby osoba wiedziała, skąd administrator ma jej dane |
| Przekazanie do państwa trzeciego | Gdy dane opuszczają Europejski Obszar Gospodarczy | Żeby jasno opisać dodatkowe ryzyka i zabezpieczenia |
Najczęstszy problem widzę wtedy, gdy ktoś wpisuje wszystkie możliwe elementy, ale bez kontekstu. Taki tekst wygląda „formalnie”, lecz nie odpowiada na realne pytania. Dobra klauzula ma być konkretna, a nie tylko obszerna. Od tej listy naturalnie przechodzę do pytania, kiedy właściwie stosuje się art. 13, a kiedy art. 14 RODO, bo od tego zależy część treści i moment przekazania informacji.
Kiedy działa art. 13, a kiedy art. 14
Tu rozróżnienie jest bardzo proste, ale w praktyce często mylone. Art. 13 stosujesz wtedy, gdy dane osobowe pochodzą bezpośrednio od osoby, której dotyczą. Art. 14 wchodzi wtedy, gdy dane przyszły z innego źródła: od kontrahenta, z rejestru, z bazy publicznej albo od innego podmiotu.
| Aspekt | Art. 13 | Art. 14 |
|---|---|---|
| Skąd pochodzą dane | Osoba przekazuje je sama | Administrator pozyskuje je pośrednio |
| Moment przekazania informacji | W chwili zbierania danych | W rozsądnym terminie, najpóźniej w ciągu miesiąca |
| Dodatkowy obowiązek | Brak informacji o źródle danych | Trzeba wskazać źródło danych i, gdy trzeba, czy są publicznie dostępne |
| Typowy przykład | Formularz kontaktowy, rekrutacja, zapis na newsletter | Baza kontrahentów, dane z rejestru, kontakty pozyskane od partnera |
| Najczęstszy błąd | Zbyt ogólna informacja przy formularzu | Brak informacji o źródle i spóźnione przekazanie klauzuli |
W przypadku art. 14 trzeba pamiętać o jeszcze jednej rzeczy: informację przekazuje się nie tylko „w ciągu miesiąca”, ale też wcześniej, jeśli dane mają służyć do kontaktu z osobą albo mają zostać ujawnione innemu odbiorcy. RODO przewiduje tu wyjątki, ale traktuję je ostrożnie, bo nie są wygodnym skrótem, tylko wyłączeniem do zastosowania w konkretnych warunkach. Jeśli więc ktoś bierze dane z zewnętrznej bazy i nie informuje o tym osobę, ryzykuje dużo więcej niż tylko poprawkę w dokumencie. Z tego powodu warto wiedzieć, jak tę treść zbudować krok po kroku.
Jak zbudować klauzulę krok po kroku
Gdy układam taką treść, zaczynam od procesu, a nie od gotowej formułki. Najpierw odpowiadam sobie na pytanie: co dokładnie robi administrator z danymi, a dopiero później dobieram elementy obowiązkowe. To oszczędza błędów i usuwa pokusę kopiowania uniwersalnego wzoru.
- Ustal, kto jest administratorem i w jakim procesie zbierasz dane.
- Wskaż właściwą podstawę prawną przetwarzania, a nie tylko ogólną formułę o zgodzie.
- Opisz cel przetwarzania możliwie konkretnie, bez pustych sformułowań typu „cele marketingowe” w każdym miejscu.
- Wymień odbiorców danych albo przynajmniej ich kategorie, jeśli dane trafiają do księgowości, hostingu, systemu HR czy firmy kurierskiej.
- Podaj okres przechowywania danych lub kryteria jego ustalania.
- Dodaj prawa osoby i informację o skardze do organu nadzorczego.
- Jeśli przetwarzanie obejmuje profilowanie, transfer poza EOG albo dane pochodzące z innego źródła, dopisz to wprost.
