Klauzula informacyjna RODO ma pozwolić osobie zrozumieć, kto przetwarza jej dane, dlaczego i jak może korzystać ze swoich praw. Nie jest zgodą ani oświadczeniem, że osoba zrzeka się ochrony. Dobrze przygotowany wzór pomaga uporządkować informacje, ale wymaga dopasowania do konkretnego procesu: rekrutacji, zatrudnienia, zamówienia, monitoringu albo kontaktu przez formularz.
Poniższe przykłady pokazują wspólną strukturę i elementy właściwe dla poszczególnych sytuacji. Fragmenty w ramkach należy uzupełnić i połączyć z pozostałymi wymaganymi informacjami. Nie są kompletnymi klauzulami do publikacji bez sprawdzenia działalności administratora. Dla całej strony internetowej właściwym uzupełnieniem będzie wzór polityki prywatności.
Art. 13 czy art. 14: najpierw sprawdź źródło danych
Art. 13 stosuje się do danych zebranych od osoby, której dotyczą. Informację przekazuje się przy ich pozyskiwaniu, na przykład przed wysłaniem formularza albo przy przyjęciu dokumentów. Nie czekaj do odpowiedzi na zapytanie, jeżeli dane zostały już wcześniej zebrane. Sprawdź również sytuacje obserwowania osoby, takie jak monitoring, zamiast ograniczać analizę do ręcznego wpisywania danych.
Art. 14 dotyczy danych uzyskanych w inny sposób, na przykład od kontrahenta, z rejestru lub od pośrednika rekrutacyjnego. Poza wspólnymi informacjami trzeba wskazać kategorie danych i źródło ich pochodzenia, w tym to, czy było publicznie dostępne. Sam fakt publikacji danych przedsiębiorcy w rejestrze nie oznacza, że osoba wie o ich późniejszym wykorzystaniu przez inną firmę.
Terminy z art. 14 trzeba rozpatrywać łącznie. Informację przekazuje się w rozsądnym terminie po uzyskaniu danych, najpóźniej w ciągu miesiąca. Jeżeli dane służą kontaktowi z osobą, terminem granicznym jest pierwszy kontakt; jeżeli planowane jest ujawnienie innemu odbiorcy, pierwsze takie ujawnienie. Nie można powoływać się na miesiąc, gdy wcześniejsze zdarzenie już uruchomiło obowiązek przekazania informacji.
Podstawowy zakres i wyjątki wynikają z art. 12–14 RODO, w oficjalnym tekście aktu. Wersje językowe i akty towarzyszące udostępnia także UODO. Rozróżnienie źródła danych jest ważniejsze niż nazwa dokumentu nadana przez firmę.
Co musi znaleźć się w dopasowanej informacji
Podaj tożsamość i dane kontaktowe administratora oraz, gdy ma zastosowanie, przedstawiciela. Dodaj kontakt do inspektora ochrony danych, jeżeli został wyznaczony. Następnie opisz cele i podstawy przetwarzania; przy uzasadnionym interesie wskaż sam interes. Numer artykułu bez wyjaśnienia nie mówi osobie, co organizacja zamierza zrobić z jej danymi. Dobór właściwej przesłanki rozwija przewodnik po podstawach przetwarzania z art. 6 RODO.
Informacja obejmuje odbiorców lub ich kategorie, a w odpowiednich przypadkach zamiar transferu do państwa trzeciego i mechanizm ochrony. Przy usługach zagranicznych pomocna jest analiza transferów danych poza EOG, zanim wpiszesz nazwę zabezpieczenia. Trzeba podać okres przechowywania albo kryteria jego ustalania. W art. 13 dochodzi wyjaśnienie, czy podanie danych jest wymogiem ustawowym lub umownym bądź warunkiem zawarcia umowy, czy osoba jest zobowiązana je podać i jakie będą skutki odmowy.
Opisz prawa osoby, prawo do skargi oraz wycofanie zgody, jeśli na niej opiera się przetwarzanie. Uwzględnij właściwe informacje o zautomatyzowanych decyzjach, w tym profilowaniu, o których mowa w art. 22 ust. 1 i 4: istotne zasady, znaczenie i przewidywane konsekwencje. Nie wpisuj „nie dotyczy” bez sprawdzenia narzędzi wykorzystywanych w procesie.
Przed redakcją porównaj te ustalenia z rejestrem czynności przetwarzania. Oba dokumenty mają inne funkcje i nie wszystkie pola są identyczne, ale nie powinny podawać sprzecznych celów czy odbiorców. Jeżeli zespół nie potrafi ustalić retencji, sama zmiana treści klauzuli nie rozwiązuje problemu organizacyjnego.
