Klauzula RODO: kiedy jest potrzebna i co powinna zawierać?
Klauzula RODO to informacja przekazywana osobie, której dane osobowe są zbierane lub wykorzystywane. Jej zadaniem jest wyjaśnienie, kto przetwarza dane, w jakim celu, na jakiej podstawie, jak długo będą przechowywane, komu mogą zostać przekazane oraz jakie prawa przysługują osobie, której dane dotyczą.
Taka klauzula może być potrzebna na stronie internetowej, w formularzu kontaktowym, przy rekrutacji, w umowie, przy zapisie do newslettera, w sklepie internetowym, w gabinecie usługowym, w firmie, przy konkursie, wydarzeniu, ankiecie, zapytaniu ofertowym albo w kontakcie z klientem. Dobrze przygotowana klauzula powinna być jasna, konkretna, zrozumiała i dopasowana do sytuacji, a nie skopiowana przypadkowo z innego miejsca.
W praktyce klauzula RODO jest jednym z najważniejszych dokumentów informacyjnych dotyczących danych osobowych. Nie zastępuje regulaminu, polityki prywatności ani umowy powierzenia danych, ale pomaga spełnić obowiązek informacyjny wobec osoby, której dane są przetwarzane.
Czym jest klauzula RODO?
Klauzula RODO to komunikat informacyjny dla osoby, której dane są zbierane. Może mieć formę krótkiego tekstu pod formularzem, osobnego załącznika do dokumentu, fragmentu regulaminu, części formularza rekrutacyjnego, informacji w stopce wiadomości albo osobnej sekcji na stronie internetowej.
Najważniejsze jest to, aby osoba przekazująca dane wiedziała, co się z nimi stanie. Klauzula powinna odpowiadać na podstawowe pytania: kto jest administratorem danych, po co dane są zbierane, czy będą przekazywane dalej, jak długo będą przechowywane i jakie prawa ma osoba, której dane dotyczą.
Kiedy stosuje się klauzulę RODO?
Klauzula jest potrzebna zawsze wtedy, gdy podmiot zbiera dane osobowe i powinien poinformować osobę o zasadach ich przetwarzania. Może dotyczyć klientów, pracowników, kandydatów do pracy, użytkowników strony, subskrybentów newslettera, kontrahentów, uczestników wydarzeń albo osób wysyłających zapytanie przez formularz.
- formularz kontaktowy na stronie internetowej,
- zapis do newslettera,
- proces rekrutacji,
- zawarcie i realizacja umowy,
- obsługa sklepu internetowego,
- przyjmowanie zapytań ofertowych,
- organizacja konkursu, wydarzenia albo szkolenia,
- kontakt telefoniczny lub mailowy z klientem,
- prowadzenie dokumentacji firmowej lub kadrowej.
Najważniejsze elementy klauzuli RODO
Klauzula powinna być dopasowana do konkretnego procesu. Inaczej będzie wyglądać informacja dla kandydata do pracy, inaczej dla klienta sklepu internetowego, a jeszcze inaczej dla osoby zapisującej się do newslettera. Nie warto używać jednego tekstu do wszystkich sytuacji bez sprawdzenia, czy rzeczywiście pasuje.
Dobrze przygotowana klauzula powinna zawierać dane administratora, dane kontaktowe, cele przetwarzania, podstawy przetwarzania, informacje o odbiorcach danych, okres przechowywania, prawa osoby, informację o dobrowolności lub obowiązku podania danych oraz ewentualne informacje o przekazywaniu danych poza Europejski Obszar Gospodarczy.
