Klauzula RODO w firmie - co musi zawierać i kiedy ją przekazać?

Klient wysyła formularz kontaktowy, pracownik przekazuje dokumenty kadrowe, a kontrahent podaje dane do umowy. W każdej z tych sytuacji klauzula RODO pomaga wyjaśnić, kto przetwarza dane, po co to robi i jakie prawa ma osoba, której dane dotyczą. Poniżej pokazuję, co powinna zawierać, kiedy należy ją przekazać oraz jak przygotować praktyczny wzór dla biura rachunkowego lub firmy.

Po co jest klauzula informacyjna i kiedy trzeba ją przekazać

Klauzula RODO, czyli klauzula informacyjna, realizuje obowiązek przejrzystego poinformowania osoby o przetwarzaniu jej danych. Nie jest umową, regulaminem ani automatycznie zgodą na marketing. Jej zadaniem jest odpowiedzieć na podstawowe pytania: kto przetwarza dane, w jakim celu, na jakiej podstawie i jak długo.

Jeżeli dane zbierasz bezpośrednio od osoby, stosujesz art. 13 RODO. Tak dzieje się na przykład przy formularzu kontaktowym, podpisywaniu umowy z klientem, rekrutacji albo przyjmowaniu dokumentów od kontrahenta.

Art. 14 dotyczy sytuacji, w której dane pochodzą z innego źródła. Przykładem może być otrzymanie danych pracowników klienta przez biuro rachunkowe albo pozyskanie danych reprezentanta spółki z publicznego rejestru. W takim przypadku trzeba dodatkowo wskazać źródło pochodzenia danych, o ile przepisy nie przewidują wyjątku.

Termin przekazania informacji ma znaczenie

Przy danych zbieranych bezpośrednio informację przekazuje się najpóźniej w momencie ich pozyskania. Nie powinno się więc chować jej wyłącznie w polityce prywatności, jeśli formularz zbiera dane bez żadnego czytelnego odwołania do tego dokumentu.

Przy danych otrzymanych z innego źródła obowiązuje co do zasady termin do miesiąca. Jeżeli wcześniej kontaktujesz się z osobą, informację trzeba przekazać najpóźniej przy pierwszej wiadomości, a gdy planujesz ujawnić dane innemu odbiorcy, najpóźniej przy pierwszym ujawnieniu.

W praktyce nie zawsze trzeba zbierać podpis potwierdzający zapoznanie się z klauzulą. Istotniejsze jest wykazanie, że informacja była łatwo dostępna, zrozumiała i przekazana we właściwym czasie. UODO zwraca uwagę, że samo wykonanie obowiązku informacyjnego nie oznacza konieczności gromadzenia dodatkowych danych o osobie.

Co musi zawierać poprawny dokument

Treść zależy od konkretnego procesu, ale podstawowy zakres wynika z art. 13 i 14 RODO. Zamiast kopiować długi formularz z internetu, najpierw ustalam cel przetwarzania, źródło danych, podstawę prawną i osoby, które faktycznie będą miały do nich dostęp.

Ważne jest powiązanie celu z podstawą prawną. Sformułowanie „dane będą przetwarzane zgodnie z RODO” niczego nie wyjaśnia. Lepiej napisać, że dane są przetwarzane w celu zawarcia i wykonania umowy na podstawie art. 6 ust. 1 lit. b RODO, a dokumentacja księgowa jest przechowywana w celu wypełnienia obowiązków prawnych na podstawie art. 6 ust. 1 lit. c RODO.

Okres przechowywania nie powinien brzmieć „tak długo, jak to konieczne”

To jedno z najczęściej spotykanych, a jednocześnie najmniej użytecznych sformułowań. Osoba powinna móc ocenić, jak długo jej dane pozostaną w systemie. Możesz wskazać konkretny termin albo opisać regułę, na przykład przechowywanie przez czas trwania umowy, a później przez okres wymagany przepisami lub potrzebny do dochodzenia roszczeń.

