Klauzula informacyjna RODO – wzór pod formularz, newsletter i sklep

Wzór do skopiowania

Do formularza kontaktowego. Podmień to, co w nawiasach kwadratowych. Trzy ostatnie punkty są warunkowe – wchodzą tylko wtedy, gdy warunek z nagłówka Cię dotyczy; w przeciwnym razie je usuń. Reszta obowiązuje zawsze.

Kto przetwarza Twoje dane. Administratorem Twoich danych jest [pełna nazwa i forma prawna, adres siedziby, NIP]. Kontakt w sprawie danych: [adres e-mail].

Po co. Dane z tego formularza przetwarzamy po to, żeby odpowiedzieć na Twoją wiadomość i prowadzić z Tobą dalszą korespondencję w tej sprawie. Podstawą jest nasz prawnie uzasadniony interes, czyli udzielenie odpowiedzi osobie, która się do nas zwróciła (art. 6 ust. 1 lit. f RODO).

Jak długo. Przez [okres albo kryterium, np. czas prowadzenia korespondencji i rok po jej zakończeniu].

Komu je przekazujemy. [nazwa dostawcy poczty elektronicznej lub hostingu].

Co możesz zrobić. Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo wniesienia sprzeciwu wobec przetwarzania. Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Czy musisz je podać. Podanie danych jest dobrowolne, ale bez adresu e-mail nie odpowiemy na wiadomość.

[warunkowe – tylko jeśli powołałeś inspektora ochrony danych] Kontakt do inspektora ochrony danych: [adres e-mail albo adres pocztowy].

[warunkowe – tylko jeśli Twoja firma ma siedzibę poza Unią Europejską] Naszym przedstawicielem w Unii jest [nazwa i adres].

[warunkowe – tylko jeśli wysyłasz dane poza Europejski Obszar Gospodarczy] Dane przekazujemy do [państwo albo organizacja] na podstawie [decyzja Komisji stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne]. Kopię zabezpieczeń udostępniamy na żądanie.

Trzy warianty tej samej treści, które różnią się wyłącznie celem i podstawą:

• zapis do newslettera – celem jest wysyłanie newslettera, a podstawą Twoja zgoda (art. 6 ust. 1 lit. a RODO). Dochodzi zdanie: zgodę możesz wycofać w każdej chwili; newslettery wysłane wcześniej pozostają zgodne z prawem;
• zamówienie w sklepie – celem jest wykonanie umowy sprzedaży (art. 6 ust. 1 lit. b). Obok niego stoi drugi, niezależny cel: przechowywanie faktury przez okres wymagany przepisami podatkowymi (art. 6 ust. 1 lit. c). Podanie danych nie jest tu dobrowolne – bez nich nie ma umowy;
• rozmowa telefoniczna – ta sama treść, ale przekazana ustnie albo, w praktyce, potwierdzona e-mailem wysłanym zaraz po rozmowie.

Co musi zawierać klauzula informacyjna RODO

Lista jest zamknięta i wynika wprost z przepisu. Dzieli się na pozycje bezwarunkowe i takie, które podajesz tylko wtedy, gdy Cię dotyczą.

Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje: a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych; c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania; d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią; e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją; f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.

Ten sam zwrot pada w cytowanym fragmencie trzy razy: „gdy ma to zastosowanie”. Dotyczy przedstawiciela (potrzebuje go firma spoza Unii), inspektora ochrony danych (powołują go głównie urzędy i duże firmy) oraz wysyłania danych poza Europejski Obszar Gospodarczy. To są pozycje warunkowe – we wzorze wyżej stoją na końcu, osobno oznaczone. Mała firma, której żaden z tych warunków nie dotyczy, po prostu je usuwa.

Art. 13 ust. 2 dokłada cztery rzeczy. Musisz podać, jak długo trzymasz dane i jakie prawa ma osoba, która Ci je podała – w tym prawo złożyć skargę do Prezesa UODO. Musisz też napisać, czy podanie danych jest obowiązkowe i co się stanie, jeśli ich nie poda. Przy profilowaniu dochodzą zasady zautomatyzowanego podejmowania decyzji.

Czego w tej liście nie ma, choć wielu tego oczekuje: podpisu, osobnego dokumentu ani obowiązku, żeby czytelnik cokolwiek zaznaczył. Klauzula jest informacją, którą podajesz Ty – nie oświadczeniem, które ktoś Ci składa.

Skąd masz dane – art. 13 czy art. 14

To jest jedyne pytanie, od którego zależy, którą wersję obowiązku stosujesz. Nie rodzaj danych, nie cel, nie wielkość firmy – źródło.

Dwa dolne wiersze układają się w rzecz, która zaskakuje: przy danych zebranych wprost od człowieka obowiązek jest ostrzejszy, nie łagodniejszy. Wersja dla kupionej bazy wygląda groźniej, bo art. 14 ust. 2 lit. f każe podać dodatkowo „źródło pochodzenia danych osobowych”. Ale to ona daje trzy terminy, zależne od tego, co z danymi robisz, i cztery drogi wyjścia.

Firma może dopilnować klauzuli przy kampanii na kupionej bazie i nie mieć jej pod własnym formularzem kontaktowym. Wtedy ma problem dokładnie tam, gdzie się go nie spodziewa.

