Obowiązek informacyjny — klauzula informacyjna w praktyce

Po co RODO wprowadziło ten obowiązek

Pierwsza zasada przetwarzania danych z art. 5 ust. 1 lit. a RODO brzmi: zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Obowiązek informacyjny jest praktycznym wykonaniem tej zasady. Motyw 39 mówi wprost, że osoba powinna wiedzieć, że jej dane są zbierane i wykorzystywane, przez kogo, w jakim celu i jakie ryzyko się z tym wiąże — a motyw 60, że rzetelne i przejrzyste przetwarzanie wymaga poinformowania jej o tym.

Powód jest prosty: między administratorem a osobą istnieje nierównowaga wiedzy. Urząd, pracodawca czy sklep wie, co robi z danymi; osoba — nie. Bez tej wiedzy wszystkie pozostałe uprawnienia z RODO są martwe, bo nie da się zażądać dostępu do danych, o których przetwarzaniu się nie wie, ani wnieść sprzeciwu wobec celu, którego nikt nie ujawnił.

Dlatego naruszenie obowiązku informacyjnego RODO zalicza do naruszeń praw osób (art. 12–22) i objęło je wyższym progiem administracyjnych kar pieniężnych z art. 83 ust. 5 — tym samym co naruszenie podstawowych zasad przetwarzania.

Co z tego ma osoba, której dane dotyczą

Z perspektywy osoby klauzula odpowiada na pięć pytań, od których zależy, czy i jak może zareagować:

Piąte pytanie dotyczy tego, gdzie się poskarżyć. Klauzula wskazuje inspektora ochrony danych, jeżeli go wyznaczono, oraz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Art. 13 czy art. 14

RODO rozróżnia dwie sytuacje i od tego rozróżnienia zależy zarówno treść, jak i termin:

Ta sama osoba bywa obsługiwana według obu przepisów. Pracownik kontrahenta wskazany w umowie jako osoba do kontaktu nie podał swoich danych administratorowi sam — podał je jego pracodawca. To sytuacja z art. 14, choć w umowie z tym samym kontrahentem sygnatariusz-przedsiębiorca jest obsługiwany według art. 13.

Kiedy osoba musi otrzymać klauzulę

Moment przekazania informacji jest częścią obowiązku, a nie szczegółem wykonania. Klauzula doręczona po miesiącu tam, gdzie należało ją podać od razu, nie wykonuje art. 13:

• Dane zebrane od osoby (art. 13 ust. 1) — podczas pozyskiwania danych: na formularzu, w ogłoszeniu o naborze, przy wejściu do strefy monitorowanej, w automatycznej odpowiedzi na pierwszy e-mail.
• Dane z innego źródła (art. 14 ust. 3) — w rozsądnym terminie, najpóźniej w ciągu miesiąca od pozyskania; jeżeli dane służą do kontaktu z osobą — najpóźniej przy pierwszym kontakcie; jeżeli mają zostać ujawnione innemu odbiorcy — najpóźniej przy pierwszym ujawnieniu.
• Nowy cel (art. 13 ust. 3 i art. 14 ust. 4) — przed rozpoczęciem przetwarzania w innym celu niż ten, w którym dane zebrano. Dane klientów, które mają zacząć służyć do marketingu, wymagają nowej informacji, zanim wyjdzie pierwsza wiadomość.
• Zmiana treści klauzuli — gdy zmienia się element istotny dla osoby (nowy odbiorca, przekazanie poza EOG, dłuższy okres przechowywania), osoby, których to dotyczy, powinny się o tym dowiedzieć, a nie odkryć to w nowej wersji dokumentu na stronie.

Wyjątki są wąskie. Z art. 13 zwalnia wyłącznie sytuacja, w której osoba już dysponuje tymi informacjami (ust. 4). Art. 14 ust. 5 dodaje przypadki, gdy przekazanie informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, gdy pozyskiwanie danych jest wprost uregulowane przepisem przewidującym środki ochrony osoby oraz gdy dane objęte są tajemnicą zawodową. Na wyjątek trzeba umieć się powołać — z uzasadnieniem, a nie z wygody.

Rodzaje klauzul i kiedy je stosować

Przepisy nie narzucają formy — art. 12 ust. 1 wymaga jedynie, by informacja była zwięzła, przejrzysta, zrozumiała, łatwo dostępna i podana jasnym, prostym językiem. W praktyce wykształciło się kilka rodzajów klauzul:

Niezależnie od formy klauzule dzieli się tematycznie — według czynności przetwarzania, a nie według dokumentu, na którym się znajdą. Typowy zestaw w organizacji obejmuje klauzule dla kandydatów do pracy, pracowników, kontrahentów, osób korespondujących i interesantów, monitoringu wizyjnego, strony internetowej, profilu w mediach społecznościowych oraz osób wyrażających zgodę (np. na publikację wizerunku). Każda z nich ma inne cele, inne podstawy i — co najważniejsze — inny katalog praw.

Klauzulę monitoringu warto podać jako przykład warstwowości: znak przy wejściu jest pierwszą warstwą (administrator, cel, kontakt, informacja, gdzie jest pełna treść), a pełna klauzula wisi w recepcji lub na stronie internetowej. W miejscu pracy kodeks pracy wymaga dodatkowo uprzedniego poinformowania pracowników i oznakowania monitorowanych pomieszczeń.

