Klauzula informacyjna RODO – co musi zawierać i kiedy trzeba ją przekazać?

Klauzula informacyjna RODO – co musi zawierać i kiedy trzeba ją przekazać?

Klauzula informacyjna RODO ma wyjaśniać, kto przetwarza dane osobowe, w jakim celu, na jakiej podstawie i przez jaki czas. Powinna też wskazywać, jakie prawa przysługują osobie, której dane dotyczą. Nie wystarczy jednak skopiować kilku akapitów z internetu i umieścić ich w stopce strony. Treść musi odpowiadać rzeczywistemu sposobowi działania firmy, a informacja powinna trafić do odbiorcy we właściwym momencie.

Klauzula informacyjna nie jest zgodą na przetwarzanie danych. Przekazanie informacji stanowi obowiązek administratora, natomiast zgoda jest tylko jedną z możliwych podstaw przetwarzania. Podpis pod klauzulą nie naprawia błędnie wybranej podstawy prawnej ani zbierania nadmiernej ilości danych.

W poradniku wyjaśniamy różnice między art. 13 i 14 RODO, zakres wymaganych informacji oraz najczęstsze błędy. Wskazujemy również, jak przygotować się do konsultacji z prawnikiem w Zawierciu w sprawie dokumentacji ochrony danych w firmie lub organizacji.

Najważniejsze: dobra klauzula opisuje konkretny proces. Innych informacji może potrzebować klient sklepu, innych kandydat do pracy, a jeszcze innych pracownik kontrahenta, którego dane otrzymano od jego pracodawcy.

Spis treści

1. Czym jest klauzula informacyjna RODO?
2. Art. 13 czy art. 14 RODO – który przepis zastosować?
3. Co musi zawierać klauzula?
4. Kiedy przekazać informację?
5. Klauzula, zgoda i polityka prywatności
6. Jak opisać cele, podstawy prawne i okres przechowywania?
7. Jak prawidłowo informować o prawach?
8. Czy wystarczy link na stronie internetowej?
9. Przykłady: formularz kontaktowy i dane od kontrahenta
10. Kiedy obowiązek informacyjny może być wyłączony?
11. Jak sprawdzić i aktualizować klauzule?
12. Prawnik w Zawierciu – pomoc przy dokumentacji RODO
13. Podstawa prawna i źródła
14. Najczęściej zadawane pytania

Czym jest klauzula informacyjna RODO?

Określenie „klauzula informacyjna” oznacza w praktyce komunikat, za pomocą którego administrator realizuje obowiązek przekazania informacji o przetwarzaniu danych. RODO nie narzuca jednego formularza ani obowiązkowego tytułu dokumentu. Określa natomiast zakres informacji i zasady ich przedstawiania. [1]

Zgodnie z art. 12 RODO komunikat powinien być zwięzły, przejrzysty, zrozumiały i łatwo dostępny. Należy używać jasnego, prostego języka, szczególnie gdy odbiorcami są dzieci. Informacje przekazuje się co do zasady bezpłatnie.

Obowiązek spoczywa na administratorze, czyli podmiocie ustalającym cele i sposoby przetwarzania. Może on korzystać ze wsparcia pracowników, prawnika czy inspektora ochrony danych, lecz samo zlecenie przygotowania dokumentu nie przenosi odpowiedzialności za zgodność działania organizacji z RODO.

Czy dotyczy to również małej firmy?

Tak, jeżeli przetwarza dane w zakresie objętym RODO. Mała liczba pracowników, lokalny zasięg działania czy prowadzenie jednoosobowej działalności nie oznaczają ogólnego zwolnienia z obowiązku informacyjnego. Ewentualne szczególne ułatwienia lub wyłączenia wymagają sprawdzenia ich podstaw i warunków.

RODO chroni dane osób fizycznych. W relacjach między firmami mogą to być dane przedsiębiorcy prowadzącego jednoosobową działalność, członka zarządu, pełnomocnika czy pracownika wyznaczonego do kontaktu. Samo oznaczenie współpracy jako B2B nie wyłącza ochrony tych osób. [1][3]

Art. 13 czy art. 14 RODO – który przepis zastosować?

Punktem wyjścia jest ustalenie, skąd administrator otrzymuje dane.