Na tym etapie liczy się jeszcze jeden szczegół: język ma być prosty, ale nie infantylny. Osoba czytająca klauzulę nie powinna mieć wrażenia, że dostała tekst pisany wyłącznie pod prawników. Dobre rozwiązanie to jedna wersja zwięzła przy formularzu i pełniejsza treść w polityce prywatności albo w osobnym dokumencie, o ile rzeczywiście jest to potrzebne. Im bardziej złożony proces, tym ważniejsze staje się precyzyjne rozdzielenie celów. A to prowadzi prosto do błędów, które widzę najczęściej.
Najczęstsze błędy, które psują zgodność
W tej części nie ma sensu udawać, że problemem są tylko literówki. Najwięcej szkód robią błędy merytoryczne, bo one zmieniają sens całej informacji. Jak podaje UODO, klauzula informacyjna nie musi zawierać adresu siedziby urzędu nadzorczego, więc przepisywanie starego adresu nie tylko nic nie daje, ale czasem wręcz wprowadza niepotrzebny chaos.
| Błąd | Dlaczego szkodzi | Jak to naprawić |
|---|---|---|
| Mylenie zgody z obowiązkiem informacyjnym | Osoba nie wie, czy przetwarzanie opiera się na zgodzie, umowie czy obowiązku prawnym | Rozdziel zgodę od podstawy prawnej i opisz ją wprost |
| Jedna uniwersalna klauzula do wszystkich procesów | Inaczej wygląda rekrutacja, inaczej monitoring, a inaczej formularz kontaktowy | Dopasuj treść do konkretnej sytuacji i celu przetwarzania |
| Nieprecyzyjny cel przetwarzania | Sformułowania typu „cele marketingowe” są zbyt szerokie | Opisz, co dokładnie robisz z danymi, np. kontakt handlowy, obsługa umowy, rekrutacja |
| Brak informacji o odbiorcach danych | Osoba nie wie, czy dane trafiają do zewnętrznych podmiotów | Wskaż odbiorców albo ich kategorie |
| Pominięcie źródła danych przy art. 14 | To jeden z obowiązkowych elementów przy danych pozyskanych pośrednio | Dopisz źródło danych i, gdy trzeba, informację o publicznym dostępie |
| Stary adres UODO w klauzuli | Wprowadza nieaktualność i wygląda niechlujnie | Zostaw informację o prawie do skargi bez zbędnych adresów |
| Brak informacji o profilowaniu | Osoba nie wie, czy decyzje są wspierane automatycznie | Opisz to tylko wtedy, gdy faktycznie występuje |
Na marginesie: nie kopiowałbym też jednego wzoru bezmyślnie tylko dlatego, że „tak robią inni”. To, że coś wygląda profesjonalnie, nie znaczy jeszcze, że pasuje do Twojego procesu. Z dobrych praktyk zostaje mi jeszcze jedna rzecz, której zwykle poświęca się za mało uwagi, a która ratuje przed poprawkami już po publikacji.
Co sprawdzić, zanim klauzula trafi do formularza
Przed publikacją robię krótki audyt. Nie jest rozbudowany, ale oszczędza czasu, kiedy trzeba później tłumaczyć się z niespójności między formularzem, polityką prywatności i rzeczywistym procesem obsługi danych.
- Sprawdź, czy dane administratora są aktualne i pełne.
- Zweryfikuj, czy podstawa prawna rzeczywiście odpowiada procesowi.
- Upewnij się, że odbiorcy danych są opisani zgodnie z praktyką, a nie „na wszelki wypadek”.
- Potwierdź, że okres przechowywania jest realny, a nie przypadkowo przepisany z innego wzoru.
- Dodaj tylko te elementy techniczne, które naprawdę występują: profilowanie, transfer do państwa trzeciego, źródło danych, obowiązek podania danych.
- Spójrz na całość oczami osoby, która widzi ten komunikat po raz pierwszy i chce zrozumieć, co dzieje się z jej danymi.
Jeśli te punkty są domknięte, informacja przestaje być prawnym ozdobnikiem, a staje się praktycznym narzędziem przejrzystości. I właśnie o to chodzi w dobrze napisanej klauzuli: ma nie tylko spełniać wymóg, ale też porządkować relację między administratorem a osobą, której dane są przetwarzane.
