Co musi zawierać klauzula informacyjna zgodna z RODO?

Imiona, dane kontaktowe, historie zakupów i informacje o potencjalnych klientach nie zawsze trafiają do firmy tą samą drogą. Część podaje sama osoba, inne dane pochodzą od organizatora wydarzenia, dostawcy albo ze źródła publicznego. Dlatego odpowiedź na pytanie, co musi zawierać klauzula informacyjna RODO, zaczyna się od ustalenia pochodzenia danych. Ono rozstrzyga, czy stosuje się artykuł 13, czy artykuł 14, natomiast artykuł 12 określa sposób przekazania treści.

19 marca 2026 r. EROD rozpoczęła piąte skoordynowane działanie dotyczące egzekwowania prawa. Uczestniczyło w nim 25 organów nadzorczych, a ustalenia były oczekiwane w drugiej połowie 2026 r. Samo rozpoczęcie działania jest powodem do sprawdzenia własnych informacji, nie dowodem na jakikolwiek wynik kontroli ^1,2.

Szybka odpowiedź To, co musi zawierać klauzula informacyjna RODO, zależy od źródła danych i konkretnej czynności. Trzeba podać administratora, cel, podstawę prawną, odbiorców, okres przechowywania, prawa i właściwe informacje dodatkowe. Przy danych pośrednich dochodzą kategorie oraz źródło. Treść musi być jasna, dostępna i przekazana we właściwym czasie ³.

Ostatnia aktualizacja: 22 września 2026 r.

Najpierw ustal pochodzenie danych

Najpewniejszym początkiem nie jest redagowanie uniwersalnego akapitu, lecz wybór jednej rzeczywistej czynności przetwarzania. Trzeba nazwać dane, źródło, cel i odbiorców. Dopiero taki obraz pozwala dobrać właściwą gałąź obowiązku. Artykuł 13 stosuje się przy zbieraniu danych od osoby, artykuł 14 przy pozyskaniu ich z innego źródła, a artykuł 12 obejmuje obie sytuacje ³.

W praktyce firma może zebrać adres e-mail w formularzu zapisu, a później uzupełnić rekord o stanowisko z listy uczestników targów. Nie jest to już jedna prosta droga. Formularz uruchamia obowiązek bezpośredni, natomiast import i dopasowanie listy tworzą część pośrednią. Osoba powinna zrozumieć oba źródła oraz to, do czego służy każde z nich.

Szeroka nazwa „marketing” nie naprawia tej różnicy. Może przykryć osobne cele, odbiorców i terminy, przez co dokument wygląda na kompletny, ale nie wyjaśnia faktycznej czynności. Dobra mapa zaczyna się więc od pojedynczego procesu, a dopiero potem pokazuje, które informacje można bezpiecznie współdzielić z innymi procesami.

Warto zapisać wynik w jednym wierszu rejestru czynności: „adres z formularza”, „rola z listy wydarzenia”, „kontakt dotyczący określonej usługi” i „dostawca wysyłki”. Taki poziom szczegółu nie jest dodatkową biurokracją. Ujawnia, że jedna osoba może wymagać dwóch momentów informacyjnych, mimo że na końcu widnieje w jednym systemie CRM.

Artykuł 12 wyznacza standard przekazania

Kompletna treść nie wystarczy, jeżeli osoba nie może jej znaleźć albo zrozumieć. Informacje mają być zwięzłe, przejrzyste, zrozumiałe, łatwo dostępne oraz zapisane jasnym i prostym językiem. Zwykle przekazuje się je na piśmie, również elektronicznie ³. Te cechy należy oceniać z perspektywy odbiorcy, a nie osoby, która zna system i redagowała dokument.

Przyjazna etykieta typu „dbamy o prywatność” nie zastępuje wskazania celu, podstawy prawnej czy odbiorców. Z drugiej strony lista formalnych zwrotów bez przykładów może być prawnie obszerna, lecz praktycznie nieczytelna. Test polega na tym, czy nowy klient potrafi po jednym przeczytaniu powiedzieć, kto używa jego danych, po co, jak długo i co może z tym zrobić.