Praktyczna tabela: główne części klauzuli RODO
| Element klauzuli | Co należy wskazać? | Znaczenie w praktyce |
|---|---|---|
| Administrator danych | nazwa firmy, organizacji lub osoby decydującej o danych | Osoba wie, kto odpowiada za przetwarzanie jej danych. |
| Dane kontaktowe | adres, e-mail, telefon albo inny kanał kontaktu | Ułatwiają zadanie pytania lub skorzystanie z praw. |
| Cel przetwarzania | kontakt, realizacja umowy, rekrutacja, newsletter, obsługa zamówienia | Pokazuje, po co dane są zbierane. |
| Podstawa przetwarzania | zgoda, umowa, obowiązek, uzasadniony interes albo inna podstawa | Wyjaśnia, dlaczego administrator może przetwarzać dane. |
| Odbiorcy danych | hosting, księgowość, dostawcy systemów, kurierzy, operatorzy płatności | Informuje, komu dane mogą zostać udostępnione. |
| Okres przechowywania | czas realizacji celu, okres obowiązków, czas dochodzenia roszczeń | Pokazuje, jak długo dane będą przechowywane. |
| Prawa osoby | dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie | Informuje osobę, jakie działania może podjąć wobec swoich danych. |
| Dobrowolność podania danych | czy dane są wymagane, dobrowolne, konieczne do umowy lub kontaktu | Wyjaśnia, co się stanie, jeśli dane nie zostaną podane. |
Administrator danych w klauzuli RODO
Pierwszym elementem klauzuli powinno być wskazanie administratora danych. Administrator to podmiot, który decyduje, po co i w jaki sposób dane osobowe są przetwarzane. Może to być firma, osoba prowadząca działalność, spółka, fundacja, stowarzyszenie, szkoła, gabinet, sklep internetowy albo inna organizacja.
W klauzuli warto podać pełną nazwę administratora, adres siedziby lub prowadzenia działalności, a także dane kontaktowe. Jeżeli osoba chce zapytać o swoje dane, powinna wiedzieć, do kogo może się zwrócić.
Przy administratorze warto wskazać
- pełną nazwę firmy lub organizacji,
- adres siedziby albo adres prowadzenia działalności,
- NIP, KRS albo inne dane identyfikacyjne, jeśli są przydatne,
- adres e-mail do kontaktu w sprawach danych,
- numer telefonu, jeżeli administrator go udostępnia,
- dane inspektora ochrony danych, jeśli został wyznaczony,
- jasną informację, że ten podmiot jest administratorem danych.
Cel przetwarzania danych
Klauzula powinna wyjaśniać, w jakim celu dane są przetwarzane. Cel powinien być opisany jasno i konkretnie. Inaczej wygląda cel przy formularzu kontaktowym, inaczej przy rekrutacji, inaczej przy newsletterze, a jeszcze inaczej przy realizacji zamówienia.
Zbyt ogólne sformułowania, takie jak „w celach związanych z działalnością firmy”, mogą być mało czytelne dla odbiorcy. Lepiej wskazać konkretne działania, na przykład odpowiedź na zapytanie, obsługa zamówienia, zawarcie umowy, wysyłka newslettera albo prowadzenie rekrutacji.
Najczęstsze cele przetwarzania danych
- udzielenie odpowiedzi na wiadomość z formularza kontaktowego,
- przygotowanie i przedstawienie oferty,
- zawarcie oraz wykonanie umowy,
- obsługa zamówienia w sklepie internetowym,
- wysyłka newslettera,
- prowadzenie procesu rekrutacji,
- obsługa reklamacji lub zwrotu,
- prowadzenie dokumentacji księgowej,
- dochodzenie albo obrona przed roszczeniami.
Podstawa przetwarzania danych
Klauzula powinna wskazywać, na jakiej podstawie dane są przetwarzane. W zależności od sytuacji może to być zgoda osoby, konieczność wykonania umowy, obowiązek wynikający z przepisów, uzasadniony interes administratora albo inna właściwa podstawa.
Warto dopasować podstawę do konkretnego celu. Na przykład dane do odpowiedzi na zapytanie mogą być przetwarzane inaczej niż dane do wysyłki newslettera, dane do faktury albo dane kandydata do pracy. Nie należy automatycznie wpisywać zgody jako podstawy każdego działania, jeśli w danej sytuacji właściwa jest inna podstawa.
Podstawa przetwarzania może wynikać z
- zgody osoby, której dane dotyczą,
- konieczności zawarcia lub wykonania umowy,
- obowiązku prawnego administratora,
- uzasadnionego interesu administratora,
- potrzeby obsługi roszczeń, reklamacji lub kontaktu,
- prowadzenia dokumentacji wymaganej w określonych sytuacjach.