Wspólny szkielet do uzupełnienia
Ten szkielet należy rozwinąć dla określonego procesu. Przy podstawach prawnych wybierz rozwiązanie po analizie, zamiast pozostawiać listę wszystkich liter art. 6. Przy transferach i decyzjach automatycznych opisz rzeczywisty stan. Wariant „nie występują” jest właściwy tylko wtedy, gdy został sprawdzony.
Informacja o przetwarzaniu danych w związku z [proces]
Administratorem jest [tożsamość i dane kontaktowe]. [Jeżeli dotyczy: przedstawiciel i kontakt do IOD]. Przetwarzamy dane w celu [cel] na podstawie [przesłanka i uzasadnienie; przy uzasadnionym interesie jego opis]. Odbiorcami są [odbiorcy lub konkretne kategorie].
Dane przechowujemy przez [okres lub kryteria]. [Informacja o transferach poza EOG, decyzji o odpowiedniej ochronie lub stosownych zabezpieczeniach i dostępie do nich]. [Informacja o właściwych decyzjach automatycznych, zasadach, znaczeniu i konsekwencjach].
Możesz skorzystać z [prawa właściwe dla procesu i ich warunki] przez [kontakt]. Masz prawo wnieść skargę do Prezesa UODO. [Przy zgodzie: możliwość wycofania w dowolnym momencie, sposób oraz brak wpływu na zgodność z prawem wcześniejszego przetwarzania].
[Art. 13: charakter wymogu podania danych, obowiązek i skutki niepodania]. [Art. 14: kategorie danych, źródło i jego publiczna dostępność]. Wersja informacji: [data i oznaczenie].
Szkielet celowo nie zawiera uniwersalnego okresu przechowywania ani jednej podstawy dla wszystkich przypadków. Zastąp pola opisem zrozumiałym dla adresata i usuń instrukcje redakcyjne. Jeżeli proces ma kilka celów, powtórz część dotyczącą celu, podstawy i retencji, tak aby osoba mogła powiązać te elementy.
Przykład dla pracownika
Informacja pracownicza powinna rozróżniać prowadzenie dokumentacji, rozliczenia, świadczenia, bezpieczeństwo i ewentualne cele dobrowolne. Dane wymagane przepisami prawa pracy nie stają się dobrowolne przez dołączenie checkboxa. Zgoda nie powinna być stosowana jako ogólna podstawa całej obsługi zatrudnienia. Rozwiń analizę zgodnie z przewodnikiem o danych pracowników.
Nie wpisuj automatycznie, że wszystkie dane pracownika będą przechowywane przez dziesięć lat. Art. 94 pkt 9b Kodeksu pracy zawiera regułę dla dokumentacji pracowniczej z określonym sposobem liczenia i zastrzeżeniem odrębnych przepisów. Znaczenie mają także przepisy przejściowe i rodzaj dokumentacji. Dane z korespondencji, kontroli dostępu czy zgód na publikację wizerunku wymagają osobnego przyporządkowania.
Fragment pracowniczy – połącz ze szkieletem
Dane [zakres] wykorzystujemy do [konkretne obowiązki związane z zatrudnieniem], na podstawie art. 6 ust. 1 lit. c RODO w związku z [właściwe przepisy]. Ich podanie jest wymagane w zakresie [zakres obowiązku]. Dokumentację [rodzaj] przechowujemy przez [właściwy okres i sposób liczenia]. Odrębne zasady dotyczą [inne cele i odsyłacz].
Sprawdź, czy klauzula dociera również do osób bez dostępu do intranetu. Przekazanie dokumentu przy zatrudnieniu może być odpowiednie dla opisanych wtedy czynności, ale nie zwalnia z informacji o późniejszym nowym celu. Jeżeli dane rodziny pracownika pochodzą od niego, oceń odrębnie art. 14, właściwe wyjątki i sposób poinformowania tych osób.
Aktualny tekst jednolity Kodeksu pracy ogłoszony we wrześniu 2026 r. pozwala zweryfikować zakres danych i przepisy szczególne. Nie utożsamiaj daty publikacji tekstu jednolitego z datą powstania każdego obowiązku; konsolidacja porządkuje także regulacje obowiązujące wcześniej.
Przykład dla kandydata do pracy
Oddziel dane, których pracodawca może żądać na podstawie art. 22¹ Kodeksu pracy, od dodatkowych informacji przekazywanych dobrowolnie. Nie wymagaj ogólnej zgody na każdą rekrutację, jeżeli odpowiednia podstawa wynika z przepisów. Jednocześnie samo przesłanie CV nie uprawnia do przechowywania go bez końca na potrzeby dowolnych przyszłych naborów.