Dowód przekazania łączy cztery elementy: treść, kanał, wersję i zdarzenie uruchamiające obowiązek. Dla formularza może to być wersja strony pokazana przed wysłaniem. Dla pierwszej wiadomości do osoby z listy wydarzenia będzie to wersja informacji dołączona do konkretnej wysyłki. Sam zapis daty zatwierdzenia dokumentu nie mówi, co zobaczył odbiorca.

Trzeba też przejść rzeczywistą drogę użytkownika. Łącze powinno działać bez logowania i prowadzić do właściwej wersji, a wskazany adres lub formularz kontaktowy musi odbierać zgłoszenia. Organizacja powinna umieć odtworzyć ten test. Standaryzowane ikony mogą wspierać orientację, ale nie zastępują informacji wymaganych przez RODO.

Test powinien obejmować również mniej wygodny kanał. Jeżeli informacje są poprawne na stronie, ale papierowy formularz w punkcie sprzedaży odsyła do nieistniejącego adresu, obowiązek nie został wykonany w tej drodze. Dlatego dowód należy przypisać do kanału i zdarzenia, a nie wyłącznie do zatwierdzonego pliku głównego.

Zbieranie bezpośrednie wymaga informacji w chwili pozyskania

Gdy osoba sama wpisuje dane, właściwy moment jest prosty: informacje przekazuje się podczas ich uzyskiwania ³. Formularz sprzedażowy, rejestracja konta i papierowa karta zgłoszenia mogą mieć różne kanały, ale nie zmieniają momentu obowiązku. Każda wersja powinna obejmować pola mające zastosowanie do tej czynności:

• tożsamość i dane kontaktowe administratora oraz, gdy ma to zastosowanie, jego przedstawiciela;
• dane kontaktowe inspektora ochrony danych, jeżeli został wyznaczony;
• cele przetwarzania oraz odpowiadające im podstawy prawne;
• prawnie uzasadnione interesy administratora lub strony trzeciej, gdy na nich opiera się przetwarzanie;
• odbiorców danych osobowych lub ich kategorie;
• zamiar przekazania danych poza właściwy obszar oraz odpowiednie zabezpieczenia;
• okres przechowywania albo, gdy nie da się go podać, kryteria jego ustalania;
• prawa osoby, w tym dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw i przenoszenie, gdy mają zastosowanie;
• prawo do wycofania zgody bez wpływu na wcześniejszą zgodność przetwarzania z prawem;
• prawo wniesienia skargi do właściwego krajowego organu nadzorczego;
• informację, czy podanie danych jest wymogiem ustawowym lub umownym, czy jest konieczne do zawarcia umowy, oraz skutki niepodania;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, oraz wymagane wiadomości o zasadach i przewidywanych skutkach.

Nie każde pole będzie dotyczyło każdej czynności. Brak zastosowania powinien jednak wynikać z zapisu oceny, a nie z przeoczenia. Jeżeli nie występuje transfer ani zautomatyzowana decyzja, rejestr może krótko pokazać, kto to sprawdził i na jakiej podstawie. Kryterium przechowywania powinno pozwalać rozpoznać zdarzenie końcowe, zamiast używać pustej formuły „tak długo, jak będzie to konieczne” ³.

Jeżeli administrator zamierza później przetwarzać dane w innym celu, informacje o tym dalszym celu i istotne elementy trzeba przekazać przed rozpoczęciem nowego przetwarzania ³. Wyjątek z artykułu 13 jest jeden: obowiązek nie działa w zakresie, w jakim osoba już ma dane informacje. Nie wolno przenosić tu wyjątków przewidzianych dla danych pozyskanych pośrednio.