Zakres danych osobowych
Dobrą praktyką jest wskazanie, jakie dane mogą być przetwarzane. Zakres powinien odpowiadać formularzowi albo sytuacji. Jeżeli formularz kontaktowy zbiera imię, e-mail i treść wiadomości, klauzula nie powinna sugerować, że administrator zbiera szeroki zestaw danych, których w rzeczywistości nie potrzebuje.
Zasada jest prosta: należy zbierać tylko dane potrzebne do konkretnego celu. Jeśli do odpowiedzi na zapytanie wystarczy adres e-mail, nie zawsze trzeba wymagać numeru telefonu, adresu zamieszkania czy dodatkowych informacji.
Dane osobowe mogą obejmować
- imię i nazwisko,
- adres e-mail,
- numer telefonu,
- adres zamieszkania lub dostawy,
- dane firmowe, takie jak nazwa firmy i NIP,
- treść wiadomości wysłanej przez formularz,
- dane zamówienia, płatności lub reklamacji,
- dane zawarte w CV i dokumentach rekrutacyjnych.
Odbiorcy danych
Klauzula RODO powinna informować, komu dane mogą zostać przekazane. Nie zawsze oznacza to publiczne udostępnianie danych. Często chodzi o podmioty techniczne i usługowe, które pomagają administratorowi prowadzić stronę, sklep, księgowość, wysyłkę, płatności, newsletter albo obsługę klienta.
Warto wskazać kategorie odbiorców, a niekoniecznie każdą nazwę podmiotu z osobna, jeśli nie jest to konieczne. Ważne, aby osoba wiedziała, że dane mogą trafić na przykład do firmy hostingowej, dostawcy poczty e-mail, biura rachunkowego, operatora płatności, firmy kurierskiej albo dostawcy systemu mailingowego.
Odbiorcami danych mogą być
- dostawcy hostingu i usług IT,
- dostawcy poczty elektronicznej,
- biuro rachunkowe,
- operatorzy płatności,
- firmy kurierskie i pocztowe,
- dostawcy systemów CRM, newslettera lub sklepu internetowego,
- podmioty obsługujące reklamacje, wsparcie techniczne lub marketing,
- uprawnione organy, jeżeli wynika to z właściwych obowiązków.
Okres przechowywania danych
Osoba, której dane dotyczą, powinna wiedzieć, jak długo jej dane będą przechowywane. Nie zawsze da się wskazać jedną konkretną datę, ale można określić kryteria przechowywania, na przykład czas potrzebny do odpowiedzi na zapytanie, czas realizacji umowy, okres wymagany dla dokumentacji księgowej albo czas potrzebny do obrony przed roszczeniami.
Warto unikać zapisu, że dane będą przechowywane „bezterminowo”, jeśli nie ma do tego uzasadnienia. Okres przechowywania powinien być powiązany z celem przetwarzania i realną potrzebą administratora.
Okres przechowywania można powiązać z
- czasem potrzebnym do odpowiedzi na zapytanie,
- czasem trwania umowy,
- okresem obsługi zamówienia, reklamacji lub zwrotu,
- czasem prowadzenia rekrutacji,
- okresem przechowywania dokumentacji księgowej,
- czasem obowiązywania zgody, do momentu jej cofnięcia,
- okresem potrzebnym do dochodzenia lub obrony przed roszczeniami.
Prawa osoby, której dane dotyczą
Klauzula powinna informować osobę o przysługujących jej prawach. Chodzi między innymi o możliwość uzyskania dostępu do danych, poprawienia danych, usunięcia danych, ograniczenia przetwarzania, wniesienia sprzeciwu, przeniesienia danych oraz cofnięcia zgody, jeśli dane są przetwarzane na podstawie zgody.
Informacja o prawach powinna być napisana zrozumiale. Nie musi być przesadnie długa, ale powinna jasno pokazywać, że osoba może skontaktować się z administratorem w sprawach dotyczących jej danych.
W klauzuli warto wskazać prawa do
- dostępu do swoich danych,
- sprostowania nieprawidłowych danych,
- usunięcia danych w określonych sytuacjach,
- ograniczenia przetwarzania,
- wniesienia sprzeciwu,
- przenoszenia danych, jeżeli ma zastosowanie,
- cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody,
- złożenia skargi do właściwego organu nadzorczego.