Różnica nie sprowadza się do zmiany numeru artykułu w nagłówku. Przy art. 14 trzeba wskazać również kategorie pozyskanych danych oraz ich źródło, a gdy ma to zastosowanie — informację, że pochodzą ze źródeł publicznie dostępnych. Inne są także terminy przekazania komunikatu i zakres wyjątków. [1]

Publiczna dostępność danych nie oznacza, że można je wykorzystywać w dowolnym celu ani że obowiązek informacyjny automatycznie znika. Dostęp do rejestru i legalność późniejszego przetwarzania to osobne kwestie.

Co musi zawierać klauzula?

Zakres ustala się na podstawie art. 13 lub 14 RODO oraz okoliczności danego procesu. Poniższa lista pomaga sprawdzić kompletność dokumentu. Poszczególne elementy warunkowe trzeba dostosować do tego, co rzeczywiście występuje. [1]

1. Administrator i dane kontaktowe

Należy jednoznacznie wskazać podmiot odpowiedzialny za przetwarzanie oraz sposób kontaktu z nim. Sama nazwa handlowa strony może nie wystarczyć do ustalenia tożsamości administratora. Gdy ma to zastosowanie, podaje się również tożsamość i dane kontaktowe jego przedstawiciela.

Nie należy automatycznie wpisywać jako administratora firmy hostingowej, dostawcy systemu albo biura rachunkowego. Rola każdego podmiotu zależy od rzeczywistego podziału decyzji i zadań.

2. Kontakt do inspektora ochrony danych

Jeżeli wyznaczono IOD, należy wskazać jego dane kontaktowe. RODO nie wymaga w art. 13 i 14 podawania imienia i nazwiska inspektora. Kontakt powinien umożliwiać osobie zwrócenie się do niego w sprawach przetwarzania danych.

Nie należy tworzyć fikcyjnej funkcji IOD w dokumentacji, jeżeli organizacja go nie wyznaczyła. O tym, kiedy taka funkcja jest potrzebna, piszemy w artykule o outsourcingu inspektora ochrony danych.

3. Cele i podstawy prawne

Trzeba wyjaśnić, do czego dane będą wykorzystywane i jaka podstawa uzasadnia dany cel. Jeżeli administrator opiera przetwarzanie na prawnie uzasadnionym interesie, musi opisać także ten interes.

4. Odbiorcy danych

Klauzula powinna informować o odbiorcach lub ich kategoriach, jeżeli istnieją. Kategorie muszą pozwalać zrozumieć rzeczywisty obieg danych. Właściwe mogą być na przykład podmioty świadczące obsługę informatyczną albo usługi księgowe, jeśli faktycznie otrzymują dane w danym procesie.

Ogólnik „dane mogą otrzymać podmioty uprawnione” nie wyjaśnia sam w sobie korzystania z zewnętrznej platformy rezerwacyjnej, hostingu czy obsługi korespondencji.

5. Transfery poza Europejski Obszar Gospodarczy

Jeżeli planowane jest przekazywanie danych do państwa trzeciego lub organizacji międzynarodowej, trzeba wskazać wymagane informacje o transferze. Obejmują one odpowiednio decyzję o adekwatności albo stosowane zabezpieczenia oraz sposób uzyskania ich kopii lub miejsce udostępnienia. [1]

Przed wpisaniem zdania „dane nie są przekazywane poza EOG” należy sprawdzić dostawców usług, podwykonawców i zasady dostępu do danych. Sam fakt korzystania z europejskiej wersji językowej aplikacji niczego w tym zakresie nie przesądza.

6. Okres przechowywania

Należy podać okres przechowywania danych, a gdy nie można go określić — kryteria pozwalające go ustalić. Poszczególne cele mogą wymagać różnych okresów.

7. Prawa osoby i skarga do organu nadzorczego

Informacje o prawach powinny odpowiadać podstawom i sposobowi przetwarzania. Trzeba również wskazać prawo wniesienia skargi do organu nadzorczego. W polskich realiach będzie to co do zasady Prezes Urzędu Ochrony Danych Osobowych.

Nie ma obowiązku wpisywania adresu siedziby UODO do klauzuli. Urząd wyraźnie wyjaśnił, że art. 13 i 14 wymagają informacji o prawie do skargi, a nie danych adresowych organu. Można podać odnośnik do strony UODO, ułatwiający znalezienie aktualnych informacji. [2]

8. Obowiązek lub dobrowolność podania danych

W informacji na podstawie art. 13 należy wyjaśnić, czy podanie danych jest wymogiem ustawowym lub umownym albo warunkiem zawarcia umowy, czy osoba musi je podać oraz jakie są konsekwencje odmowy.