W biurze rachunkowym różne dane mogą mieć różne okresy przechowywania. Dokumenty podatkowe, dane kontaktowe klienta, korespondencja i kopie dokumentów to nie zawsze jeden proces, dlatego wpisanie jednego terminu dla całej organizacji często prowadzi do błędów.

Jak przygotować wzór dla biura rachunkowego lub firmy

Najpraktyczniej potraktować wzór jako szkielet do uzupełnienia, a nie gotowy dokument do bezrefleksyjnego skopiowania. Poniższy przykład dotyczy danych klienta przekazywanych biuru rachunkowemu przy rozpoczęciu współpracy.

Przykładowa treść do dostosowania

Administratorem danych osobowych jest [pełna nazwa firmy] z siedzibą w [miejscowość], przy ul. [adres]. Kontakt z administratorem jest możliwy pod adresem [e-mail] lub numerem telefonu [numer]. Jeżeli wyznaczono inspektora ochrony danych, można skontaktować się z nim pod adresem [kontakt do IOD].

Dane osobowe będą przetwarzane w celu przygotowania i realizacji umowy o świadczenie usług księgowych, prowadzenia rozliczeń, kontaktu z klientem oraz wykonania obowiązków wynikających z przepisów podatkowych i rachunkowych. Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. b, c oraz f RODO, zależnie od konkretnego celu.

Odbiorcami danych mogą być dostawcy systemów księgowych, usług IT, hostingu, poczty elektronicznej oraz podmioty uprawnione na podstawie przepisów prawa. Dane będą przechowywane przez czas trwania współpracy, a po jej zakończeniu przez okres wynikający z obowiązków prawnych lub do upływu terminu przedawnienia ewentualnych roszczeń.

Osobie, której dane dotyczą, przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, jeśli znajduje zastosowanie, oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Przysługuje jej także prawo wniesienia skargi do organu nadzorczego.

Podanie danych potrzebnych do zawarcia i wykonania umowy jest dobrowolne, ale może być konieczne do rozpoczęcia współpracy. Podanie danych wymaganych przez przepisy podatkowe lub rachunkowe jest obowiązkowe w zakresie wynikającym z tych przepisów.

Ten wzór wymaga uzupełnienia o rzeczywiste systemy, odbiorców i terminy. Jeżeli biuro korzysta z dostawcy chmury spoza Europejskiego Obszaru Gospodarczego, trzeba dodatkowo opisać transfer danych i zastosowane zabezpieczenia. Nie należy wpisywać takich informacji na zapas, jeśli w praktyce firma z nich nie korzysta.

Przeczytaj również: ZUS RSA - Jak wypełnić i chronić dane pracowników?

Formularz kontaktowy wymaga prostszej wersji

Osoba wysyłająca zapytanie nie musi otrzymywać wielostronicowego dokumentu obejmującego wszystkie procesy firmy. Wystarczy jasna informacja o administratorze, celu obsługi wiadomości, podstawie prawnej, odbiorcach, okresie przechowywania i prawach osoby.

Jeśli później dane zostaną wykorzystane do wysyłki ofert, trzeba ocenić ten cel osobno. Obsługa zapytania i marketing to dwa różne cele, które nie powinny być automatycznie łączone w jednym ogólnym zdaniu.

Klauzula informacyjna a zgoda na przetwarzanie danych

To dwa różne mechanizmy, choć w formularzach często są mylone. Klauzula informuje o przetwarzaniu, natomiast zgoda jest dobrowolnym oświadczeniem woli wykorzystywanym tylko wtedy, gdy rzeczywiście stanowi właściwą podstawę prawną.

Biuro rachunkowe nie potrzebuje zgody klienta na każde działanie związane z wykonaniem umowy. Przetwarzanie danych potrzebnych do świadczenia usługi może opierać się na umowie, a prowadzenie dokumentacji i rozliczeń często wynika z obowiązku prawnego.

Zgoda powinna być dobrowolna, konkretna, świadoma i możliwa do wycofania. Nie powinno się uzależniać zawarcia umowy od zgody na dodatkowy marketing, jeżeli marketing nie jest potrzebny do wykonania tej umowy.