Dobrowolność albo obowiązek podania danych
Klauzula powinna wyjaśniać, czy podanie danych jest dobrowolne, czy konieczne do wykonania określonej czynności. W wielu formularzach kontaktowych podanie danych jest dobrowolne, ale bez adresu e-mail administrator nie będzie mógł odpowiedzieć na wiadomość. Przy umowie niektóre dane mogą być konieczne do jej zawarcia i wykonania.
Warto napisać to prosto. Osoba powinna wiedzieć, co stanie się, jeśli nie poda danych. Na przykład brak adresu e-mail uniemożliwi kontakt zwrotny, a brak danych do faktury może uniemożliwić wystawienie dokumentu sprzedaży.
W informacji o dobrowolności warto wskazać
- czy podanie danych jest dobrowolne,
- czy dane są konieczne do zawarcia umowy,
- czy dane są potrzebne do odpowiedzi na zapytanie,
- czy brak danych uniemożliwi wykonanie usługi,
- czy niektóre dane są wymagane przez formularz,
- czy dodatkowe dane są opcjonalne,
- jakie są konsekwencje niepodania danych.
Klauzula RODO przy formularzu kontaktowym
Formularz kontaktowy na stronie internetowej jest jednym z najczęstszych miejsc, w których stosuje się klauzulę RODO. Osoba wpisuje zwykle imię, adres e-mail, numer telefonu albo treść wiadomości. Administrator powinien poinformować, że dane będą wykorzystane do obsługi zapytania i kontaktu zwrotnego.
Przy formularzu warto zadbać o krótki, czytelny tekst pod polami oraz link do szerszej informacji, na przykład polityki prywatności. Klauzula nie powinna być ukryta ani napisana językiem, którego przeciętny użytkownik nie rozumie.
Przy formularzu kontaktowym warto wskazać
- kto jest administratorem danych,
- w jakim celu dane są zbierane,
- jak można skontaktować się z administratorem,
- czy podanie danych jest dobrowolne,
- że dane są potrzebne do udzielenia odpowiedzi,
- gdzie znajduje się szersza informacja o przetwarzaniu danych,
- czy użytkownik powinien zaznaczyć zgodę, jeśli jest wymagana.
Klauzula RODO przy newsletterze
Przy zapisie do newslettera klauzula powinna wyjaśniać, że dane będą przetwarzane w celu wysyłki wiadomości e-mail. Najczęściej chodzi o adres e-mail, a czasem także imię, jeśli newsletter jest personalizowany.
Warto poinformować, że osoba może zrezygnować z newslettera. Jeżeli stosowana jest zgoda marketingowa, powinna być wyraźna, dobrowolna i niezależna od innych czynności, jeśli dana sytuacja tego wymaga.
Przy newsletterze warto określić
- cel wysyłki newslettera,
- zakres danych, najczęściej adres e-mail i ewentualnie imię,
- podstawę przetwarzania,
- możliwość rezygnacji z subskrypcji,
- dostawcę systemu mailingowego jako możliwego odbiorcę danych,
- okres przechowywania danych,
- link do szerszych informacji o prywatności.
Klauzula RODO w rekrutacji
Przy rekrutacji klauzula RODO informuje kandydata, kto przetwarza jego dane, w jakim celu i przez jaki czas. Dane kandydata mogą obejmować informacje z CV, listu motywacyjnego, formularza rekrutacyjnego, korespondencji oraz rozmowy kwalifikacyjnej.
Warto odróżnić dane przetwarzane na potrzeby aktualnej rekrutacji od danych przechowywanych na potrzeby przyszłych rekrutacji. Jeżeli firma chce zachować CV kandydata na przyszłość, zwykle powinna zadbać o odpowiednią zgodę albo inną właściwą podstawę.
W klauzuli rekrutacyjnej warto wskazać
- administratora danych kandydata,
- cel prowadzenia rekrutacji,
- zakres danych zawartych w dokumentach aplikacyjnych,
- okres przechowywania danych,
- informację o przyszłych rekrutacjach, jeśli dotyczy,
- odbiorców danych, na przykład dostawcę systemu rekrutacyjnego,
- prawa kandydata.