Nie zawsze wystarczy formuła „podanie danych jest dobrowolne”. Jeżeli bez adresu dostawy nie można wysłać zamówionego towaru, należy jasno opisać ten skutek.

9. Zautomatyzowane decyzje

Trzeba uwzględnić wymagane informacje o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO. W takich przypadkach istotne są również zasady podejmowania decyzji, ich znaczenie i przewidywane konsekwencje dla osoby.

Nie każde używanie programu komputerowego jest takim podejmowaniem decyzji. Z kolei brak decyzji objętych art. 22 nie uzasadnia ukrywania innych faktycznie prowadzonych operacji profilowania — nadal trzeba je przejrzyście opisać w ramach właściwych celów i zasad przetwarzania.

10. Dodatkowe elementy przy danych z innego źródła

Przy art. 14 trzeba wskazać kategorie danych i źródło ich pochodzenia. Sformułowanie „z ogólnodostępnych źródeł” może nie wyjaśniać osobie, skąd konkretnie administrator uzyskał jej informacje. Opis powinien odpowiadać rzeczywistemu sposobowi pozyskania danych.

Kiedy przekazać informację?

Przy zbieraniu danych bezpośrednio od osoby informacje przekazuje się podczas ich pozyskiwania. Nie należy odkładać tego do podpisania umowy, jeżeli dane zostały zebrane wcześniej, na przykład przez formularz zapytania. [1]

Przy pozyskaniu danych z innego źródła art. 14 przewiduje:

• rozsądny termin po ich uzyskaniu, nie dłuższy niż miesiąc, z uwzględnieniem okoliczności przetwarzania;
• jeżeli dane mają służyć komunikacji z osobą — najpóźniej moment pierwszego kontaktu;
• jeżeli planuje się ujawnienie danych innemu odbiorcy — najpóźniej moment pierwszego ujawnienia.

Miesiąc nie jest terminem, z którego można zawsze korzystać w pełnym zakresie. Wcześniejszy kontakt lub ujawnienie danych mogą wymagać wcześniejszego wykonania obowiązku.

Jeżeli administrator planuje wykorzystanie danych w innym celu niż pierwotny, przed rozpoczęciem takiego przetwarzania powinien przekazać informacje o nowym celu i inne stosowne informacje. Samo powiadomienie nie przesądza jeszcze o dopuszczalności nowego wykorzystania danych — trzeba osobno sprawdzić jego legalność. [1]

Klauzula, zgoda i polityka prywatności

To pojęcia powiązane, ale spełniające różne funkcje.

Nie trzeba uzyskiwać zgody na samo przekazanie informacji. Nie powinno się też automatycznie żądać zgody na operacje niezbędne do wykonania umowy lub spełnienia obowiązku prawnego, jeżeli właściwa jest inna podstawa. [1]

Czy klient musi podpisać klauzulę?

RODO nie ustanawia ogólnego obowiązku podpisywania klauzul. Administrator powinien móc wykazać spełnienie obowiązku informacyjnego, ale sposób dokumentowania należy dobrać do procesu. Pomocne mogą być wersje formularzy, historia publikacji, zapis wysyłki informacji czy procedura wręczania dokumentów.

Podpisane potwierdzenie otrzymania informacji nie jest równoznaczne ze zgodą. Z kolei brak podpisu sam w sobie nie dowodzi, że informacji nie przekazano. Nie należy zbierać dodatkowych danych wyłącznie na potrzeby rozbudowanej ewidencji potwierdzeń, jeśli nie jest to potrzebne do wykazania realizacji obowiązku. [1]

Jak opisać cele, podstawy prawne i okres przechowywania?

Dobrą praktyką jest powiązanie każdego celu z właściwą podstawą i czasem przechowywania. Unikajmy jednego zdania obejmującego „obsługę klientów, marketing, archiwizację i wszelkie inne czynności”, po którym następuje lista wszystkich liter art. 6 ust. 1 RODO.

Przykład sposobu uporządkowania informacji: realizacja zamówienia, rozliczenia wymagane prawem i dochodzenie roszczeń to odrębne cele. Mogą dotyczyć częściowo tych samych danych, ale nie muszą mieć tej samej podstawy ani identycznego okresu przechowywania.

Podstawa związana z wykonaniem umowy dotyczy umowy z osobą, której dane są przetwarzane. Nie należy bez analizy stosować jej do danych pracownika kontrahenta tylko dlatego, że między dwiema spółkami istnieje umowa.