Art. 22¹a reguluje zgodę na określone dodatkowe dane, z wyłączeniem danych z art. 10 RODO. Dla szczególnych kategorii art. 22¹b wymaga, aby przekazanie następowało z inicjatywy kandydata lub pracownika, gdy podstawą ma być zgoda. Nie wprowadzaj więc obowiązkowego pola dotyczącego zdrowia, a potem nie próbuj uzasadnić go zgodą. Brak zgody lub jej wycofanie nie może powodować negatywnych konsekwencji przewidzianych w tych przepisach.
Fragment rekrutacyjny – połącz ze szkieletem
Dane przetwarzamy w celu przeprowadzenia rekrutacji na stanowisko [stanowisko]. Dla danych wymaganych przepisami podstawą jest [właściwa przesłanka i przepisy]. Dodatkowe dane [zakres] przetwarzamy na podstawie [ustalona podstawa]. Dokumenty z tego naboru przechowujemy [okres lub kryteria]. Udział w przyszłych rekrutacjach wymaga odrębnego ustalenia zakresu i podstawy.
Jeżeli chcesz zbierać zgodę na przyszłe nabory, przygotuj osobną decyzję z określonym zakresem i czasem, a nie ukrytą część obowiązkowej klauzuli. Pomocny jest wzór zgody na przetwarzanie danych. Gdy CV pochodzi od agencji, ustal role i źródło danych; nie zakładaj, że każda informacja przekazana przez agencję zwalnia twoją firmę z obowiązku informacyjnego.
Przykład dla klienta lub kontaktu u kontrahenta
Dla klienta będącego osobą fizyczną art. 6 ust. 1 lit. b może obejmować dane niezbędne do zawarcia i wykonania umowy z tą osobą. Podstawa nie obejmuje automatycznie reklamowych analiz ani danych przedstawicieli spółki tylko dlatego, że spółka zawarła umowę. Dane kontaktu służbowego mogą wymagać oceny uzasadnionego interesu i wskazania, jaki interes uzasadnia kontakt.
Rozliczenie sprzedaży i dochodzenie roszczeń to odrębne cele. Nie opisuj wszystkich informacji o kliencie jako przechowywanych „przez pięć lat zgodnie z prawem podatkowym”. Ustal, które dokumenty objęte są obowiązkiem, jak liczy się termin i jakie dane są niezbędne dla innych celów. Klauzula powinna odpowiadać rzeczywistej polityce przechowywania.
Fragment dla zamówienia osoby fizycznej
Dane [zakres] przetwarzamy w celu przyjęcia i wykonania zamówienia na podstawie art. 6 ust. 1 lit. b RODO, w zakresie niezbędnym do umowy z Tobą. Bez [dane] nie możemy [rzeczywisty skutek]. Cele rozliczeniowe i ewentualne dochodzenie roszczeń opisujemy osobno: [podstawy, zakresy i okresy].
W wariancie dotyczącym przedstawiciela kontrahenta nie kopiuj tego fragmentu bez zmiany. Zbadaj źródło danych i odpowiednią podstawę, a jeżeli jest nią uzasadniony interes, wykonaj test równowagi. Publiczny adres służbowy nie oznacza nieograniczonego uprawnienia do kontaktów marketingowych; wymagania dotyczące takiego kontaktu analizuje się osobno.
Przykład dla monitoringu wizyjnego
Informacja o monitoringu powinna być dostępna przed wejściem w obszar obserwowany. Krótka pierwsza warstwa może wskazywać administratora, cel i miejsce uzyskania pełnej informacji. Pełny dokument musi odpowiadać rzeczywistemu zasięgowi kamer, retencji, odbiorcom i podstawie. Tabliczka nie legalizuje kamery, której instalacja nie spełnia warunków prawa.
W monitoringu pracowniczym art. 22² Kodeksu pracy określa cele i warunki szczególne. Nagrania przechowuje się co do zasady nie dłużej niż trzy miesiące od nagrania. Jeżeli stanowią dowód w postępowaniu prowadzonym na podstawie prawa albo pracodawca dowiedział się, że mogą nim być, termin przedłuża się do prawomocnego zakończenia postępowania. Nie jest to ogólny, obowiązkowy okres dla każdej kamery w Polsce.