Klauzula RODO przy umowie z klientem
Przy zawieraniu umowy z klientem klauzula powinna informować, że dane są przetwarzane w celu przygotowania, zawarcia i wykonania umowy. Może dotyczyć danych kontaktowych, rozliczeniowych, adresowych, danych do faktury oraz informacji potrzebnych do realizacji usługi.
W takiej klauzuli warto wskazać również przechowywanie dokumentów księgowych, obsługę reklamacji, kontakt w sprawie umowy oraz ewentualne dochodzenie lub obronę przed roszczeniami. To praktyczne, ponieważ dane klienta zwykle nie są usuwane natychmiast po wykonaniu usługi.
Przy umowie z klientem warto uwzględnić
- realizację umowy lub zamówienia,
- wystawienie faktury lub rachunku,
- kontakt w sprawie usługi,
- obsługę reklamacji, zwrotów lub zgłoszeń,
- przechowywanie dokumentacji rozliczeniowej,
- możliwe dochodzenie roszczeń,
- odbiorców danych, na przykład księgowość, dostawców IT lub firmy kurierskie.
Klauzula RODO w sklepie internetowym
W sklepie internetowym dane są zwykle przetwarzane przy zakładaniu konta, składaniu zamówienia, płatności, dostawie, reklamacji, zwrocie, kontakcie z obsługą oraz marketingu. Dlatego jedna krótka klauzula pod formularzem może nie wystarczyć do opisania wszystkich procesów.
W praktyce sklep powinien mieć czytelną politykę prywatności, a przy najważniejszych formularzach warto dodać krótszą informację i odesłanie do pełnych zasad. Klauzula powinna być spójna z regulaminem sklepu i rzeczywistymi narzędziami używanymi przez sprzedawcę.
W sklepie internetowym klauzula może dotyczyć
- obsługi zamówienia,
- utworzenia konta klienta,
- realizacji płatności,
- dostawy przesyłki,
- reklamacji i zwrotów,
- kontaktu z obsługą klienta,
- newslettera i działań marketingowych, jeśli są prowadzone.
Klauzula RODO przy zgodzie marketingowej
Jeżeli dane mają być wykorzystywane do marketingu, warto szczególnie jasno opisać zakres zgody i sposób komunikacji. Osoba powinna wiedzieć, czy zgadza się na wiadomości e-mail, SMS, kontakt telefoniczny, newsletter, informacje handlowe czy inne działania.
Zgoda marketingowa nie powinna być ukryta w ogólnych warunkach ani wymuszana, jeśli nie jest konieczna do wykonania usługi. Dobrą praktyką jest oddzielenie zgody marketingowej od innych oświadczeń, zwłaszcza jeśli komunikacja marketingowa jest dodatkowa.
Przy zgodzie marketingowej warto wskazać
- kanał komunikacji marketingowej,
- kto będzie wysyłał wiadomości,
- jakiego rodzaju treści będą przesyłane,
- czy zgoda jest dobrowolna,
- jak można cofnąć zgodę,
- czy dane trafią do dostawcy systemu mailingowego,
- gdzie znajdują się pełne informacje o przetwarzaniu danych.
Klauzula krótka i pełna informacja o danych
W wielu miejscach praktyczne jest stosowanie krótkiej klauzuli oraz odesłania do pełnej informacji o przetwarzaniu danych. Krótka klauzula może znajdować się pod formularzem i zawierać najważniejsze informacje, natomiast szerszy opis może być dostępny w polityce prywatności albo osobnym dokumencie.
Takie rozwiązanie pomaga zachować czytelność formularzy. Użytkownik widzi podstawową informację od razu, ale może też przejść do pełnych zasad, jeśli chce poznać szczegóły dotyczące odbiorców danych, okresu przechowywania, praw i kontaktu z administratorem.
Krótka klauzula może zawierać
- nazwę administratora danych,
- cel przetwarzania danych,
- informację o dobrowolności podania danych,
- podstawowe prawa osoby,
- link do pełnej informacji lub polityki prywatności,
- adres kontaktowy w sprawach danych,
- informację o zgodzie, jeśli jest zbierana.