Co musi zawierać klauzula

Katalog jest zamknięty w art. 13 ust. 1 i 2 oraz art. 14 ust. 1 i 2. Klauzula z art. 13 zawiera:

1. Tożsamość i dane kontaktowe administratora oraz — gdy ma to zastosowanie — jego przedstawiciela.
2. Dane kontaktowe inspektora ochrony danych, jeżeli go wyznaczono.
3. Cele przetwarzania i podstawę prawną — dla każdego celu osobno.
4. Prawnie uzasadnione interesy administratora lub strony trzeciej, jeżeli podstawą jest art. 6 ust. 1 lit. f — konkretnie nazwane, a nie samo powołanie przepisu.
5. Odbiorców danych lub kategorie odbiorców.
6. Zamiar przekazania danych do państwa trzeciego lub organizacji międzynarodowej i podstawę tego przekazania.
7. Okres przechowywania, a gdy nie da się go określić — kryteria jego ustalenia.
8. Przysługujące prawa: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie — w zakresie, w jakim przysługują.
9. Prawo do wycofania zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie.
10. Prawo wniesienia skargi do Prezesa UODO.
11. Informację, czy podanie danych jest wymogiem ustawowym lub umownym albo warunkiem zawarcia umowy, czy osoba jest zobowiązana je podać i jakie są konsekwencje niepodania.
12. Informację o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu — a jeżeli występuje, także o zasadach i skutkach.

Klauzula z art. 14 zawiera te same elementy z dwiema różnicami: dochodzą kategorie danych i źródło ich pochodzenia (w tym informacja, czy pochodzą ze źródeł publicznie dostępnych), a odpada informacja o obowiązku podania danych — skoro nie podała ich sama osoba.

Najlepszym źródłem treści klauzuli jest rejestr czynności przetwarzania: cele, kategorie danych, odbiorcy, przekazywanie poza EOG i okresy przechowywania stoją tam już opisane. Klauzula niezgodna z rejestrem to sygnał, że jedno z dwojga opisuje przetwarzanie, którego w organizacji nie ma.

Przykładowa klauzula

Poniżej klauzula dla kandydatów do pracy w spółce prawa handlowego — przykład klauzuli tematycznej z art. 13, z dwiema podstawami prawnymi w jednym procesie. Nazwę i dane kontaktowe trzeba zastąpić własnymi, a okresy przechowywania i odbiorców sprawdzić z praktyką organizacji; przy naborze w jednostce samorządowej podstawy uzupełnia się o przepisy ustawy o pracownikach samorządowych.

Warto zwrócić uwagę na punkt 6. Klauzula nie wymienia prawa sprzeciwu, bo przysługuje ono tylko wobec przetwarzania opartego na art. 6 ust. 1 lit. e albo f, a tu podstawami są przepis prawa i zgoda. Prawo do przenoszenia danych jest z kolei ograniczone do danych przetwarzanych na podstawie zgody. Klauzula, która obiecuje osobie wszystkie prawa z RODO naraz, jest nieprawdziwa — tak samo jak klauzula, która któreś przemilcza.

Pięć częstych błędów

1. „Wyrażam zgodę na klauzulę”. Klauzula jest informacją, nie oświadczeniem woli. Podpis pod nią może dokumentować przekazanie informacji, ale dopisanie „wyrażam zgodę” myli dwie instytucje i sugeruje osobie, że bez zgody nie będzie obsłużona.
2. Jedna klauzula do wszystkiego. Wspólny tekst dla kandydatów, klientów i monitoringu zmusza osobę do szukania zdania o sobie i zwykle kończy się katalogiem praw, który dla części celów jest nieprawdziwy.
3. Okres „do odwołania” albo „zgodnie z przepisami”. Art. 13 wymaga okresu albo kryteriów jego ustalenia. Odesłanie do „przepisów” bez wskazania, których, nie mówi osobie nic.
4. Pominięcie art. 14. Organizacje pamiętają o klauzuli na formularzu, ale zapominają o osobach, których dane przychodzą od kogoś innego — osobach kontaktowych kontrahentów, pełnomocnikach, członkach rodziny wskazanych we wnioskach.
5. Klauzula, której nie da się znaleźć. Tekst w stopce strony, do której osoba wypełniająca papierowy wniosek nigdy nie zajrzy, albo plik PDF bez odnośnika przy formularzu, nie jest informacją przekazaną „podczas pozyskiwania danych”.

Najczęstsze pytania

W praktyce

Jak obowiązek informacyjny wykonuje się w SZODO

SZODO nie jest generatorem klauzul do wszystkiego — i świadomie nim nie jest, bo klauzula opisuje konkretne przetwarzanie konkretnego administratora. Klauzula powstaje natomiast tam, gdzie aplikacja sama zbiera dane albo pisze do osoby:

• Rejestr zgód — druk oświadczenia zgody ma klauzulę z art. 13 nad miejscem na podpis, a potwierdzenie przyjęcia wycofania zgody — własną, z innym katalogiem praw. Obie da się też wydrukować osobno.
• Rejestr żądań — pisma do osoby korzystającej z praw zawierają klauzulę dotyczącą rozpatrzenia jej sprawy.
• Test równowagi — dokument testu zawiera treść informacji o prawnie uzasadnionym interesie z art. 13 ust. 1 lit. d, gotową do przeniesienia do klauzuli tej czynności.

Elementy wspólne — administrator, inspektor, skarga do Prezesa UODO — pochodzą z jednego miejsca, więc są identyczne we wszystkich dokumentach. Trzy elementy, których aplikacja nie ma skąd wyprowadzić — kategorie odbiorców, przekazywanie poza EOG i zautomatyzowane decyzje — wpisuje się przy administratorze danych, a teksty domyślne są pokazane wprost na ekranie, żeby nikt nie podpisał się pod zdaniem, które go nie dotyczy.

Własne klauzule tematyczne przechowuje się w szafie na dokumenty z kategorią, statusem aktualności i terminem przeglądu — tak, żeby po zmianie odbiorcy albo okresu przechowywania w rejestrze czynności było widać, którą klauzulę trzeba poprawić.