Jeśli zbierasz dane osobowe przez formularz kontaktowy lub zapis do newslettera, masz obowiązek poinformować o tym użytkownika. Wynika to bezpośrednio z RODO i dotyczy każdej strony internetowej, niezależnie od jej wielkości czy branży. Poniżej znajdziesz wyjaśnienie, co powinno znaleźć się w takiej klauzuli i jak poprawnie ją umieścić.
Czym jest obowiązek informacyjny
Obowiązek informacyjny to wymóg wynikający z art. 13 RODO. Nakłada na administratora danych osobowych obowiązek poinformowania osoby, której dane dotyczą, o tym, kto i w jakim celu te dane przetwarza. Dotyczy to każdego momentu, w którym użytkownik podaje swoje dane — czyli m.in. wypełniając formularz kontaktowy lub zapisując się do newslettera.
Obowiązek informacyjny nie jest tym samym co zgoda na przetwarzanie danych. To dwie osobne kwestie. Możesz przetwarzać dane na podstawie prawnie uzasadnionego interesu i nadal musisz poinformować użytkownika o swoich danych, celu i przysługujących mu prawach.
Co musi zawierać klauzula informacyjna
Treść klauzuli powinna obejmować kilka obowiązkowych elementów:
- dane administratora danych osobowych — nazwa firmy, adres, dane kontaktowe;
- cel przetwarzania danych — np. odpowiedź na zapytanie, wysyłka newslettera;
- podstawa prawna przetwarzania — zgoda, umowa, prawnie uzasadniony interes;
- okres przechowywania danych — lub kryteria jego ustalenia;
- prawa osoby, której dane dotyczą — dostęp, sprostowanie, usunięcie, sprzeciw;
- informacja o ewentualnym przekazywaniu danych podmiotom trzecim — np. systemom mailingowym, hostingowi.
Klauzula powinna być napisana zrozumiałym językiem. RODO wprost wymaga, żeby informacje były przekazywane w sposób przejrzysty i łatwy do odczytania — nie w postaci bloku prawniczego tekstu pisanego drobnym drukiem.
Gdzie i jak umieścić klauzulę w formularzu
Klauzula informacyjna powinna być widoczna bezpośrednio przy formularzu — najlepiej pod polami do wypełnienia, przed przyciskiem wysyłania. Użytkownik musi mieć do niej dostęp w momencie podawania danych, a nie dopiero po kliknięciu w link do polityki prywatności.
Dopuszczalne jest zastosowanie skróconej wersji klauzuli z odwołaniem do pełnej treści w polityce prywatności. Taka forma jest praktyczna i szeroko stosowana — ważne, żeby skrócona wersja zawierała co najmniej: kto jest administratorem, w jakim celu przetwarza dane i gdzie można znaleźć pełne informacje.
Przykładowy tekst skróconej klauzuli do formularza kontaktowego
Administratorem Twoich danych osobowych jest [Nazwa firmy] z siedzibą w [Miasto], [ulica, numer], [kod pocztowy]. Dane podane w formularzu będą przetwarzane wyłącznie w celu udzielenia odpowiedzi na Twoje zapytanie, na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO). Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia oraz wniesienia sprzeciwu. Pełna informacja o przetwarzaniu danych dostępna jest w Polityce prywatności.
Obowiązek informacyjny przy zapisie do newslettera
W przypadku newslettera podstawą prawną przetwarzania danych jest zazwyczaj zgoda użytkownika (art. 6 ust. 1 lit. a RODO). Oznacza to, że oprócz klauzuli informacyjnej potrzebujesz również wyraźnego checkboxa z treścią zgody — nie można jej domyślnie zaznaczać ani łączyć z innymi zgodami.
Klauzula przy formularzu zapisu do newslettera powinna dodatkowo wskazywać, jak często będą wysyłane wiadomości i w jaki sposób użytkownik może się wypisać. To nie jest wymagane przez RODO wprost, ale wpływa na jakość relacji z odbiorcą i zmniejsza liczbę zgłoszeń o naruszenie.