Ocena „osoba już wie” powinna być równie precyzyjna jak pozostałe pola. Jeżeli wcześniejsza informacja obejmowała sprzedaż, ale nie nową analizę zachowania, wyjątek nie rozciąga się na nowy cel. Rejestr powinien wskazać wcześniejszą wersję, elementy rzeczywiście znane osobie oraz wszystko, co nadal wymaga przekazania.

Przy danych pośrednich trzeba nazwać kategorie i źródło

Pozyskanie danych z zewnątrz nie zmniejsza zakresu informacji. Artykuł 14 powtarza wspólny rdzeń obejmujący administratora, cele, podstawy, odbiorców, transfery, przechowywanie i prawa. Dodaje jednak kategorie danych oraz rzeczywiste źródło, w tym wiadomość, czy było ono publicznie dostępne ³. Określenie „od stron trzecich” nie pozwala osobie zrozumieć, skąd organizacja zna jej dane.

Przykładowo firma otrzymuje od organizatora wydarzenia listę osób, ich służbowe adresy, role i wybrane zainteresowania. Następnie dopasowuje rekordy do własnej bazy, aby prowadzić konkretnie opisany kontakt dotyczący usługi. Informacja powinna wskazać organizatora lub wydarzenie jako źródło, wymienić kategorie pól oraz wyjaśnić wzbogacenie i cel dopasowania. Sama nazwa dostawcy technicznego nie opisuje pochodzenia.

Łańcuch kontrolny powinien pozostać widoczny: pochodzenie i kategoria prowadzą do celu, cel do właściwego terminu, a termin do dowodu przekazania. Dzięki temu można ustalić, czy pierwsza wiadomość wyszła z prawidłową treścią. Gdy po imporcie pojawia się nowy cel, informacja o nim musi dotrzeć do osoby przed dalszym przetwarzaniem ³.

Rzeczywiste źródło nie musi oznaczać opisywania całej historii technicznej. Osoba potrzebuje nazwy podmiotu lub zdarzenia, z którego dane faktycznie pochodzą, oraz jasnego opisu kategorii. Wewnętrzna mapa może dodatkowo zachować plik importu, dostawcę technicznego i regułę dopasowania. Obie warstwy powinny wskazywać ten sam punkt pochodzenia.

Termin zależy od pierwszego zdarzenia

Przy zbieraniu bezpośrednim informacja jest należna od razu. Przy zbieraniu pośrednim ma zostać przekazana w rozsądnym terminie, najpóźniej w ciągu miesiąca. Jeżeli wcześniej następuje pierwsza komunikacja z osobą albo pierwsze ujawnienie danych innemu odbiorcy, obowiązek przesuwa się na to wcześniejsze zdarzenie ³.

Bez daty przyjęcia organizacja nie wie, kiedy upływa miesiąc. Bez rejestru pierwszego użycia może przeoczyć wcześniejszy kontakt lub ujawnienie. Wersja treści pokazuje natomiast, czy osoba dostała informację odpowiadającą aktualnej czynności, a nie dokument poprawiony później ³.

Partie mieszane wymagają większej dyscypliny. Jeżeli rekordy napływały przez kilka dni, jedna data importu może fałszywie wydłużyć termin dla najstarszych pozycji. Rejestr powinien łączyć rekord albo jednoznacznie wyodrębnioną partię z datą pozyskania, pierwszym użyciem i wersją klauzuli.

Przykładowo plik otrzymany w poniedziałek może zostać scalony z drugim plikiem dopiero w piątek. Piątkowa data operacji nie zastępuje poniedziałkowej daty pozyskania. Jeżeli pierwsza wiadomość wychodzi w środę, to właśnie ona jest wcześniejszym zdarzeniem granicznym. System powinien więc zachować trzy odrębne znaczniki zamiast jednej daty „utworzenia kampanii”.