Jeżeli wykorzystywany jest prawnie uzasadniony interes, należy nazwać go konkretnie oraz ocenić, czy rzeczywiście uzasadnia przetwarzanie w danej sytuacji. Wpisanie art. 6 ust. 1 lit. f RODO do dokumentu nie zastępuje tej analizy. [1]

Dlaczego „do odwołania zgody” nie zawsze wystarcza?

Takie zdanie będzie mylące, gdy dane przetwarzane są na podstawie obowiązku prawnego albo umowy, a nie zgody. Również przy zgodzie trzeba respektować zasadę ograniczenia przechowywania: brak jej cofnięcia nie uzasadnia automatycznie przechowywania danych bez końca, mimo ustania celu.

Nie należy wpisywać jednego uniwersalnego okresu, na przykład pięciu lat, dla wszystkich danych. Okresy ustala się na podstawie celu, właściwych przepisów i rzeczywistych potrzeb, a następnie przekłada na zasady usuwania lub przeglądu danych.

Jak prawidłowo informować o prawach?

Klauzula powinna pozwalać osobie zrozumieć, jakie żądania może kierować do administratora i jakie warunki mają znaczenie. Nie wszystkie uprawnienia działają identycznie w każdym procesie. [1]

• Dostęp i sprostowanie: pozwalają między innymi sprawdzić przetwarzane dane i żądać poprawienia informacji nieprawidłowych, z uwzględnieniem zakresu przepisów.
• Usunięcie danych: przysługuje w sytuacjach określonych w art. 17; istnieją wyjątki, na przykład dotyczące obowiązku prawnego dalszego przechowywania.
• Ograniczenie przetwarzania: wymaga przesłanek z art. 18, na przykład kwestionowania prawidłowości danych na czas ich sprawdzenia.
• Przenoszenie danych: dotyczy przetwarzania zautomatyzowanego opartego na zgodzie lub umowie, w zakresie danych dostarczonych przez osobę i na warunkach art. 20.
• Sprzeciw: przy podstawach z art. 6 ust. 1 lit. e lub f wiąże się z warunkami art. 21. Przy marketingu bezpośrednim sprzeciw wyklucza dalsze przetwarzanie w tym celu.
• Cofnięcie zgody: odnosi się do przetwarzania opartego na zgodzie i nie podważa zgodności z prawem wcześniejszych operacji dokonanych na jej podstawie.

Prawo do sprzeciwu z art. 21 ust. 1 i 2 należy wyraźnie przedstawić najpóźniej przy pierwszej komunikacji, odrębnie od innych informacji. Nie powinno ginąć w długim akapicie o wszystkich prawach.

Czy wystarczy link na stronie internetowej?

Link może być elementem prawidłowej realizacji obowiązku, ale jego obecność w dowolnym miejscu strony nie rozwiązuje sprawy. Osoba powinna łatwo dotrzeć do informacji we właściwym momencie. Pod formularzem kontaktowym odnośnik będzie zwykle bardziej użyteczny niż dokument ukryty kilka poziomów dalej. [1]

Można zastosować informację warstwową: krótki komunikat przy formularzu i łatwo dostępne rozwinięcie. Pierwsza warstwa powinna jasno wskazywać administratora, cel i prawa osoby oraz prowadzić do pełnych informacji. Trzeba w niej także wyeksponować operacje szczególnie istotne dla odbiorcy lub takie, których mógłby się nie spodziewać. Nie wolno traktować jej jako pretekstu do pominięcia pozostałych wymaganych elementów.

Przykładowy układ pierwszej warstwy — do dostosowania:

Administratorem danych jest [pełna nazwa podmiotu]. Wykorzystamy dane z formularza do obsługi Twojego zapytania. Możesz żądać dostępu do swoich danych i ich sprostowania oraz korzystać z pozostałych praw na zasadach opisanych w pełnej informacji. Informacje o podstawach prawnych, okresach przechowywania, odbiorcach i Twoich prawach znajdziesz w [bezpośredni link do właściwej informacji].

Ten krótki komunikat nie jest samodzielną, kompletną klauzulą. Dalsza warstwa musi być dostępna podczas zbierania danych, a treść powinna obejmować rzeczywiste operacje — także dodatkowe cele, jeżeli występują.

W obsłudze stacjonarnej nie należy zakładać, że każdy klient ma telefon i zeskanuje kod QR. Sposób przekazania informacji trzeba dopasować do odbiorców i zapewnić im rzeczywisty dostęp do treści. Podobnie przy rozmowie telefonicznej należy zaplanować sposób wykonania obowiązku, zamiast dopiero po zebraniu danych zastanawiać się nad komunikatem.