W praktyce oddzielam trzy elementy. Pierwszym jest klauzula informacyjna, drugim zgoda marketingowa, a trzecim zgoda na określony kanał kontaktu, jeśli jest wymagana przez przepisy dotyczące komunikacji elektronicznej. Takie rozdzielenie ułatwia później wykazanie, na co dokładnie zgodziła się dana osoba.

Błędy, przez które dokument traci wartość

Sam fakt posiadania dokumentu nie oznacza jeszcze prawidłowej realizacji obowiązku informacyjnego. Najczęściej problemy wynikają z niedopasowania treści do rzeczywistego sposobu działania firmy.

• Jeden wzór dla wszystkich bez rozróżnienia klientów, pracowników, kandydatów i kontrahentów.
• Brak celu przetwarzania albo używanie ogólnika „w celach administracyjnych”.
• Nieprawidłowa podstawa prawna, zwłaszcza wpisywanie zgody tam, gdzie dane są potrzebne do wykonania umowy.
• Nieaktualny administrator po zmianie nazwy firmy, adresu, formy prawnej lub danych kontaktowych.
• Brak odbiorców danych, mimo że firma korzysta z programu księgowego, hostingu, chmury lub zewnętrznego operatora poczty.
• Niejasny okres przechowywania opisany słowami „do czasu ustania potrzeby”.
• Wymuszanie podpisu pod informacją, która nie wymaga zgody, zamiast zadbania o rzeczywiste przekazanie treści.
• Brak informacji o źródle danych przy obowiązku z art. 14 RODO.

UODO wyjaśnia również, że w klauzuli nie trzeba podawać adresu siedziby organu nadzorczego. Wystarczy poinformować o prawie wniesienia skargi. To drobny, ale praktyczny przykład pokazujący, że dokument powinien zawierać informacje wymagane prawem, a nie wszystkie dane, które przez lata pojawiały się w internetowych wzorach.

Jak wdrożyć dokument i utrzymać go w aktualności

Najpierw robię prostą mapę procesów. Spisuję, skąd firma otrzymuje dane, po co ich używa, kto ma do nich dostęp, gdzie są przechowywane i kiedy powinny zostać usunięte. Dopiero na tej podstawie tworzę poszczególne klauzule.

1. Wypisz formularze, umowy, systemy i kanały kontaktu.
2. Przypisz do każdego procesu konkretny cel i podstawę prawną.
3. Sprawdź odbiorców danych oraz ewentualne transfery poza EOG.
4. Ustal okres przechowywania lub kryteria jego wyliczenia.
5. Dobierz sposób przekazania informacji do sytuacji.
6. Zapisz datę i wersję dokumentu oraz wyznacz termin przeglądu.

Klauzulę można przekazać na papierze, w wiadomości e-mail, w formularzu internetowym albo jako część polityki prywatności. Forma ma drugorzędne znaczenie, jeśli informacja jest czytelna, łatwo dostępna i rzeczywiście trafia do właściwej osoby.

Dokument trzeba aktualizować po zmianie dostawcy systemu, celów przetwarzania, podstaw prawnych, okresów przechowywania lub danych administratora. Samo dodanie nowego programu księgowego może wymagać sprawdzenia, czy zmieniła się lista odbiorców danych albo sposób ich przechowywania.

Jedna kartka nie załatwi całego obowiązku informacyjnego

Dobra klauzula informacyjna nie polega na użyciu jak największej liczby prawniczych sformułowań. Powinna być dopasowana do konkretnej relacji i procesu, wskazywać realne cele, prawidłowe podstawy oraz prawdziwe terminy przechowywania.

W małej firmie, biurze rachunkowym lub jednoosobowej działalności najwięcej daje prosty przegląd formularzy, umów i systemów. Jeśli dokumenty obejmują dane szczególnej kategorii, rozbudowane profilowanie, monitoring albo transfery międzynarodowe, rozsądnie jest skonsultować treść z prawnikiem lub inspektorem ochrony danych, zamiast polegać na uniwersalnym wzorze.