Klauzula RODO a polityka prywatności
Klauzula RODO i polityka prywatności są ze sobą powiązane, ale nie zawsze oznaczają to samo. Klauzula jest zwykle konkretną informacją przekazywaną osobie w określonej sytuacji, na przykład przy formularzu albo rekrutacji. Polityka prywatności to szerszy dokument opisujący przetwarzanie danych na stronie lub w firmie.
Dobrze jest zadbać o spójność obu dokumentów. Jeżeli klauzula pod formularzem mówi o celu kontaktowym, polityka prywatności powinna rozwijać ten temat. Jeżeli sklep korzysta z operatora płatności, systemu mailingowego albo narzędzi analitycznych, informacje te powinny być ujęte w odpowiednim miejscu.
Różnica w praktyce
- klauzula RODO dotyczy konkretnej sytuacji,
- polityka prywatności opisuje szersze zasady,
- klauzula może odsyłać do polityki prywatności,
- oba dokumenty powinny być spójne,
- klauzula powinna być dostępna w miejscu zbierania danych,
- polityka prywatności może obejmować wiele procesów i narzędzi.
Przekazywanie danych poza Europejski Obszar Gospodarczy
Jeżeli administrator korzysta z narzędzi, które mogą wiązać się z przekazywaniem danych poza Europejski Obszar Gospodarczy, warto uwzględnić to w informacji dla użytkownika. Może dotyczyć to niektórych systemów mailingowych, chmurowych, analitycznych, reklamowych, hostingowych albo narzędzi do obsługi klienta.
W klauzuli lub pełnej polityce prywatności warto wskazać, czy dane mogą być przekazywane poza ten obszar i jakie zabezpieczenia są stosowane. Nie każda firma będzie miała taki proces, dlatego nie należy wpisywać tej informacji automatycznie bez sprawdzenia używanych narzędzi.
Przy transferach danych warto sprawdzić
- z jakich narzędzi korzysta administrator,
- gdzie znajdują się serwery dostawców,
- czy dostawcy korzystają z dalszych podwykonawców,
- czy dane mogą trafiać poza Europejski Obszar Gospodarczy,
- jakie zabezpieczenia deklaruje dostawca,
- czy użytkownik powinien zostać o tym poinformowany,
- czy informacja jest spójna z polityką prywatności.
Automatyczne decyzje i profilowanie
Jeżeli dane są wykorzystywane do automatycznego podejmowania decyzji albo profilowania, klauzula powinna informować o takim procesie w zrozumiały sposób. Nie każda analiza zachowania użytkownika oznacza automatyczną decyzję, ale jeśli system wpływa na ważne skutki wobec osoby, warto zachować szczególną ostrożność.
W prostych formularzach kontaktowych zwykle nie ma potrzeby opisywania skomplikowanego profilowania, jeśli nie jest ono prowadzone. Jeżeli jednak firma używa narzędzi reklamowych, scoringowych, personalizacyjnych albo automatycznych systemów decyzyjnych, należy przeanalizować, czy i jak informować o tym użytkowników.
W tym zakresie warto ustalić
- czy dane są wykorzystywane do automatycznych decyzji,
- czy prowadzone jest profilowanie,
- jaki jest cel takiego działania,
- czy ma ono istotny wpływ na osobę,
- czy użytkownik może wnieść sprzeciw,
- czy informacja jest zrozumiała,
- czy proces rzeczywiście występuje w danej firmie.
Najczęstsze błędy w klauzuli RODO
Jednym z najczęstszych błędów jest kopiowanie klauzuli z innej strony bez dopasowania jej do własnej działalności. Taki tekst może zawierać nieprawdziwe informacje o celach, odbiorcach danych, czasie przechowywania albo narzędziach, których firma wcale nie używa.
Drugim problemem jest zbyt ogólny język. Klauzula powinna być zrozumiała dla osoby, która ją czyta. Jeżeli tekst jest bardzo długi, skomplikowany i pełen niejasnych sformułowań, może nie spełniać swojej praktycznej funkcji.