Przykłady: formularz kontaktowy i dane od kontrahenta

Formularz kontaktowy lokalnej firmy

Klient sam wpisuje imię, adres e-mail i pytanie. Podstawą obowiązku informacyjnego jest co do zasady art. 13. Administrator powinien ustalić cel odpowiedzi, właściwą podstawę przetwarzania, odbiorców związanych z obsługą poczty i formularza oraz czas przechowywania korespondencji.

Jeżeli formularz służy także zapisowi do newslettera, nie należy ukrywać tego w ogólnym celu „kontakt”. Potrzebna jest odrębna analiza marketingu i wymagań dotyczących danego kanału komunikacji. Sama klauzula nie zastępuje wymaganych zgód.

Dane pracownika przesłane przez kontrahenta

Spółka otrzymuje od kontrahenta imię, nazwisko, stanowisko i służbowy adres e-mail pracownika odpowiedzialnego za realizację projektu. Dane nie pochodzą bezpośrednio od tej osoby, dlatego trzeba ocenić obowiązek z art. 14.

Informacja powinna uwzględniać źródło i kategorie danych. Jeżeli pierwszy e-mail do pracownika wysyłany jest następnego dnia, nie można automatycznie odkładać obowiązku na koniec miesiąca. Trzeba też sprawdzić podstawę przetwarzania danych pracownika — nie jest on przecież stroną umowy zawartej pomiędzy spółkami.

Przykłady są ilustracyjne. Ostateczną treść ustala się po sprawdzeniu konkretnego procesu.

Kiedy obowiązek informacyjny może być wyłączony?

Przy art. 13 obowiązku nie wykonuje się w zakresie, w jakim osoba już dysponuje wymaganymi informacjami. Nie można jednak utożsamiać wiedzy o istnieniu firmy ze znajomością wszystkich zasad przetwarzania. [1]

Art. 14 przewiduje dalsze wyjątki, między innymi w określonych sytuacjach, gdy przekazanie informacji jest niemożliwe lub wymaga niewspółmiernie dużego wysiłku, pozyskiwanie lub ujawnianie danych jest wyraźnie uregulowane prawem zapewniającym odpowiednie środki ochrony albo dane muszą pozostać poufne na podstawie prawnie uregulowanej tajemnicy zawodowej.

Każdy wyjątek ma warunki. Nie wystarczy powołać się ogólnie na „obowiązek prawny”, dużą liczbę rekordów albo publiczny rejestr. W przypadku wyjątku z art. 14 ust. 5 lit. b trzeba również zastosować odpowiednie środki ochrony praw i interesów osób, w tym publicznie udostępnić informacje.

Przed pominięciem obowiązku należy ustalić konkretną podstawę i udokumentować jej zastosowanie. Wyjątków z art. 14 nie wolno automatycznie przenosić na zbieranie danych bezpośrednio od osoby. Szczególne ograniczenia wynikające z innych przepisów wymagają osobnej oceny.

Jak sprawdzić i aktualizować klauzule?

Przegląd warto zacząć od procesów, nie od językowego poprawiania dokumentu. Ustal, jakie dane trafiają do organizacji, od kogo, do jakich systemów i na jak długo. Następnie porównaj te ustalenia z komunikatem przekazywanym osobom.

Praktyczna kolejność prac wygląda następująco:

1. Rozpisz procesy, na przykład sprzedaż, rekrutację, korespondencję i monitoring.
2. Ustal role podmiotów oraz źródła danych.
3. Przyporządkuj cele, podstawy prawne i okresy przechowywania.
4. Sprawdź odbiorców, dostawców i ewentualne transfery poza EOG.
5. Dopasuj prawa i pozostałe elementy art. 13 lub 14.
6. Zaplanuj miejsce oraz moment przekazania informacji.
7. Zachowaj wersję dokumentu i dowody wdrożenia odpowiednie do procesu.
8. Weryfikuj treść po zmianach sposobu przetwarzania.

Nowy system rezerwacji, zmiana administratora, rozpoczęcie marketingu lub inny sposób przechowywania danych mogą wymagać aktualizacji. Nie każda korekta stylistyczna oznacza konieczność ponownego kontaktowania się ze wszystkimi osobami, ale istotnych zmian nie należy ukrywać przez samą podmianę pliku na stronie.