Pierwsza warstwa informacji – przykład do dostosowania
Teren [obszar] jest objęty monitoringiem w celu [konkretny cel]. Administratorem jest [nazwa i kontakt]. Nagrania przechowujemy [okres lub kryterium; informacja o właściwym wyjątku]. Pełna informacja o podstawie, odbiorcach i prawach jest dostępna [łatwo dostępne miejsce lub adres].
Przygotuj również pełną drugą warstwę i spełnij odrębne wymogi poinformowania pracowników wynikające z Kodeksu pracy. Sam kod QR może być niewystarczający dla osoby bez telefonu; zapewnij praktyczny sposób zapoznania się z treścią. Wybierz okres krótszy od ustawowego maksimum, jeżeli wystarcza do uzasadnionego celu. Maksimum nie jest nakazem przechowywania każdego nagrania aż do jego upływu.
Przykład dla formularza kontaktowego
Cel formularza wynika z jego funkcji. Zapytanie o ofertę przed zawarciem umowy z osobą może podlegać innej podstawie niż ogólna korespondencja reprezentanta spółki. Nie wybieraj zgody wyłącznie dlatego, że formularz łatwo pozwala dodać checkbox. Odsyłacz do informacji i przycisk wysłania wiadomości mogą realizować odrębne funkcje bez wymuszania zgody na wszystkie cele.
Krótka pierwsza warstwa pod formularzem
Administratorem danych jest [nazwa]. Dane z formularza wykorzystamy do [cel]. Podanie [zakres] jest [charakter wymogu], a bez niego [skutek]. Pełną informację o podstawie, przechowywaniu, odbiorcach i Twoich prawach znajdziesz w [bezpośredni odsyłacz do właściwej informacji].
Ten fragment nie zastępuje całej klauzuli. Odsyłacz powinien prowadzić do konkretnego opisu, który jest dostępny przed wysłaniem danych. Jeśli formularz służy również zapisowi na newsletter, oddziel tę decyzję. Nie używaj treści pytania do reklamy bez ustalenia właściwej podstawy i spełnienia wymagań dotyczących kontaktu marketingowego.
Wyjątki od informowania wymagają uzasadnienia
Art. 13 ust. 4 ogranicza obowiązek w zakresie, w jakim osoba już dysponuje informacjami. To nie to samo co założenie, że każdy zna RODO. Administrator powinien umieć wskazać, jakie informacje osoba otrzymała wcześniej i dlaczego nadal odpowiadają przetwarzaniu. Nowy cel wymaga oceny obowiązku informowania przed dalszym wykorzystaniem danych.
Art. 14 ust. 5 przewiduje odrębne wyjątki: posiadanie informacji przez osobę; niemożliwość, niewspółmierny wysiłek lub określone poważne utrudnienie realizacji celów, przy wymaganych zabezpieczeniach; pozyskanie lub ujawnianie wyraźnie uregulowane prawem zapewniającym odpowiednią ochronę; a także tajemnicę zawodową uregulowaną prawem. Przesłanki mają własne warunki. Przy wyjątku dotyczącym niemożliwości lub niewspółmiernego wysiłku trzeba podjąć odpowiednie środki ochrony, w tym publicznie udostępnić informacje.
Nie wystarczy stwierdzić, że wysyłka listów jest kosztowna. W komunikacie UODO z 20 września 2023 r. dotyczącym Bisnode opisano rozstrzygnięcie NSA potwierdzające obowiązek informacyjny w badanym zakresie. Ten sam komunikat wyjaśnia częściowe uchylenie wcześniejszej decyzji, w tym części dotyczącej kary, i potrzebę ponownego rozpatrzenia tego zakresu. Dlatego pierwotnej kwoty nie należy przedstawiać jako bezwarunkowo utrzymanej ostatecznej kary.
Jak wybrać kanał i udokumentować termin
Dobierz sposób przekazania do sytuacji osoby. Kandydat składający dokumenty przez portal powinien mieć dostęp do odpowiedniej informacji w tym procesie. Osoba przekazująca dokument papierowy potrzebuje możliwości zapoznania się z treścią bez zakładania konta. Nie zakładaj, że informacja umieszczona w regulaminie innej usługi została już skutecznie przekazana w nowym kontekście.
Przy kontakcie telefonicznym rozważ warstwowe podanie najważniejszych informacji i dostęp do pełnej treści w sposób odpowiedni dla rozmówcy. Nie wystarczy bardzo szybkie odczytanie długiej formuły, której nie da się zrozumieć. Jeżeli osoba nie korzysta z internetu, sam adres strony może nie zapewnić skutecznego dostępu. Ustal z zespołem, jak udostępnić pełny dokument i jak odnotować jego przekazanie.