Jeśli Twoje dane pochodzą z drugiej ręki, ten wzór nie jest właściwy. Ścieżkę art. 14 – z terminami i obowiązkiem wskazania źródła – rozkładamy przy zakupie bazy danych. Realny przypadek kary za jej pominięcie opisuje wpis o bazach B2C.

Kiedy pokazać klauzulę informacyjną

Art. 13 ust. 1 mówi: „podczas pozyskiwania danych osobowych”. I na tym koniec – przepis nie przewiduje żadnego odroczenia.

Błąd nie polega więc zwykle na złym brzmieniu klauzuli, tylko na tym, że jest schowana pod odnośnikiem, którego nikt nie otwiera, albo dopisana do wiadomości zwrotnej.

Kiedy nie trzeba spełniać obowiązku informacyjnego

Wyjątek jest jeden. Mieści się w jednym zdaniu: nie musisz podawać tych informacji, którymi osoba już dysponuje – i tylko w tym zakresie.

Przy danych z drugiej ręki przepis pozwala odpuścić informowanie, gdy jest ono niemożliwe albo wymagałoby niewspółmiernie dużego wysiłku. Przykładem jest baza na kilkaset tysięcy rekordów (art. 14 ust. 5 lit. b). Gdy dane ktoś podał Ci sam, takiej furtki nie ma.

Nie ma jej też w prawie krajowym, i to warto powiedzieć wprost, bo tu najczęściej pada pytanie, czy mała firma nie jest z tego zwolniona. Polska ustawa o ochronie danych osobowych wyłącza art. 13 w trzech sytuacjach, i żadna z nich nie dotyczy wielkości firmy. Dwie z nich dotyczą działalności prasowej, literackiej i artystycznej oraz wypowiedzi akademickiej (art. 2). Trzecia, w wąskim zakresie, obejmuje administratora wykonującego zadanie publiczne (art. 3 i 4). Ulgi dla mikroprzedsiębiorcy w tej ustawie nie ma.

W praktyce ten jeden wyjątek działa wąsko. Stały klient, który dostał klauzulę przy poprzednim zamówieniu i nic się od tego czasu nie zmieniło, nie musi dostawać jej ponownie w całości. Gdy zmienisz cel, okres przechowywania albo odbiorców, zmienia się informacja, więc wyjątek przestaje działać.

Czy klauzula może być w polityce prywatności

Może. Warunek dotyczy formy, nie miejsca.

1. Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.

Przepis nie mówi, że klauzula ma być osobnym dokumentem ani że ma stać w całości pod przyciskiem „Wyślij”. Mówi, że informacja ma być zwięzła, przejrzysta, zrozumiała i łatwo dostępna.

Nasz odczyt, i mówimy wprost, że to odczyt: skoro warunkiem jest łatwa dostępność, spełnia go rozwiązanie warstwowe. Przy formularzu wystarczy skrót z najważniejszymi punktami i wyraźny odnośnik do pełnej polityki prywatności. Nie spełnia go za to odesłanie do dokumentu, w którym wymagane przez RODO informacje są rozsypane między postanowieniami o czym innym. Rozporządzenie nie używa słowa „warstwowy” i nie znamy decyzji polskiego organu, która rozstrzygałaby to wprost.

Te dwie rzeczy łatwo zatrzeć, więc rozdzielmy je wprost. Warstwowa klauzula mieści się w art. 12 ust. 1 – w naszym odczycie, bo przepis tego nie przesądza. Zgoda schowana w regulaminie nie mieści się na pewno, i to akurat Europejska Rada Ochrony Danych pisze wprost:

Administrator musi również mieć świadomość, że zgody nie można uzyskać w drodze tej samej czynności co zawarcie umowy czy zaakceptowanie ogólnych warunków usługi. Zbiorczego zaakceptowania ogólnych warunków nie można uznać za wyraźne działanie potwierdzające wyrażenie zgody na wykorzystanie danych osobowych.

Wytyczne 05/2020 dotyczące zgody, pkt 81 – Europejska Rada Ochrony Danych, wersja polska.

Różnicę między zgodą a klauzulą – kto ją składa, kiedy jest potrzebna i dlaczego są przeciwieństwami – tłumaczymy osobno przy zgodzie na przetwarzanie danych.

Jednoosobowa działalność: ten sam człowiek, dwie ścieżki

Czego klauzula nie załatwia

Spełnienie obowiązku informacyjnego nie daje Ci prawa do wysyłki. Klauzula i zgoda na kanał stoją w osobnych ustawach i mierzą co innego.

Klauzula odpowiada na pytanie, czy informujesz o przetwarzaniu. O tym, czy w ogóle wolno Ci nacisnąć „wyślij”, rozstrzyga co innego – art. 398 Prawa komunikacji elektronicznej. Możesz mieć bezbłędną klauzulę i nadal nie mieć prawa wysłać ani jednej informacji handlowej.

Jak uzyskać tę drugą i jak ją udokumentować, opisujemy przy zgodzie adresata na informacje handlowe.

Zanim wkleisz klauzulę do formularza

Dwa sprawdzenia, w tej kolejności. Skąd masz dane – bo to rozstrzyga, czy w ogóle patrzysz na właściwy wzór. I czy klauzula jest widoczna w chwili, gdy ktoś wciska „Wyślij”, a nie dopiero w odpowiedzi. Brzmienie poprawisz kiedykolwiek; momentu, w którym trzeba było poinformować, nie odzyskasz.