Wyjątki są wąskie i wymagają własnego zapisu

Zwykłe przekazanie informacji pozostaje regułą. Dla artykułu 13 wyjątek obejmuje wyłącznie zakres, w którym osoba już posiada daną informację. Nie wystarczy przypuszczenie, że „na pewno to wie”. Administrator powinien potrafić wskazać wcześniejszy komunikat i ustalić, które dokładnie elementy pozostają aktualne ³.

Artykuł 14 przewiduje cztery odrębne gałęzie. Pierwsza dotyczy informacji już posiadanych przez osobę. Druga obejmuje sytuacje, gdy przekazanie jest niemożliwe albo wymagałoby niewspółmiernie dużego wysiłku w określonym kontekście, przy zachowaniu właściwych zabezpieczeń. Trzecia dotyczy pozyskania lub ujawnienia wyraźnie przewidzianego prawem Unii albo państwa członkowskiego, które zapewnia środki ochrony. Czwarta obejmuje dane objęte ustawowym obowiązkiem tajemnicy zawodowej ³.

Duża liczba rekordów sama nie tworzy wyjątku. Nie wystarczy też ogólne hasło „zgodność z prawem” ani nieudokumentowane powołanie się na poufność. Ocena musi dotyczyć konkretnej czynności, konkretnych informacji i rzeczywistej przeszkody. Jeżeli przeszkoda obejmuje tylko część obowiązku, pozostałą część trzeba wykonać normalnie.

Dobry zapis wyjątku wskazuje gałąź, zakres, dowody, zabezpieczenia, właściciela decyzji i datę ponownego przeglądu. Dzięki temu wyjątek nie staje się trwałą etykietą przy bazie. Zmiana źródła, sposobu kontaktu lub dostępnych środków może usunąć przesłankę, mimo że sama nazwa procesu pozostała bez zmian.

Przy niewspółmiernym wysiłku zapis powinien pokazać, jakie próby dostarczenia oceniono i dlaczego nie wystarczają. Powinien też wskazać zabezpieczenia zastępcze przewidziane dla tej sytuacji. Sama liczba rekordów nie opisuje ani wysiłku, ani konsekwencji dla osób, a ogólna publikacja informacji nie zawsze odpowiada na brak bezpośredniego kanału.

Jedna czynność ujawnia luki szybciej niż przegląd szablonu

Audyt jednej rzeczywistej czynności jest bardziej użyteczny niż czytanie samej klauzuli. Dla listy uczestników wydarzenia trzeba odtworzyć kolejno źródło, konkretny cel kontaktu, dostawcę wysyłki, kryterium przechowywania, datę pierwszej wiadomości oraz działającą drogę praw i skargi. Pięć pierwszych kontroli ma status „wstrzymaj i napraw”, jeśli brakuje dowodu; tylko kompletna ostatnia droga przechodzi ocenę ³.

Po każdej naprawie trzeba ponownie przejść całą drogę widzianą przez osobę, nie tylko poprawiony wiersz. Tekst może być aktualny w repozytorium, lecz stare łącze w szablonie wiadomości nadal prowadzić do poprzedniej wersji albo skrzynka do realizacji praw nie przyjmować zgłoszeń. Kontrola kończy się dopiero wtedy, gdy źródło, cel, kanał, termin, treść, ogólnie wskazany właściwy krajowy organ nadzorczy i zapis zdarzenia tworzą jeden odtwarzalny przebieg.

Naprawa jednego pola może zmienić inne. Dopisanie odbiorcy wymaga sprawdzenia warstwy skróconej, a nowe kryterium przechowywania może zmienić treść używaną w pierwszej wiadomości. Tabela jest więc kolejką decyzji, nie listą niezależnych pól. Publikacja następuje dopiero po ponownym przejściu całej ścieżki na świeżym rekordzie testowym.