Załóżmy, że kontrahent przesyła dane nowej osoby odpowiedzialnej za realizację zamówienia. Firma planuje skontaktować się z nią następnego dnia. Jeśli stosuje się art. 14 i nie zachodzi wyjątek, pierwsza wiadomość powinna już zapewniać wymaganą informację; nie odkładaj tego do końca miesiąca. Jeżeli jeszcze wcześniej dane mają być ujawnione innemu odbiorcy, oceń termin związany z tym ujawnieniem. Zapis daty otrzymania danych pomaga porównać te zdarzenia.
W takim przypadku źródło można opisać konkretnie, wskazując kontrahenta i zakres przekazanych danych. Sformułowanie „dane pochodzą z dostępnych źródeł” byłoby mylące, gdy otrzymano je w korespondencji. Jeśli źródeł jest kilka, przyporządkuj im odpowiednie kategorie. Nie trzeba umieszczać w klauzuli danych innych osób ponad to, co jest potrzebne do rzetelnego wyjaśnienia pochodzenia informacji.
Ustal także, kto reaguje na pytania wynikające z klauzuli. Wniosek o dostęp wymaga odpowiedzi bez zbędnej zwłoki, co do zasady w ciągu miesiąca od otrzymania. Przy złożoności lub liczbie żądań możliwe jest przedłużenie o dwa miesiące, z informacją i uzasadnieniem w pierwszym miesiącu. Gdy administrator nie podejmuje działań, musi podać powody bez zbędnej zwłoki, najpóźniej w miesiąc, oraz poinformować o skardze i możliwości sądowej ochrony prawnej. Nie obiecuj terminu, którego procedura wewnętrzna nie potrafi obsłużyć.
Prawa, język i dowód przekazania
Wskaż prawa w sposób odpowiadający podstawie i rodzajowi danych. Nie każde przetwarzanie daje prawo do przenoszenia, a usunięcie może być ograniczone przez obowiązek prawny. Nie oznacza to, że można pominąć informację o uprawnieniach; trzeba wyjaśnić ich zastosowanie. Dla procedury udostępniania danych pomocna jest instrukcja realizacji prawa dostępu.
Informacja powinna być zwięzła, przejrzysta, zrozumiała i łatwo dostępna. Zamiast przepisywać całą ustawę, połącz cel z podstawą i skutkiem dla osoby. Sprawdź tekst na przykładzie adresata: kandydat powinien odróżnić bieżący nabór od przyszłych rekrutacji, a klient rozpoznać, czy jego dane trafią do samodzielnie działającego odbiorcy.
Zachowuj wersje klauzul i dowód sposobu ich przekazywania, odpowiedni do kanału. Nie ma ogólnego wymogu zebrania podpisu pod każdą informacją. Podpis może dokumentować odbiór, ale nie zmienia informacji w zgodę. W formularzu online przydatna może być wersja interfejsu i historia wdrożenia, zamiast wymuszania dodatkowych oświadczeń bez potrzeby.
Przegląd uruchamiaj przy zmianie celu, odbiorcy, narzędzia lub retencji. To praktyczna metoda utrzymania zgodności, także w małej i średniej firmie. Jeżeli aktualizacja jest potrzebna, ustal sposób dotarcia do właściwych osób. Sama podmiana pliku na stronie nie oznacza automatycznie skutecznego przekazania nowej informacji.
Najczęstsze pytania
Czy jedna klauzula może obejmować kilka celów?
Tak, jeżeli pozostaje czytelna i pozwala połączyć każdy cel z podstawą, zakresem i retencją. Nie łącz różnych procesów w zdaniu „przetwarzamy na podstawie zgody, umowy i prawa”. Uporządkowany dokument może zawierać kilka części, ale adresat musi wiedzieć, która go dotyczy.
Czy mała firma może pominąć obowiązek informacyjny?
Sama wielkość firmy nie daje takiego zwolnienia. Sprawdź zakres RODO i konkretny wyjątek, jeśli rozważasz jego zastosowanie. Nie myl tego z odrębnymi, warunkowymi regułami dotyczącymi rejestru czynności. Odpowiednia informacja jest potrzebna także wtedy, gdy zespół korzysta z prostego formularza i jednej skrzynki pocztowej.
Czy trzeba podać adres siedziby UODO?
Należy poinformować o prawie wniesienia skargi do organu nadzorczego. UODO wyjaśnia, że jego adres nie jest obowiązkowym elementem klauzuli. Jeżeli go zamieszczasz, utrzymuj aktualność. Możesz także wskazać oficjalną stronę z bieżącymi sposobami wniesienia skargi.