Klauzula informacyjna RODO to krótka, ale bardzo konkretna informacja przekazywana osobie, której dane dotyczą, najczęściej w momencie ich pozyskania (np. w formularzu kontaktowym, przy zapisie na newsletter, podczas rekrutacji, w umowie). Jej celem jest zapewnienie transparentności: odbiorca ma wiedzieć kto przetwarza dane, w jakim celu, na jakiej podstawie prawnej oraz jakie ma prawa.
Dobra klauzula informacyjna powinna zawierać co najmniej: dane administratora, dane kontaktowe (a jeśli wyznaczono – kontakt do IOD), cele i podstawy przetwarzania, informacje o odbiorcach danych, okres przechowywania (lub kryteria jego ustalenia), przysługujące prawa (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), informację o prawie wniesienia skargi do UODO, a także informację, czy podanie danych jest dobrowolne czy obowiązkowe i jakie są konsekwencje niepodania.
W praktyce klauzula musi być napisana prostym językiem, dopasowana do konkretnej sytuacji (np. kontakt, sprzedaż, marketing) i spójna z resztą dokumentacji (polityka prywatności, rejestr czynności). Najczęstszy błąd to kopiowanie uniwersalnych treści bez wskazania realnych celów, podstaw i terminów, co może naruszać zasadę rozliczalności i przejrzystości.
RODO – klauzula informacyjna
1) Administrator danych i kontakt
- Administrator: [Nazwa firmy / imię i nazwisko], [adres siedziby].
- Kontakt: [e-mail], [telefon].
- Inspektor ochrony danych (IOD): [jeśli wyznaczono – dane kontaktowe], w przeciwnym razie: nie wyznaczono.
2) Cele i podstawy przetwarzania
- obsługa zapytania i kontakt – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora polegający na komunikacji).
- zawarcie i wykonanie umowy / zlecenia – art. 6 ust. 1 lit. b RODO (jeśli dotyczy).
- obowiązki podatkowo-księgowe – art. 6 ust. 1 lit. c RODO (obowiązek prawny).
- marketing bezpośredni własnych usług – art. 6 ust. 1 lit. f RODO (jeśli dotyczy; pamiętaj o odrębnych zgodach na kanały marketingowe).
3) Odbiorcy danych i przekazywanie poza EOG
- Odbiorcami mogą być: dostawcy hostingu, poczty e-mail, narzędzi IT/CRM, biuro rachunkowe, podmioty realizujące usługi prawne lub kurierskie – wyłącznie w zakresie niezbędnym.
- Dane mogą być przekazywane poza EOG: [TAK/NIE]. Jeśli tak: na podstawie [np. decyzji stwierdzającej odpowiedni stopień ochrony / standardowych klauzul umownych].
4) Okres przechowywania
| Cel | Jak długo | Kryterium |
|---|---|---|
| Kontakt / zapytanie | do 12 miesięcy | czas potrzebny na obsługę sprawy i archiwizację korespondencji |
| Umowa | czas trwania + okres przedawnienia | dochodzenie/obrona roszczeń |
| Dokumenty księgowe | 5 lat | wymogi prawa podatkowego |
5) Prawa osoby, której dane dotyczą
6) Skarga do UODO i informacja o dobrowolności
- Przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
- Podanie danych jest dobrowolne, ale niezbędne do [np. udzielenia odpowiedzi / zawarcia umowy]. Niepodanie danych może uniemożliwić realizację celu.
- Zautomatyzowane podejmowanie decyzji / profilowanie: [NIE / TAK – opisz zasady].
Jak dopasować wzór klauzuli informacyjnej do swojej sytuacji
Wzór klauzuli informacyjnej RODO powinien być dopasowany do momentu zbierania danych. Inna treść będzie właściwa dla formularza kontaktowego, inna dla sprzedaży online, a jeszcze inna dla rekrutacji. Kluczowe jest, aby cele i podstawy prawne nie były „na zapas” – wpisuj wyłącznie te, które rzeczywiście występują w Twoim procesie.
Jeśli zbierasz dane od klienta w celu realizacji umowy, podstawą będzie zwykle art. 6 ust. 1 lit. b RODO. Jeżeli dane przetwarzasz, bo wymaga tego prawo (np. faktury), wskaż art. 6 ust. 1 lit. c RODO. Dla marketingu bezpośredniego często stosuje się art. 6 ust. 1 lit. f RODO (uzasadniony interes), ale pamiętaj, że wysyłka e-mail/SMS może dodatkowo wymagać odrębnych zgód wynikających z przepisów szczególnych.
Administrator, współadministrator i podmiot przetwarzający
Upewnij się, kto formalnie jest administratorem danych. Jeśli działasz w grupie kapitałowej albo w projekcie z partnerem, rozważ, czy nie zachodzi współadministrowanie. Jeśli korzystasz z usług firmy zewnętrznej (np. biuro rachunkowe, hosting), zwykle jest to podmiot przetwarzający – wówczas warto mieć umowę powierzenia i wskazać kategorie odbiorców w klauzuli.
Okres przechowywania i prawa – najczęstsze pułapki
Nie wpisuj „przechowujemy dane do momentu wycofania zgody”, jeśli przetwarzanie nie opiera się na zgodzie. Dla umów stosuj opis typu: „czas trwania umowy oraz okres przedawnienia roszczeń”, a dla dokumentów księgowych – konkretną podstawę i okres (np. 5 lat). To element, który często jest weryfikowany przy audycie RODO.
W części o prawach pamiętaj o sprzeciwie: w przypadku marketingu bezpośredniego osoba może wnieść sprzeciw w dowolnym momencie. Jeżeli prowadzisz profilowanie lub zautomatyzowane podejmowanie decyzji, nie pomijaj tego – dopisz jasne wyjaśnienie, na czym polega mechanizm i jakie ma skutki.
Co można dodać do klauzuli informacyjnej
W zależności od potrzeb możesz uzupełnić wzór o: źródło pochodzenia danych (gdy nie zbierasz ich bezpośrednio), kategorie danych (np. identyfikacyjne, kontaktowe), informację o zamiarze przekazania danych do konkretnego narzędzia (np. CRM), a także odnośnik do polityki prywatności. Najważniejsze, aby całość była zrozumiała, kompletna i spójna z rzeczywistym sposobem przetwarzania danych osobowych.