Najczęstsze sygnały ostrzegawcze to cudza nazwa firmy we wzorze, nieaktualny kontakt do IOD, brak źródła danych przy art. 14, sprzeczność między dokumentem a używanymi narzędziami oraz obietnica natychmiastowego usuwania wszystkich danych na każde żądanie.

Prawnik w Zawierciu – pomoc przy dokumentacji RODO

Przygotowanie klauzuli warto połączyć ze sprawdzeniem rzeczywistych procesów. Dzięki temu dokument będzie przydatny dla klientów, pracowników i kontrahentów, a organizacja będzie wiedziała, jak go stosować.

Kancelaria Prawnicza SALVO IURE w Zawierciu pomaga analizować obowiązki dotyczące ochrony danych, przygotowywać dokumentację i weryfikować jej zgodność z działaniem organizacji. Zakres prac może obejmować formularze kontaktowe, informacje dla klientów, rekrutację, współpracę z dostawcami oraz wsparcie przy wdrażaniu RODO.

Jeżeli szukasz pomocy prawnej w Zawierciu w sprawie klauzul informacyjnych, przygotuj dotychczasowe dokumenty, wykaz używanych aplikacji i krótki opis zbierania danych. Podczas konsultacji można ustalić, co wymaga zmiany w treści, a co w organizacji pracy.

Skontaktuj się z SALVO IURE i umów konsultację dotyczącą dokumentacji RODO.

Podstawa prawna i źródła

Stan prawny i źródła zweryfikowane: 28 września 2026 r.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 — tekst skonsolidowany udostępniony przez UODO, w szczególności art. 4–7, 12–14, 15–22, 24, 28 oraz 44 i następne. Dokument uwzględnia sprostowanie z 2018 r.; teksty autentyczne opublikowano w Dzienniku Urzędowym Unii Europejskiej.

[2] UODO: „Klauzula informacyjna nie musi zawierać adresu siedziby UODO”, 25 kwietnia 2025 r..

[3] UODO: obowiązek informacyjny wobec osób reprezentujących spółki i osób uprawnionych do składania oświadczeń.

Materiał ma charakter informacyjny. Dobór podstaw przetwarzania, wyjątków i ostatecznej treści klauzuli wymaga analizy konkretnego procesu oraz właściwych przepisów szczególnych.

Najczęściej zadawane pytania

Czy klauzula informacyjna jest obowiązkowa w każdej firmie?

Jeżeli firma przetwarza dane objęte RODO, powinna ocenić obowiązek informacyjny w poszczególnych procesach. Nie istnieje jeden obowiązkowy wzór dla wszystkich przedsiębiorców. Ewentualne wyłączenia wymagają konkretnej podstawy.

Czy klauzula musi być podpisana?

Nie ma ogólnego wymogu podpisu. Administrator musi jednak móc wykazać, że prawidłowo przekazał wymagane informacje. Sposób dokumentowania należy dopasować do procesu.

Czy muszę zgodzić się na klauzulę RODO?

Klauzula przekazuje informacje i sama nie jest zgodą. Ewentualne oświadczenie o zgodzie na konkretny cel przetwarzania powinno być od niej odróżnione.

Jaka jest różnica między art. 13 i art. 14 RODO?

Art. 13 dotyczy zbierania danych od osoby, której dotyczą, a art. 14 — pozyskiwania ich z innego źródła. Różnice obejmują między innymi informacje o źródle i kategoriach danych, terminy oraz wyjątki.

Czy przy art. 14 zawsze mam miesiąc na przekazanie informacji?

Nie. Obowiązuje rozsądny termin, maksymalnie miesiąc, ale wcześniejszy pierwszy kontakt z osobą lub pierwsze ujawnienie danych mogą wymagać wcześniejszego wykonania obowiązku.

Czy wystarczy skopiować klauzulę z innej strony?

Nie, jeśli nie odpowiada ona rzeczywistemu przetwarzaniu. Trzeba sprawdzić administratora, cele, podstawy prawne, odbiorców, okresy przechowywania i pozostałe elementy właściwe dla danego procesu.

Czy w klauzuli trzeba podać adres UODO?

Nie. Trzeba poinformować o prawie wniesienia skargi do organu nadzorczego. UODO wyjaśnił, że przepisy nie nakazują podawania jego adresu siedziby.

Czy jeden dokument może obejmować kilka procesów?

Tak, jeżeli pozostaje przejrzysty, a odbiorca łatwo ustala, które informacje dotyczą jego sytuacji. Rozbudowany dokument zbiorczy nie powinien utrudniać odnalezienia właściwej treści.