W jednym zdaniu. Klauzula informacyjna RODO to zestaw informacji, które administrator musi podać osobie w momencie zbierania jej danych (art. 13) lub w ciągu miesiąca, gdy dane pozyskano z innego źródła (art. 14) — bez niej naruszasz obowiązek, za który UODO nałożył na spółkę Bisnode karę blisko 943 tys. zł.
Obowiązek informacyjny to najczęściej weryfikowany element zgodności podczas kontroli UODO — bo jest widoczny, mierzalny i łatwy do sprawdzenia. Poniżej znajdziesz gotowe wzory klauzul dla pięciu najczęstszych sytuacji: pracownika, kandydata do pracy, klienta, monitoringu wizyjnego i formularza kontaktowego, plus listę elementów, których pominięcie kończy się naruszeniem. Klauzula informacyjna jest częścią szerszego kompletu dokumentów — obok niej warto przygotować wzór polityki prywatności oraz wzór rejestru czynności przetwarzania.
Najważniejsze punkty
- Art. 13 RODO — obowiązek przy zbieraniu danych bezpośrednio od osoby (w momencie zbierania).
- Art. 14 RODO — obowiązek gdy dane pozyskano z innego źródła (najpóźniej w ciągu miesiąca).
- Klauzula musi zawierać co najmniej 8 elementów, w tym podstawę prawną z art. 6 i okres retencji.
- Kara Bisnode ~943 tys. zł (UODO, 2019) dotyczyła właśnie niedopełnienia obowiązku z art. 14.
- Klauzula informacyjna to nie to samo co zgoda — to dwa różne dokumenty.
- Język musi być zwięzły, przejrzysty i zrozumiały (art. 12 ust. 1).
Czym jest klauzula informacyjna i kiedy ją podać
Klauzula informacyjna realizuje prawo osoby do bycia poinformowaną — fundament przejrzystości z art. 5 ust. 1 lit. a RODO. Rozróżnienie między art. 13 a art. 14 jest kluczowe i decyduje o momencie oraz zakresie informacji.
Art. 13 stosujesz, gdy zbierasz dane wprost od osoby — formularz, umowa, ankieta, rejestracja konta. Informację podajesz w chwili zbierania danych.
Art. 14 stosujesz, gdy dane trafiły do Ciebie z innego źródła — zakup bazy, rejestr publiczny, polecenie od partnera, wywiadownia gospodarcza. Tu informację podajesz najpóźniej w ciągu miesiąca, a jeśli wcześniej kontaktujesz się z osobą — przy pierwszym kontakcie. To właśnie na tym przepisie poległ Bisnode: spółka przetwarzała dane milionów przedsiębiorców pozyskane z rejestrów publicznych, ale poinformowała mailowo tylko część z nich, argumentując nieproporcjonalny wysiłek.
Obowiązkowe elementy klauzuli
Niezależnie od podstawy, klauzula musi zawierać:
| Element | Podstawa | Przykład treści |
|---|---|---|
| Tożsamość administratora | art. 13 ust. 1 lit. a | nazwa, adres, NIP |
| Dane kontaktowe IOD | art. 13 ust. 1 lit. b | iod@firma.pl (jeśli powołany) |
| Cele i podstawa prawna | art. 13 ust. 1 lit. c | np. art. 6 ust. 1 lit. b |
| Prawnie uzasadniony interes | art. 13 ust. 1 lit. d | gdy podstawą jest lit. f |
| Odbiorcy danych | art. 13 ust. 1 lit. e | dostawca IT, biuro rachunkowe |
| Transfer poza EOG | art. 13 ust. 1 lit. f | kraj, zabezpieczenia |
| Okres przechowywania | art. 13 ust. 2 lit. a | konkretny termin lub kryterium |
| Prawa osoby | art. 13 ust. 2 lit. b | dostęp, sprostowanie, usunięcie |
| Prawo skargi do UODO | art. 13 ust. 2 lit. d | uodo.gov.pl |
| Dobrowolność / obowiązek podania | art. 13 ust. 2 lit. e | np. wymóg ustawowy |
Przy art. 14 dochodzą jeszcze dwa elementy: kategorie danych oraz źródło pochodzenia danych (art. 14 ust. 1 lit. d i ust. 2 lit. f). Doprecyzowanie podstaw prawnych znajdziesz w przewodniku po art. 6 RODO.
Gotowe wzory klauzul
Poniższe wzory to szkielety — dostosuj je do własnych celów, podstaw i okresów retencji. Nie kopiuj cudzej klauzuli bez weryfikacji; UODO wielokrotnie wskazywał, że mechaniczne przeklejanie tekstu prowadzi do podania osobie nieprawdziwych informacji, co samo w sobie jest naruszeniem.