Częstym błędem jest również traktowanie zgody jako podstawy każdego przetwarzania danych. W wielu sytuacjach dane są przetwarzane dlatego, że trzeba wykonać umowę, odpowiedzieć na zapytanie, spełnić obowiązek dokumentacyjny albo zabezpieczyć roszczenia. Podstawa powinna być dopasowana do konkretnego celu.
Błędy, których warto unikać
- kopiowanie klauzuli bez dopasowania do własnej działalności,
- brak wskazania administratora danych,
- niejasny cel przetwarzania,
- błędna albo automatycznie wpisana podstawa przetwarzania,
- brak informacji o odbiorcach danych,
- brak okresu przechowywania danych,
- brak informacji o prawach osoby,
- zbyt skomplikowany język,
- niespójność klauzuli z polityką prywatności i rzeczywistymi procesami.
Jak przygotować klauzulę RODO krok po kroku?
Przygotowanie klauzuli warto rozpocząć od ustalenia, gdzie i po co dane są zbierane. Inna klauzula będzie potrzebna przy formularzu kontaktowym, inna przy newsletterze, a inna przy rekrutacji. Dopiero po opisaniu procesu można przygotować tekst, który będzie odpowiadał rzeczywistej sytuacji.
Następnie należy wskazać administratora, cele, podstawy, zakres danych, odbiorców, okres przechowywania i prawa osoby. Warto też sprawdzić, czy dane są przekazywane zewnętrznym dostawcom, czy występuje profilowanie oraz czy potrzebny jest link do pełnej polityki prywatności.
Praktyczna kolejność przygotowania
- Ustalenie, w jakim miejscu dane są zbierane.
- Określenie celu przetwarzania danych.
- Wskazanie administratora danych.
- Ustalenie podstawy przetwarzania dla każdego celu.
- Opisanie zakresu zbieranych danych.
- Wskazanie odbiorców albo kategorii odbiorców danych.
- Określenie okresu przechowywania danych.
- Dodanie informacji o prawach osoby.
- Ustalenie, czy podanie danych jest dobrowolne czy konieczne.
- Sprawdzenie spójności klauzuli z polityką prywatności i formularzem.
Elementy, które warto sprawdzić przed publikacją klauzuli
Przed opublikowaniem klauzuli warto upewnić się, że tekst odpowiada rzeczywistym procesom. Jeżeli firma nie wysyła newslettera, nie należy wpisywać informacji o newsletterze. Jeżeli nie przekazuje danych kurierom, nie trzeba sztucznie dodawać takiego odbiorcy. Klauzula powinna opisywać to, co faktycznie się dzieje.
Warto również sprawdzić, czy tekst jest zrozumiały i widoczny dla użytkownika. Klauzula nie powinna być ukryta w miejscu, do którego użytkownik nie ma realnego dostępu przed wysłaniem formularza albo przekazaniem danych.
Najważniejsze elementy końcowej weryfikacji
- poprawna nazwa administratora danych,
- jasny cel przetwarzania danych,
- dopasowana podstawa przetwarzania,
- rzeczywisty zakres danych,
- prawidłowo opisani odbiorcy danych,
- realny okres przechowywania danych,
- informacja o prawach osoby,
- informacja o dobrowolności lub konieczności podania danych,
- spójność z formularzem, regulaminem i polityką prywatności.
Dlaczego dobrze przygotowana klauzula RODO jest ważna?
Dobrze przygotowana klauzula RODO pomaga budować zaufanie i pokazuje, że administrator traktuje dane osobowe w sposób uporządkowany. Osoba przekazująca dane wie, kto je przetwarza, po co są potrzebne, jak długo będą przechowywane i jakie ma prawa.
Najważniejsze jest to, aby klauzula była konkretna, zrozumiała i dopasowana do sytuacji. Powinna zawierać informację o administratorze, celu przetwarzania, podstawie, odbiorcach danych, okresie przechowywania, prawach osoby, dobrowolności podania danych oraz sposobie kontaktu.
Klauzula RODO nie powinna być przypadkowym tekstem skopiowanym z internetu. Każdy formularz, proces rekrutacyjny, newsletter, sklep internetowy albo umowa mogą wymagać nieco innego zakresu informacji. Starannie przygotowany dokument pomaga uniknąć niejasności i ułatwia osobom zrozumienie, co dzieje się z ich danymi.