Przykładowy tekst skróconej klauzuli do formularza newslettera
Administratorem Twoich danych osobowych jest [Nazwa firmy] z siedzibą w [Miasto], [ulica, numer], [kod pocztowy]. Podany adres e-mail będzie wykorzystywany wyłącznie do wysyłki newslettera, na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO). Możesz w każdej chwili cofnąć zgodę, klikając link rezygnacji w każdej wiadomości. Pełna informacja o przetwarzaniu danych dostępna jest w Polityce prywatności.
Najczęstsze błędy przy wdrożeniu
Klauzula umieszczona tylko w polityce prywatności, bez odniesienia przy formularzu, nie spełnia wymogu informacyjnego. Podobnie samo oznaczenie checkboxa jako „Zgadzam się z polityką prywatności” nie zastępuje klauzuli — użytkownik musi wiedzieć, na co wyraża zgodę, zanim ją wyrazi.
Inny częsty problem to brak aktualizacji klauzuli po zmianie systemu mailingowego lub dostawcy hostingu. Jeśli dane są przekazywane nowemu podmiotowi, a klauzula tego nie odzwierciedla, administrator naraża się na niezgodność z RODO.
Kiedy warto zlecić to specjaliście
Przygotowanie poprawnej klauzuli informacyjnej nie wymaga wiedzy prawniczej w każdym przypadku, ale wdrożenie jej we wszystkich formularzach na stronie — i upewnienie się, że technicznie działa poprawnie — to już zadanie, które warto połączyć z audytem strony lub wdrożeniem polityki prywatności. Jeśli prowadzisz sklep internetowy, formularz kontaktowy i newsletter jednocześnie, zakres dokumentacji jest szerszy i każdy element powinien być spójny z pozostałymi.
FAQ - najczęstsze pytania
Czy obowiązek informacyjny dotyczy też małych firm i jednoosobowej działalności?
Tak, RODO nie uzależnia obowiązku informacyjnego od wielkości firmy ani liczby przetwarzanych danych. Każdy podmiot, który zbiera dane osobowe przez formularz lub newsletter, musi spełnić ten wymóg — niezależnie od tego, czy prowadzi korporację, czy jednoosobową działalność.
Czy klauzula informacyjna i polityka prywatności to to samo?
Nie. Polityka prywatności to dokument opisujący ogólne zasady przetwarzania danych na stronie. Klauzula informacyjna to konkretna informacja przekazywana użytkownikowi w miejscu i momencie zbierania danych — powinna być dostępna bezpośrednio przy formularzu, a nie tylko w osobnej podstronie.
Co się zmienia, gdy korzystam z zewnętrznego systemu mailingowego?
Dostawca systemu mailingowego, np. Mailchimp czy FreshMail, staje się podmiotem przetwarzającym dane w Twoim imieniu. Należy go wskazać w klauzuli lub polityce prywatności jako odbiorcę danych i upewnić się, że umowa powierzenia przetwarzania danych jest podpisana.
Jak długo mogę przechowywać dane zebrane przez formularz kontaktowy?
RODO nie podaje konkretnych terminów — wymaga, żeby dane były przechowywane nie dłużej, niż jest to konieczne do realizacji celu. W przypadku formularza kontaktowego przyjmuje się zazwyczaj czas niezbędny do obsługi zapytania i ewentualnych roszczeń, czyli najczęściej od kilku miesięcy do kilku lat.
Czy jeden checkbox „Akceptuję politykę prywatności" wystarczy przy zapisie do newslettera?
Nie. Zgoda na przetwarzanie danych musi być dobrowolna, konkretna i świadoma — użytkownik powinien wiedzieć, na co dokładnie wyraża zgodę, jeszcze przed jej udzieleniem. Checkbox powinien zawierać wyraźne odwołanie do celu przetwarzania, a nie tylko ogólny link do dokumentu.