Klauzula dla pracownika
Administratorem danych jest [nazwa, adres, NIP]. Dane przetwarzamy w celu realizacji stosunku pracy na podstawie art. 6 ust. 1 lit. b i c RODO oraz art. 22¹ Kodeksu pracy, a w zakresie danych szczególnych — art. 9 ust. 2 lit. b RODO. Dane przechowujemy przez okres zatrudnienia oraz 10 lat po jego zakończeniu (akta osobowe, art. 94 pkt 9b K.p.). Odbiorcami są: biuro rachunkowe, ZUS, US, dostawca systemu kadrowo-płacowego. Masz prawo dostępu, sprostowania, usunięcia, ograniczenia i przenoszenia danych oraz skargi do Prezesa UODO. Kontakt z IOD: [e-mail].
Szerzej o granicach przetwarzania danych zatrudnionych piszę w tekście o obowiązkach pracodawcy wobec danych pracowników.
Klauzula dla kandydata do pracy
Dane z dokumentów rekrutacyjnych przetwarzamy w celu przeprowadzenia rekrutacji na podstawie art. 6 ust. 1 lit. b i c (dane z art. 22¹ K.p.) oraz art. 6 ust. 1 lit. a (zgoda — dane wykraczające poza katalog kodeksowy, np. zdjęcie). Dane przechowujemy do zakończenia rekrutacji, a za odrębną zgodą — przez [np. 12 miesięcy] na potrzeby przyszłych rekrutacji. Podanie danych z art. 22¹ K.p. jest wymogiem ustawowym; pozostałe — dobrowolne.
Klauzula dla klienta
Dane przetwarzamy w celu zawarcia i wykonania umowy (art. 6 ust. 1 lit. b), wypełnienia obowiązków podatkowych i księgowych (art. 6 ust. 1 lit. c — 5 lat, ustawa o rachunkowości) oraz ewentualnego dochodzenia roszczeń (art. 6 ust. 1 lit. f). Masz prawo dostępu do danych — jak z niego korzystać, wyjaśniam w tekście o prawie dostępu osoby fizycznej.
Klauzula do monitoringu wizyjnego
Obiekt jest monitorowany. Administrator: [nazwa]. Cel: zapewnienie bezpieczeństwa osób i mienia — podstawa art. 6 ust. 1 lit. f RODO (wobec pracowników dodatkowo art. 22² K.p.). Nagrania przechowujemy do 3 miesięcy, chyba że stanowią dowód w postępowaniu. Pełna klauzula dostępna w [recepcji / na stronie]. Tablicę informacyjną umieszcza się przed wejściem w strefę monitoringu.
Klauzula do formularza kontaktowego. Dane z formularza przetwarzamy w celu udzielenia odpowiedzi na zapytanie na podstawie art. 6 ust. 1 lit. f RODO (obsługa korespondencji). Przechowujemy je przez czas niezbędny do obsługi sprawy i [np. 12 miesięcy] później. Osoba ma prawo dostępu, sprostowania i usunięcia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie administratora.
Częste błędy, które kosztują
Trzy błędy powtarzają się w niemal każdej kontroli. Po pierwsze — mylenie klauzuli ze zgodą: klauzula tylko informuje, natomiast osobny wzór zgody na przetwarzanie danych potrzebny jest tylko tam, gdzie podstawą jest art. 6 ust. 1 lit. a. Po drugie — ogólnikowy okres retencji (“przez czas niezbędny”) bez kryterium; UODO oczekuje konkretów. Po trzecie — pominięcie klauzuli z art. 14 przy zakupionych bazach, co wprost powtarza scenariusz Bisnode.
FAQ
Czym różni się klauzula informacyjna od zgody na przetwarzanie danych?
Klauzula informacyjna to jednostronna informacja, którą administrator ma obowiązek podać zawsze (art. 13/14) — niezależnie od podstawy prawnej. Zgoda to oświadczenie osoby i jest potrzebna tylko wtedy, gdy przetwarzanie opiera się na art. 6 ust. 1 lit. a. Mylenie tych dokumentów to najczęstszy błąd formalny.
Czy klauzulę trzeba podpisywać?
Nie. Klauzula nie wymaga podpisu — musisz jedynie wykazać, że została udostępniona (np. w umowie, na stronie, w treści maila). Dla celów rozliczalności warto zachować dowód przekazania, ale sam podpis osoby nie jest wymagany.
Kiedy stosuje się art. 14 zamiast art. 13?
Art. 14 stosujesz, gdy danych nie zebrano bezpośrednio od osoby — np. kupiłeś bazę, pozyskałeś dane z KRS, CEIDG lub od partnera. Informację trzeba wtedy przekazać najpóźniej w ciągu miesiąca albo przy pierwszym kontakcie z osobą.
Obowiązek informacyjny nie zależy od wielkości firmy — dotyczy każdego administratora, także mikroprzedsiębiorcy; zwolnienia z art. 30 ust. 5 (rejestr) nie mają tu zastosowania. Więcej o obowiązkach najmniejszych podmiotów znajdziesz w tekście o RODO w MŚP.
Źródła: RODO — tekst w EUR-Lex (CELEX 32016R0679) · Urząd Ochrony Danych Osobowych · Europejska Rada Ochrony Danych