Warstwy pomagają, jeżeli nie chowają właściwej odpowiedzi

Pierwsza warstwa powinna szybko podać administratora, cel, pochodzenie danych, ważne konsekwencje i wyraźną drogę do rozwinięcia. Głębsza warstwa mieści podstawy prawne, odbiorców, transfery, okresy przechowywania, prawa i szczegóły danej czynności ³. Taki układ pomaga na małym ekranie, lecz nie zmniejsza zakresu obowiązku.

Fakt potrzebny podczas wypełniania formularza nie może zostać ukryty kilka kliknięć dalej. To samo dotyczy pierwszego kontaktu pośredniego: osoba powinna od razu rozumieć, skąd firma ma jej dane i dlaczego się odzywa. Warstwa otwierająca nie może być wyłącznie dekoracyjnym nagłówkiem z obietnicą prywatności.

Wszystkie warstwy potrzebują jednego właściciela wersji. W przeciwnym razie krótki komunikat może wymieniać aktualny cel, a pełny dokument zachować dawnych odbiorców lub okres przechowywania. Przed publikacją warto poprosić o test osobę, która nie redagowała tekstu. Jeżeli nie potrafi odnaleźć odpowiedzi bez wskazówek, struktura nie jest jeszcze łatwo dostępna.

Recenzent powinien dostać konkretne pytania, a nie prośbę o ogólne wrażenie. Może wskazać, skąd pochodzą dane, kiedy zostaną usunięte oraz gdzie kieruje się żądanie. Jeżeli odpowiedź wymaga znajomości nazwy rozwijanego menu albo domyślenia się, że ikonę można kliknąć, główna droga nie jest dostatecznie wyraźna.

Dowód musi nadążać za zmianą czynności

Przegląd uruchamia zmiana celu, źródła, kategorii, odbiorcy, transferu, okresu przechowywania, automatyzacji albo sposobu przekazania. Nie trzeba budować rozbudowanego systemu. Kontrolowany folder lub rejestr wystarczy, jeśli łączy czynność, zatwierdzony tekst, wersję, dowód dostarczenia, wyjątki i podpis osoby odpowiedzialnej ³.

Rejestr powinien umożliwiać odtworzenie konkretnego dnia. Jeżeli zmienił się dostawca wysyłki, trzeba wiedzieć, od której wersji pojawił się jako odbiorca. Jeżeli formularz przeniesiono do nowej platformy, trzeba ponownie sprawdzić widoczność informacji i znacznik zdarzenia. Należy też regularnie testować adresy kontaktowe oraz drogę realizacji praw, bo niedziałająca skrzynka unieważnia praktyczny sens poprawnego tekstu.

Prosty cykl przeglądu może korzystać ze zdarzeń, nie z przypadkowej daty w kalendarzu. Właściciel procesu zgłasza zmianę pola, odbiorcy lub narzędzia; właściciel tekstu ustala dotknięte warstwy; osoba wdrażająca zapisuje kanał i wersję; niezależny tester potwierdza przejście. W ten sposób aktualność wynika z procesu, a nie z pamięci autora dokumentu.

Przy przekazaniu zespołu zapis powinien wskazywać nazwę czynności, ostatnią przekazaną wersję, otwarty termin, oczekującą naprawę oraz osobę upoważnioną do wstrzymania użycia. Dzięki temu nowy zespół nie wznowi pracy ze starym źródłem, niewłaściwym odbiorcą ani nieaktualną drogą kontaktu.

• Publikuj: wszystkie pola, momenty i kanały odpowiadają rzeczywistej czynności, a dowód można odtworzyć.
• Wstrzymaj: brakuje podstawy, właściciela decyzji lub dowodu potrzebnego do uzasadnienia zakresu.
• Napraw i przetestuj ponownie: treść, łącze, termin albo droga kontaktu nie zgadzają się z praktyką.

Skuteczna informacja nie jest uniwersalnym akapitem. Jest przypisana do czynności, dobiera gałąź według pochodzenia danych, mówi jasno i dociera na czas. Taki układ pozwala osobie zrozumieć użycie danych, a organizacji wykazać, co rzeczywiście przekazała.